TokenClub-区块链安全研究报告-2018.8-51页-3mb

区块链安全研究报告总结

核心内容

本报告全面分析了区块链行业面临的安全挑战、主要安全问题分类、安全事件统计、行业安全服务提供商以及攻防技术等关键内容。报告指出，随着区块链技术的广泛应用和数字货币市场的快速发展，安全问题日益突出，对行业参与者和用户的安全保障提出了更高要求。

主要观点

• 区块链行业快速发展，但安全问题也愈发严重，尤其是在智能合约、交易所和用户端。
• 区块链安全性不仅涉及其底层技术，还包括生态安全与使用安全。
• 51%算力攻击、智能合约漏洞、DDoS攻击、钓鱼攻击、女巫攻击等是当前区块链安全的主要威胁。
• 区块链安全服务逐渐专业化，涉及交易所钱包审计、链安全审计、智能合约审计、安全顾问、安全运营、威胁情报及漏洞赏金等多个板块。

关键信息

1. 区块链安全行业综述

• 区块链是一种结合分布式数据存储、点对点传输、共识机制和加密算法的新型技术。
• 区块链分为公有链、联盟链和私有链，每种链类型都有其特定的安全需求。
• 区块链安全性主要体现在加密算法、协议安全和系统安全三个层面。
• 2018年加密数字货币总市值达到8000亿美元，安全问题也随之增多。

2. 行业安全问题分类

• 区块链自身机制安全：包括加密算法、协议安全和系统安全。
• 区块链生态安全：主要集中在交易所、矿池、钱包和相关服务网站。
• 区块链使用安全：涉及用户私钥、账号管理、交易安全等。

3. 安全事件统计

• 2017年区块链安全事件数量达到15起，2018年已攀升至75起。
• 安全事件造成的经济损失显著增加，从早期的年均10亿美元增长到2018年的21亿美元。
• 交易平台和智能合约是损失最多的板块，分别占41%。

4. 行业中坚力量分析

• 知道创宇：国内领先的网络安全公司，提供云防护、智能合约审计、钱包安全、算力监控、安全顾问、业务反欺诈等服务。
• 链安科技：专注于区块链安全审计，提供形式化验证技术，服务包括智能合约开发与审计、链安全审计等。
• 慢雾科技：专注区块链生态安全，提供安全审计、防御部署和威胁情报服务，与多家知名交易所及项目方合作。
• 360区块链安全：依托360多年安全大数据，提供全面的区块链安全解决方案，涵盖钱包、交易所、矿池、智能合约等。
• Certik：使用形式化验证技术，专注于智能合约和区块链应用的安全性，与多个知名项目建立合作关系。

5. 安全板块

• 交易所钱包安全审计：重点保障交易所和钱包的安全，防止数据篡改和私钥泄露。
• 链安全审计：对新开发的区块链进行安全评估，包括节点配置、通讯安全、共识机制等。
• 智能合约安全审计：防止因合约漏洞导致的资产损失，如整数溢出、权限漏洞等。
• 安全顾问：为区块链项目提供安全评估、风险管理和建议。
• 安全运营：包括访问控制、日志审计、漏洞管理、员工培训等。
• 威胁情报：利用区块链数据和P2P网络进行安全分析和预警。
• 漏洞赏金：鼓励负责任的漏洞披露，提高区块链安全水平。

6. 攻防技术分析

• 钓鱼攻击：通过伪造网站、链接或信息获取用户敏感数据，如私钥和账号。
• 拒绝服务攻击（DDoS）：通过大量请求使系统瘫痪，攻击方式包括合约状态依赖外部调用。
• 双花攻击：攻击者通过控制区块生成或网络算力实现多次支付，包括51%算力攻击、种族攻击、芬妮攻击、Vector76攻击和替代历史攻击。
• 整数溢出攻击：在智能合约中，由于未正确处理整数运算，可能导致无限转账或系统崩溃。
• 女巫攻击：通过创建多个虚假身份来破坏网络的信誉系统，通常通过身份认证和分布式验证机制进行防范。

7. 区块链安全行业应用

• 使用身份验证保护边界设备安全：区块链技术可用于增强物联网设备的身份验证和数据溯源。
• 改进机密性和数据完整性：通过加密和分布式账本，提升数据传输和存储的安全性。
• 保护隐私信息：利用区块链的分布式特性保护元数据，如Obsidian和DARPA的项目。
• 改进甚至替代公钥基础设施（PKI）：通过区块链实现去中心化的身份认证和密钥管理。
• 更安全的DNS：使用区块链存储DNS记录，提升网络基础设施的安全性。
• 减少DDoS攻击：通过去中心化网络和资源池实现更好的抗攻击能力。

8. 未来展望

• 区块链安全问题将随着行业的发展而持续存在，但也将不断被解决。
• 安全技术和服务将更加专业化，以适应不断增长的区块链生态。
• 区块链安全将从技术层面扩展到应用层面，形成更加全面的安全体系。
• 量子计算的发展将对加密算法构成威胁，推动抗量子算法的研究和应用。
• 区块链安全服务市场将更加繁荣，更多专业机构将参与其中。

参考文献

• [1] Bitcoin: A Peer-to-Peer Electronic Cash
• [2] 区块链安全网：安全趋势
• [3] 腾讯安全《2018 上半年区块链安全报告》
• [4] 白帽研究院《区块链安全报告》
• [5] Solidity Security: Comprehensive list of known attack vectors and common anti-patterns
• [6] Irreversible Transactions
• [7] Analysis of hashrate-based double-spending
• [8] Solidity 合约中的整数安全问题——SMT BEC 合约整数溢出解析
• [9] Decentralized Application Security Project (or DASP) Top 10 of 2018
• [10] Wikipedia: Sybil attack
• [11] 6 use cases for blockchain in security
• [12] 区块链研习 | 区块链上的态势感知
• [13] 知道创宇：区块链安全风险白皮书
• [14] 区块链安全 - DAO 攻击事件解析
• [15] Ethereum Smart Contract Security Best Practices