火星链 火星链
Ctrl+D收藏火星链
首页 > 比特币 > 正文

EOS:EOS DApp 已成黑客提款机?慢雾安全团队支招

作者:

时间:1900/1/1 0:00:00

文章来源:慢雾科技作者:唐飞虎

本文盘点了近期EOSDapps上影响较大的安全事件以及漏洞解读,同时以开发者的角度对EOS生态和「CodeisLaw」进行点评,严格执行Codeislaw,会增加用户监督门槛,开发者故意埋下漏洞的行为也难以谴责追诉。而过分的人治,又会成为民粹的温床,打击开发者审计合约的动力。

自主网上线以来,一场最大型的EOS合约漏洞攻击正在上演且追随者无数,涉及到的项目包括EOSBet、newdex等众多头部项目,项目方累计损失11万个EOS。目前尚不能判断这一系列事件是由一人还是多人所为,主要涉及到的账号包括:「guydgnjygige」,「imeosmainnet」,「iloveloveeos」,「aabbccddeefg」及众多疑似小号,如「chinasichuan」,「cityhangzhou」,「cityhongkong」,「guangxichina」,「guydgnjygige」,「lloolloolloo」,「meadwestvaco」,「nbcuniversal」,「ooooo11ooooo」,「shunwanggame」,「sichuanchina」,「surveymonkey」,「wolframalpha」,「slowmistsafe」,「helloboy1234」...

第一个中招的游戏-https://luckyos.io/

主要涉及到的黑客账号「guydgnjygige」。该账号创建于6月9日,最初以0.0001EOS的小额转账附带Memo打广告的形式,推广一款叫EOSGameWorld的山寨FOMO3D的游戏。https://gameworldeos.github.io/该网站现已停运,网站的社交媒体链接已导向dapp.pub。

Beosin:Euler Finance攻击者转移约188万美元资金:3月17日消息,据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示,2023年3月16日,Euler Finance攻击者将1000个ETH和100个ETH分别转到0xc66dfa84bc1b93df194bd964a41282da65d73c9a(Euler Finance Exploiter 4)和0x098b716b8aaf21512996dc57eb0615e2383e2f96(Ronin Bridge Exploiter

)。

此前消息,2023年3月13日,DeFi借贷协议Euler Finance遭受攻击,损失近2亿美元。[2023/3/17 13:10:18]

后期该账号主要投注各类骰子、乐透类菠菜项目,并通过预测各项目的随机数产生,产生收益。

8月27日,Luckyos旗下的石头剪刀布游戏被成功攻破。

该黑客找到了剪刀的随机数产生规律,于是通过持续在指定时间出石头,来赢得奖励,并指出有38%的概率获胜。

自此,该黑客对破解其他菠菜游戏产生了浓厚的兴趣,不断的尝试挑战破解新的游戏,并通过小额转账Memo指点了http://rollgame.github.io的开发者。

第二个中招的游戏-DEOSBET

10日,黑客又利用类似的漏洞,攻击了DEOSBET,并且连续赢了24次,累计接近2.4万美元。

第三个中招的游戏-EOSHappySlot

https://happyeosslot.com/

主要涉及到的黑客账号imeosmainnet。

Block.one:EOS开发者可通过PowerUp工具自动化资源管理需求:金色财经报道,Block.one发推文称,EOS公链的开发者和用户可以通过社区构建的PowerUp工具轻松地自动化他们的资源管理需求。Chintai网络自动分配dApp资源,帮助开发者专注于构建他们的产品。eospowerup.io提供社区资助的过渡并自动进行资源管理。Greymass、TokenPocket和bloks.io等钱包可以帮助执行交易。此前4月9日消息,EOS PowerUp模型过渡已顺利完成。[2021/5/6 21:27:25]

另一名账号为imeosmainnet的黑客对HappyEosSlot老虎机项目的攻击是在9月12日凌晨,利用重放攻击,导致项目方损失了5000个EOS。

攻击方法是黑客首先了较小的金额,并在transfer方法中加入了钩子开关,transfer过程可以被黑客预留的钩子中断,所以reveal被卡死,当reveal被卡死时候,并且这时候bet是仍然可以被调用的,重放攻击就成立了。黑客选择默认关闭开关,当检测到得到五倍以上的开奖金额之后,就再发一笔数额较大的金额,并开启开关,从而每一次都可以获得数倍的回报。

由于happyeosslot使用了一种新的智能股权协议,项目的盈亏会直接作用在币价上,在收到黑客攻击之后,happyeosslot的企业经营系数也是随之降低到了0.1。

有趣的是,老虎机小游戏https://www.luckywith.me/slots大部分参考了HappyEOSSlot的合约代码,而在Happy家被黑客imeosmainnet攻击的前两个小时,Lucky家突然暂停了旗下的老虎机项目。Lucky家的官方解释是EOS主网节点波动严重,等主网稳定后再开放。直至发稿,Lucky家的老虎机仍未重新上线。

声音 | BB:凡涉及EOS 唯有社区说了算:今日早间BM发推文称,我和BB想出了一个很棒的方案,可以用来解决买票贿选的问题。对此,Block.one首席执行官Bredan Blumer(BB)发推评论称,和BM一直在探索各种类型的分布式治理的改进方法,并有一些令人兴奋的想法。正如我们一直看到的那样,当涉及EOS,唯有社区说了算。[2019/9/24]

而黑客imeosmainnet非法获得了EOS之后,立刻转入了fcoin交易所。黑客的最初几笔资金来自火币和zb兑换中心。但从记录表明,并未看出imeosmainnet与guydgnjygige的关系,可以猜测,这两个账号背后是不同的人。

该项目目前已经重新上线。

第四个中招的游戏-FairDice

https://dapp.pub/dice/

主要涉及到的黑客账号iloveloveeos。

继Happy家失窃,一众程序员正夸赞dapp.pub旗下的FairDice的代码并潜心学习的时候,突然发现黑客也开始对Fairdice下手,并已成功了几笔。

这一次攻击的手法也是重放攻击,由于FairDice的随机数算法和时间相关,因此多次同一笔下注在不同时间开奖可以获得不同的结果,黑客正是利用了这一点,拒绝了所有失败的开奖结果,从而可以让自己的下注总是获胜。

https://www.reddit.com/r/eos/comments/9f5o6a/dapppubfairdice_version_2_is_back_an_opensourced/Fair的代码增加了安全机制,每次获胜的金额不得超过合约奖池的1%,并且我们发现及时,立即Call醒了开发者,才没有让损失继续扩大。

动态 | 24小时访问量EOS排名第一:据TokenClub数据显示,目前EOS在币热度榜上排名第一,24小时内访问量为14784;BTC排名第二,24小时内访问量为14714;ETH排名第三,24小时内访问量为9381;TCT排名第四,24小时内访问量为7915;XRP排名第五,24小时内访问量为6360。[2018/12/11]

第五个中招的游戏,也是损失最惨重的-EOSBet

主要涉及到的黑客账号aabbccddeefg。

EOSBet是建立在EOS上的一个掷骰子的DApp,被攻击时在DAppRadar上排名第四。七日交易量约860万EOS,交易笔数137万余笔。

EOSBet项目尚未开源,却也难逃离攻击。9月14日上午11点左右,aabbccddeefg在未进行投注的情况下,却以中奖的方式,在20多分钟的时间内,赢得了4.2万个EOS(总价值约为150万人民币)及投注产生的1千多个平台代币BET。据分析,EOSBet被攻击,是因为代码中并没有检查收到的EOS是不是eosio.token产生的EOS,黑客通过自己创建的名字同为EOS的「假币」,套取了真的EOS。

在获得了EOS之后,黑客分别给guydgnjygige和cctvworldcup两个账号各转账了1万个EOS。

第六个中招的游戏-EOS.win/dice随后相同手法又被用在了EOS.win上,导致各项目方产生惊恐,纷纷关闭了自己的项目。

第七个中招的是去中心化交易所-newdex

主要涉及到的黑客账号oo1122334455。

9月14日下午两点,EOS账户“oo1122334455”用同样方法发行了10亿个EOS假币,分配给了dapphub12345账户,再由dapphub12345转账给了iambillgates账户,并利用假EOS挂单进行币币交易,委托买入IPOS、BLACK、IQ、ADD,并转给xx1234512345和x12345x12345,最终由xx1234512345将非法得来的Token挂单卖得4千多个EOS,并充值到Bitfinex。

声音 | 加密经济学家回击 Whiteblock:认为 EOS 不是区块链是不理解我们现在做的事:据 IMEOS 报道,加密经济学家 Ashe Oro 发推表示: Whiteblock 报告认为 “EOS 不是区块链” 是因为他们无法解释我们目前正在做的事 - 更迅速地出块,免费的交易。他的 FUD (恐惧、不确定、怀疑)令我感到欢乐。(相信)基于 EOS 我们将会再次获得自由。[2018/11/5]

整个黑客攻击事件最无奈的便是,作为一个去中心化的交易所,在遭遇了假币之后,不得不通过中心化的手段来强制下架了交易对。此次事件,共造成了Newdex用户11803个EOS损失。

账户安全提醒

事件发生后,大家纷纷通过转账时的Memo,给黑客账号留言致敬或蹭黑客账号热点来发布小广告。

更有账号假装EOSBet官方,不断的向黑客账号发出索赔要求。

点评EOS生态

EOS自主网上线两个多月以来因其TPS超越各大主流公链而受到dapp开发者的青睐。EOS上的dapp数量也呈现井喷式增长。EOS公链本身的安全性,以及合约开发如何设计安全规范,也越来越引起开发者的重视。

「掷骰子」可以视作dapp开发的最小可用模型,而这次黑客攻击事件,将EOS开发者生态不健全的问题翻到了台面。如果这类dapp的安全性都不能保证,大家畅想的killerdapp更是无从谈起。目前EOS上几乎每一个类似项目都受到了不同程度的攻击。一方面是EOS合约的表达能力较强,使得很多开发者对可能存在的漏洞缺乏全面的考虑,另一方面是开发者刚刚进入这个领域,缺少必要的安全攻防经验。EOS合约开发者们各自为阵,大部分项目方为了安全起见选择不开源,而实际的结果只能是掩耳盗铃。黑客往往能够根据wasm和abi文件还原出合约的信息,很多时候封闭的代码只会隐藏自己的错误反而给黑客可乘之机。EOS上目前也缺乏一些类似ERC20和OpenZepplin这样的标准库,来给开发者提供一些合约设计上的参考。

作为EOSDapp开发者,不仅要自掏腰包购买ram,带宽,辛苦踩坑。合约上线后还面临着被用户维权,被黑客薅,被BP丢块。最后还可能面临着被BM降维打击的风险。可以说是生态中最苦逼的一波人。

截止目前,黑客还有一些攻击手法没有被完全揭示,黑客可能还留藏着一些底牌,等待项目做大之后再使用,以下是我们总结的一些给Dapp开发者的忠告:

跟随社区的忠告,当友商被攻击时及时update信息,确认自己的合约是否有类似的漏洞。

添加风控功能,防止黑客在短时间内盗取大量EOS。

总是使用defertranscation,阻止黑客的钩子攻击。

种子只使用一次,避免被重放攻击。

EOS核心仲裁法庭(ECAF)

EOS在社区治理方面与以太坊等区块链有很大的不同,率先创建了仲裁法庭机制来服务于社区,作为社区的日常管理。当出现争议时,社区成员便可以向ECAF提出诉求,等待社区仲裁。

仲裁员通常由社区公民投票任命,而撤销仲裁员的任命需要三大权力机构中的两方批准方可执行。一般情况下一个案件仅指定一名仲裁员,而特殊情况则需由一名高级仲裁员领导的三人小组进行审理。

任何社区成员都可以在线上提交仲裁申请,https://eoscorearbitration.io/file-a-claim/,并按照案件涉及的损失金额来支付仲裁费用。目前法庭裁决过的申请主要为盗取账号进行非法转账,申请人需要提供自己拥有该账号的证明,其他账号进行了非法转账的证据。这类案件尚不能直接追回损失,法庭的裁决只是对非法账号进行冻结,所有BP不再执行与该账号相关的任何操作。

所有案件中,大家最关心的便是前段时间出事的区块链游戏EOS狼人杀了,该项目团队于7月26日及7月29日分别发布了两个声明,声称被黑客eosfomoplay1非法盗取60686.4190EOS,并建议中奖者guztknrygqge通过EOS核心仲裁法庭申请仲裁。该事件一直被外界认为是狼人杀团队监守自盗的行为,认为eosfomoplay1的黑客账号属于狼人杀团队。

该案件在ECAF的案件编号是#ECAF00000339,紧急处理的结果是所有BP不再执行eosfomoplay1账号以及与其公钥私钥相关的任何交易,即冻结该账号,等待案件的进一步审查。

截止目前,该账号非法所得的EOS依旧冻结在其中,理论上讲,如果证据确凿,且ECAF通过裁决,判断这笔EOS应转入给受害者,是可以追回的。只不过目前尚未有过成功追讨的案例。另一个例子是,Happyeosslot就曾经将合约抵押贷款refund返回的eos当成是开奖,从而给eosio.stack账户开出过一笔大奖:https://github.com/EOSIO/eos/issues/5480

CodeisLaw?代码是项目的骨架和齿轮,尽管各个项目的目标或许是做最公平的Gambling、或许是为了盈利赚大钱;尽管各个项目对外有着明确的玩法规则,但拨开外衣,最本质客观的规则还是运行在各个节点机器上的代码。

从道德上来讲,黑客攻击了项目合约转走了「非法」所得;但从代码这一「规则」角度,黑客的攻击,也可以视作合约所允许的一种「玩法」,黑客精妙地发掘了「裏メニュー」,并赢得了「奖励」。

「立法」总会落后于现实。规则是死的,而人总是会犯错,因此我们需要累积前人智慧作为指导。

由于代码的知识门槛,严格执行Codeislaw,会增加用户监督门槛,开发者故意埋下漏洞的行为也难以谴责追诉。而过分的人治,又会成为民粹的温床,打击开发者审计合约的动力。

从整个公链的利益考虑,此次的黑客攻击,虽然惨痛,但仲裁法庭不应该干涉,而是应该敦促制定一套安全标准,规范未来项目的开发;也让ECAF真正成为生态的重要一环。

我们一直希望开源能够让世界变得更好,这是因为我们相信透明的机制的力量,相信透明的规则能够让信任的成本降到最低,让合作的效率变得更高。而基于客观规则的行为,如果因此受到惩罚,那么无疑会助长更多对规则的破坏和不公正的行为。但我们也支持在现在生态还处于比较原始的阶段,仲裁法庭利用自身的专业知识一起构建更安全的规则,维护广大用户群体的利益,让EOS公链的生态变得更好。

来源链接:mp.weixin.qq.com

本文来源于非小号媒体平台:

慢雾科技

现已在非小号资讯平台发布1篇作品,

非小号开放平台欢迎币圈作者入驻

入驻指南:

/apply_guide/

本文网址:

/news/3627032.html

EOS柚子

免责声明:

1.资讯内容不构成投资建议,投资者应独立决策并自行承担风险

2.本文版权归属原作所有,仅代表作者本人观点,不代表非小号的观点或立场

下一篇:

韩国利用三星区块链技术打击海关

标签:EOSAPPDAPDAPPNeos Creditsecoterra币APpDAPP币PlayDapp

比特币热门资讯
非小号:知道创宇 CEO 赵伟:以极客之名论未来安全之道

8月27-28日,由腾讯主办的第四届互联网安全领袖峰会在北京召开。本届CSS峰会以“安全强驱动数字新生态”为主题,在8月27日全天举行的主论坛上,众多泛安全领域国际范围内具有先进研究成果的行业嘉.

1900/1/1 0:00:00
加密货币:硬件钱包并非无懈可击,防不胜防的「中间人攻击」

在加密货币世界,无论你如何强调安全,都不为过。随着全球加密货币市值不断增长,资产安全成为广大投资者最为关注的问题,2018年以来,发生在加密货币行业的黑客攻击事件不胜枚举,导致的损失更是高达数十.

1900/1/1 0:00:00
GUNTHY:GUNTHY即将上线BITKER交易所

尊敬的BITKER用户:BITKER将于2019年5月24日17点正式开放?GUNTHY/USDT,GUNTHY/BTC交易对。充币已经开启,提币将在5月25日开启.

1900/1/1 0:00:00
TRIAS:福布斯:制订监管标准,中国正拥抱区块链

原文标题:《TheChangingRegulatoryLandscape:HowBlockchainCanWorkInChina》原文作者:MuyaoShen翻译:Trias团队中国的一些区块链.

1900/1/1 0:00:00
EOS:BTC资金流出81亿 庄家洗盘结束?

本文观点仅代表个人,仅限交流学习,所有内容不构成任何投资建议。想及时了解更多行情信息,请添加官方微信进群:jiamibaoluo.

1900/1/1 0:00:00
COS:区块链加持下, 你的版权你做主 | 锌声

文:余锡清编辑:王巧数字经济时代是一个科技至上的时代,更是一个版权裸露的时代。今年4月,视觉中国因黑洞及国旗国徽图片导致的版权维权争议,引发了公众对“版权碰瓷”行为的关注.

1900/1/1 0:00:00