BET:EOS中的“鈔級騙局”：偽EOS及其變種攻擊

針對區塊鏈安全問題，Beosin團隊每一周都將出智能合約安全漏洞解析連載，希望能幫助程序員寫出更加安全牢固的合約，防患于未然。引子：寓目暫為實，過者即為虛。——《儼上人粹隱堂》宋·梅堯臣前情提要

上回書，EOS游戲屢遭手，隨機數漏洞屢禁不絕。當下正值各種EOSDApp火爆的時期，許多項目方紛紛開發自己的EOS游戲吸引玩家。由于EOS官方并沒有提供隨機數接口，EOS游戲在隨機數生成問題上面臨和以太坊游戲一樣的窘境，開發者無法確保隨機數算法中的因子是不受其他因素干擾的完全隨機因子，因此EOS游戲隨機數攻擊一而再，再而三的發生，項目方也采取修改相關算法的措施應對類似風險，如何做到正確修改，就要看開發者對隨機數因子的生成機制是否了解透徹，必要時還是需要借助第三方審計，做到隨機數問題上的萬無一失。本期話題

動態 | EOS競猜游戲Fastwin遭黑客攻擊 損失1,929.17個EOS:據PeckShield態勢感知平臺12月05日數據顯示：今天凌晨03:18—04:15之間，黑客ha4tsojigyge向Fastwin游戲合約（fastwindice3）發起124次攻擊，共計獲利1,929.17個EOS。該黑客賬戶ha4tsojigyge在攻擊得手后，將所得資金轉向Bitfinex交易所賬號（bitfinexdep1)，目前游戲已暫停運營。PeckShield安全人員在此提醒廣大游戲開發者和游戲玩家，警惕游戲風險。[2018/12/5]

DApp假幣魚目混珠，轉賬函數檢測疏漏馬虎說起今年比較賣座的國產電影，周潤發的《無雙》肯定占有一席之地，電影中美元假鈔的制造技術讓人驚嘆，也演繹了一段殘酷的“鈔級騙局”。鈔票不夠用，就想到自己制造印刷，以假亂真，但是像影片中那種精湛的技藝確實還是很少的。在利益面前，任何一種貨幣都有被偽造的風險。對于EOS也不例外，本期我們就來說說由偽EOS攻擊引出的相關漏洞及其變體。基礎知識鋪墊

康奈爾大學教授和Nick Szabo批評EOS的缺陷和中心化:據CNN消息，著名的加密貨幣專家、康奈爾大學教授Sirer指出，EOS的情況“將會變得更糟”，并強調EOS提出的漏洞獎勵系統在使用協議查找概念或結構錯誤時是不實際的。Sirer強調稱，“EOS漏洞獎勵系統設計只是為了篩查簡單的編碼錯誤，而不是協議中的概念錯誤。”在EOS備受爭議的主網上線后，密碼學家Nick Szabo也表示，EOS的集中化使得系統容易受到攻擊，并存有各種安全漏洞。[2018/6/24]

EOS智能合約的架構EOS智能合約是由一系列action組成的，每個action代表一條合約條款，以實現條款中的具體規則。執行一個EOS智能合約分為制作、部署、調用三個部分。其中，在部署智能合約這一步，每個EOS智能合約必須實現一個apply()函數，作用是將action請求映射到具體的處理函數。具體的實現細節封裝在EOSIO_ABI宏里面。這樣的設計讓開發者只需要專注業務邏輯的開發，而不必關注底層技術，起到簡化開發的作用。apply函數示例：偽EOS轉賬攻擊歷史事件：大名鼎鼎的EOSBet在9月12日損失約42,000EOS，開始了黑客使用偽EOStoken攻擊的熱潮，接下來就是eoswindice和去中心化交易所newdex，都淪落為黑客的“魚肉”。攻擊分析：在EOS鏈上通用代幣為EOStoken，EOStoken是由EOSIO部署的eosio

EOS下一場會議時間和流程已定:全球BP會議結束，下一場會議的時間與流程已經確定。北京時間6月10日 09：00 將進行下一場會議，會議內容：檢查、驗證節點的數量。接下來候選BP要等待新的tag，進行升級。[2018/6/10]

代碼安全非黑即白

受到攻擊的游戲官方經過一系列的安全事件、代碼修復才最終解決了一個看似很匪夷所思的漏洞。可以看出，區塊鏈安全是一個異常嚴謹、值得考究的技術，近兩年的磕磕碰碰又讓它成為了一個非常沉重的話題。《無雙》中有句臺詞，“只看到黑跟白的人，永遠都是失敗者。”這句話在區塊鏈領域并不適用，不信你看電影主角的結局。區塊鏈項目需要做到代碼層面上的邏輯嚴密，設計精巧。區塊鏈安全規范和相關知識也需要理解透徹，融會貫通，在細節問題上的把握也異常重要，尤其是對于起步不久的EOS、Fabric等新平臺，所以可以說區塊鏈技術在代碼安全方面非黑即白，做到安全開發、安全審計、安全部署，才能讓攻擊者、投機者無從下手。引用：:假EOS攻擊再升級：EOSCast遭黑客“假EOS轉賬變種”攻擊，損失超6萬EOS；:BET被黑客攻擊始末，實錘還原作案現場和攻擊手段；:震驚！EOSBet又被攻擊了。損失高達500萬。攻擊手法竟是這樣？；:HowEOSBETattackedbyaabbccddeefg；:EOSBetTransferHackStatement。

Tags：EOS區塊鏈BETSBETDEOS Games區塊鏈運用的技術中不包括哪一項項BETA幣價格Wavesbet

MANA