10月7日凌晨,黑客利用BNB Chian跨鏈橋BSC Token Hub漏洞,分兩次共盜取200萬枚BNB。據分析,攻擊涉及的總金額超過7億美元,其中包含5.7億美元的BNB。
BNB Chian是如何被攻擊的?黑客盜取金額具體有多少?黑客為何又是選取跨鏈橋攻擊?幣安鏈本身安全嗎?怎么看黑客攻擊后幣安鏈被暫停?被盜資產結局會如何?對社區有何新啟示?
上述問題用戶迫切想知道答案,金色財經就此采訪了區塊鏈安全公司Numen的安全研究員,看看安全研究員眼中的BNB Chian跨鏈橋被攻擊事件是什么樣的。
Q1、10月7日BNB Chian跨鏈橋BSC Token Hub 遭遇攻擊。黑客利用跨鏈橋漏洞分兩次共獲取200萬枚BNB。請詳細講解一下這次黑客是如何攻擊幣安鏈的?
動態 | 金色財經“2018年度最具實力投資機構”正式揭曉:1月22日,由金色財經主辦,數動派、TokenInsight協辦的“共識無界”金色財經2018年度風云榜——“2018年度最具實力投資機構”正式揭曉,入榜機構有: 經緯中國、分布式資本、節點資本、IDG資本、真格基金、丹華資本、了得資本、Pantera Capital、INBlockchain、FBG資本。[2019/1/22]
Numen:黑客的攻擊行為其實很簡單,首先從changenow.io獲得攻擊所需的成本,然后利用幣安跨鏈橋處理消息驗證的基礎庫的漏洞,兩次偽造提現惡意消息,導致跨鏈橋向黑客地址發送了兩筆BNB,每筆都是100萬個BNB,價值約600M美金。
分析 | 金色盤面:USDT上躥下跳 投資者勿追漲殺跌:金色盤面分析:過去24小時,在tether公司負面傳聞中,市場出現了對USDT的集中拋售,由于其穩定幣的特性,導致資金出逃后大量買入其他代幣,BTC一度大漲10%以上,火幣價格突破了7500美元,而USDT場外折價接近2%,雖然我們看到了USDT被大幅拋售,但是目前其綁定美元的承諾并未改變,所以機構資金完全可以跨市場套利,在目前情況下,建議投資者不要追漲殺跌,等待價格穩定后在做決定。提醒投資者理性看待市場波動,做好風控。(登錄金色財經APP—發現,查看更多幣種的獨家點評。)[2018/10/15]
具體黑客如何構造proof以繞過消息驗證的方法我們還在研究,但可以確定的是BNB Chian在跨鏈消息驗證機制方面,使用了cosmos的IAVL庫和Multistoreproof的早期版本代碼,且已經被證明有漏洞存在。
金色財經現場報道 Vijay Chetty:在美交易所正在受到監管和低交易頻率的挑戰:Sharespost的負責人在2018 Global Token Galaxy演講中提到,ICO項目的數量和融資數額在去年呈指數增長,但一些在美交易所正在受到比較強的監管和低交易頻率的挑戰。[2018/5/27]
Q2、這次涉及的金額有說7.1億美元的,也有說5.6億美元的,這個金額到底是多少,該怎么算這個金額?
Numen:5.6億美金是按攻擊被發現時的BNB價格估算,而7.1億或許是在計算了venus的損失后做出的估計。黑客在攻擊完成后,通過venus借貸,抽干了借貸池中的USDT、BUSD、USDC等穩定幣。由于BNB Chain及時做出了響應,采取了暫停節點、黑名單和凍結等措施,已經將直接損失降低到了1億美金左右。
金色財經獨家消息 Bithumbcoin受各方面原因影響現停止海外ICO:金色財經獨家消息,Bithumbcoin官方只針對大機構募集,但最近很多不法機構以此名義在韓國本土募集,官方決定暫緩ICO,公鏈的研發工作繼續。據了解,Bithumbcoin是韓國加密貨幣交易所Bithumb的新加坡子公司B.Buster所發行的加密貨幣。金色財經提醒廣大用戶,注意防范風險,避免財產損失。[2018/4/24]
Q3、這一次黑客選擇攻擊的又是跨鏈橋,為何跨鏈橋這么不安全?
Numen:任何有資金池的合約都很容易受到攻擊,因為黑客的直接目的是獲取更多的資金。由于很多跨鏈橋在處理資產跨鏈時采用的是質押機制,所以產生了很多數目可觀的資金池,吸引了黑客的注意。
具體到跨鏈橋的實現邏輯上,跨鏈橋有三種實現方式,公證人、哈希時間鎖和中繼鏈,其中哈希時間鎖機制相對安全,但只能支持資產的轉移,無法實現消息傳遞;中繼鏈實現復雜,通過區塊鏈的共識機制保障安全,其安全問題一般較為底層,黑客較難利用;而現在大部分跨鏈橋所采用的公證人機制,由于存在私鑰管理、消息驗證、合約操作等多個環節出現漏洞的可能性,所以出現了大量的安全事件。
Q4、這個攻擊對幣安鏈有影響嗎?幣安鏈本身是安全的嗎?為什么要暫停幣安鏈?
Numen:這個攻擊對幣安鏈本身的影響不大,只是一些經濟和品牌損失,幣安鏈在處理完此次攻擊事件后,仍然可以穩定運行,對于主網本身來說,再不涉及到跨鏈驗證的其他層面,由于fork了經過多年驗證的以太坊源碼,所以相對來說是安全的,但是安全圈有句話叫“世界上沒有安全的系統”,所以BNB chain的開發者們仍然不能掉以輕心。
暫停幣安鏈是一個正確的選擇,在底層機制出現問題的時候,應當暫停運行,待查清楚具體問題并修復后和處理完相關賬號和資產后,再重新運行。
Q5、在黑客攻擊成功后,在幣安要求下幣安鏈驗證者暫停了幣安鏈網絡運行,在社區引發不少爭議,怎么看幣安和幣安鏈的這一行為?
Numen:幣安暫停網絡其實是一個負責任的行為,如果繼續運行網絡,那所有BNB chain的生態都會受到重大影響,現在并不是爭論中心化還是去中心化的時候,我們共同的敵人是黑客。
Q6、現在黑客多個地址被拉黑名單或者資產被凍結,各位覺得這次黑客被盜資產結局會如何?
Numen:已經凍結和被幣安鏈鎖住的資產暫時是安全的,而已經通過跨鏈轉移到ETH、FTM等鏈上的資產,可能難以追回。
Q7、此次幣安跨鏈橋被攻擊和之前的黑客攻擊有何異同?對社區有何新的啟示?
Numen:此次攻擊時針對供應鏈的攻擊,黑客顯然對BNB chain的底層供應鏈比較熟悉,這點在之前的安全事件中比較少見。
對社區的啟發是技術人員應當對自己使用的庫和copy的代碼做到深入的了解,要明白他們的運行機制,并能夠review代碼中的問題,同時應該投入更多的資源在代碼審計上,由專業的第三方安全審計公司來進行多輪的審計,以保障項目的安全。
金色財經Maxwell
Bankless
金色薦讀
FastDaily
中國金融雜志
巴比特資訊
元宇宙之道
幾周前,我們宣布了 Specular—一個具有新穎 EVM 本地設計的 Optimistic Rollup—并且很高興看到我們的 Twitter 線程激發了關于如何最好地設計此類系統的興奮和討論.
1900/1/1 0:00:00這些天來,元宇宙(metaverse)一直是一個熱門話題,在我們最近的播客中,Raoul Pal 將其定義為“數字流動性”.
1900/1/1 0:00:00文 | Daniel Krawisz. It's Not About the Technology.
1900/1/1 0:00:00以太坊苦擴容已久,如今終于有了新的進展。8 月 31 日,以太坊二層擴容網絡 Arbitrum 宣布主網公測版本 Arbitrum One 正式上線.
1900/1/1 0:00:00元宇宙到底是什么? 時至今日,也還沒有明確結論,但這并沒耽誤大批品牌率先入局,甚至已經賺得盆滿缽滿。而品牌們的元宇宙賺錢"法器"似乎已經找到——NFT(Non-Fungible Token).
1900/1/1 0:00:00文/BitMex創始人Arthur Hayes1、現CZ放棄救助FTX并且SBF破產了會發生什么。下一個問題是誰能拯救 FTX?2、如果Crypto中最富有的人C不能做這筆交易.
1900/1/1 0:00:00