随着越来越的人参与到区块链这个行业中来，为行业注入新活力的同时也由于相关知识的薄弱以及安全意识的匮乏，给了攻击者更多的可乘之机。面对频频爆发的安全事件，慢雾特推出区块链安全入门笔记系列，向大家介绍区块链安全相关名词，让新手们更快适应区块链危机四伏的安全攻防世界！系列回顾：区块链安全入门笔记(二)|慢雾科普区块链安全入门笔记(三)|慢雾科普区块链安全入门笔记(四)|慢雾科普区块链安全入门笔记(五)|慢雾科普区块链安全入门笔记(六)|慢雾科普hard_fail状态攻击hard_failAttack
hard_fail是什么呢？简单来说就是出现错误但是没有使用错误处理器(errorhandler)处理错误，比方说使用onerror捕获处理，如果说没有onerror捕获，就会hard_fail。EOS上的交易状态记录分为executed,soft_fail,hard_fail,delayed和expired这5种状态，通常在链上大部分人观察到的交易，都是executed的，或者delayed的，而没有失败的交易，这就导致大部分开发者误以为EOS链上没有失败的交易记录，从而忽略了对交易状态的检查。攻击者利用这个细节，针对链上游戏或交易所进行攻击，构造执行状态为hard_fail的交易，链上游戏或交易所进行假充值攻击，从而获利。该攻击手法最早由慢雾安全团队于2019年3月10日一款EOSDApp上捕获，帐号名为fortherest12的攻击者通过hard_fail状态攻击手法攻击了EOS游戏Vegastown。随后，相同攻击手法频频发生，慢雾安全团队在此提醒交易所和EOSDApp游戏开发者在处理转账交易的时候需要严格校验交易状态，确保交易执行状态为executed。详细细节可参考：EOS假充值(hard_fail状态攻击)红色预警细节披露与修复方案重放攻击ReplayAttack重放攻击(ReplayAttack)，是针对区块链上的交易信息进行重放，一般来说，区块链为了保证不可篡改和防止双花攻击的发生，会对交易进行各种验证，包括交易的时间戳，nonce，交易id等，但是随着各种去中心化交易所的兴起，在智能合约中验证用户交易的场景越来越多。这种场景一般是需要用户对某一条消息进行签名后上传给智能合约，然后在合约内部进行验签。但由于用户的签名信息是会上链的，也就是说每个人都能拿到用户的签名信息，当在合约中校验用户签名的时候，如果被签名的消息不存在随着交易次数变化的变量，如时间戳，nonce等，攻击者就可以拿着用户的签名，伪造用户发起交易，从而获利。这是一种最早出现于DApp生态初期的攻击形态，由于开发者设计的开奖随机算法存在严重缺陷，使得攻击者可利用合约漏洞重复开奖，属于开发者较为容易忽略的错误。因此，开发者们在链上进行验签操作的时候，需要对被签名消息加上各种可变因子，防止攻击者对链上签名进行重放，造成资产损失。更多详情可参考：以太坊智能合约重放攻击细节剖析重入攻击ReentrancyAttack
行情 | A股开盘：区块链板块跌1.81%:A股开盘，上证指数报2983.19点（-0.5%），深证成指报9193.42点（-0.52%），区块链板块跌1.81%。82只概念股中，8只上涨，74只下跌。其中，涨幅前三分别为：华媒控股（+10.05%）、梦网集团（+6.08%）、嘉泽新能（+1.74%）；跌幅前三分别为：晨鑫科技（-9.02%）、聚龙股份（-7.05%）、新晨科技（-6.99%）。[2019/6/28]
重入攻击(ReentrancyAttack)首次出现于以太坊，对应的真实攻击为TheDAO攻击，此次攻击还导致了原来的以太坊分叉成以太经典(ETC)和现在的以太坊(ETH)。由于项目方采用的转账模型为先给用户发送转账然后才对用户的余额状态进行修改，导致恶意用户可以构造恶意合约，在接受转账的同时再次调用项目方的转账函数。利用这样的方法，导致用户的余额状态一直没有被改变，却能一直提取项目方资金，最终导致项目方资金被耗光。慢雾安全团队在此提醒智能合约开发者在进行智能合约开发时，在处理转账等关键操作的时候，如果智能合约中存储了用户的资金状态，要先对资金状态进行修改，然后再进行实际的资金转账，避免重入攻击。假充值攻击FalseTop-up
声音 | 起点资本孔华威：区块链商业落地的开始是出现迎合市场的区块链爆点项目:近日中科院计算研究所上海分所所长、起点资本合伙人孔华威接受专访被问到对数字货币的看法，他表示，比特币是科技发展的必然，未来数字货币在数字世界里的价值是恒定的，但在物理世界里兑法币可能会有很大波动。 此外还谈到区块链领域的项目，他认为现在区块链里有非常多“奇奇怪怪”的项目，在做一些“自嗨”的工作，除了技术要突破，在用户体验上也要做好，否则很难成功。2019年如果能有一个非常迎合市场的爆点项目起到标杆效应，那么区块链商业落地就真的开始了。[2019/1/9]
假充值攻击(FalseTop-up)，分为针对智能合约的假充值攻击和对交易所的假充值攻击。在假充值攻击中，无论是智能合约还是交易所本身，都没有收到真实的Token，但是用户又确实得到了真实的充值记录，在这种情况下，用户就可以在没有真正充值的情况下从智能合约或交易所中用假资产或不存在的资产窃取真实资产。1.智能合约假充值攻击
声音 | 发改委运输研究所所长：区块链等技术会给大件物流行业带来创新发展:据中新网消息，日前，由中国交通运输协会大件物流专业委员会主办、北京中交协物流研究院承办的“2018中国大件物流创新发展论坛”在北京闭幕。会上，国家发改委综合运输研究所所长汪鸣作了题为《全国物流行业形势发展趋势》的报告。汪鸣表示，未来5---10年，新一轮科技革命和产业变革将引领发展潮流，大数据、供应链、区块链、人工智能、物联网等技术及应用会给大件物流行业带来创新发展。[2018/12/11]
针对智能合约的假充值主要是假币的假充值，这种攻击手法多发于EOS和波场上，由于EOS上代币都是采用合约的方式进行发行的，EOS链的系统代币同样也是使用这种方式发行，同时，任何人也可以发行名为EOS的代币。只是发行的合约帐号不一样，系统代币的发行合约为"eosio.token"，而其他人发行的代币来源于其他合约帐号。当合约内没有校验EOS代币的来源合约的时候，攻击者就能通过充值攻击者自己发布的EOS代币，对合约进行假充值攻击。而波场上的假充值攻击主要是TRC10代币的假充值攻击，由于每一个TRC10都有一个特定的tokenid进行识别，当合约内没有对tokenid进行校验的时候，任何人都可以以1024个TRX发行一个TRC10代币对合约进行假充值。2.交易所假充值攻击
17世纪的豪宅正在区块链上进行拍卖:据Coindesk消息，贝弗利山房地产经纪公司Hilton & Hyland与区块链的初创公司Propy合作，将拍卖一座被联合国教科文组织定为遗产，由建筑师Giacomo Della Porta在17世纪设计的豪宅，目前价值4200万美元。Propy公司的首席执行官Natalia Karayaneva表示，这次拍卖是一个独一无二的机会，可以记录区块链历史建筑的销售情况，因为大多数区块链项目包括房地产仍处于测试阶段。目前，在区块链上进行房地产交易，其技术背后的安全性，和记录的不可改变性会让买家放心。Karayaneva还表示，未来希望看到多的房地产交易在区块链上注册。[2018/5/26]
针对交易所的假充值攻击分为假币攻击和交易状态失败的假充值攻击。以EOS和以太坊为例。针对EOS可以使用名为EOS的假币的方式对交易所进行假充值攻击，如果交易所没有严格校验EOS的来源合约为"eosio.token"，攻击就会发生。同时，区别于EOS，由于以太坊上会保留交易失败的记录，针对ERC20Token，如果交易所没有校验交易的状态，就能通过失败的交易对交易所进行ERC20假充值。除此之外，hard_fail状态攻击也是属于假充值攻击的一种。慢雾安全团队在此建议交易所和智能合约开发者在处理转账的时候要充分校验交易的状态，如果是EOS或波场上的交易，在处理充值时还要同时校验来源合约是否是"eosio.token"或tokenid是否为指定的tokenid。更多几大币种假充值问题可参考：1、USDT假充值：USDT虚假转账安全?险分析|2345新科技研究院区块链实验室2、以太坊代币假充值：以太坊代币“假充值”漏洞细节披露及修复方案3、XRP假充值：PartialPayments-XRPLedgerDevPortal4、EOS假充值：EOS假充值(hard_fail状态攻击)红色预警细节披露与修复方案
金色财经独家分析 区块链技术能够减少会计行业的人力成本:金色财经独家分析，今日有业内专业人士称，区块链等技术驱动财务变革。会计工作涉及到大量繁琐的数据录入、审核等人力工作，区块链技术能够帮助会计工作人员改善工作模式。通过区块链技术，人们可以对交易访问设限。就会计而言，区块链因其安全性而立即证明其价值。所有进入这个\"分类帐\"的条目都是密码加密和分发的，所以个人几乎不可能伪造或销毁它们。就会计而言，审计是迄今为止最耗时，最复杂的工作。然而，通过实施区块链技术，审计师将能够自动验证企业财务报表背后的重要数据。这意味着在执行审计时将节省大量时间，当然成本也会减少。[2018/5/7]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。