最近几天,区块链平台EOS智能合约漏洞事件再次把区块链安全推上了风口浪尖。攻击者可以通过发布包含恶意代码的“智能合约”,经过一系列的操作之后,控制区块链网络中的所有节点,从而为所欲为。从The DAO到BEC,SocialChain,Hexagon,到这几天的EOS漏洞,“智能合约”已经成为区块链安全的重灾区。那么什么是智能合约,智能合约的漏洞究竟给安全带来了什么样的新挑战,我们应该如何应对? 以下内容360代码卫士团队的安全专家将从这几个方面进行深入解读。

一、什么是智能合约?

智能合约(smart contract) 这个术语是在1994 年由Nick Szabo 提出的,后来经过几次在不同环境下的重新定义。我们现在通常所说的区块链智能合约以以太坊为代表,以太坊的作者Vitalik Buterin 意识到,在区块链系统中,交易逻辑是可以和底层系统机制分离的。底层系统负责交易块的创建和验证,记账者的共识达成等基础功能,而交易本身到底做什么事情是可以通过二次编程的方式来定义的。因此他设计了一种交易代码执行的虚拟环境EVM,使用者可以开发自定义的交易逻辑,发布到链上,当交易进行时,链上所有的节点都执行相同的代码,从而同步改变链上数据的状态。他为这种代码使用了“智能合约”这个名字,这是我们目前通常所说的智能合约的内涵。

二、智能合约漏洞,左右为难 !

智能合约本质是一段运行在区块链网络中的代码,它完成用户所赋予的业务逻辑。以以太坊体系的代币为例,其业务逻辑是代币发币和交易。以太坊在设计之初,将智能合约设计成了一旦部署就不能修改的模式。这种设计有可能是为了提高智能合约的可信性。 但是我们知道,只要是由人编写的程序,就一定会出现错误和缺陷。以太坊这种设计本身就违背了程序设计的一般规律,在智能合约出现漏洞的时候可能会造成无法弥补的损失。 我们可以看到,近期出现的以太坊体系智能合约的漏洞,造成了巨大的影响,有的代币也因此毁灭。

目前以太坊体系区块链智能合约的机制设计,加之漏洞可能带来的毁灭性影响,使得已上线智能合约的漏洞的报告和处理变得非常棘手。 360代码卫士团队在近期的研究中发现了以太坊体系下多个已上市交易的代币的智能合约安全漏洞,并已第一时间报告厂商,但到目前为止厂商尚未作出任何回应。对于厂商来说,由于智能合约不可修改的特性,要对上线后发现的漏洞进行有效修复,只能选择重新部署新的合约,这将付出巨大的代价,因此有的厂商可能会选择不响应,不处理。而对于安全研究者来说,也面临尴尬的境地,左右为难。在厂商修补漏洞前公开漏洞细节对于厂商不利,有悖漏洞披露的一般原则,但如果厂商迟迟不修补漏洞,公众对于漏洞的存在不知情,风险会随着时间的增长迅速膨胀,漏洞一旦爆发可能会造成更大的危害,波及更大的人群,可能会造成很多人的投资瞬间化为乌有。接下来360代码卫士团队还将与厂商保持积极的联系和沟通,以期帮助其修复漏洞。

三、智能合约漏洞,如何应对?

在一些联盟链中,智能合约的设计是可以在部署之后更新的,当然这种更新需要一定的线下协商流程。要应对区块链智能合约的安全漏洞问题,未来需要普遍考虑设计相应的智能合约协商更新机制,降低漏洞修复的成本。

但现在,我们需要面对现实, 做出几乎唯一可行的、切实有效的努力 —— 在智能合约上线之前,对其进行全面深入的代码安全审计,尽可能的消除漏洞,降低安全风险 。

360代码卫士团队安全专家表示,当前区块链智能合约中可能出现的漏洞至少有20余种。以下列举一些常见的区块链智能合约的漏洞类型及其可能造成的风险,这些漏洞在智能合约上线之前,都应该进行详细的排查。

整数溢出

智能合约中危险的数值操作

可能导致合约失效、无限发币等风险

越权访问

智能合约中对访问控制处理不当

可能导致越权发币风险

信息泄露

硬编码地址等

可能导致重要信息的泄露

逻辑错误

代理转账函数缺失必要校验

可能导致基于重入漏洞的恶意转账等风险

拒绝服务

循环语句、递归函数、外部合约调用等处理不当

可能导致无限循环、递归栈耗尽等拒绝服务风险

函数误用

伪随机函数调用和接口函数实现问题

可能导致可预测随机数、接口函数返回异常等风险

关注中国IDC圈官方微信:idc-quan 我们将定期推送IDC产业最新资讯

查看心情排行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2022-12-30 10:09:23
区块链 中国信通院发布《区块链白皮书(2022年)》
2022年12月29日,由中国信息通信研究院(以下简称“中国信通院”)、中国通信标准化协会和中国互联网协会指导,可信区块链推进计划、中国互联网协会区块链技术应用工作委员 <详情>
2022-12-14 10:11:43
区块链 中国联通在机密计算和区块链领域取得多项ITU-T国际标准新成果
联通研究院宽带互联网研究中心贯彻落实中国联通“1+9+3”战略规划,与产学研合作伙伴密切合作,引导ITU-T“网络+区块链”系列标准化工作,牵头10余项区块链及网络原生可信 <详情>
2022-12-05 15:00:46
区块链 拷贝互联网,并非区块链的正道
当狂热与躁动开始退潮,区块链的发展开始回归客观与理性。这几乎已经成为了行业发展的共识。 <详情>
2022-12-05 15:00:46
国内资讯 拷贝互联网,并非区块链的正道
当狂热与躁动开始退潮,区块链的发展开始回归客观与理性。这几乎已经成为了行业发展的共识。 <详情>
2022-03-14 10:08:27
市场情报 游戏新升级:Xsolla创始人在区块链基础上创立X.LA基金会
“大多数创作者都负担不起保护自己作品所需的法律代理服务,”Agapitov说道。“X.LA旨在为创作者营造公平的竞争环境,让他们与制作人和分销商一样,从企业项目成功中获益。 <详情>