写在EOS爆发漏洞后:智造链IMChain谈无gas消耗的智能合约隐患

admin 欧易交易 2022-04-12 10 5

5月29日,360公司Vulcan(伏尔甘)团队宣布发现了区块链平台EOS的一系列高危安全漏洞。经验证,其中部分漏洞可以在EOS节点上远程执行任意代码,即可以通过远程攻击,直接控制和接管EOS上运行的所有节点。这样,攻击者利用漏洞可以“为所欲为”,如窃取EOS超级节点的密钥,控制EOS网络的虚拟货币交易。

点评:

EOS这种面向应用设计的平台,为了保证其面向多种应用场景的灵活性,其复杂度是很大的,那么必然会带来很多的安全漏洞。

目前看来,有可能是同EOS这种无gas消耗的机制有关。在比特币或者以太坊中,每笔交易都要消耗手续费或者gas的,这样一方面可以避免黑客通过大量微额交易发起攻击,也可以让恶意代码或者缺陷代码有停机的机会。

而在EOS中,声称其交易时是不需要消耗手续费之类的东西,这样模式下运行的智能合约就存在“图灵停机”问题,一段恶意的智能合约代码可能一直循环下去,导致节点的资源被耗尽,从而堵塞交易。

具体的漏洞描述:

“攻击中,攻击者会构造并发布包含恶意代码的智能合约,EOS超级节点将会执行这个恶意合约,并触发其中的安全漏洞。攻击者再利用超级节点将恶意合约打包进新的区块,进而导致网络中所有全节点(备选超级节点、交易所充值提现节点、数字货币钱包服务器节点等)被远程控制。”而且在360召开的EOS漏洞发布会上声称,漏洞就涉及到一行代码,那么最大可能是存在缓冲区溢出,然后会被黑客利用攻击。

“缓冲区溢出攻击”就是利用程序中的类似拷贝函数没有限制边界的情况进行攻击,在这种情况下,黑客通过执行攻击代码可以很快的得到操作系统的控制权,从而操纵系统做自己想做的任何事情。

转自:搜狐网

󰄯 分享

评论

精彩评论
2022-03-10 08:50:32

虚拟货币市场更是上演着一幕幕荒诞剧。就像狗狗币,本是源自对“山寨币”的嘲讽,创始人自称花了3个小时“制造”出来,结果却在各种力量助推下,价格仿佛坐上火箭,短短4个月飞涨了近百倍,令人瞠目结舌。

2022-03-10 14:26:39

为保护金融市场稳定,监管部门必须对虚拟货币“下猛药”,让虚拟货币在中国境内失去生存的土壤,为此,重点是建立常态化工作机制,始终保持对虚拟货币交易炒作活动的高压打击态势。一是要求建立部门协同、央地联动的常态化工作机制,为严密监管好虚拟货币交易提供强有力的组织保障,有效消除管控虚拟货币交易活动中的各自为政倾向,充分发挥出监管的整体效能。

2022-03-10 17:00:23

虚拟货币市场更是上演着一幕幕荒诞剧。就像狗狗币,本是源自对“山寨币”的嘲讽,创始人自称花了3个小时“制造”出来,结果却在各种力量助推下,价格仿佛坐上火箭,短短4个月飞涨了近百倍,令人瞠目结舌。

2022-03-10 09:35:19

据业内人士估计,当前国内互联网已有几十亿元人民币规模的虚拟货币在流通,并且每年以15%至20%的速度增长。在各种网络游戏以及淘宝网等网上商城中,很多道具和商品被标上虚拟货币的价格出售,甚至有些拍卖网站还提供了虚拟货币和人民币的间接兑换服务。因此,网络虚拟货币满足了普遍认可、价值尺度和交易媒介的功能,它从本质上而言的确是货币。

2022-03-10 10:53:29

为保护金融市场稳定,监管部门必须对虚拟货币“下猛药”,让虚拟货币在中国境内失去生存的土壤,为此,重点是建立常态化工作机制,始终保持对虚拟货币交易炒作活动的高压打击态势。一是要求建立部门协同、央地联动的常态化工作机制,为严密监管好虚拟货币交易提供强有力的组织保障,有效消除管控虚拟货币交易活动中的各自为政倾向,充分发挥出监管的整体效能。