1. 首页
  2. 资讯
  3. 竞争币

主网上线前夕,360曝EOS重大漏洞,是喜是忧?

今日,360官方团队发布消息称,360公司Vulcan(伏尔甘)团队发现了区块链平台EOS的一系列高危安全漏洞。经验证,其中部分漏洞可以在EOS节点上远程执行任意代码,即可以通过远程攻击,直接控制和接管EOS上运行的所有节点。

360团队称,“29日凌晨,360第一时间将该类漏洞上报EOS官方,并协助其修复安全隐患。EOS网络负责人表示,在修复这些问题之前,不会将EOS网络正式上线。”

消息一出,市场应声大跌,截至发稿,EOS全球市场跌幅超过8%。

20180529141152

据悉,在攻击中,攻击者会构造并发布包含恶意代码的智能合约,EOS超级节点将会执行这个恶意合约,并触发其中的安全漏洞。攻击者再利用超级节点将恶意合约打包进新的区块,进而导致网络中所有全节点(备选超级节点、交易所充值提现节点、数字货币钱包服务器节点等)被远程控制。

由于已经完全控制了节点的系统,攻击者可以“为所欲为”,如窃取EOS超级节点的密钥,控制EOS网络的虚拟货币交易;获取EOS网络参与节点系统中的其他金融和隐私数据,例如交易所中的数字货币、保存在钱包中的用户密钥、关键的用户资料和隐私数据等等。

更有甚者,攻击者可以将EOS网络中的节点变为僵尸网络中的一员,发动网络攻击或变成免费“矿工”,挖取其他数字货币。

对于该漏洞,量子链创始人帅初这样解读,

“1. 这种漏洞在支持虚拟机的合约平台上容易发生,智能合约无限的灵活性也留下了无限的隐患。 任何一个小的共识协议的疏忽,都会有机会DDos整个区块链网络。2. 面向货币的设计,比特币做的不多不少,刚好合适。 3. ETH和EOS,都不是面向货币的设计,面向区块链平台的设计,复杂度很高,也蕴含更多安全隐患。4. 之前Unlimited BTC,也是因为一个共识bug,网络就会被DDos瘫痪。 5. 应该和webassembly新的虚拟机和无gas模型有关,远程代码被VM编译后,被无限执行。6. 目前区块链平台的货币属性与应用层属性深度耦合,如何把货币层与应用层进行分层处理,打造一个松耦合度的系统是行业的另外一个挑战。”

此前,BM曾表示,提供有价值的漏洞可以获得1万美金报酬,BM团队将负责评估漏洞价值。而对于今天发布的漏洞消息,HelloEos 、EOSUnion、EOS CANNON等EOS超级节点竞选团队都表示,主网启动之前发现更多漏洞并得到修复是一件好事。

截至发稿,EOS团队尚未对该漏洞做出正式回应。后续进展,巴比特将持续关注。主网上线前夕发现重大漏洞,是喜是忧,你怎么看?

声明:登载此文出于传递更多信息之目的,并不意味着赞同其观点或证实其描述。

发表评论

登录后才能评论