同福登2021 Q1智能合约安全态势感知报告

私募比特币 通付盾区块链安全团队（SharkTeam）专心于区块链和智能合约安全，由具有多年一线网络安全及区块链实战经历的团队成员组成 团队介绍同福盾区块链安全团队（sharkteam）专心于区块链和智能合约安全。它由在前线网络安全和区块链作战方面具有多年经历的团队成员组成。通晓区块链和智能合约的基本原理，具有完善的缝隙发掘和智能合约审计才能，能够供给全面的要挟建模、合约审计和应急服务，协助多个闻名区块链项目发现和修正安全缝隙，并致力于维护用户数字财物的安全和隐私。quot;数学，咱们信赖！quot;内容概述智能合同的概念是由核算机科学家、法学家尼克·萨博在20世纪90年代提出的。它是区块链的重要组成部分，极大地拓宽了区块链的运用场景和现实含义。现在，区块链和智能合约技能已广泛运用于股权众筹、游戏、稳妥、供给链、物联网等范畴。但是，跟着区块链和智能合约工业的不断发展，以下安全事情也在不断迸发。与一般程序比较，智能合约更简略成为进犯者进犯的方针。一方面，智能合约一般用于办理区块链渠道上的数字财物，对智能合约的进犯或许给进犯者带来更高的经济价值；更重要的是，引进智能合约的初衷是凭借区块链的特色来保证合约的可信，而智能合约的缝隙会使合约呈现意想不到的行为，然后或许变成“不平等合约”，失去了智能合约最底子的含义。仅在2021年第一季度，sushiswap第2次遭到进犯，alpha finance和cream遭到进犯，year.finance遭到进犯，furucombo遭到进犯，paid network遭到进犯，Dodo fund pool被偷，roll遭到进犯，easyfi密钥的走漏和一系列安全事情的产生，不只给用户形成了巨大的经济丢失，也使得智能合约的公平性和安全性遭到了挑战和质疑。一次次的进犯标明智能合约的安全形势十分严峻。研讨智能合约的安全缝隙，保证其安全性，已成为燃眉之急。一季度，同福盾区块链安全团队选取了41个干流区块链项目，扫描了75个常见的安全问题，触及高档言语层、虚拟机层、区块链层和事务逻辑层。共发现2192个安全问题，《同福墩2021q1智能合约安全态势感知陈述》（以下简称《陈述》）从缝隙方位散布、损害等级散布和项目类三个方面剖析了相关数据。缝隙方位散布智能合约的安全缝隙首要来自四个层面：高档言语、虚拟机、区块链和事务逻辑。陈述数据显现，现在智能合约的安全问题首要会集在高档言语层，共发现1500个问题。详细散布如下：L高档言语层高档言语是开发人员编写智能合约的东西。以太坊智能合约开发有许多高档言语，其间solidness是最常用的。高档言语对智能合约的安全要挟首要有两个原因。一是因为高档言语自身的规划缺点形成的安全问题，二是在编写高档言语的过程中忽视代码质量形成的安全缝隙。陈述数据显现，缝隙首要会集在“命名不标准”、“编译器版别不一致”、“实体版别过期”等方面，其间“命名不标准”缝隙最多，达517个。L虚拟机层虚拟机是智能合约的编译字节码履行器。以太坊技能黄皮书中界说了以太坊虚拟机的规划标准及其字节码，这是以太坊各客户端完成以太坊虚拟机的标准阐明手册。虚拟机等级的安全要挟首要有两个方面。一是以太坊黄皮书规划智能合约的字节码标准和运转机制存在缺点。另一个是以太坊的不同客户端在完成虚拟机的过程中，因为没有严厉依照手册进行完成而带来的问题。依据陈述数据，首要问题是再入缝隙，其间62个是由“无序”引起的。L区块链层智能合约依靠区块链供给涣散、防篡改和信赖功用。区块链渠道对智能合约的运作也有很大影响。关于智能合同而言，Buffic链是其安全性和可信性的基础，但BBITH自身的许多特性也会给智能合同带来安全危险。陈述数据显现，区块链层的缝隙首要会集在“随机性缺乏”和“时刻戳依靠性”两个方面，其间“时刻戳依靠性”最多，有17个。L事务逻辑层现在，区块链项目的事务逻辑越来越杂乱，一起也面临着越来越多的事务安全问题。以defi为例，财物冻住、链上私有数据未加密、短少对外声明等问题并不是简略的编码过错形成的，而是与事务逻辑规划联系更为亲近。因而，项目上线前应进行严厉的事务流程测验，仔细剖析规划中的薄弱环节，防止事务问题的产生。陈述数据显现，“对外申报缺失”呈现频率最高，为473起。要挟等级散布脆弱性的实质是无意和意外的安全缺点或危险。以国家区块链缝隙数据库《区块链缝隙分类细则》为基础，结合事务特色和运用场景，将要挟等级区分为高、中、低和音讯四个等级。以损害程度和运用难度为主，其他要素为辅。损害程度首要由三个维度界说：保密性影响、完好性影响和可用性影响；依据进犯向量、进犯杂乱度和认证，界说了运用难度。陈述数据显现，智能合约的安全问题首要会集在音讯层面，共发现1785个缝隙。详细散布如下：陈述对每一要挟等级的缝隙进行了详细剖析，以“高危险”缝隙为例：高危险缝隙一般是指低、中运用难度，对智能合约的保密性、完好性、可用性或经济模式有不良影响，而且会给合同事务系统形成很大的经济丢失，本地功用不行用，海量数据紊乱，权限办理失控，要害功用失效，信誉度下降，或直接影响其他相关智能合约的正确运作，形成很多丢失等严峻且最不行逆的损害。陈述数据显现，高危险缝隙首要会集在“影子状态变量”、“恣意地址发布以太网钱银”、“修饰符中的外部变量”、“修饰符修正状态变量”等，其间“修饰符中的外部变量”最多，有11个。项目类散布选定的41个项目包含：典当借款、现货买卖、安稳钱银买卖、稳妥和稳妥；衍生品买卖、付出和；财政办理、锚钱银等。陈述数据显现，当时安全问题首要会集在现货买卖项目上，已发现缝隙1084个。散布状况如下：进犯原理剖析陈述依据一季度41个项目、8起典安全事情的归纳审计成果，从合同缝隙、密钥走漏、经济进犯、流量进犯、核算才能进犯五个方面剖析了相关进犯准则，并提出了防备主张。L合同缝隙智能合约实质上是在区块链上运转的一段代码，极大地扩展了区块链的事务范围。一起，区块链也为智能合约供给了更好的运转环境。布置在区块链上的智能合约具有敞开、通明、主动独立履行、不行更改、自然经济特色、承载数字财物等特色，因而智能合约越来越遭到黑客的重视和进犯。因为智能合约大多是开源的，黑客能够研讨现有的合约缝隙，并依据发现的合约缝隙主张进犯，给用户形成巨大的经济丢失。L密钥走漏：区块链账户地址归于匿名账户，其安全性彻底取决于账户对应私钥的安全性。持有帐户的私钥相当于对帐户及其财物具有肯定操控权。智能合约中一些特别账户的安全性对整个合约乃至整个项目都有很大的影响，比方业主账户和薄荷账户。假如您把握了私钥，就能够运用这些帐户对合同进行一些非法操作。假如您具有所有者帐户的私钥，能够运用所有者帐户直接调用所有者地址验证，然后对合同进行从头初始化、随意修正状态变量等非法操作；假如你具有投币账户的私钥，就能够运用投币账户的无限投币，然后盗取很多数字财物，形成账户的重大丢失。Roll遭到进犯的原因是用户帐户的私钥被黑客盗取，这是一个典的很多资金被盗的安全事情。L经济进犯：def项目的事务逻辑规划杂乱，一年来运用flashloan新产品进行进犯的def事情层出不穷。形成这些安全问题的深层次原因在于在事务逻辑的规划中没有考虑到一些要害要素，如：柔性供给机制、增发机制、清算机制的规划不合理，价格等链上信息能够被低本钱操作，然后导致歹意套利、歹意增发等问题。进犯者能够操作AMM财物池中的财物价格或财物数量，使相关协议遭受丢失，称之为经济进犯。迄今为止，经济进犯一般分为套利和操作两种方法。L交通进犯：区块链网络中的流量进犯称为散布式拒绝服务（DDoS）进犯。这意味着网络被很多的流量或特定信息成心吞没，导致系统溃散。此类进犯的方针一般是闻名企业（如会集买卖渠道）。这些进犯一般不是为了获取个人信息或绑架系统，而是为了制作巨大的紊乱。实质上，主张此类进犯的黑客相当于网络恐怖分子。DDoS进犯是难以防止的，但咱们也能够让更多的用户加入到散布式网络中，更好地抵挡DDoS进犯，增强网络的安全性。此外，区块链技能还答应网络用户租借额定的带宽来支撑那些流量过载的网络。这样，DDoS进犯的成功率将大大下降。L强力进犯：当歹意协作节点操控的核算才能超越诚笃节点操控的核算才能时，系统就有被进犯的危险。这种由操控50%以上核算才能的歹意节点主张的进犯称为51%核算才能进犯。一般来说，根据POW一致机制的加密钱银具有51%核算才能的进犯要挟，如比特币、bitcash和以太坊；无POW一致性的加密钱银算法能够防止51%的核算才能进犯，如根据dpos一致性机制的EOS和Tron进犯。安全主张智能合约是在区块链上布置和运转的程序。凭借区块链，智能合约能够完成各种涣散运用（DAPP）。与传统项目相同，智能合约也不行防止地存在缝隙。但是，不同的是，智能合约运转在一个更敞开的环境中，具有固有的财政特色和较高的晋级本钱。这意味着它对安全性有更高的要求，OKEX买卖所的任何缺点都或许带来不行预知的结果。构建智能合约安全系统，咱们主张要点从以下几个方面着手。L技能安全智能合约安全自身便是一个高度系统化和专业化的项目。需求归纳考虑合约渠道的底层安全、合约规划与完成安全、合约生态东西安全、合约交互与数据安全等方面。OKEX买卖所的15个环节中任何一个小问题都会留下很大的危险。L商业安全作为涣散运用的中心部分，智能合约也需求牢靠的规划。糟糕的规划或许会带来难以检测的深层次安全问题，而这类问题一般不简略经过扫描源代码来检测。智能合约规划者需求归纳考虑事务逻辑、多人物权限和游戏、区块链一致等要素。在契约事务逻辑的规划和完成中，应该没有显着的安全问题。有些智能合约会被办理员操控，有些办理员乃至具有十分高的特别权限，在特定场景下会要挟到其他用户的财物安全。关于智能合约的安全性，一方面需求警觉超级办理员的恶行，另一方面需求考虑办理员身份被盗的结果。接口调用权限和办理员权限需求清晰区分。L安全服务作为区块链渠道上数字财物办理的重要组成部分，智能合约的安全性将遭到越来越多的重视。智能合同项目方应与具有专业安全才能的服务供给商协作，进步智能合同的安全性。通富盾区块链安全团队为客户供给先进的区块链安全服务，区块链安全专家团队为智能合约供给7*24小时全生命周期安全保证，包含VIP安全审计服务、VIP合规审计服务、安全事情应急呼应等。，协助客户构建智能合约安全系统。项目方可参阅同福盾区块链安全团队的安全主张，从规划、开发、测验、审阅到布置、监控和应急呼应，完善合同开发和发布流程，保证智能合同的全生命周期安全。获取同福盾智能合约2021q1安全态势感知季报重视“同福盾”的订阅号，后台回复“智能合约”关键词，下载完好陈述。

最后编辑：2023-11-01

作者：之外金融

这个作者貌似有点懒，什么都没有留下。

站内专栏 站点