区块链安全的难题与出路

纵观过去一年区块链行业的安全状况，几乎每个月都有较大的安全事件爆发，价值超百亿的链上资产被作恶者以不同的方式窃取，主要类型包括公链底层代码缺陷、DApp合约代码缺陷、私钥被窃、携款跑路等。

随着加密资产在全球金融体系拥有越来越重要的地位，必然会吸引更多黑客的瞩目，区块链项目面临的安全攻防战将越来越频繁与困难，但这对行业而言也是契机。

2019年对区块链行业而言是颇具意义的一年，众多政府与企业巨头都开始向区块链技术投向更多的注意力与资源，为未来区块链技术在更多场景的实际应用营造出相对友好的环境。

不过在真正迈向大规模应用前，区块链行业仍有许多现实问题需要探讨与解决，其中包括安全问题。作为一项志在挑战现有金融行业的新兴产业，区块链行业的安全性尤其是影响自身前景最重要的因素之一，如果在安全问题上有所疏忽怠慢，未来很可能迟早会出现引起行业出现短期崩盘的事件。

纵观过去一年区块链行业的安全状况，几乎每个月都有较大的安全事件爆发，价值超数百亿元的链上资产被黑客或作恶者以不同的方式窃取，主要类型包括公链底层代码缺陷、DApp合约代码缺陷、私钥被窃、携款跑路等。

先是在去年1月5日，以太坊经典遭遇多次51%算力攻击，8.8万枚ETC被用于双花。同期，EOS、波场上诸多菠菜类DApp游戏由于合约代码安全性薄弱， 开始频繁遭到黑客的重放攻击、随机数攻击、阻塞攻击等，此后全年都在持续不断地发生，致使合约开发者及用户遭受巨大损失，例如波场BTTBank游戏合约被盗1.8亿个BTT、EOS应用EOSDice被盗数万EOS、Poker EOS被盗2万多个EOS。根据成都链安的统计，区块链行业19年发生智能合约漏洞事件超百起，被黑总损失超1000万美元。

在19年3月，DragonEx、Bithumb、Biki等多家交易所出现资产被盗，其中DragonEx 总共损失价值超过 600万美元的数字资产，被盗原因系该交易所客服从陌生人处获取并打开了一个捆绑后门的安装包，黑客通过该后门获取内部人员权限渗透进内网进而成功获取数字货币钱包私钥，Bithumb则是由于被裁员工「动手脚」被盗价值超过1800万美元的EOS资产。

19年5月，币安由于安全漏洞被黑客利用网络钓鱼、病毒等攻击手段，从币安热钱包中盗取7000枚比特币，总损失达到4100万美金。而在18年，币安已经出现由API接口被黑导致的安全问题，黑客利用币安用户资产大幅拉升SYS、VIA等小币种的价格，实现在其他交易所出货套利的目的。

在此后的6-7月，Plustoken钱包、波点钱包、MGC钱包等钱包项目陆续出现携款跑路的新闻，此前这些钱包利用高额利息吸引投资者将大量资产储存在己处，但事发后投资者储存的资产几乎全部无法取出，其中Plustoken钱包涉案金额据称高达上百亿，虽然此后部分涉案人员被警方抓捕，但卷走的加密资产疑似都未能追回。

8-9月，比特币钱包Electrum两次遭黑客钓鱼攻击，据多方统计伪造Electrum升级提示的钓鱼攻击已盗窃至少1450枚BTC，当时价值1160万美元。11月，韩国知名交易所Upbit交易所遭到黑客攻击，34.3万个ETH被盗走，当时价值约5000万美元。

12月，多个公链项目遭遇资产被盗的尴尬，先是唯链在14号宣布遭遇黑客攻击，被盗走11亿枚VET代币，价值 640万美元；20日，NULS公链官方账户由于链底层代码缺陷被盗200万NULS代币，损失超过50万美元。尴尬的是，此前两者都曾表示代码已经过第三方代码安全审计。

同月，公链 IOTA 主网出现共识分裂而无法更新的情况，TPS 一度接近 0。Vertcoin则遭受了51％攻击，攻击者成功利用自己的553个区块替代了603个VTC主链区块，致使项目损失10万美元。

从前述概括不难看出，19年的区块链行业不断在上演各类安全事故，其中不乏多家知名交易所，暴露出许多区块链企业与项目在加密资产存储、底层架构开发层面存在严峻的问题。

不过好消息在于，这些安全事件几乎都没有对对区块链行业造成整体性威胁，比特币、以太坊等主流区块链网络运行也较为稳定，称得上重大威胁的事件可能只有一件，即谷歌在今年9月宣称实现「量子霸权」。

根据分析，量子计算机由于运用量子叠加原理，在增大信息容量、提高运算速度、确保信息安全等方面都将突破现有传统信息系统的极限，其运算速度可以达到传统电脑的「数亿倍」。据报道，谷歌量子计算机Sycamore完成特定计算任务的时间为3分20秒，当前世界上最快的超级计算机则需要1万年。

由此，许多声音认为支撑区块链技术的椭圆曲线加密算法将很容易被量子计算攻破，并使得区块链的公私钥机制不再能有效保护用户资产，进而当前区块链所规划出的技术发展蓝图都将被量子计算摧毁。

但很快有行业人士指出谷歌的声明并不靠谱，赵东就表示量子计算机要破解比特币的椭圆曲线算法，需要操作十万以上的量子比特数才有可能，目前谷歌的量子计算机可以操作几十个，而技术难度则随着操作数2的幂级上升，故而量子计算机离攻破比特币加密算法仍有很长时间。

但不得不承认的是，量子计算如同于区块链行业的「达摩克利斯之剑」，始终是个悬在头上的潜在威胁，这意味着具有「量子抗性」的区块链与加密算法未来会具有显著需求，需要行业人士尽快加以突破。

相比遥远的量子计算，更现实、更紧迫的问题还是在于公链与交易所在合约、协议、节点等层面的安全，一方面要更好地保障资产安全，另一方面要更好地保障DApp服务的稳定，提升公众对区块链技术安全性的信心。

面对这些安全事故，解决方案无外乎两种路径，一种是事先预防，各方面都需要总结经验不断完善潜在漏洞，例如不要为了追求新概念、新模式刻意改造行业成熟算法、架构，尽量使用学术界证明过的算法或者已经广泛工程校验过的代码库；推动制定加密资产储存的行业标准，不合条件者应与第三方资产托管服务商合作；加强对日常运营中对敏感岗位人员电子设备的安全管理，进一步规范资产存储流程。

同时，区块链项目也要充分利用外部力量，加强底层代码的审计。慢雾科技亦指出，区块链项目应当针对安全漏洞发布赏金计划，当黑客发现安全问题时有一个反馈的渠道，如果没有这样的一个渠道黑客会更倾向于利用漏洞攻击公链，而不是想办法去联系项目方反馈问题。

—-

编译者/作者：杰哥

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。