1. 首页
  2. 深度

明星项目NEO安全漏洞引风波,智能合约前路何方?

据NEO全资产区块浏览器网站显示,目前基于NEO发行的NEP-5代币共有49种,其中不乏像ONT(本体)、DBC(深脑链)、GAS等市值排名前100的币种。另据NEO官方消息动态显示,自NGD官方声明发出后开始,截止到5月20日下午4:45,已经有11种NEP-5代币(BCS、DBC(深脑链)、NRVE(Narrative)、本体(ONT)、Phantasma、Qlink、Quarteria、Red Pulse、Travala、Trinity和Zeepin)在Medium、项目博客或推特上公开发表声明,纷纷表示账户持有者的资金和财产是安全的,不会受到该攻击的影响。

一波未平一浪又起,问题频发的智能合约瓶颈期与痛苦期如何冲破,问题的源头又在哪里……

NEP-5智能合约漏洞风波回顾

近日,安全审计公司Red4Sec在一些NEP-5的合约代码中发现了一种存储注入漏洞,攻击者可利用该漏洞进行攻击。

对此,5月19日,NEO全球发展基金会联合(Neo Global Development)联合Red4Sec发布了官方声明,向项目方、投资者等传递了三个关键信息。

第一、漏洞源头定位:“智能合约代码的漏洞”

声明指出该漏洞是一些项目的智能合约代码的漏洞,与NEO区块链底层无关。

第二、攻击危害定性:“攻击模式的危害较低”。

通过销毁一定的代币,攻击者可以修改智能合约的一些状态值如totalSupply,但仅限于修改其显示值,无法修改实际发行总量,并且攻击成本较高,故官方认为此种攻击模式危害较低。

第三、建议应对措施:“对受影响的智能合约进行升级。”

NEO官方迅速通知了所有已知受此漏洞影响的项目方,发布了如何避免此漏洞的开发指导意见,并建议项目方通过NEO底层提供的合约升级接口对受影响的智能合约进行升级。

据NEO全资产区块浏览器网站显示,目前基于NEO发行的NEP-5代币共有49种,其中不乏像ONT(本体)、DBC(深脑链)、GAS等市值排名前100的币种。另据NEO官方消息动态显示,自NGD官方声明发出后开始,截止到5月20日下午4:45,已经有11种NEP-5代币(BCS、DBC(深脑链)、NRVE(Narrative)、本体(ONT)、Phantasma、Qlink、Quarteria、Red Pulse、Travala、Trinity和Zeepin)在Medium、项目博客或推特上公开发表声明,纷纷表示账户持有者的资金和财产是安全的,不会受到该攻击的影响。

NEO全资产区块浏览器网站:http://state.otcgo.cn/assets.html

明星项目NEO安全漏洞引风波,智能合约前路何方?

来源 :https://neonewstoday.com/general/neo-ecosystem-vulnerability-updates/

智能合约漏洞问题频发

虽说目前为止,NEP-5的智能合约漏洞尚未见对具体项目方或投资人造成账户或资金安全威胁,但由于智能合约安全事件频频发生,一般攻击所致的损失可达百万、千万甚至上亿美金,圈内各方都不得不对智能合约相关风险动态保持十二分警惕。相信大家对前不久以太坊智能合约系列漏洞问题还记忆犹新。

4月22日,黑客利用以太坊 ERC-20智能合约中BatchOverFlow漏洞攻击BEC智能合约,致使市场瞬间蒸发64亿人民币。4月25日,各大交易所暂停SMT的充值和提现交易,智能合约SMT被曝存在安全漏洞。事后不久,区块链安全团队PeckShield分析发现,多达12个ERC-20智能合约存在BatchOverFlow安全隐患。

此外,更早一些的还有2016年6月轰动一时的“The DAO”项目遭受Reentrancy攻击事件,以及2017年7-8月,Parity钱包先后遭受两轮攻击,经历钱包被盗以及被冻结多安全风波,连美国加密货币交易所Coinbase也在今年3月被曝存在智能合约严重漏洞。

随着智能合约飞速发展,基于Ethereum、NEO等平台发行代币的项目日益增多,链上资产的类别与规模呈指数级增长,海量数字资产自然对黑客释放了强大吸引力。由于区块链具有不可篡改的特性,使得运行其上的智能合约一旦发布,便极难修改。因此其漏洞往往是永久性的,极易引发不可挽回的灾难,合约的安全与否直接影响项目安全。可以说,数字货币市场中应用的智能合约就像一个定时炸弹,随时可能被黑客找到引爆点,以不可预料的某种方式引爆而殃及项目参与各方的数字资产安全。

智能合约的发展掣肘

智能合约将一般合同以代码形式嵌入区块链,这种按照约定条件自动执行、无需监督的合约形式可极大提升运行效率,大幅降低运维成本,具有重大商业应用价值。但就其发展现状而言,还存在诸多根本性问题,或许正是这些限制了其进一步落地推广。

监管机制与开发者安全意识缺失

一方面,现行数字货币项目市场缺乏有效监管;另一方面,众多项目团队在技术实力、安全意识与责任意识上存在很大欠缺。二者共同导致数字货币市场上充斥着代码质量低下、安全隐患众多但智能合约应用。

软件开发领域出现程序漏洞属常见现象,智能合约代码与其它软件代码也并无显著区别,同为一段程序。但智能合约代码多被用来控制资金流转,这就需要开发人员持更加严谨、细心的态度。在程序开发完成后,需进行周密、严谨的安全性测试,尽可能防止黑客因参数修改等攻击手段而遭致程序发生非预期行为。

智能合约审计流程缺失

目前并没有一种通用的自动化手段,可以对智能合约程序源代码逐条检查与分析,获悉其内在的安全隐患与编码漏洞,一切都依赖于开发者的技能水平和测试流程的完善。这就对智能合约开发者的人工审核提出了更高要求,合约开发者应该充分重视并在部署合约前做好全面、严谨的代码安全审查和测试工作,尽量经过多人阅读审核,方可降低漏洞出现的概率。但就目前智能合约的应用情状而言,其漏洞发掘存在非常严重的滞后性,往往是在黑客发动攻击(一些本可避免的攻击类别)后,各开发团队才开始自我审查并进行修复。

智能合约本身的复杂性

首先,智能合约的语言语义复杂;其次,智能合约在一些极端情况(如虚拟机调用栈、交易发送中的异常处理、相关交易的执行顺序不可预测)下的行为复杂。智能合约本身的一些复杂之处也导致开发团队对于其潜在问题存在认识盲区。

智能合约必须“更智能”

目前,诸多企业/机构正研究将智能合约推广应用至房租租赁、储蓄钱包、保险借贷、遗嘱设立、证劵清算、博彩发行等应用场景以降低信任成本。显然,智能合约作为区块链的“杀手级应用程序”将为传统市场提供强劲的上升空间,但与此同时,智能合约本身以及合约创建平台的规范性与安全性问题也必须正视。

由前文分析可见,现存的对于智能合约安全漏洞的防御方法仅限于对将要发布的智能合约代码加强审计和验证(类似于常见的合同陷阱,商业合同也需要专业的法律审计一样)。就此而言,需要智能合约项目研究者做更多突破性工作来确保其更安全、更智能。

首先,该领域缺乏一套安全可信的智能合约语言,该语言需包含以下特性:语义简洁明晰,非图灵完备,保证终止性(受限制的循环),内建形式化状态描述语言,具有形式化语义规范的虚拟机操作码,附带智能合约验证编译器等。

其次,该领域亟待开发出一系列的智能合约验证工具集:开发相关的验证⼯具,提前辅助合约开发者发现问题;开发证明辅助生成⼯具,提⾼形式化验证的⾃动化⽔平;在区块链共识协议中引⼊必要的形式化证明验证流程;支持链下的证明检查流程等等。

综合而言,一项合格可信的、安全的智能合约需要达到同时满足三个基本条件:首先、智能合约本身没有安全漏洞(针对所有智能合约编写者);其次、智能合约语言语义明确(针对智能合约语言的理论设计者);再次、智能合约引擎没有安全漏洞(针对智能合约的工程实现者)。

智能合约代码的“安全化”与智能合约审计验证的“智能化”或许需要一个漫长的等待过程,但任何技术突破都需要经历一段瓶颈期。值得欣慰的是,针对智能合约安全风波一波未平一波又续的现状,业界已经有了相关响应。

前不久,在上海召开的第三届全球区块链首脑会议就区块链与智能合约的安全性展开了讨论,强调了加强开发阶段审计的重要性;此前2018年3月份,知名区块链项目Befund宣布接受智能合约安全审计;另外,近期长亭科技、ConsenSus和Bitman联合发布的《区块链安全生存指南》也在分析既存智能合约安全漏洞事件攻击经过与技术细节的基础上,梳理总结了智能合约设计过程中的安全关键点,为后续智能合约开发者带来了福音。

本文来自小葱快讯,内容仅供参考,不构成投资建议,本文观点不代表立场,转载请联系原作者。

发表评论

登录后才能评论
QR code