通過此博客文章,目的是正式披露以太坊平臺所面臨的一個嚴重威脅。在以太坊柏林硬分叉之前,這個威脅是切實存在的。
讓我們從以太坊和狀態的背景知識開始。
以太坊狀態由一種patricia-merkle trie(一種前綴樹)組成。這篇文章將不做過多的詳細介紹,隨著狀態的增長,這個樹上的樹枝變得越來越密。添加的每個帳戶都是一片葉子。在樹的根和葉本身之間,有許多“中間”節點。
為了在這棵巨大的樹中查找給定的帳戶或“葉子”,需要從根到中間節點來解析大約6-9個哈希的某個位置,以最終解析最后一個哈希hash,該哈希會指向我們正在尋找的數據。
簡而言之:每執行一次Trie查找來查找帳戶,就會執行8-9個解析操作。每個解析操作都是一次數據庫查找,并且每詞數據庫查找可以是任意數量的真實磁盤操作。磁盤操作的次數很難估計,但是由于trie密鑰是加密哈希(抗沖突),因此密鑰是“隨機的”,這對任何數據庫來說都是最糟糕的情況。
隨著以太坊的增長,有必要提高訪問trie的操作的gas價格。這是在2016年10月區塊高度2,463,000的Tangerine Whistle中執行的,其中包括EIP150。EIP150在所謂的“上海攻擊”之后大幅提高了某些操作的gas成本,并進行了一系列更改以防止DoS攻擊。
ApeCoin發起新提案AIP-242擬創建“財務工作組”:金色財經報道,據Snapshot信息顯示,ApeCoin社區已發起新提案AIP-242,該提案的目標是建立ApeCoin DAO“財務工作組(Treasury Working Group)”,該工作組的主要任務包括:
1、探索使ApeCoin DAO能夠維持運營和計劃的法律和治理結構
2、研究并實施風險評估和管理框架
3、研究和實施監測框架以提高社區透明度
4、向ApeCoin基金會請求撥款以及如何在鏈上部署撥款資金。
AIP-242將于8月3日結束投票,如果該提案獲得通過,Ape委員會將按照選舉流程選擇三名理事負責財務工作組工作。[2023/7/30 16:07:09]
另一項gas提升同樣在伊斯坦布爾升級中被執行,即2019年12月區塊高度9,069,000。在這次升級中,EIP 1884被激活。
EIP 1884引入了以下操作成本更改:
SLOAD從200提升到800gas,
BALANCE從400提升到700gas(SELFBALANCE有所降低),
EXTCODEHASH從400提升到700gas。
2019年3月,Martin Swende對EVM操作碼性能進行了一些測量。 這次調查之后促成創建了EIP-1884。 在EIP-1884上線之前的幾個月,《Broken Meter》論文正式發表(2019年9月)。
100,000,000 USDT從未知錢包轉移到Bitfinex:金色財經報道,鏈上數據顯示,100,000,000 USDT(價值約100,066,000美元)從未知錢包轉移到Bitfinex。[2023/4/3 13:41:24]
兩位以太坊安全研究人員(Hubert Ritzdorf和Matthias Egli )與該論文的一位作者Daniel Perez合作“武器化”了一個漏洞,他們將漏洞提交給了以太坊賞金計劃。這是在2019年10月4日。
我們建議您完整閱讀那次提交的內容,這是一份精心撰寫的報告。
在專門用于討論跨客戶端安全性的頻道上,當天,來自Geth,Parity和Aleth的開發人員被告知了有關提交的信息。
該漏洞的本質是觸發隨機trie查詢。 一個非常簡單的變體是:
在他們的報告中,研究人員通過eth_call對同步到主網的節點執行了此有效負載,這些是在使用10M gas時執行的數量:
使用EXTCODEHASH?(400 gas)發動10M gas攻擊
Parity:?~90s
Geth:?~70s
使用EXTCODESIZE?(700gas)發動10M gas攻擊
The Sandbox:育碧Rabbids NFT公開鑄造正式啟動:2月22日消息,The Sandbox在社交媒體宣布育碧Rabbids(瘋狂兔子)NFT公開鑄造現在已正式啟動,Rabbids NFT由游戲巨頭育碧在Polygon鏈上發布,總計2066枚,售價100 SAND,The Sandbox預計在二月底推出配套的元宇宙游戲。
去年2月報道,游戲巨頭育碧與The Sandbox達成合作,計劃引入旗下知名IP打造元宇宙空間。[2023/2/22 12:23:30]
Parity :?~50s
Geth :?~38s
顯而易見,EIP 1884引入的更改確實在降低攻擊方面產生了影響,但遠遠不夠。
在大阪Devcon大會之前確實如此。在Devcon期間,主網客戶端開發人員之間共享了該問題的知識。我們還與Hubert和Mathias以及Greg Markou(來自Chainsafe的ETC工作人員)進行了會面。 ETC開發人員也收到了這份報告。
隨著2019年臨近尾聲,我們知道我們遇到的問題比我們之前預期的要大,惡意交易可能導致區塊時間間隔增加到分鐘級。更糟的是,開發人員已經對EIP-1884感到不滿意,因為EIP-1884中斷了某些合約程序,而用戶和礦工們都為提高gas限制而著急。
推特用戶:昨天賣出和買入的NFT比過去3個月中的任何一天都多:金色財經報道,據推特用戶Manta在社交媒體上稱,昨天賣出和買入的NFT比過去3個月中的任何一天都多。[2023/1/7 10:59:11]
此外,僅兩個月后的2019年12月,Parity Ethereum宣布退出以太坊工作,而OpenEthereum接管了代碼庫的維護工作。
之后一個新的客戶端協調頻道被創建,在該頻道中,Geth,Nethermind,OpenEthereum和Besu開發人員繼續進行協調。
我們意識到,我們必須采取兩種方法來解決這些問題。 一種方法是使用以太坊協議,并以某種方式在協議層解決該問題。 最好不要違反合約,最好不要懲罰“良好”行為,但仍要設法防止攻擊。
第二種方法是通過軟件工程,通過更改客戶端中的數據模型和結構。
如何處理這些類型的攻擊的第一個迭代升級可以在這里查看。 2020年2月,該解決方案以EIP 2583的形式正式發布。其背后的想法是,每當一次Trie查找導致遺漏(miss)時,簡單地增加一個罰款。
但是,Peter為這個想法找到了一種解決方法——“屏蔽中繼”攻擊——將這種懲罰的有效范圍設定一個上限(約800gas)。
對于miss所導致的罰款的問題在于,首先需要進行查找,以確定必須施加罰款。 但是,如果剩余的gas不足以進行罰款,則表明已執行了未付費用。 即使確實導致拋出異常,也可以將這些狀態讀取包裝到嵌套調用中。 允許外部調用者繼續重復攻擊而無需支付(全部)罰款。
亞美尼亞官方機構呼吁該國央行監管加密貨幣:6月4日消息,亞美尼亞官方監管機構和金融部門已經發出呼吁,要求亞美尼亞中央銀行監管加密貨幣行業,以防止將加密貨幣用于非法目的。據悉,亞美尼亞國家稅收委員會(SRC)已要求亞美尼亞央行確保該國的加密貨幣市場受到監管,雙方還將密切合作,共同監督涉及加密后邊的海關服務和稅務服務,該委員會負責人魯斯塔姆·巴達斯揚(Rustam Badasyan)透露,由于亞美尼亞中央銀行沒有對數字資產交易采取任何行動,一些涉及加密貨幣的案件缺乏法律框架,因此難以做出判決。( Inferse)[2022/6/4 4:01:41]
因此,這個EIP被棄置,而我們正在尋找更好的替代方案。
阿列克謝·阿克胡諾夫(Alexey Akhunov)探索了Oil的概念,它是“gas”的第二種來源,但與gas本質上不同,因為執行層看不到它,并可能導致交易全局還原。
Martin在2020年5月提出了一個類似提案,關于Karma的。
在迭代這些計劃時,Vitalik Buterin建議僅增加gas成本,并維持訪問名單。 2020年8月,Martin和Vitalik開始迭代,也就是后來的EIP-2929及EIP-2930。
EIP-2929有效地解決了許多以前的問題。
與EIP-1884(無條件增加成本)相反,它僅針對尚未訪問的內容增加成本。這導致凈成本僅增加了不足百分之一。
此外,它與EIP-2930一樣,不會破壞任何合約流
而且,可以通過提高gas成本(不中斷操作)來進一步調整它。
2021年4月15日,它們都隨著柏林升級而上線。
2019年10月,Peter嘗試解決此問題的方法是進行動態狀態快照。
快照是一種二級數據結構,用于以平面格式存儲以太坊狀態,在Geth節點的實時運行期間,可以完全在線構建。
照的好處在于,它充當狀態訪問的一種加速結構:
快照無需提供O(log N)磁盤讀取(x LevelDB開銷)來訪問帳戶/存儲插槽,而是可以提供直接的O(1)訪問時間(x LevelDB開銷)。
快照支持每項條目O(1)復雜度的帳戶和存儲迭代,這使遠程節點可以比以前便宜得多地檢索順序狀態數據。
快照的存在還實現了更多奇特的用例,例如離線修剪狀態Trie或遷移到其他數據格式。
快照的缺點是原始帳戶和存儲數據實際上是重復的。對于主網,這意味著要使用額外的25GB SSD空間。
動態快照的想法已經在2019年中期開始,主要目的是成為snap 同步的推動者。當時,Geth團隊正在開展許多“大項目”。
離線狀態修剪
動態快照+snap同步
通過分片狀態進行的LES狀態分布
但是,最后決定完全優先考慮快照,暫時將其他項目推遲。 這些奠定了后來成為snap / 1同步算法的基礎。 于2020年3月合并到主網。
隨著“動態快照”功能的發布,我們有了一些喘息的空間。 如果以太坊網絡受到攻擊,那將是痛苦的,是的,但是至少有可能通知用戶有關啟用快照的信息。 整個快照生成將花費大量時間,并且尚無法同步快照,但是網絡至少可以繼續運行。
在2021年3月至4月,snap / 1協議在geth中推出,從而可以使用基于快照的新算法進行同步。 盡管仍然不是默認的同步模式,但這是使快照不僅可用作攻擊防護,而且對于用戶來說是一項重大改進。
在協議方面,柏林升級在2021年4月正式執行。
以下是在我們的AWS監控環境中制定的一些基準測試:
柏林升級前,無快照,25M gas:14.3s
柏林升級前,有快照,25M gas:1.5s
柏林升級后,無快照,25M gas:~3.1s
柏林升級后,有快照,25M gas:~0.3s
(粗略的)數字表示,柏林升級將攻擊的效率降低了5倍,快照將攻擊的效率降低了10倍,總共將攻擊影響降低了50倍。
我們估計,目前在主網(15M gas)上,在沒有快照的情況下,創建區塊可能需要2.5-3s在一個 geth節點上執行。 隨著狀態的增長,該數字將繼續惡化(對于非快照節點)。
如果使用refund來增加一個區塊內的有效gas使用量,則可以進一步提高(max)2x倍。 使用EIP 1559,區塊gas限制將具有更高的彈性,并允許在臨時爆發中再增加2倍(ELASTICITY_MULTIPLIER)。
至于實施這種攻擊的可行性; 攻擊者購買一個完整的區塊所需的成本約為幾個ETH(以100Gwei的價格購買15Mgas為1.5ETH)。
長期以來,這種威脅一直是“公開秘密”,實際上至少有一次被無意間地公開披露,并且在ACD電話會議中多次被提及,但沒有明確的細節。
由于柏林升級現在已經過去,并且默認情況下,geth節點正在使用快照,因此我們估計這個威脅的危險程度非常低,可以公開了,現在該對此前的開發者幕后工作進行全面披露。
至關重要的是,社區必須有機會了解對用戶體驗產生負面影響的變更背后的原因,例如增加gas成本和限制refund。
這篇文章是由馬丁·霍爾斯特·斯文德(Martin Holst Swende)和彼得·西拉吉(Peter Szilagyi)2021-04-23撰寫的。 在2021-04-26與其他基于以太坊的項目共享,并在2021-05-18公開披露。
Tags:GASETH以太坊GETHUGAS-JUN21togetherbnb游戲攻略以太坊價格幣走勢圖PoolTogether
《覓新》是金色財經推出的一檔區塊鏈項目觀察類項目,覆蓋行業各領域項目發展情況,具體設計到項目概況、技術進展、募資情況等,力圖為您呈現熱門新潮的項目合輯.
1900/1/1 0:00:00摘 要:比特幣價格本周繼續走高,從低點53,333美元反彈至日內高點59,454美元。價格保持在自2月初以來建立的“萬億美元”范圍內?比特幣價格本周繼續走高,從低點53,333美元反彈至日內高點.
1900/1/1 0:00:00剛剛結束的黑色星期三(5 月 19 日)讓加密貨幣投資者損失慘重。著名的加密資產分析機構 Delphi Digital 用四張圖解讀了巨大動蕩的這天,市場上最值得注意的一些情況,其中包括:5 月.
1900/1/1 0:00:00前言 一個月前,一名女子站在特斯拉車頂大喊“特斯拉剎車失靈”的視頻在網絡上瘋轉。隨后,特斯拉公布事故車輛在事故前一分鐘的行車數據以自證清白,而維權車主則認為特斯拉可能篡改了數據.
1900/1/1 0:00:00狗狗幣(Dogecoin)今年風靡一時。從被貼上meme幣的標簽到成為加密貨幣領域最熱門的轟動事件之一,該數字資產走過了漫長的道路.
1900/1/1 0:00:00編者按:本文統計分析了特斯拉、Nexon、美圖以及MicroStrategy的比特幣持倉數據。大部分企業機構的持幣目的都是為了“對沖通脹,多元化投資組合,維持企業財政儲備的長期購買力”.
1900/1/1 0:00:00