Aptos:簡析 Aptos 公鏈：PayPal 投資、Facebook 成員打造的項目有何不同？_FOR

作者：律動BlockBeats

想要創建一個可快速創新且適應性強的區塊鏈來滿足當今和未來數十億人的需求。期望用戶體驗在安全性和可擴展性方面能得到明顯的改善。使區塊鏈對普通用戶，尤其是非加密原生用戶來說更具適用性，以加快互聯網用戶對web3的采用。

團隊背景與項目起源

Aptos于2021年創立，總部位于加利福尼亞州的帕洛阿爾托，主要領導者MoShaikh與AveryChing也曾是Diem與Novi的主要構建者。

Meta踏足加密領域遇到坎坷重重，許多項目一度停擺，不少成員離開Meta，后繼續投身加密領域。MoShaikh與AveryChing亦是如此，在Diem被阻止啟動后離開了Meta，與許多Diem和Novi的初創造者、研究人員、設計師和建造者等核心開發人員聚集在一起，在開源的Diem代碼庫的基礎上建立了一個名為Aptos的新網絡。

當前許多Aptos的團隊成員曾在Meta工作，這意味著Aptos團隊有豐富的大規模開發和部署系統的經驗，且Aptos使用團隊成員同樣熟悉Move語言，成員不必增加新的學習成本。

Beosin：SheepFarm項目遭受攻擊事件簡析:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin EagleEye 安全風險監控、預警與阻斷平臺監測顯示，BNB鏈上的SheepFarm項目遭受漏洞攻擊，Beosin分析發現由于SheepFarm合約的register函數可以多次調用，導致攻擊者0x2131c67ed7b6aa01b7aa308c71991ef5baedd049多次利用register函數增大自身的gems，再利用upgradeVillage函數在消耗gems的同時累加yield屬性，最后調用sellVillage方法把yield轉換為money后再提款。本次攻擊導致項目損失了約262個BNB，約7.2萬美元。Beosin Trace追蹤發現被盜金額仍在攻擊者賬戶，將持續關注資金走向。[2022/11/16 13:10:39]

據Aptos披露，聯合創始人AveryChing是構建分布式系統的世界領先專家之一，除其以外，還有AldenHu、AlinTomescu、DahliaMalkhi、DavidWolinsky、GregNazario、JakeSkinner、JoshLind等許多由博士、研究人員、工程師、設計師和戰略家組成的其他團隊成員。

慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：

1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。

2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。

3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。

綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]

Aptos將部分建立在其團隊成員過去三年中公開開發的技術之上，計劃在安全性、可擴展性以及可升級性三方面著手進行部署。

Grim Finance 被黑簡析：攻擊者通過閃電貸借出 WFTM 與 BTC 代幣:據慢霧區情報，2021 年 12 月 19 日，Fantom 鏈上 Grim Finance 項目遭受攻擊。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1. 攻擊者通過閃電貸借出 WFTM 與 BTC 代幣，并在 SpiritSwap 中添加流動性獲得 SPIRIT-LP 流動性憑證。

2. 隨后攻擊者通過 Grim Finance 的 GrimBoostVault 合約中的 depositFor 函數進行流動性抵押操作，而 depositFor 允許用戶指定轉入的 token 并通過 safeTransferFrom 將用戶指定的代幣轉入 GrimBoostVault 中，depositFor 會根據用戶轉賬前后本合約與策略池預期接收代幣(預期接收 want 代幣，本次攻擊中應為 SPIRIT-LP)的差值為用戶鑄造抵押憑證。

3. 但由于 depositFor 函數并未檢查用戶指定轉入的 token 的合法性，攻擊者在調用 depositFor 函數時傳入了由攻擊者惡意創建的代幣合約地址。當 GrimBoostVault 通過 safeTransferFrom 函數調用惡意合約的 transferFrom 函數時，惡意合約再次重入調用了 depositFor 函數。攻擊者進行了多次重入并在最后一次轉入真正的 SPIRIT-LP 流動性憑證進行抵押，此操作確保了在重入前后 GrimBoostVault 預期接收代幣的差值存在。隨后 depositFor 函數根據此差值計算并為攻擊者鑄造對應的抵押憑證。

4. 由于攻擊者對 GrimBoostVault 合約重入了多次，因此 GrimBoostVault 合約為攻擊者鑄造了遠多于預期的抵押憑證。攻擊者使用此憑證在 GrimBoostVault 合約中取出了遠多于之前抵押的 SPIRIT-LP 流動性憑證。隨后攻擊者使用此 SPIRIT-LP 流動性憑證移除流動性獲得 WFTM 與 BTC 代幣并歸還閃電貸完成獲利。

此次攻擊是由于 GrimBoostVault 合約的 depositFor 函數未對用戶傳入的 token 的合法性進行檢查且無防重入鎖，導致惡意用戶可以傳入惡意代幣地址對 depositFor 進行重入獲得遠多于預期的抵押憑證。慢霧安全團隊建議：對于用戶傳入的參數應檢查其是否符合預期，對于函數中的外部調用應控制好外部調用帶來的重入攻擊等風險。[2021/12/19 7:49:04]

安全性

慢霧：Avalanche鏈上Zabu Finance被黑簡析:據慢霧區情報，9月12日，Avalanche上Zabu Finance項目遭受閃電貸攻擊，慢霧安全團隊進行分析后以簡訊的形式分享給大家參考：

1.攻擊者首先創建兩個攻擊合約，隨后通過攻擊合約1在Pangolin將WAVAX兌換成SPORE代幣，并將獲得的SPORE代幣抵押至ZABUFarm合約中，為后續獲取ZABU代幣獎勵做準備。

2.攻擊者通過攻擊合約2從Pangolin閃電貸借出SPORE代幣，隨后開始不斷的使用SPORE代幣在ZABUFarm合約中進行`抵押/提現`操作。由于SPORE代幣在轉賬過程中需要收取一定的手續費(SPORE合約收取)，而ZABUFarm合約實際接收到的SPORE代幣數量是小于攻擊者傳入的抵押數量的。分析中我們注意到ZABUFarm合約在用戶抵押時會直接記錄用戶傳入的抵押數量，而不是記錄合約實際收到的代幣數量，但ZABUFarm合約在用戶提現時允許用戶全部提取用戶抵押時合約記錄的抵押數量。這就導致了攻擊者在抵押時ZABUFarm合約實際接收到的SPORE代幣數量小于攻擊者在提現時ZABUFarm合約轉出給攻擊者的代幣數量。

3.攻擊者正是利用了ZABUFarm合約與SPORE代幣兼容性問題導致的記賬缺陷，從而不斷通過`抵押/提現`操作將ZABUFarm合約中的SPORE資金消耗至一個極低的數值。而ZABUFarm合約的抵押獎勵正是通過累積的區塊獎勵除合約中抵押的SPORE代幣總量參與計算的，因此當ZABUFarm合約中的SPORE代幣總量降低到一個極低的數值時無疑會計算出一個極大的獎勵數值。

4.攻擊者通過先前已在ZABUFarm中有進行抵押的攻擊合約1獲取了大量的ZABU代幣獎勵，隨后便對ZABU代幣進行了拋售。

此次攻擊是由于ZabuFinance的抵押模型與SPORE代幣不兼容導致的，此類問題導致的攻擊已經發生的多起，慢霧安全團隊建議：項目抵押模型在對接通縮型代幣時應記錄用戶在轉賬前后合約實際的代幣變化，而不是依賴于用戶傳入的抵押代幣數量。[2021/9/12 23:19:21]

Move編程語言

Force DAO 代幣增發漏洞簡析:據慢霧區消息，DeFi 量化對沖基金 Force DAO 項目的 FORCE 代幣被大量增發。經慢霧安全團隊分析發現： 在用戶進行 deposit 操縱時，Force DAO 會為用戶鑄造 xFORCE 代幣，并通過 FORCE 代幣合約的 transferFrom 函數將 FORCE 代幣轉入 ForceProfitSharing 合約中。但 FORCE 代幣合約的 transferFrom 函數使用了 if-else 邏輯來檢查用戶的授權額度，當用戶的授權額度不足時 transferFrom 函數返回 false，而 ForceProfitSharing 合約并未對其返回值進行檢查。導致了 deposit 的邏輯正常執行，xFORCE 代幣被順利鑄造給用戶，但由于 transferFrom 函數執行失敗 FORCE 代幣并未被真正充值進 ForceProfitSharing 合約中。最終造成 FORCE 代幣被非預期的大量鑄造的問題。 此漏洞發生的主要原因在于 FORCE 代幣的 transferFrom 函數使用了`假充值`寫法，但外部合約在對其進行調用時并未嚴格的判斷其返回值，最終導致這一慘劇的發生。慢霧安全團隊建議在對接此類寫法的代幣時使用 require 對其返回值進行檢查，以避免此問題的發生。[2021/4/4 19:45:30]

在語言上，Aptos使用的是最初為Diem開發的Move編程語言，Move語言專為在區塊鏈上進行安全資源管理和可驗證執行而設計。三年前，這些工作人員同時開發了區塊鏈和Move語言。當前賬戶、交易費用、標準庫、驗證節點管理和配置都通過Move實現。Move被很多?譽為Diem最大的創新。

眾所周知，以太坊的Solidity是當前開發者最常用的語言之一，功能強大具有良好的可擴展性。Move與其相比，安全性較為突出，從底層內存和智能合約編程的代碼層面，提供了非常強大的安全保證。

Hotstuff共識衍生品

Aptos提出其開發了生產級、高保證、低延遲的拜占庭容錯(BFT)引擎，在過去三年中，實施了共識協議的第四次迭代。HotStuff是一種基于領導者的拜占庭容錯復制協議，用于部分同步模型。一旦網絡通信變得同步，HotStuff使正確的領導者能夠以實際網絡延遲的速度推動協議達成共識。

Aptos團隊在私有主網環境中升級了共識協議，添加了一個主動起搏器，使用超時來同步驗證器，遠快于等待增加的超時，區塊只需兩次網絡往返即可提交，實現了亞秒級的最終確定性。且Aptos的聲譽系統無需任何人為干預，即可分析鏈上狀態并自動更新領導者輪換，適用無響應的驗證者。協議清楚地將活性與安全區分開來。無論網絡不可達或非安全核心以某種方式受到損害，只要BFT誠實保證得到維護，鏈就不會分叉。

驗證測試、密鑰與多代理交易

為保證安全性，Aptos團隊在不同環境中運行大量驗證器，對AptosCore進行了反復測試。

且Aptos中設置了帳戶密鑰恢復和輪換協議，主要防止密鑰被盜的情況發生，具體表現為Aptos支持任何帳戶輪換其私鑰，驗證者還可以定期輪換他們的共識密鑰。為防止密鑰丟失，Aptos還在開發可直接集成到區塊鏈賬戶模型中的密鑰恢復新技術。

Aptos通過多代理交易，利用Move的簽名者類型，允許在單個交易中跨多個鏈上賬戶進行任意數量的原子操作。

可擴展性

指標與測量

高交易費用、低吞吐量和高最終確定性限制了區塊鏈的普及與發展，Aptos認為L1應該重視發展可擴展性，從而優化用戶體驗。

從區塊鏈性能指標來說，因測試基準不同，所以數據可能存在差異，Aptos打算分享基準測試框架并比較不同區塊鏈上各種用例的性能特征。如吞吐量TPS與最終確定性。

吞吐量與最終確定性

在提高吞吐量與最終確定性速度的規劃中，Aptos計劃將共識協議與交易執行完全分離。團隊為推進交易傳播，已著手開發迭代下一個共識協議，可能將于今年在測試網推出。

除此之外，另一個難題是交易執行時間。Aptos使用受軟件事務內存啟發的新技術，在僅執行基準測試中只使用32個內核實現了每秒超過130k的事務。

在性能方面最后一個瓶頸是經過身份驗證的數據結構和相關的狀態存儲。在驗證賬本狀態時，內存中的Merkletree在小規模上是有效的，但無法將大型Merkletree寫入持久存儲。為解決這個問題，Aptos正在通過探索更高的分支因子、訪問模式優化的緩存和仔細的版本控制來設計經過身份驗證的數據結構，且Aptos還在開發對大型帳戶的支持。

并行賬戶交易及控制交易排序

與以太坊普及的序列號方法不同，Aptos使用的是嘗試使用抗沖突的序列號來增強序列號方法，允許帳戶在序列號窗口上并行，同時仍然允許用戶在必要時控制交易排序。考慮未來實現更靈活和可組合的并行賬戶交易。

支持管理節點不同狀態

高吞吐量區塊鏈，節點之間的狀態同步可能是CPU密集型的，Aptos支持一系列不同的狀態同步協議。且為了支持廉價的全節點，Aptos中有一個協議可同步交易及其由法定人數驗證者簽署的執行結果，允許節點以更高的網絡吞吐量為代價跳過計算，并直接從已執行的賬本狀態更新賬本狀態結果。

不同于大多數區塊鏈需下載區塊鏈來獲取最新的分類賬本，Aptos客戶端可以使用交易累加器來獲取最新提交的交易，且許對以前的交易和分類帳進行修剪。

可升級性

區塊鏈發展日新月異，從Defi到NFT再到DAO，熱點類型不停變換。但許多底層協議在發布后都難以做出重大改進，以至于當前網絡難以快速適應不斷發展的web3需求。

Aptos提出一些網絡嘗試進行重大升級時，有的曾停機數小時，有的經歷了意外的硬分叉。而Aptos在驗證者的管理和配置采用鏈上狀態進行管理，方便社區投票和快速執行升級，在過去幾年中成功執行了多次重大升級而沒有停機，確保部署安全可靠。

融資情況與路線圖

Aptos于3月15日表示完成了由a16z領投，TigerGlobal、KatieHaun、MulticoinCapital、ThreeArrowsCapital、FTXVentures和CoinbaseVentures等眾多知名VC參投的2億美元融資。

而后，不僅BinanceLabs宣布投資了AptosLabs，支付巨頭PayPal也表示曾參與投資，這是PayPalVentures投資的首個Layer1公鏈項目。需要注意的是，為了保持與Meta的隔離，保證Aptos的獨立性，該項目并未從Meta相關人員處融資。

根據當前Aptos的路線圖規劃，今年Q1發布開發者測試網，開發人員從3月15日起，即可開始在Aptos測試網上進行構建。在與戰略合作伙伴和web3開發者社區合作，同時收集反饋并改進Move開發者體驗和Move語言。

Q2啟動激勵性測試網，提供更大的測試平臺，與節點運營商社區合作，共同運營去中心化網絡。提出漏洞賞金完善基礎架構，并為保護網絡的參與者提供激勵機制。這里需要注意的是，開發網和測試網的不同在于，開發網主要是為了嘗試新想法構建，而測試網用于驗證核心開發人員測試的結果，為主網上線做準備。

Aptos計劃于今年Q3發布主網，Q4至明年Q1將下一個主要版本部署到Aptos主網。

當前開發人員可在激勵測試網上進行構建，第二期激勵測試也即將開始，符合其硬件要求的用戶可以運行節點參與其中。

在應用方面，Pontem開發的Liquidswap是Aptos網絡上的第一個去中心化交易所。Pontem是一家產品開發工作室，據其所說還可能與Aptos合作構建開發工具、EVM、AMM等其他Dapp與基礎設施。除了Liquidswap之外，Aptos上還有Fewcha錢包。且MartianDAO也正在為Aptos生態系統構建各種產品，包括MartianWallet，以及一個名為Curiosity的NFT市場，可適當關注。

Tags：TOSAptosAPTFORPlutos Networkaptos幣行情apt幣前景如何fork幣圈什么意思

FIL幣