據blog.ethereum消息,由于以太坊改進提案被發現重大安全漏洞,原定于在第7080000個區塊上進行的君士坦丁堡硬分叉被推遲。WeekinEthereum創始人EvanVanNess表示,新的硬分叉日期將在周五的下一次核心開發者電話會議期間確定。以太坊核心開發者AfriSchoedon則在Twitter上表示,硬分叉將于下周一舉行。漏洞發生了怎么辦?
關于EIP1283漏洞處理,以太坊官方也通過博客表示,推遲君士坦丁堡硬分叉,即不在第7080000個區塊上分叉,并且發布了相關處理辦法:對于已經升級同步的節點、礦工、交易所,需要在Geth或Parity新版本發布后及時更新版本,新版本預計在博客發布的3~4個小時內發布。具體的方案如下所示:Geth版本:升級到Geth1.8.21;降級至Geth1.8.19;如果想保持在Geth1.8.20,請使用開關'-override.constantinople=9999999'無限期推遲君士坦丁堡分叉;Parity版本:推薦升級到ParityEthereum2.2.7-stable或ParityEthereum2.3.0-beta;不推薦降級至ParityEthereum2.2.4-beta。對于未同步升級的節點、錢包以及代幣持有者,現在不需要進行任何操作。對于合約所有者,現在可以檢查一下合約是否還存在其他潛在的漏洞,但請不用擔心,因為有著漏洞的EIP1283不會被啟用。漏洞是什么?
LayerZero旗下跨鏈橋Stargate Finance曾出現漏洞,目前已修復:3月29日消息,區塊鏈互操作性協議LayerZero聯合創始人兼CTO@ryanzarick發推透漏,他們在研究Optimism團隊警告的一次無風險攻擊的過程中發現,旗下跨鏈橋Stargate Finance的驗證庫存在潛在風險,并在上周部署了新的驗證庫,目前已完成更新和驗證。@ryanzarick稱該問題是此前多次審計中的一個疏漏。[2022/3/29 14:24:15]
北京時間今天零點,智能合約審計公司ChainSecurity發布了一份報告,報告指出以太坊君士坦丁堡代碼存在漏洞,該漏洞可能導致“重入攻擊”——攻擊相關合約、修改用戶余額或其他關鍵變量。為什么會產生重入攻擊?ChainSecurity認為,在分叉前一個存儲至少需要5000gas,遠遠超過使用“transfer”或“send”調用合約時發送的2300gas;而在分叉后,一個存儲只需要200gas,攻擊者可以通過調用一些公共函數,更改所需變量。比如攻擊者可以調用攻擊者合約,只需要花費2300gas就可以成功地更改弱勢合約的變量,包括賬戶余額等。當然,攻擊要想成功需要一些條件:必須有一個函數a,在該函數中,“transfer/send”后面緊跟著一個狀態更改操作,這有時是不明顯的;攻擊者必須有一個能夠訪問函數A改變狀態的函數B,B狀態改變會與函數A發生沖突;函數B需要在小于1600gas的情況下執行(2300氣費-700氣話費)。ChainSecurity提醒大家,可以從檢查以下幾個方面避免合約被攻擊:檢查transfer事件后是否有任何操作。檢查這些操作是否改變了存儲狀態,最常見的是通過分配一些存儲變量,檢查哪些變量已被修改,做一個列表。檢查合約中,非管理員可以訪問的任何其他方法是否使用這些變量之一;檢查這些方法本身是否自行改變存儲狀態;檢查是否低于2300gas,同時記住SSTORE操作可能只有200gas。漏洞重演何時休?
Axion Network出現漏洞導致790億枚AXN被意外鑄造:在11月2日上線后僅幾個小時,Axion Network代幣AXN的價格下跌了100%。對此,Axion Network首席運營官聲稱這次價格大跌是由于合約中出現了鑄造漏洞。Axion Network團隊稱,已有50萬美元被盜。他們甚至建議用戶避免立即購買AXN代幣,并遠離網絡的儀表板。一位推特用戶指出,有790億枚AXN被意外鑄造和出售。(ambcrypto)[2020/11/3 11:28:44]
這次EIP1283出現的重入攻擊,在以太坊的發展史上曾出現多次,屬于頑疾。“其實這個攻擊方式,在以太坊上早就是赫赫有名了,我不相信以太坊社區沒有考慮到這個問題。”以太坊研究者胡靖宇告訴Odaily星球日報。重入攻擊影響最大是TheDAO合約漏洞事件。當時黑客利用TheDAO合約漏洞,轉移了價值4千多萬美元以太幣。為了奪回資金,以太坊社區決定進行軟分叉與硬分叉,結果社區內部產生分歧,一部分選擇留在原鏈,一部分選擇了進入新的分叉鏈。根據胡靖宇所說,以太坊智能合約為了方便一些邏輯操作,留下了“transfer()和send()”這樣一種調用方式,但也給開發者留下了安全隱患。“但是只要開發者知道有這樣一個安全隱患,在寫代碼的時候多判斷一下邏輯就可以保證安全性了。”至于下周一會不會進行硬分叉升級,胡靖宇表示硬分叉升級具體的時間點應該是未定的,因為官方目前還沒有評估到具體的風險以及制定解決方案。
以太坊2.0信標鏈“隨機性”協議證明出現漏洞:金色財經報道,ZenGo的研究人員已正確披露了在Diogenes協議證明中發現的漏洞。該證明旨在為以太坊2.0隨機信標鏈的可驗證延遲函數(VDF)提供原始熵。根據ZenGo博客文章,Diogenes背后的團隊Ligero Inc.正在重新起草該協議的證明以迭代該漏洞。ZenGo研究人員Omer Shlomovits稱,VDF是構建真正安全的隨機信標鏈所必需的。[2020/9/2]
聲音 | MakerDAO中國區負責人:Maker系統沒有出現漏洞,所有資金安全:12月9日,一名獨立軟件開發人員披露MakerDAO存在安全漏洞可導致價值3億美元抵押ETH被清空。對此,MakerDAO中國區負責人潘超表示,MakerDAO并未出現安全漏洞,所有資金安全,原文作者指出的問題是所有權益系統都存在的治理挑戰,作為Maker的開發團隊,該治理挑戰是已知可控的,并且通過有計劃的一系列工具箱權衡解決。潘超指出,DAO是一個復雜系統,最重要的是權衡,單線思維下的設計是不穩定的,現行的Maker系統相對是最安全的。[2019/12/10]
在美國法域內進行的合規的ICO,究其本質是有具體法規的STO。對此,美國證券交易委員會(SEC)近日在網頁上最新發布了「關于ICO的5點必知」等指導意見,不僅對此詮釋得更通俗易懂,也進一步推進了.
1900/1/1 0:00:00編者按:本文來自hackernoon.com,作者:OscarW譯者:星球日報茶涼零知識證明或零知識協議是一種基于概率的驗證方法.
1900/1/1 0:00:00導語:在整理近兩個月發生的安全事件時,筆者不禁想起互聯網的早期,也曾走過安全事件頻發的階段。即使到現在,互聯網行業的安全事故也沒有完全杜絕。其實,任何新生的事物,都會存在安全隱患.
1900/1/1 0:00:00在幣圈中,最悔恨的事情并非被割韭菜,而是“忘記私鑰”,曾經坐擁千億卻取不出來,此時除了怨天尤人捅自己,你還能做一件事情,那就是使用多重簽名技術,分散資產遺失風險.
1900/1/1 0:00:00文|如風、Moni、張雪、黃雪姣、盧曉明編輯|盧曉明君士坦丁堡分叉是近期區塊鏈領域最重要的話題。Odaily星球日報整理了你需要知道的一切.
1900/1/1 0:00:00“有人說加密貓是藝術品,但其實,他們并沒有讓我有多興奮。不過,密碼朋克藝術品讓我非常興奮。我不知道為什么,但是我真的很喜歡.
1900/1/1 0:00:00