網(wǎng)上有很多關(guān)于pos機破解數(shù)據(jù),EOS上所有的漏洞 波場都可能重現(xiàn) 的知識，也有很多人為大家解答關(guān)于pos機破解數(shù)據(jù)的問題，今天pos機之家(www.mxllmx.com)為大家整理了關(guān)于這方面的知識，讓我們一起來看下吧!
本文目錄一覽：
pos機破解數(shù)據(jù)
4 月 10 日晚上，黑客向波場競猜類游戲 TRONWow 發(fā)起隨機數(shù)破解攻擊，共計獲利 216 萬個 TRX。4 月 11 日凌晨，黑客向波場資金盤游戲 TronBank 發(fā)起假幣攻擊，1 小時內(nèi)被盜走約 1.7 億枚 BTT（價值約 85 萬元人民幣）。
一位資深開發(fā)者告訴區(qū)塊律動 BlockBeats，EOS 主網(wǎng)上線以來生態(tài)內(nèi)一些事件，比如博彩 DAPP 的崛起、資金盤喊單、挖礦搬磚盛行、羊毛黨薅羊毛，甚至連黑客攻擊，都在波場上復現(xiàn)了。就拿近期的 TRON 生態(tài)事件來說，連 DAPP 出現(xiàn)的 bug 類型也是一致的。
關(guān)于最近 TRON 生態(tài)接連面臨假幣攻擊、隨機數(shù)破解等 EOS 早期頻繁出現(xiàn)的問題，安全團隊 PeckShield 創(chuàng)始人蔣旭憲告訴區(qū)塊律動 BlockBeats，此前 TRON 生態(tài)還發(fā)生過代幣無限增發(fā)問題（例如 TronCrush, Iseri Project 和 RockstarToken 上面的 TransferMint 漏洞），今后不排除其他相關(guān)攻擊方式 (比如合約溢出、交易阻塞等) 在 TRON 生態(tài)陸續(xù)出現(xiàn)的可能。
以太坊、EOS 的安全漏洞很可能在波場重現(xiàn)
蔣旭憲表示，由于波場在實現(xiàn)上結(jié)合了以太坊和 EOS 的設計，在智能合約上同樣使用了 Solidity 編程語言，原先以太坊上出現(xiàn)的合約缺陷（包括溢出漏洞，資產(chǎn)被鎖，和合約被劫持等問題）同樣有可能在波場復演。
也就是說，在漏洞層面，2018 年 PeckShield 發(fā)現(xiàn)的 BEC 和 SMT 的安全漏洞 batchOverflow（CVE-2018-20199）完全可能在波場會重現(xiàn)，差別可能就是合約代幣本身的價值不同。
另外，波場也參考了 EOS 的共識機制和支持競猜類 DApp，2018 年 PeckShield 報道過的多個競猜類 DAPP 上的安全問題，蔣旭憲也認為有很大機率重演。這次 BTTBank 和 TronWow 的攻擊很可能只是個開始。
PeckShield 整理了關(guān)于 EOS DAPP 攻擊手段的演進時間線圖表。在上圖中，紅色方塊內(nèi)的攻擊方式都是有可能將在波場上復現(xiàn)，紅色方塊外的攻擊方式是 EOS 公鏈特有的，在波場上復現(xiàn)的可能性不大。
蔣旭憲此前曾分析，波場公鏈的 DAPP 市場高度繁榮但一直未曾遭到過 EOS 公鏈級別的高強度攻擊，攻擊者目前主要是將其他公鏈上已成熟的攻擊方式遷移到波場并進行大范圍攻擊測試，尋找安全防護較為薄弱的合約，此階段后，攻擊者可能更進一步深度挖掘波場本身可能被利用的機制，進行更高強度和威脅的攻擊。
除了上述提到的，由于波場在實現(xiàn)上結(jié)合了以太坊和 EOS 的設計，各自出現(xiàn)的安全問題都有可能在波場上以某種方式出現(xiàn)。特別是波場合約部署后不可更改（類似以太坊），再加上類似 EOS 的共識機制，會直接影響未來可能的攻擊方式，包括攻擊合約的部署，以及可能的交易回滾或阻塞。
但考慮到每一條公鏈都有其特殊性，公鏈能夠上線并穩(wěn)定運行也是有其必然性，黑客攻擊的角度也是可能從多方面進行，包括但不限于公鏈上的創(chuàng)新設計，底層架構(gòu)，P2P 協(xié)議層等。
開發(fā)者的錯并不代表波場協(xié)議完全安全可靠
關(guān)于最近的波場 DAPP 安全問題，主要是開發(fā)者的問題。波場官方也表示，該合約安全問題出現(xiàn)在波場 DAPP 上，與協(xié)議本身沒有任何關(guān)系，波場協(xié)議完全安全可靠。
蔣旭憲認為，最近的這幾次攻擊的確是開發(fā)者的問題，但也不能因此說明波場協(xié)議完全安全可靠，更大可能反而是新的共鏈層面的安全問題還有待曝出。在眾多的 DAPP 安全事件里面，公鏈團隊可以做的也是多及時關(guān)注已知的 DAPP 安全問題，并同時積極思考公鏈層面可以增強和改善的環(huán)節(jié)。
也有開發(fā)者認為，由于公鏈都是開源社區(qū)，開發(fā)者水平參差不齊，DAPP 質(zhì)量也參差不齊，EOS 開發(fā)者犯的漏洞錯誤，波場開發(fā)者一樣會犯。而且不少 DAPP 是沒有準入審查的，門檻非常的低，不排除有 DAPP 在開發(fā)之初就有惡意埋雷。
蔣旭憲提醒，對于用戶來說，應該盡量參與那些靠譜的 DAPP 應用。在安全研究人員的眼里，很可能是所有 DAPP 都有或多或少安全方面的問題或隱患。所以用戶最好是多了解 DAPP 本身是否有考慮相應的安全模塊和響應機制，DAPP 合約是否有第三方的獨立審計，同時注意關(guān)注 DAPP 對應的社區(qū)或 IM 溝通群，及時獲取相應資訊和安全動態(tài)。在有安全事情發(fā)生的時候，可以及時止損。
Dapp只有在可玩性、安全性等方面取得長足進步，才能走進大眾主流人群。
安全問題頻發(fā) dapp成黑客提款機
金色財經(jīng)不完全統(tǒng)計EOS安全事件
目前安全形勢最集中爆發(fā)于EOS上，從上圖可以發(fā)現(xiàn)，幾乎每天都會爆發(fā)安全攻擊，甚至每天爆發(fā)多起安全事件，被戲稱為”黑客提款機”。
目前被黑客攻擊的Dapp大多以競猜類和游戲類為主，攻擊的對象主要是EOS.WIN、EOSBet、EOSDice等幾個頭部項目，攻擊手法主要是隨機數(shù)破解、智能合約漏洞以及使用可控的隨機數(shù)種子等。
360首席科學家、PeckShield創(chuàng)始人蔣旭憲認為，以太坊之前也有過類似的合約漏洞和隨機數(shù)問題，EOS從目前來看也不例外。EOS Dapp智能合約出現(xiàn)諸多安全問題，是EOS行業(yè)發(fā)展中必不可少的一步。
正向看，菠菜游戲背后的邏輯、規(guī)則、玩法最適合在區(qū)塊鏈上用智能合約運行；逆向看，菠菜開發(fā)簡單、周期短、回本快。比如菠菜游戲開發(fā)只需要兩周，其他游戲至少需要六個月。因此先開發(fā)出來的肯定都是菠菜游戲。但隨著時間演化發(fā)展，肯定會io、卡牌、策略類等其他Dapp。
在復雜美開源的Chain33區(qū)塊鏈底層架構(gòu)中，有一個共識模塊叫作SPOS（safe pos），它通過Ticket實現(xiàn)POS的挖礦邏輯。
在這篇文章中，我將詳細講解SPOS模塊的實現(xiàn)原理，以及其解決隨機數(shù)漏洞的方式。
在Chain33的公鏈案例比特元中，用戶使用錢包賬戶中BTY余額購票（挖礦權(quán)，目前10000個BTY可購買一票），一票對應一個唯一的TicketID，同時擁有一份挖礦權(quán)；一個區(qū)塊只能由一票挖出，實際的挖礦幾率各票均分（如全網(wǎng)有N張票，則一張票挖到礦的幾率為1/N）。
Ticket挖礦流程如下所示：
錢包：定期檢查賬戶中的BTY余額來購買票, 當滿足購票條件后構(gòu)造一條買票交易發(fā)往區(qū)塊鏈。共識：它會一直嘗試使用本地持有的票去打包區(qū)塊，一旦打包成功，是表示對應的Ticket持有人挖礦成功，并獲得對應的區(qū)塊獎勵。智能合約：智能合約會把地址對應的票信息寫入到區(qū)塊鏈數(shù)據(jù)庫，每一張Ticket都對應有一個唯一的TicketID，也會有一條數(shù)據(jù)記錄在數(shù)據(jù)庫。在區(qū)塊鏈上為了體現(xiàn)公平性（針對游戲等應用場景），就需要一個不能被預測的隨機數(shù)。
目前的區(qū)塊鏈大體有如下實現(xiàn)方案：
1. 合約中調(diào)用外部中心化的隨機數(shù)發(fā)生器獲取隨機數(shù)；
2. 使用區(qū)塊hash中的某些值作為隨機數(shù)。
但是這兩種方案都有非常明顯的弊端，原因在于：
1. 區(qū)塊鏈多節(jié)點之間智能合約執(zhí)行結(jié)果是要求強一致的，如果合約從外部讀取數(shù)據(jù)，是很有可能獲取到不同結(jié)果的（比如網(wǎng)絡原因?qū)е掠械墓?jié)點讀取正常，有的返回錯誤）進而導致分叉。
2. 區(qū)塊的哈希可以被控制，導致隨機數(shù)被控制。比如EOS，沒有提供很好的隨機數(shù)算法，所以很多Dapp開發(fā)者會自己封裝自認為完美的隨機數(shù)算法導致隨機數(shù)被預知。
例如以下兩個例子：
Eosbet第一次隨機數(shù)攻擊：這個游戲在開獎時使用了EOS中一個名為ref_block_num的隨機數(shù)因子，但是在游戲開獎時合約中還是讀取了老區(qū)塊中的值，導致隨機數(shù)被預知，進而被攻擊。Eosbet第二次隨機數(shù)攻擊：在修改了上一次的問題后，開發(fā)者再引入了一個新的參數(shù)：用戶余額作為隨機數(shù)因子。然而攻擊者利用這一點，模擬完全一樣的DApp代碼，然后不停修改余額去嘗試開獎邏輯，直到碰撞出開獎結(jié)果，進而又遭到攻擊。還有其它很多EOS上的游戲遭受了類似手段的攻擊，造成大量的損失。
下面，我們就來著重講講如何實現(xiàn)在隨機數(shù)上的優(yōu)化。
首先，用戶使用錢包賬戶中的BTY購買票（Ticket），10000BTY對應一票。錢包同時生成一個randNum，哈希過后再結(jié)合錢包挖礦地址的私鑰，票對應的index（一次可以買多張票）等元素再做兩次哈希，得到一個公開哈希參數(shù)（pubHash）：
pubHash =
hash(hash(privateKey:index:hash(randNum)))
然后，新購買的票中包含這個pubHash以及randNum并存入?yún)^(qū)塊鏈，這張票有12小時的成熟期，過了12小時才可以參與挖礦。
接著共識算法從區(qū)塊鏈中找到已經(jīng)成熟的票（Ticket）開始打包，由于共識打包區(qū)塊操作只在節(jié)點本地執(zhí)行，所以它可以讀取本地存儲的私鑰，算出一個私密哈希（privHash）并將這個參數(shù)放入到挖礦交易中：
privHash =
hash(privateKey:index:hash(randNum))
最后，智能合約收到挖礦交易，對比hash(privHash)和pubHash的值，兩者一致挖礦交易成功，對應的節(jié)點獲得挖礦獎勵。否則挖礦交易執(zhí)行失敗。
最后總結(jié)一下，SPOS共識的實現(xiàn)結(jié)合了隨機數(shù)，由于一般情況下是無法預測其它節(jié)點的共識信息，所以也無法獲取到它的共識隨機數(shù)。
并且系統(tǒng)設定私密哈希（privHash）不能提前泄露，就算有惡意礦工自己提前暴露，它對應的票也會被作廢，同時本金會被凍結(jié)較長時間（2天以上）。
再加上系統(tǒng)設定票需要經(jīng)過12小時的成熟期后才可以參與挖礦。這些條件組合起來，系統(tǒng)的隨機數(shù)幾乎是無法被操控的。這樣當開發(fā)者實現(xiàn)的DApp中需要保證公平隨機時，就可以直接使用系統(tǒng)提供的這個安全的隨機數(shù)了。
復雜美區(qū)塊鏈（www.33.cn)成立于2008年，累計申請200多項區(qū)塊鏈發(fā)明專利，全球排名前10。擁有自主研發(fā)的區(qū)塊鏈底層架構(gòu)Chain33，從2018年11月開源至今，其首創(chuàng)的平行鏈架構(gòu)被百度、阿里、360等機構(gòu)認可與研究，并登錄微軟azure市場。
以上就是關(guān)于pos機破解數(shù)據(jù),EOS上所有的漏洞 波場都可能重現(xiàn) 的知識，后面我們會繼續(xù)為大家整理關(guān)于pos機破解數(shù)據(jù)的知識，希望能夠幫助到大家！
