以太坊交易所 以太坊交易所
Ctrl+D 以太坊交易所
ads

金色觀察 | 安全研究員眼中的BNB Chian跨鏈橋被攻擊事件_NUME:NUM

Author:

Time:1900/1/1 0:00:00

10月7日凌晨,黑客利用BNB Chian跨鏈橋BSC Token Hub漏洞,分兩次共盜取200萬枚BNB。據分析,攻擊涉及的總金額超過7億美元,其中包含5.7億美元的BNB。

BNB Chian是如何被攻擊的?黑客盜取金額具體有多少?黑客為何又是選取跨鏈橋攻擊?幣安鏈本身安全嗎?怎么看黑客攻擊后幣安鏈被暫停?被盜資產結局會如何?對社區有何新啟示?

上述問題用戶迫切想知道答案,金色財經就此采訪了區塊鏈安全公司Numen的安全研究員,看看安全研究員眼中的BNB Chian跨鏈橋被攻擊事件是什么樣的。

Q1、10月7日BNB Chian跨鏈橋BSC Token Hub 遭遇攻擊。黑客利用跨鏈橋漏洞分兩次共獲取200萬枚BNB。請詳細講解一下這次黑客是如何攻擊幣安鏈的? 

金色財經挖礦數據播報 :BTC今日全網算力下降2.95%:金色財經報道,據蜘蛛礦池數據顯示:

BTC全網算力131.647EH/s,挖礦難度18.60T,目前區塊高度663278,理論收益0.00000742/T/天。

ETH全網算力286.944TH/s,挖礦難度3734.56T,目前區塊高度11539515,理論收益0.00749744/100MH/天。

BSV全網算力0.768EH/s,挖礦難度0.11T,目前區塊高度667468,理論收益0.00117121/T/天。

BCH全網算力1.661EH/s,挖礦難度0.22,目前區塊高度667761,理論收益0.00054200/T/天。[2020/12/28 15:51:37]

Numen:黑客的攻擊行為其實很簡單,首先從changenow.io獲得攻擊所需的成本,然后利用幣安跨鏈橋處理消息驗證的基礎庫的漏洞,兩次偽造提現惡意消息,導致跨鏈橋向黑客地址發送了兩筆BNB,每筆都是100萬個BNB,價值約600M美金。

金色算力云聯合創始人梅洪睿:現在挖一枚FIL費用才十幾美金,買幣不如直接買礦機或者算力:金色財經現場報道,由開源礦池和火幣主辦,金色算力云、鏈上ChainUP、Filecoin Beijing聯合主辦的“分布式存儲中國行首站暨開源礦池IPFS私享會”2020年11月13日在北京舉行。金色算力云聯合創始人梅洪睿在會上表示,現在挖一枚FIL的費用才十幾美金,挖礦的回報率是最合適的,買幣真的不如直接買礦機或者算力。FIL幣價方面,如果沒有應用落地的話,漲的可能性不大,如果有應用落地,會有上漲預期。[2020/11/13 20:45:08]

具體黑客如何構造proof以繞過消息驗證的方法我們還在研究,但可以確定的是BNB Chian在跨鏈消息驗證機制方面,使用了cosmos的IAVL庫和Multistoreproof的早期版本代碼,且已經被證明有漏洞存在。

分析 | 金色盤面:BTC期貨合約持倉變化:金色盤面綜合分析:據OKEX數據顯示,OKEX的BTC期貨合約持倉達到104176左右。做多賬戶59%,做空賬戶38%,短線看多頭倉位從高位62%減至59%;主力多頭平均持倉比例為22.63%,主力空頭平均持倉比例為21.62%,做多意愿稍強。截止發稿,OKEX現貨價格為6468.82,期貨合約當周BTC0824價格為6426.32,貼水接近42.5點,短線多空占比相當,并未出現明顯優勢。[2018/8/22]

Q2、這次涉及的金額有說7.1億美元的,也有說5.6億美元的,這個金額到底是多少,該怎么算這個金額?

Numen:5.6億美金是按攻擊被發現時的BNB價格估算,而7.1億或許是在計算了venus的損失后做出的估計。黑客在攻擊完成后,通過venus借貸,抽干了借貸池中的USDT、BUSD、USDC等穩定幣。由于BNB Chain及時做出了響應,采取了暫停節點、黑名單和凍結等措施,已經將直接損失降低到了1億美金左右。

行情 | 金色盤面:Eos持續下跌,成交量大幅萎縮:金色盤面分析師表示:Eos持續下跌,成交量大幅萎縮,殺跌動能減弱,日線macd出現底背離,一般btc觸底反彈,柚子彈性更好些。[2018/8/3]

Q3、這一次黑客選擇攻擊的又是跨鏈橋,為何跨鏈橋這么不安全?

Numen:任何有資金池的合約都很容易受到攻擊,因為黑客的直接目的是獲取更多的資金。由于很多跨鏈橋在處理資產跨鏈時采用的是質押機制,所以產生了很多數目可觀的資金池,吸引了黑客的注意。

具體到跨鏈橋的實現邏輯上,跨鏈橋有三種實現方式,公證人、哈希時間鎖和中繼鏈,其中哈希時間鎖機制相對安全,但只能支持資產的轉移,無法實現消息傳遞;中繼鏈實現復雜,通過區塊鏈的共識機制保障安全,其安全問題一般較為底層,黑客較難利用;而現在大部分跨鏈橋所采用的公證人機制,由于存在私鑰管理、消息驗證、合約操作等多個環節出現漏洞的可能性,所以出現了大量的安全事件。

Q4、這個攻擊對幣安鏈有影響嗎?幣安鏈本身是安全的嗎?為什么要暫停幣安鏈? 

Numen:這個攻擊對幣安鏈本身的影響不大,只是一些經濟和品牌損失,幣安鏈在處理完此次攻擊事件后,仍然可以穩定運行,對于主網本身來說,再不涉及到跨鏈驗證的其他層面,由于fork了經過多年驗證的以太坊源碼,所以相對來說是安全的,但是安全圈有句話叫“世界上沒有安全的系統”,所以BNB chain的開發者們仍然不能掉以輕心。

暫停幣安鏈是一個正確的選擇,在底層機制出現問題的時候,應當暫停運行,待查清楚具體問題并修復后和處理完相關賬號和資產后,再重新運行。

Q5、在黑客攻擊成功后,在幣安要求下幣安鏈驗證者暫停了幣安鏈網絡運行,在社區引發不少爭議,怎么看幣安和幣安鏈的這一行為?

Numen:幣安暫停網絡其實是一個負責任的行為,如果繼續運行網絡,那所有BNB chain的生態都會受到重大影響,現在并不是爭論中心化還是去中心化的時候,我們共同的敵人是黑客。

Q6、現在黑客多個地址被拉黑名單或者資產被凍結,各位覺得這次黑客被盜資產結局會如何? 

Numen:已經凍結和被幣安鏈鎖住的資產暫時是安全的,而已經通過跨鏈轉移到ETH、FTM等鏈上的資產,可能難以追回。

Q7、此次幣安跨鏈橋被攻擊和之前的黑客攻擊有何異同?對社區有何新的啟示?

Numen:此次攻擊時針對供應鏈的攻擊,黑客顯然對BNB chain的底層供應鏈比較熟悉,這點在之前的安全事件中比較少見。

對社區的啟發是技術人員應當對自己使用的庫和copy的代碼做到深入的了解,要明白他們的運行機制,并能夠review代碼中的問題,同時應該投入更多的資源在代碼審計上,由專業的第三方安全審計公司來進行多輪的審計,以保障項目的安全。

金色財經Maxwell

Bankless

金色薦讀

FastDaily

中國金融雜志

巴比特資訊

元宇宙之道

Tags:BNBUMENUMENUMtogetherbnb手游下載最新版Omni Consumer ProtocolNUME幣NUME價格

歐易交易所app下載
公鏈生態"吸金"七件套 缺一不可_ETH:ethw幣未來前景最新

還記得當初剛進加密行業那會,公鏈這個詞是個很高大上的東西。因為人們一提公鏈,往往首先想到的ETH這種“通用智能合約型”,或者說平臺型公鏈,而非類似BTC,LTC這種“一幣一公鏈”的公鏈,這些,我.

1900/1/1 0:00:00
Web3.0游戲是否還有未來?_BAR:WEB3.0

2022-10-14 14:16鯤鵬計劃獲獎作者,鈦媒體APP官方帳號,優質科技領域創作者 文:OM出海研究所 當前Web3.0領域已經大規模減速.

1900/1/1 0:00:00
從社交圖譜看Web3.0在社交領域的探索_BER:web3.0幣排行榜

原文作者:Daniel Li亨利·梅因《古代法》里的一句話:“所有進步社會的運動,到此處為止,都是一個‘從身份到契約’的運動”.

1900/1/1 0:00:00
NFT的核心價值到底是什么?好戲還在后頭_區塊鏈:PEACE

Ari Juels是紐約康奈爾大學的教授,也是IC3的聯合董事。另外,他還是Chainlink Labs的首席科學家.

1900/1/1 0:00:00
NFT 版稅爭議:該不該付?付給誰?_OOKS:ORK

邁入 9 月以來,關于 NFT 版稅及其相關改革措施的討論之熱,甚至掩蓋了這成交日漸低迷的市場.

1900/1/1 0:00:00
以太坊“倫敦”升級 你是否已準備好_THE:GAS

以太坊網絡的第十一次硬分叉“倫敦”升級將于區塊高度 12,965,000 處激活 (據估算將于北京時間2021年8月5日晚進行).

1900/1/1 0:00:00
ads