0
近來區塊鏈的圈子中很熱鬧，又雙叒叕有智能合約被曝存在嚴重漏洞。
5月29日，來自360公司的 Vulcan（伏爾甘）團隊向媒體公布，其發現了區塊鏈平臺EOS的一系列高危安全漏洞，并表示部分漏洞可以在EOS節點上遠程執行任意代碼，即可以通過遠程攻擊，直接控制和接管EOS上運行的所有節點。
目前，EOS的代幣市值高達690億人民幣，在全球市值排名第五，曾宣稱是“區塊鏈3.0”新型平臺。（言外之意，比特幣老大，以太坊老二，老三就是我了！）
據一位名為“洛圖”的圈內人分析，EOS在圈內的知名度之所以高，原因之一是其團隊宣稱，EOS的TPS（每秒提交交易數量） 可以達到幾千 ，這樣的系統吞吐量是非常吸引人的，目前比特幣的 TPS 只有7，以太坊是40，rippleshi 可以達到1000，fabric 是200。如果真的能達到其所宣稱的TPS性能，則能部分解決區塊鏈平臺交易費用高、確認時間長、擴展性差的問題。
原本，EOS打算6月1日上線，但就在這臨門一腳的時候，被360的 Vulcan（伏爾甘）團隊曝出“史詩級”漏洞。
那么，這個漏洞究竟嚴重在哪里？修復成本高嗎？其他的區塊鏈平臺是否也將會出現類似的嚴重漏洞？
29日下午，360公司 Vulcan（伏爾甘）團隊負責人鄭文彬、核心事業部安全研究員彭峙釀、信息安全部負責人高雪峰在 360 總部解答了雷鋒網的這些疑問（文后的回應方統稱為360）。
在漏洞發布不久后，周鴻祎在其個人微博中對這次漏洞的評價為“價值超過百億美金”。
微博中稱，如果被非法利用，可以遠程攻擊控制和接管EOS上運行的所有節點，嚴重情況下，EOS乃至整個虛擬貨幣市場都會遭遇滑鐵盧。
那這樣的攻擊具體是如何實現的？
在其官方博客中，研究團隊表示這其實是一個緩沖區溢出的漏洞。
漏洞的發現者“古河”在其個人微博中解釋，在64位系統中，攻擊者要實現遠程代碼執行是非常困難的，因為在遠程攻擊進程中一般缺乏漏洞利用所需的內存布局/多次讀寫過dep/aslr的手段。
簡單來說，這是兩道關卡，dep是對惡意代碼的檢查手段，如果攻擊者突破了這道關口，還會遇到aslr這第二道關口，它通過增加攻擊者預測目標的難度，防止攻擊者直接定位攻擊代碼位置，達到阻止溢出攻擊的目的。
但是，EOS 為了加快合約執行速度而引入的wasm虛擬機，讓他們可以繞過這兩道關卡。宅客頻道猜想，文中開頭所提到的EOS的 TPS 性能優勢，正是建立在犧牲安全性的條件下。
大家應該都聽過“牽一發而動全身”，區塊鏈是把 N 個點聯在一起的，而攻擊者就是其中的一個點，他會構造并發布包含惡意代碼的智能合約，隨后，EOS 超級節點在執行這個惡意合約的過程中，會觸發其中的安全漏洞。緊接著，攻擊者再利用超級節點將惡意合約打包進新的區塊，進而導致網絡中所有全節點（備選超級節點、交易所充值提現節點、數字貨幣錢包服務器節點等）被遠程控制。
這樣造成的結果是，由于已經完全控制了節點的系統，攻擊者可以“為所欲為”，如竊取 EOS 超級節點的密鑰，控制 EOS 網絡的虛擬貨幣交易；獲取 EOS 網絡參與節點系統中的其他金融和隱私數據，例如交易所中的數字貨幣、保存在錢包中的用戶密鑰、關鍵的用戶資料和隱私數據。
甚至，攻擊者可以將 EOS 網絡中的節點變為僵尸網絡中的一員，發動網絡攻擊或變成免費“礦工”，挖取其他數字貨幣。
360表示，雖然之前以太坊上也發生過智能合約的漏洞，但從未達到過遠程執行任意代碼的程度。（即可以通過遠程攻擊，直接控制和接管鏈上運行的所有節點）
此前一直專注于區塊鏈安全的團隊“慢霧科技”在今天接受金色財經的采訪時表示，因為這個漏洞可以直接拿到EOS超級節點的服務器權限，所以“史詩級”漏洞的表述，并不過分。
周鴻祎在微博中透露，360從年初開始，已經在區塊鏈安全方面做了很多研究，目前已經做了幾個區塊鏈的安全解決方案，EOS超級節點安全解決方案正是其中之一。
而在采訪中，幾位安全研究人員也表示，與傳統軟件領域的漏洞可能被利用來發起網絡攻擊，造成數據、隱私的泄露相比，數字貨幣本身是一套金融體系，在數字貨幣和區塊鏈網絡中的安全漏洞，往往會有更嚴重、更直接的影響，所以非常注重區塊鏈安全的研究。
針對此次EOS的漏洞，他們是在本月初發現的，其后用了半個多月的時間來研究如何充分利用這個漏洞，28日晚間，他們把漏洞完整利用的演示視頻和相關的代碼細節提供給 EOS 團隊，29日凌晨協助其進行了修復。
目前EOS網絡負責人表示，在修復這些問題之前，不會將EOS網絡正式上線。
花了這么長時間找出的漏洞，修復復雜嗎？即將于6月1日上線的EOS，是否會因此次的漏洞而延遲上線？
對于雷鋒網的這個問題，360表示，可能會造成嚴重損失的優先級漏洞其實修復起來并不復雜，很快就可以修復好，但是他們目前還發現了EOS更多的系統漏洞，對于后面的這些漏洞是否會延遲 EOS上線，他們并不清楚。
除了EOS，其他數字貨幣是否也存在各種漏洞？
據雷鋒網了解，此前，360已經發現和揭露了多個針對數字貨幣節點、錢包、礦池和智能合約的嚴重安全漏洞，以加密錢包為例，他們認為市面上八成都存在問題。而今日所發現的漏洞也并非是EOS獨有的，目前基本所有的區塊鏈智能合約如以太坊可能都會面臨此類問題。
也就是說，這類型的安全問題不僅僅影響EOS，也可能影響其他類型的區塊鏈平臺與虛擬貨幣應用。
他們此次報告這個漏洞，主要是想引起區塊鏈業界和安全同行在這類問題的安全性上更多的重視和關注。（也有人說他們是要進軍區塊鏈）
某位區塊鏈圈中的安全大佬認為，此次EOS的漏洞只是剛剛開始，還是站在開源代碼的基礎上的，所以安全同行能發現各種問題，提前修補，EOS官方的態度也比較正確。但目前依然有很多藏著掖著不開源的同行，安全問題其實一點沒少。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
