BET:席卷EOS游戲超500萬元的黑客攻擊，究竟是怎么一回兒事？_DAILY

12月18日晚間至19日凌晨，多個EOS頭部DAPP遭受攻擊。EOSMax、ToBet、BigGame和BetDice遭受交易回滾攻擊，分別損失55000EOS、22000EOS、14903.18EOS、200000EOS。此外，黑客利用重放攻擊漏洞向競猜類游戲TRUSTBET發起攻擊，獲利11501EOS。幾款游戲共損失303404.18EOS，以EOS單價18元來估算，合計約546萬元。遭受攻擊的幾款游戲基本為EOS頭部較活躍的競猜類游戲。據PeckShield報道，其中的競猜類游戲BetDice近一周日均活躍度超5,000人，交易額也在5,000萬EOS以上。PeckShield創始人蔣旭憲表示，這次攻擊背后是同一個團伙或個人。攻擊BetDice的賬號hnihpyadbunv創建了賬號eykkxszdrnnc，用來攻擊EOSMax與BigGame。賬號eykkxszdrnnc又創建了子賬號kfexzmckuhat用來攻擊ToBet。攻擊成功后，再頻繁創建子賬戶轉移所得資產。對于這次攻擊，蔣旭憲向Odaily星球日報表示，ECAF追回盜取的EOS預計難度比較大，目前已經牽涉到1808個賬戶，數量還在增長中。這次攻擊究竟是怎么回事兒？

以太坊信標鏈待定驗證者數量達3.345萬，創歷史新高:5月11日消息，據21Shares研究分析師Tom Wan在社交媒體披露數據顯示，以太坊信標鏈上的待定驗證者數量已達到3.345萬，創下歷史新高。與此同時，當前只有1個驗證者在退出隊列，約4180個驗證者在提款隊列。

此外，到目前為止以太坊已經處理了超過300萬筆部分提款（獎勵）和46000筆全部提款交易（其中70%來自Kraken、Coinbase、Binance等CEX）。值得注意的是，Lido已經從部分提款中獲得了約27.4萬枚ETH，可以隨時用于兌現任何贖回。[2023/5/11 14:56:37]

PeckShield安全人員認為，EOSMax、ToBet、BigGame和BetDice這四款競猜類游戲被攻擊事件，均和EOSNode存在漏洞有關。持有同樣看法的還有EOSMAX，據IMEOS.ONE報道，EOSMAX發布公告，稱是由于EOSNode存在漏洞導致，并非游戲合約存在漏洞。據業內不具名人士向Odaily星球日報透露，這次交易回滾攻擊與項目方的nodeos開啟了speculativemode有關，開發者需要關閉該mode來避免攻擊。對于這次交易回滾攻擊的具體過程，MEET.ONE的負責人Goh向Odaily星球日報表示，認為此次攻擊過程如下：1.黑客通過攻擊合約賬戶A向游戲合約B轉賬下注，游戲合約實時開獎，給賬戶A發放獎勵。2.游戲合約B使用的節點開始往EOS網絡同步這筆交易C。3.攻擊合約賬戶A執行assert，超級節點未打包交易C，所有節點回滾交易C。4.黑客獲得交易C的數據，如果下注勝利，正常執行交易C，如果失敗開始下一次攻擊。幣乎的“胖哥”分享了佳能和MYKEY技術團隊對本次回滾攻擊調查方式推演的一個推斷：攻擊方式是抓住了DAPP節點讀寫沒有分離的漏洞，黑客直接運用DAPP讀的節點去發送交易，那么該節點會最早執行合約邏輯計算DICE結果，如果黑客贏那就不做任何操作，等該節點廣播同步到塊節點就贏了。如果黑客輸了，黑客同時發送一筆轉賬操作到目前正出塊主節點，讓賬號余額不足以完成先前的那筆交易，那么先前的那筆交易就會被廢棄，那么黑客就不會輸了。綜上運用的方式還是傳統的方式：雙花！DAPP應該自查一下是否講讀寫分離以及讀節點設置成read-only。目前，據IMEOS.ONE報道，此前因遭受交易回滾攻擊而暫停運營的EOSMax，經過團隊調查、與BP商討解決方案，已經成功修復問題，目前已恢復服務。團隊將采用讀寫分離的方式來修復該問題，讀取采用read-only的節點，寫入采用另一個節點以規避回滾交易漏洞。此外，對于TRUSTBET遭受的重放攻擊漏洞，PeckShield安全人員認為這是一種最早出現于EOSDApp生態初期的攻擊形態，由于開發者設計的開獎隨機算法存在嚴重缺陷，使得攻擊者可利用合約漏洞重復開獎，是一種較低級的錯誤。業內人士怎么看？

zkSync 2.0測試網即將進行重置:10月25日消息，以太坊Layer 2擴容解決方案zkSync 2.0測試網即將進行重置，本次重置將依然會清除交易歷史、代幣余額并需要開發人員重新部署合約。[2022/10/25 16:38:23]

對于這次攻擊，MEET.ONE的負責人Goh向Odaily星球日報表示，這已經不是EOS第一次被攻擊了，甚至攻擊的手法和發現的漏洞都不算有技術難度。只能說EOS生態發展地非常快，但項目的研發能力和安全能力相對滯后。對于EOS上的項目而言，生產環境就是最好的測試環境，不斷地遇到問題后需要不斷地迭代。”純白矩陣創始人吳嘯向Odaily星球日報表示，EOS的愿景是不錯的，但是需要更加穩定可能才更適合開發者。目前EOS的機制設計方面存在隱患，比如可以替換合約，對開發者的權限限制不足。此外，EOS還存在BP的反映時間長等問題。不過，最近EOS發布側鏈，BM又推出wasm解釋器、掃碼登錄PC端的Dapp，在安全方面會有所提升，會對EOS持續關注。對于這次攻擊，還有人從EOS生態的角度給出了觀點。DappReviewCEO牛鳳軒向Odaily星球日報表示，這是一起非常大的安全事故，但是從今天早上開始看到，節點和多個發生被攻擊的游戲項目方開始合作，研究如何解決問題。而且，BetDice還友好地提醒了自己的競爭對手。這些良性的行為對于EOS的生態建設很有幫助。我是Odaily星球日報的齊明，探索真實區塊鏈，日常喜歡和各路大神聊天。項目交流、爆料請加微信qingmoruoshui，煩請備注姓名、公司、職務。轉載/內容合作/報道聯系report@odaily.com；違規轉載法律必究。

奇點未來科技公司宣布收到納斯達克退市通知和請求聽證的意向:金色財經報道，美股上市公司奇點未來（SGLY）宣布，2022年10月3日公司收到納斯達克股票市場上市資格部門的通知，通知稱除非公司及時要求納斯達克聽證會，否則公司的證券將被除名。因此，本公司打算及時要求聽證會。聽證請求將在2022年10月25日之前暫停任何退市或暫停行動。

據悉，奇點未來由于延遲提交截至2022年3月31日的10-Q表格季度報告而不符合納斯達克上市規則5250（c）（1），并被要求在60天內提交一份計劃以重新獲得遵守。根據對合規計劃的審查，以及與公司外部律師和公司董事會特別委員會律師的電話交談，納斯達克工作人員確定，公司沒有提供明確的計劃，證明其有能力在工作人員根據納斯達克上市規則可利用的180個日歷日期限內提交截至2022年3月31日的10-Q表季度報告和截至2022年6月30日的10-K表年度報告。[2022/10/13 10:33:00]

南昌八一起義紀念館發行《歡慶勝利》數字藏品獻禮建軍95周年:金色財經報道，據南昌八一起義紀念館官方公眾號，為慶祝中國人民解放軍建軍95周年，傳承紅色基因，南昌八一起義紀念館推出《歡慶勝利》數字藏品，獻禮“八一”建軍節。[2022/8/2 2:52:36]

Tags：EOSBETDAILYODAeos幣柚子已經確定跑路BETR幣DAILYS幣Kodachi Token

MEXC