DAPP:復盤數十萬 EOS 被盜過程，背后是其架構設計缺陷？_DAP

北京時間2018年12月19日凌晨，EOS網絡中，包括BetDice在內的數個游戲DApp遭受黑客攻擊，損失數十萬枚EOS通證。

TokenInsight認為本次事件是由于部分游戲DApp為增強游戲體驗，在自建節點中運行DApp，導致鏈上數據同步時出現錯誤。

因為部分代碼和數據未被公開，攻擊的重現難度較高。據推演，黑客可能的攻擊手段如下：

EOS被盜流程推演圖

來源：TokenInsight

主力成交數據復盤：1097萬張主力賣出確認5分鐘周期三角形破位:AICoin PRO版K線主力成交數據顯示：BitMEX XBT永續合約在5月21日00:00-16：00做5分鐘周期中做三角形震蕩。

16:10分，價格接近平臺下沿支撐線線并很快跌破。跌破后的20分鐘內，共計有6筆，共計1097萬張主力賣出；有3筆，共計440萬張主力買入，成交差-657.75萬張。較多的主力賣出跟進可以判斷該周期的三角形突破為真跌破。

隨后的16:40，比特幣再次下跌，最低一度跌至9250美元。[2020/5/21]

1、黑客向DApp發送參與游戲的請求；

主力成交數據復盤：此輪拉升主力在Bitfinex:AICoin PRO版K線主力成交數據顯示：過去24小時，比特幣持續拉升，現貨價格曾一度逼近9000美元。

在拉升過程中，Bitfinex的主力買入了185筆，共計5638.89BTC；主力賣出僅81筆，共計2339.35BTC，主力買賣成交差3299.53BTC。

幣安成交差-855.51BTC，火幣成交差442.87BTC，OKEx成交差-265.87BTC。

明顯，此輪拉升主力在Bitfinex。[2020/4/30]

2、黑客直接向BP節點發送取消游戲的請求，或使賬戶余額不足而導致轉賬失敗；

復盤：兩條趨勢線突破均有主力買入成交確認:AICoin PRO版K線主力成交數據顯示：23日20：35~23日21：35，比特幣價格運行至4月19~23日四小時周期的下降趨勢線（7305-7189）以及4月7日~23日四小時周期的下降趨勢線（7475-7189）附近，并分別于20：35和21：35完成突破。

20：35第一條趨勢線突破，突破前后，有4筆，共計950萬美元主力買入成交；21：35第二條趨勢線突破，突破前后，有7筆，共計1003萬美元的主力買入成交。主力大單的迅速跟進確認了兩條下降趨勢線的突破。

隨后，不斷有大買單跟進說明了趨勢還在持續，直到22：25分出現一筆500萬美元的大賣單，趨勢告一段落。[2020/4/24]

3、DApp將黑客的游戲請求發送至BP節點，并在自建節點上運行黑客的游戲結果，若運算出玩家勝利的結果，則向BP節點發送給予玩家獎勵的請求；

4、BP節點先后收到「黑客取消游戲」請求、「DApp發送游戲」請求、「DApp給予游戲獎勵」請求。因為時間順序和轉賬沖突的原因，「黑客取消游戲」請求被執行，而「DApp發送游戲」請求執行失敗，「DApp給予游戲獎勵」請求被執行。

5、黑客收到DApp的轉賬，一次攻擊完成。

首先，應對該種攻擊手段，可將DApp讀取的狀態數據改為read-only模式，read-only模式下數據庫包含傳入區塊的更改，但不影響speculative交易處理。

此外，關于此次EOS的安全事件，AnChainCEOVictor指出，AnChain在Ethereum以及EOS有關安全的問題上有著較豐富的經驗與技術積累，并且也提供有關代碼的安全檢測服務，這次的安全事件是完全可以避免的。比如，DApp可以使用ref_block功能，在給玩家發放獎勵前，判斷用戶是否真的轉賬成功。同時，Victor還指出，這個安全問題背后還暴露出了在EOS中更加嚴重的問題，相較于其他部分公有鏈，EOS區塊鏈并不記錄失敗的交易，瀏覽器也無法查詢，這是EOS在架構設計方面的缺陷。

來源鏈接：mp.weixin.qq.com

本文來源于非小號媒體平臺：

TokenInsight

現已在非小號資訊平臺發布1篇作品，

非小號開放平臺歡迎幣圈作者入駐

入駐指南：

/apply_guide/

本文網址：

/news/3627096.html

EOS柚子

免責聲明：

1.資訊內容不構成投資建議，投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有，僅代表作者本人觀點，不代表非小號的觀點或立場

上一篇：

慢霧：破解造成BetDice項目恐慌的交易回滾攻擊手法

下一篇：

知道創宇攜手中信云合作案例獲評「2018企業服務案例TOP50」

Tags：APPDAPPDAPEOSAPPLE價格DAPPX幣blockchainresearchandapplicationleostoken

幣安交易所app下載