链资讯 链资讯
Ctrl+D收藏链资讯

BTC:对话头部安全公司,为什么受伤的总是跨链桥?_比特币

作者:

时间:

8月10日晚间,跨链互操作性项目PolyNetwork突遭黑客攻击,损失金额高达6.1亿美元。如果按照事件发生时相关资产的市场价格计算,这不仅仅是DeFi历史上涉案金额最大的黑客事件,更是整个加密货币历史上涉案金额最大的黑客事件。

尽管在各方的持续努力之下,黑客最终选择了归还全部6.1亿美元赃款,但作为一起注定会被记入加密货币历史的惊天大案,针对该事件本身及其相关趋势进行复盘和梳理仍有着较大的警示意义。回顾本次事件,黑客的攻击手法基本已被刨析完毕,慢雾方面指出,酿成本次事件的祸因在于EthCrossChainData合约的keeper可由EthCrossChainManager合约进行修改,而EthCrossChainManager合约的verifyHeaderAndExecuteTx函数又可以通过_executeCrossChainTx函数执行用户传入的数据。如果跳出个体案件,去探寻更高层级的宏观趋势,PolyNetwork一案再次佐证了黑客群体已将目光聚焦在了跨链协议这一新兴赛道之上。根据PeckShield的统计,截至8月12日,2021年第三季度共计发生了19起DeFi安全事件,其中跨链相关协议共六次被黑,除了PolyNetwork外,还有ChainSwap、AnySwap、THORChain等。从数额上看,即便是不计入数额爆表的PolyNetwork事件,资金损失总额也高达3280万美元,高于其他所有类别。

数据:币安稳定币储备已降至65亿美元左右,较去年11月下跌75%:金色财经报道,据区块链分析公司Glassnode数据分析显示,币安稳定币储备已有较大幅度减少,从2022年11月的260多亿美元急剧下降到当前的65亿美元(降幅高达75%)。这部分降幅主要是由美国证券交易委员会对BUSD的投诉所驱动,导致BUSD发行方Paxos切换至仅限赎回模式。此外,对于Coinbase来说,净储备的变化要小得多,稳定币的余额在本周持平,BTC的余额只减少了2300枚(占总数的0.5%)。[2023/6/14 21:36:38]

究其原因,PolyNetwork事件的黑客曾通过转账附加信息提到攻击动机——因为跨链攻击很“火”!

对话题进一步延伸:为什么跨链相关协议如此容易遭到攻击?跨链桥到底该如何平衡效率与安全性?在安全形势愈发严峻的当下,项目方、用户等不同角色需要注意些什么?倘若真的发生了极端事故,又有哪些行之有效的弥补手段?为了找到这些问题的答案,Odaily星球日报特采访PeckShield、BlockSec等知名安全公司。作为深耕DeFi安全的专业人员,他们会给出什么样的答案?Q1

英国央行副行长:正在探索货币Token化的方式:金色财经报道,英格兰银行副行长Jon Cunliffe在伦敦市政厅举行的创新金融全球峰会上探讨了中央银行如何确保英国的经济未来,以及数字货币和资产是否是答案。Jon Cunliffe表示,社会正在逐渐远离公共发行及英银行实物货币,而转向电子货币。这是因为日常生活的数字化,Pay.UK的新支付架构、实时全额支付系统、高价值支付系统的实施,以及在IFGS上宣布的开放银行框架的扩展和加密货币世界中完善的技术,如代币化、加密、分销、原子结算和智能合约。

Cunliffe还讨论了正在探索货币 Token 化的四个领域:用于支付的稳定币、商业银行存款的代币化、英格兰银行发行数字英镑的工作以及该银行确保这些新形式的货币是稳健和统一的。[2023/4/18 14:11:07]

Odaily星球日报:为什么跨链相关协议频繁被黑?是因为当前的技术方案尚不成熟?或是此类合约的潜在隐患难以侦测吗?PeckShield:跨链协议是个新兴领域,它打破了链与链之间信息孤岛的壁垒,但仍需要经受时间的考验。ChainSwap协议遭遇攻击是因为合约本身存在漏洞,向AnySwap被攻击则是因为跨链的私钥管理出了问题,PolyNetwork被攻击也是因为合约漏洞。这给了所有跨链协议一个警示,需要提升对合约的查缺补漏和以及私钥管理授权安全的重视。

Decentraland将于明年3月举办第二届元宇宙时装周:12月6日消息,元宇宙平台Decentraland将于2023年3月28日至3月31日举办第二届元宇宙时装周。2023年活动的主要新增内容包括物理和数字桥梁、对品牌的支持,最值得注意的是虚拟世界之间的互操作性。MVFW将首次使数字馆藏能够在其他数字平台之间迁移;除了Decentraland之外,设计师还可以出现在Spatial和Over metaverse中。根据Decentraland官方推特,其正在召集有意参与该活动的时尚品牌、设计师和零售商。

此前消息,Decentraland于今年3月份举办了其第一届元宇宙时装周,Dolce & Gabbana、Selfridges、Tommy Hilfiger、Jacob & Co.等知名时尚品牌参加了该活动。(Vogue Business)[2022/12/6 21:25:29]

BlockSec:我觉得有多个原因。第一个是有利可图。由于跨链桥中往往存在大量的数字资产,因此成为攻击者眼中的香饽饽。第二个是跨链桥的整个流程比较复杂,涉及到多条链和多个合约之间的交互,而这些安全风险的监测需要通过对跨链桥做整体安全评估分析。对某一个模块的审计和分析并不能完整覆盖全链路的安全风险,需要一些新的安全思路和解决方案。Q2

街机鼻祖雅达利Atari将使用Co:Create平台推出Web3游戏代币:12月2日消息,街机鼻祖雅达利Atari将使用Co:Create平台推出Web3游戏代币,该平台将为Atari X项目的游戏代币构建区块,并持续支持符合社区期望的代币计划,同时通过高度可配置的智能合约和易于使用的仪表板来设计、部署、管理和监控Atari品牌原生代币。在接下来的几个月里,Co:Create将为其平台添加新功能,包括代币奖励和实用型智能合约扩展、基于游戏角色的合约许可、以及其他开发者工具。

此前报道,雅达利Atari品牌代币ATRI计划于2022年底前发行。(venturebeat)[2022/12/2 21:16:46]

Odaily星球日报:在PolyNetwork一案中,社区质疑的一大焦点为其合约是否只有一名Keeper,尽管事后已经证明了该说法并不准确,但关于效率及中心化的平衡仍值得我们深思。在跨链相关服务中,是不是说跨链执行效力越高就会越中心化?中心化与不安全是划等号的吗?PeckShield:跨链协议是基于区块链底层技术构建的,这就意味着它不仅会带有区块链技术的特性,也会携带技术本身的“不可能三角”,即不能同时兼顾“去中心化”、“安全性”、“交易处理性能”这三个特性。BlockSec:原先孤链之间资产转移基本是通过中心化交易所来实现,跨链桥本就是通过侧链的应用来提升资产跨链的去中心化和执行效率,就技术而言是一种进步,也是业界为了摒弃绝对中心化而做的技术努力。跨链执行效率和中心化并不存在因果逻辑关系,而跨链桥的中心化和不安全更没有直接关系了,中心化是否安全主要取决于中心化实体的安全性。从坏的方面来说,存在单点安全威胁问题,但是从好的方面来说,只要中心实体的安全保障做的高,那么安全性是可以得到保障的。总体来说,还是取决于项目方的安全防御举措是否到位,尤其在安全公司参与审计时,需要判断审核,服务供应商是否存在超高权限及其进行RugPull的可能性,因为这样的操作权限设置,很可能在供应商私钥被盗或者遗失的情况下,造成大量资金的非法转移。Q3

DeFi协议Shell Protocol v2版本已上线Arbitrum One:9月13日,据官方消息,DeFi协议Shell Protocol v2版本已上线Arbitrum One。

此前消息,Shell Protocol表示,Shell v2版本可以批量处理复杂交易,并且更新过的AMM函数曲线将提高流动性池的交易效率。[2022/9/13 13:26:11]

Odaily星球日报:在项目接连出事的大背景下,项目方应该怎么办?可以采取哪些措施来规避风险?PeckShield:跨链桥生态的愈发多样化、丰富化,使得在其之上进行的交易、资金量也会随之大幅增长。例如PolyNetwork在遭受攻击之前,跨链资产转移的规模已经超过100亿美元,使用该跨链服务的地址数量也超过了22万个,这也就吸引了黑客对于跨链协议的关注,再加上跨链桥本身就是黑客资金出逃的重要环节,因此也会成为黑客攻击的目标。

对于项目方来说,首先寻求专业机构有效地排查出已知的漏洞,为协议的安全筑建第一道防线。其次,还要注意排查与其他DeFi产品进行组合时的业务逻辑漏洞,避免出现跨合约的逻辑兼容性漏洞。再然后,还要设计一定的风控熔断机制,引入第三方安全公司的威胁感知情报和数据态势情报服务,在DeFi安全事件发生时,能够做到第一时间响应安全风险,及时排查封堵安全攻击,避免造成更多的损失。最后,应联动行业各方力量,搭建一套完善的资产追踪机制,实时监控相关虚拟货币的流转情况。运维安全。BlockSec:将安全引进设计中也就是我们通常说的securitybydesign,而不只是安全审计。应该在设计阶段引入第三方安全公司来一起评估安全风险。项目技术代码开源从长周期看也是化解未知风险的一种必要性。对链上情况保持持续监控,能及时感知链上异常事件,从而在损失扩大之前及时阻断。Q4

Odaily星球日报:跨链的需求一直存在,且势必会越来越旺盛,对于用户来说,他们应该怎么办?怎样选择安全且合适的跨链桥?PeckShield:需要说明的是,在发生此类安全事件时,损失最大的往往是为跨链提供资金流动性的LPs,我们的建议是做好项目背调,不要轻易将资产投入到没有审计过的项目中,包括正在进行审计但尚未完成的项目。再者,就是对于跨合约的协议,不要过度授权,包括项目相关方对跨链协议也不要过度授权。Q5

Odaily星球日报:当发生极端安全事故后,有哪些行之有效的弥补手段?PeckShield:当发生极端安全事故后,首先是项目方和相关方联动启动一级响应,追溯事故根源,同时追踪被盗资产流转情况,及时排查封堵安全攻击,避免造成更多的损失;实时监控相关虚拟货币的流转情况,联动中心化机构拦截、围堵被盗资产,尽可能挽回部分被盗资产;事后要准备完备的补偿方案,弥补用户损失;或者,设置比较可靠的保险方案。BlockSec:协同上下游业内资源,及时追踪被盗资产流向,并挽回损失,尤其是占据大多数流通性的交易所或稳定币方面,能在赃款风控上更有效阻断。评估项目的整体安全性,引入第三方安全公司从安全视角整体审视项目设计,考虑到跨链项目的复杂性,应加大安全审计力度。小结

PeckShield和BlockSec的回答为我们大致揭露了跨链相关协议当前所面临的安全挑战。综合来看,跨链相关协议之所以容易屡遭攻击,大致可分为三层原因,一是随着赛道的高速发展,其承载的资金量也在快速膨胀;二是赛道仍处于新兴阶段,各项细节仍待优化;三是跨链相关协议往往涉及到多条链和多个合约之间的交互,流程上相对复杂,风险点较多。对于普通用户来说,现在所面临的情况在某种程度上和去年DeFi起步之初有些类似,在权衡收益及风险需要更加慎重,优先选择审计状况更为完善、业务顺利运行更久的协议。而对于身处一线的项目方来说,一方面要吸收过往事件的经验,针对性地查漏补缺;另一方面也要主动进行安全升级,方法包括但不限于委托更多安全公司进行审计,及时跟进底层公链的升级和变化,整合Lossless等衍生安全方案,寻求与NexusMutual等保险协议的合作,像cBridge那样探索非合约型流动性锁定方式等等……最后,我们想要呼吁所有相关从业人员,包括ChainSwap、AnySwap、THORChain、PolyNetwork等受害项目方不要丧失信心,新兴赛道的起步初期总是会伴随着阵痛,随着多链格局的日渐稳固,跨链势必会愈发蓬勃,黑客的“青睐”已侧面证明了这条赛道的价值,希望各位不要因为这颗绊脚石而停下了前进的脚步。

标签:BTC比特币POW以太坊RENBTCCURVE价格比特币多少美金一枚powr币创始人以太坊币最新价格行情

酷币交易所热门资讯
比特币:一文解析算法稳定币的应用现状_稳定币

在加密货币的市值排行中,前十的币种中已经有三种是稳定币,它们分别是USDT、USDC、BUSD,均有美元进行抵押。即使是在市场表现较弱的情况下,稳定币市场也能持续增长.

NFT:七大核心议题重磅揭晓,NFT硬核玩家强势来袭! |「 N-POWER 」NFT加密线上论坛_FLO

延伸阅读:专题|第一届OdailyNFT线上加密狂欢节2021年,在NFT的风口效应之下,链游、加密艺术、IP赋能等细分领域创新不断,元宇宙更是成为行业的终极愿景.

NFT:「相比于PoW,PoS会让富人更富」的论点可靠吗?_NFT4Play

对PoS(权益证明)共识算法的一种常见批评是它让「富人更富」,大致可以解释为「规模经济有利于既有的富人,而不利于资源匮乏的人」.

Chain:买NFT不如自己创作?12岁男孩在一天内赚取80枚ETH_HAI

Odaily星球日报译者|余顺遂WeirdWhales是12岁程序员BenyaminAhmed于今年7月发布的第二个NFT收藏品,在不到一天的时间里3350条像素鲸鱼售罄.

TAL:一周融资速递 | 23个项目获投,已披露融资总额约3.36亿美元(8.23-8.29)_BCAPS币

经Odaily星球日报不完全统计,8月23日-8月29日当周公布的海内外区块链融资事件共23起,较前一周前有所下降;已披露融资总额约3.36亿美元,较上周呈下降趋势.

区块链:A16z的加密科普:这50+词汇你必须要学会_区块链的未来发展前景肖磊

区块链技术——以及它们启用的加密货币——有可能像30年前的互联网那样彻底地重塑世界。正如我们不需要了解TCP/IP是什么或数据包路由如何工作以使用万维网一样,我们也不需要了解加密的所有细节来使用.