TokenInsight：数十万EOS被盗原形复盘_数字货币

[2021-02-11 00:52:57] 来源：编辑：wangjia 点击量：

评论 点击收藏

导读： 相较于其他部分公有链，EOS 区块链并不记录失败的交易，浏览器也无法查询，这是 EOS 在架构设计方面的缺陷。 “中本聪”被捕：后真相时代的财富阴谋币圈10年未解之谜，如今要尘埃落定？本世纪“最大泡

相较于其他部分公有链，EOS 区块链并不记录失败的交易，浏览器也无法查询，这是 EOS 在架构设计方面的缺陷。

“中本聪”被捕：后真相时代的财富阴谋

币圈10年未解之谜，如今要尘埃落定？本世纪“最大泡沫”比特币真的要完？

北京时候 2018 年 12 月 19 日凌晨，EOS 收集中，包括 BetDice 在内的数个游戏 DApp 遭遇黑客进击，丧失数十万枚 EOS 通证。

TokenInsight 以为本次事宜是由于部份游戏 DApp 为加强游戏体验，在自建节点中运转 DApp，致使链上数据同步时涌现毛病。

由于部份代码和数据未被公然，进击的重现难度较高。据 TokenInsight 推演，黑客大概的进击手腕以下：

EOS 被盗流程推演图

泉源：TokenInsight

1. 黑客向 DApp 发送介入游戏的要求；

2. 黑客直接向 BP 节点发送作废游戏的要求，或使账户余额不足而致使转账失利；

3. DApp 将黑客的游戏要求发送至 BP 节点，并在自建节点上运转黑客的游戏效果，若运算出玩家胜利的效果，则向 BP 节点发送赋予玩家嘉奖的要求；

4. BP 节点前后收到“黑客作废游戏”要求、“DApp 发送游戏”要求、“DApp 赋予游戏嘉奖”要求。由于时候次序和转账争执的缘由，“黑客作废游戏”要求被实行，而“DApp 发送游戏”要求实行失利，“DApp 赋予游戏嘉奖”要求被实行。

5. 黑客收到 DApp 的转账，一次进击完成。

起首，应对该种进击手腕，可将 DApp 读取的状况数据改成 read-only 形式，read-only 形式下数据库包括传入区块的变动，但不影响 speculative 生意业务处置惩罚。

另外，关于此次 EOS 的平安事宜，Anchain CEO Victor 指出，Anchain 在 Ethereum 以及 EOS 有关平安的问题上有着较雄厚的履历与手艺积聚，而且也供应有关代码的平安检测效劳，此次的平安事宜是完全能够防止的。比方，DApp 能够运用 ref_block 功用，在给玩家发放嘉奖前，推断用户是不是真的转账胜利。同时，Victor 还指出，这个平安问题背地还暴露出了在 EOS 中越发严峻的问题，相较于其他部份公有链，EOS 区块链并不纪录失利的生意业务，浏览器也没法查询，这是 EOS 在架构设想方面的缺点。

比特币官网：www.btcmoney.cc

比特币； https://www.btcmoney.cc/detail/6006.html