【博狗扑克】黑客盯上区块链代码漏洞 虚拟货币成偷盗新目标

 

“如果说传统意义上的货币仰仗国家信用而有价值，那么加密数字货币的存在仰仗博狗扑克技术的信用。”9月6日，在由众享比特等合作主办的ISC2018博狗扑克与网络安全论坛上，山东警察学院侦查系网络犯罪侦查教研室副主任张璇表示，由于博狗扑克技术代码中漏洞相继被发现，以及对应的一些安全事件，逐步打击着人们对博狗扑克技术的信心。

 

此前认为，博狗扑克技术由于分布存储、加密算法等技术的应用，拥有了不可篡改、可追溯等被认为是“万无一失”的特性。然而，该特性主要针对存储在区块中的信息来说，以文中开头的案例为例，博狗扑克技术保障了可以追溯到这64亿转移到了哪里，黑客的操作也会被系统不可篡改地记录，却并不能“拒绝”黑客对底层代码的篡改，保护虚拟数字货币。

 

博狗扑克技术本身存在漏洞可以被利用。“利用博狗扑克技术，成了犯罪分子非法获利的新手段。”张璇说，甚至有人表示，博狗扑克技术已经了引发经济犯罪的革命。面对新手段带来的新挑战，该如何应对，以维护博狗扑克技术的长远发展？

 

虚拟货币成偷盗新目标

 

不久前，一部名为《瞒天过海：美人计》的偷盗题材电影上映，讲述一众美女偷盗高手，盗取一条价值1.5亿美元的钻石项链的故事。

 

相较于发生在币圈的偷盗事件，这条项链的价值就不那么令人咂舌了。例如今年3月30日，我国警方破获的一起虚拟货币偷盗事件中，3名供职于国内知名网络公司的黑客侵入受害人张某电脑，将价值6亿元的比特币、以太坊等虚拟货币洗劫一空。

 

过去盗贼的目标是金银珠宝、成沓钞票，如今只要稳坐电脑前，动动手指，通过虚拟货币的窃取就可能“致富”。加密数字货币，成了高科技犯罪的新目标。世界各国均备受困扰，资料显示，在价值5.3亿美元的代币被盗后，日本16家加密数字货币交易所打算成立一个自我监管小组，自省自查系统漏洞。

 

360集团信息安全部王伟波表示，目前公开的针对非个人电脑的对公链和交易所的攻击行为已公开的有57次，并造成了10亿美元的损失。但他认为这只是“冰山一角”，大量的攻击由于会对交易所的信誉造成负面影响不会被公开，损失也会被交易所自行消化。

 

除了窃取，虚拟货币也沦为犯罪分子的工具。“比特币成为洗钱工具，并衍生出了‘专业水房’。”张璇说。她列举了一个实际发生的案件：受害人在QQ上认识了嫌疑人，他自称是在伊拉克打过仗的军人，希望受害人帮他代收邮包，代收邮包需要80万美元保证金。受害人把资金打给专门做比特币交易的王某，王某支付给嫌疑人比特币，对于嫌疑人来说并未留下收钱的诈骗证据，而比特币交易的王某处有大量的资金进入，增加排查难度。

 

“比特币（目前黑市承认的加密数字货币大多为比特币）的参与，使得警方破案追寻资金链条的方法可能就要失效了。”张璇说，在工作中，深感案子不好查了，追查罪犯的难度大大增加。

 

更有甚者，犯罪分子不在是一个人或一个团伙，而是一个正常经营的合法企业。张璇介绍，一个技术运维公司开发了一个木马病毒，安装在自己负责运维的客户机器上，机器内存占用不多时就启动挖矿程序，被发现前已挖得数字货币5000多枚。经统计，该公司非法控制了全国300多万台机器。“这种违法行为的法律定位至今仍非常模糊。”张璇说，新的犯罪态势敦促着法律、法规的健全，提醒执法人员不断更新知识储备。

 

每日三省吾身查漏补缺

 

“我们可能不知道黑客怎么攻击，但是应该把每个细节的安全做好。”王伟波表示，对自身漏洞的排查，可以将安全风险降到最低，甚至提前预防问题的出现。

 

如同一场攻防战，一旦掌握了博狗扑克技术的“命门”，黑客分子的外部攻击将一发不可收拾。而“加固城墙”“严查堵漏”则是防守方以不变应万变的有效方法。

 

据王伟波介绍，黑客对博狗扑克技术的攻击可发生在应用层、合约层、激励层、数据层等六个不同层面。对不同层面的攻击手法不同，造成的后果也不同。

 

越底层的攻击，越可能“牵一发而动全身”。例如，对数据层的攻击将带来整个博狗扑克而非一个节点的变化。今年5月份，因攻击者篡改了某博狗扑克生成的时间，导致挖矿难度下降，劫持了整个主链，导致攻击者获取了大量的代币。

 

因此，360安全团队就从黑客攻击的六个方面入手进行了研究，分别找出漏洞，并“开出药方”。通过对某公链和交易所进行了安全测试，360安全团队发现42个漏洞，其中可以影响到用户账户安全的高危漏洞29个。

 

除了排查漏洞，团队还对黑客的一些攻击进行了深入测试，并编写《公链渗透测试白皮书》。王伟波说，白皮书会不久后进行发布，其中将分析一些安全事件，以博狗扑克攻击为切入点，深入分析黑客的攻击手法，以及针对不同的攻击，怎么做好安全防护。

 

王伟波认为，博狗扑克产业正处于发展比较前期的阶段，目前安全方面还存在很多问题。博狗扑克技术的发展，安全方面是硬需求，需要构建博狗扑克安全生态，从数字货币钱包、智能合约等不同产品上着力，同时，还需要从矿池、交易所等数字货币产生的节点上实施动态防范。

 

盲目上马博狗扑克项目不可取

 

“我们除了让博狗扑克技术本身更扎实，更值得信赖之外，还面临一个博狗扑克的链上数据与现实数据衔接的问题。”中国信息通信研究院云计算与大数据研究所部门主任魏凯表示，每个行业使用博狗扑克时都有自己的痛点，例如溯源行业，如何确保上链的数据，对应的正是要追溯的产品，而不会被“掉包”？

 

写到链上的信息是不是真实的，能够准确反映现实的。这是博狗扑克技术解决不了的，而必须依靠链外的手段保障，例如制度体系。魏凯认为，目前配套体系是缺乏的。

 

“要上马博狗扑克应用，应该先问4个问题。”魏凯说，“任务要不要记录数据？记录的数据是不是必须多方参与？参与的多方能不能互信？如果找不到可以信任的，那么，就可以考虑抛弃原有载体，使用博狗扑克技术。最后一个问题，能够容忍它与中心化系统相比效率较低的特性吗？”

 

魏凯解释，使用博狗扑克的成本也非常高，因为它是一个封闭式的系统，效率肯定没有中心化的系统效率高，目前，在使用时，博狗扑克技术没有明显的效率优势。

 

魏凯用“焦虑症”形容目前产业界、甚至政府对博狗扑克的态度。“现在有二十几个省市发布了与博狗扑克有关的激励刺激政策，很多地方盖起了博狗扑克大厦，入驻这些大厦的企业有没有挖掘出什么非得用博狗扑克不可的场景来呢？这个问题值得大家深思。”魏凯认为，除了博狗扑克技术本身的完善外，政策、法规、验证等体系仍需要进一步推动建设。为此，中国信息通信研究院于4月9日，联合158家企业发起了“可信博狗扑克推进计划”，推进技术标准、行业应用和政策法规等工作，以期逐步完善博狗扑克发展的有利生态。

 

文章来源科技日报