区块链漏洞报告

㈠ 区块链钱包安全吗

可以说非常的不安全，区块链钱包相关的技术在国内已经失去了原本的技术意味。现在已经沦为圈钱的一种手段。所以对于这个方面的话，一定要非常的警惕，反正我个人来说不相信。

㈡ ag区块链到底出现了什么漏洞

终端漏洞风险：
这里的终端指的就是电脑、手机、平板等这些可以接触到区块链的终端设备。这大概是区块链本身之外最有可能存在的安全漏洞之一。

㈢ 目前区块链技术发展的主要问题

目前区块链技术还处于一个非常早期的阶段，不仅尚未形成统一的技术标准，而且各种技术方案还在快速发展中。但是过去被认为基于区块链技术的系统会非常耗费资源（类似于比特币），或者区块链技术的系统处理数据有限制之类的问题已经在技术上获得了突破。但是，对于区块链技术的可扩展性，还没有经过大规模的实践考验，而现在主要还停留在原型设计阶段，此外区块链行业极其缺乏人才。如果你想了解区块链可以去链播看看，那里每天都更新大量区块链资讯，并且还有区块链技术培训以及区块链相关活动，感兴趣的可以去看看。

㈣ 以太坊区块链ETH目前存在哪些问题

以太坊区块链目前暴露出三大问题，长时间以来其创始人Vitalik Buterin一直无力解读。第一是以太坊区块链整体很低的性能和TPS；第二是资源不隔离，CryptoKitties虚拟猫咪的事件，一度占据了整个以太坊 20% 的流量，直接造成以太坊网络用户无法展开及时的交易，就是资源不隔离最大的痛点；第三个问题在于以太坊治理结构的体现，区块链作为去中心化的分布式账本，以太坊过去以来，创始人团队主导了其网络发展，过于中心化的治理模式，让目前的以太坊出现了ETH、ETC、ETF等分叉，以太坊社区目前进入四分五裂的治理状态。而以太坊网络目前出现的各种弊病，在「aelf」创始人与CEO马昊伯看来，这是无法接受的。于是，「aelf」定位，就是为对标以太坊的下一代去中心化底层计算平台，重点解决目前以太坊存在的性能不足、资源不隔离、治理结构三方面的问题而诞生的。

㈤ 买了虚拟币却卖不出去！揭秘“百倍币”骗局

最近一段时间，虚拟货币的监管力度不断升级。5月21日，国务院金融稳定发展委员会明确提出要“打击比特币挖矿和交易行为，坚决防范个体风险向 社会 领域传递”。不久前，互联网金融协会、银行业协会、支付清算协会联合发布公告，要求会员机构不得展开虚拟货币交易兑换以及其他相关金融业务。

国家的禁令之下，一场虚拟币清退行动立即展开。虚拟币挖矿最为集中的地区之一“内蒙古”，5月25日公布了《关于坚决打击惩戒虚拟货币“挖矿”行为八项措施（征求意见稿）》，严格禁止虚拟币挖矿行为。

卖不掉的虚拟币

这并不是国家第一次这么大力度来监管虚拟币了。2013年，人民银行等5部委印发《关于防范比特币风险的通知》，禁止金融机构和支付机构开展比特币相关业务。2017年，人民银行等7部委发布《关于防范代币发行融资的公告》，指导地方政府排查清退涉嫌非法发行证券、非法集资的虚拟货币交易和代币发行融资平台。但此后，一些平台如火币、欧易等转移到境外，仍然面向境内居民提供服务。

今年上半年，随着虚拟币整体市值的暴涨，虚拟币已经成为了圈钱诈骗的重灾区，不少人都在高收益的诱惑之下参与境外平台组织的交易炒作活动，落入了别人精心布局的陷阱。

李女士：你看这是我当时截的图，卖出的时候它就显示交易失败。

李女士正在展示的这种虚拟币名叫TRTC，今年年初，这种虚拟币从一文不值，价格一路飙升。熟悉虚拟币投资交易的李女士看准了这个机会，在境外平台上用约合六千元人民币，买入了这种TRTC币。

李女士：我们都把这种币叫百倍币，你可以想想这个最开始的时候行情有多好，觉得它能涨一百倍。

李女士：没有怀疑，因为这个币主打的概念叫流动性挖矿，算是现在币圈一个新的投资风口吧，大家都在炒，没想过竟然最后不让卖了。

这位玩家告诉，这种TRTC币只能用另一种数字加密货币“以太坊”来购买。视频中，这位玩家正在通过手机上的App访问虚拟币交易平台，来买进以太坊，再买入TRTC币。但是在尝试把它卖掉时，系统出现了交易失败的提醒页面。

买了“百倍币”缘何不能卖？

这个虚拟币到底存在着什么问题？是交易系统出了临时故障，还是人为设计的圈套呢？

某区块链技术公司安全工程师李旋：池子里已经被全部掏空了，价值归零了，相当于把交易池里面所有的以太坊拿走，差不多有59个以太坊吧，价值是10万美金。

李旋：当时应该有挺多人来参与购买，但是卖出的话，我们其实可以看到只有这个尾号799的信息。

为何只有交易地址尾号是799的这名用户能够成功卖掉了币，而像李女士一样的其他投资者，却无一人成功卖出呢？这位799到底是谁？带着疑问，我们对TRTC币的源代码展开了分析。经过仔细的研究筛查，我们在长长的代码中，发现了这样一行小字。

李旋：在转账的函数里，其实有一个条件。最下边这一行能看到，发送者等于owner，也就是说只有owner（发行者）能卖出去，但是其他用户的话就只能买不能卖。正常的代码是没有这个限制的。

所谓的owner就是这个虚拟币的创造者。这处精心设计，让他自己成为了唯一一个有权卖出的人。不难看出，这位创造者正是尾号799的神秘用户。交易记录显示，最后一笔转走了资金池里所有以太坊的，也正是此人。

李旋：这种操作就把别人有价值的币诈骗过来了。普通用户不太懂的情况可能很快就会被吸引进去。

如何炮制“百倍币”？

看到这儿您肯定明白了，这是新技术之下一个彻头彻尾的骗局，利用的就是投资者们不懂区块链技术，却又盲目跟风投机的心理。那么这样骗钱的虚拟币到底是怎么发行上线的？为什么还能制造出暴涨的假象、引人上钩呢？

某区块链技术安全工程师冯昌盛：预计三分钟之内可以发行这个币。

冯昌盛：首先我们从主网随便复制一个代币代码，然后放到线上的IDE（编程软件）上，只要输入代币的名称，我们起一个名字叫ABCD。然后只需要点击“部署”，在交易所上架，设定一个初始价格1枚以太坊可以换10枚ABCD。现在已经成功了，那我们普通用户就可以在交易页面，直接找到这枚代币。

复制一段代码，改一个名字，设定一个价格，只需要几个简单的步骤，一枚虚拟币就成功上线交易平台进行买卖了。然而更让人意想不到的是，这种毫无价值的虚拟币不仅可以随意上线，还能肆意操控价格。

冯昌盛：我们代币发行，基本上所有的代币都在我们手上，就可以用我们手上巨量的代币去操控市场价格，相当于左手倒右手，把价格给拉高。

在这位技术人员的演示中，当他自己买进这种ABCD虚拟币的时候，交易平台的K线图立刻出现大幅上涨。反之自己卖出的时候，K线图又立即出现了下降。

左边是操作，右边是K线反馈

冯昌盛：在一个项目方的宣传洗脑之下，普通用户一看到价格升高，普通用户就会盲目跟风购买这个代币。当大量用户涌入购买这个代币的时候，项目方就会使用他持有的代币去砸盘。发布这种币是没有任何门槛的，去中心化的交易平台，任何用户都可以在这儿进行交易、发布代币，也不会核实代码有没有问题。

2020年虚拟币安全事件增长240%

国家计算机网络应急技术处理协调中心的统计数据显示，随着上半年虚拟币交易量的活跃，各类风险隐患也是层出不穷。

国家计算机网络应急技术处理协调中心吴震：很多不法分子利用虚拟数字货币进行洗钱或者非法资金转移，可能会对国家的经济秩序造成扰乱。甚至还有一些不法分子打着区块链的旗号进行诈骗。同时，现在我们收录了400多个漏洞，有漏洞就会被不法分子利用窃取相关的数字资产。

国家区块链漏洞库发布的报告指出，据不完全统计，2020年度区块链领域发生的安全事件数量达555起，相比于2019年安全事件增长了近240%；主要包括诈骗/钓鱼事件204起、勒索软件事件143起、交易平台安全事件31起。所造成的经济损失高达179亿美元，环比2019年增长了130%。

自新冠疫情以来，境外虚拟货币交易平台上的各类非法金融活动更加活跃。除了李女士遭遇的涉嫌非法发行证券的代币发行融资外，比较火热的还有虚拟货币远期合约交易，有数十倍到上百倍的杠杆率，本质上不过是“赌多空”的 游戏 。这类非法期货活动给参与群众带来巨额财产损失，时常有投机者爆仓的新闻报道，但虚拟货币交易平台在背后赚得盆满钵满。

别让炒作之风干扰区块链 健康 发展

炒币投机不等于高大上的理财，而是高风险的赌博，有的甚至是违反法律的行为。

对普通投资者而言，面对境外交易平台和庄家掌握信息、资金、筹码，拥有巨大的信息优势，最终难逃“被割韭菜”的命运，还需多一分冷思考。而对区块链的从业者而言，区块链技术创新也不等于炒作虚拟货币，如何让区块链技术脱虚向实，让“区块链+”在各个应用场景落地生根，为中国经济转型升级、实现高质量发展注入新动能，这才是技术创新的应有之义。

㈥ 360发现了区块链哪些史诗级漏洞

5月29日消息，近日，360公司Vulcan（伏尔甘）团队发现了区块链平台EOS的一系列高危安全漏洞。经验证，其中部分漏洞可以在EOS节点上远程执行任意代码，即可以通过远程攻击，直接控制和接管EOS上运行的所有节点。

区块链网络安全隐患亟待关注

EOS是被称为“区块链3.0”的新型区块链平台，目前其代币市值高达690亿人民币，在全球市值排名第五。

在区块链网络和数字货币体系中，节点、钱包、矿池、交易所、智能合约等都存在很多的攻击面，360安全团队此前已经发现和揭露了多个针对数字货币节点、钱包、矿池和智能合约的严重安全漏洞。

此次360安全团队在EOS平台的智能合约虚拟机中发现的一系列新型安全漏洞，是一系列前所未有的安全风险，此前尚未有安全研究人员发现这类问题。这类型的安全问题不仅仅影响EOS，也可能影响其他类型的区块链平台与虚拟货币应用。

360表示，希望通过这一漏洞的发现和披露，引起区块链业界和安全同行在这类问题的安全性上更多的重视和关注，共同增强区块链网络的安全。

内容来源 澎湃新闻

㈦ 第三代区块链将弥补以太坊留下的 Defi 漏洞

由于ETH 2.0 升级距离全面发布还有数月甚至数年的时间，第三代区块链协议正在迅速赶上取代以太坊作为 dapps 和 defi 的“首选”枢纽。

尽管很多人可能只是最近才发现它，但区块链技术已经存在了足够长的时间，可以从第一代协议发展到第二代协议，现在已经发展到第三代协议。

第一代区块链始于比特币，比特币是中心化金融服务霸权的替代方案。它为去中心化的金融生态系统奠定了基础，但比特币网络提供的功能有限，需要巨大的计算能力才能运行，并且严重缺乏互操作性。

这导致了 2015 年以太坊的出现，标志着第二代区块链协议的曙光。随着 Vitalik Buterin 在区块链上引入智能合约功能，它引发了范式转变，使加密货币能够从金融工具过渡到更实用的目的。

以太坊通过在链上实现数据和价值的“有条件转移”，打开了去中心化的金融 (defi) 的大门。从那以后，以太坊一直在疯狂发展，巩固了自己作为启动 dapps、NFT 和 defi 协议的首选平台的地位。

开发人员和采用者接受了复仇，并开始生成自己的ERC20令牌，这么多的社交媒体平台开始谈论的“flippening” -在ETH将超过BTC市值的条款。

然而，尽管它取得了成功，但问题很快在以太坊区块链上显现出来。随着新项目大量进入以太坊生态系统，网络开始面临可扩展性问题。Gas 费用飙升，有限的交易吞吐量成为日常问题。

以太坊的创造者 Vitalik Buterin 也表达了他对以太坊扩展能力的怀疑，他说：

虽然提议的以太坊 2.0 升级承诺解决当前使以太坊网络蒙上阴影的问题，但事情并没有按计划进行。ETH 2.0的第一阶段最初定于 2019 年推出，于 2020 年 12 月开始。还有两个阶段，在 2022 年之前完全发布的可能性很小。

因此，声称该网络在实现其成为世界“去中心化计算机”的核心愿景之前还有很长的路要走，这并不夸张。

尽管比特币和以太坊带来了创新，但这些链都受到各自的可扩展性和效率问题的困扰。同时，这两个网络都需要大量的计算资源才能运行。所有这一切都导致了令人痛苦的缓慢吞吐率和过高成本的永久循环。

已经开发了许多地方 2 层次扩展解决方案来克服比特币和以太坊的固有问题，每个解决方案都取得了不同程度的成功。二层解决方案在一定程度上解决了互操作性和可扩展性问题，但与共识机制和挖矿相关的核心问题还有待解决。

这就是第三代区块链出现的地方。虽然一些第三代协议可以补充现有的区块链网络，但其他一些是全新的区块链，拥有广泛的特性和功能。从多层架构到创新的共识机制，第三代区块链协议不仅完全能够解决出现的可扩展性问题，而且还具有高度的互操作性、快速性和成本效益。

不可否认，defi 热潮是因为以太坊而发生的，并且以太坊仍然主导着 defi 市场。然而，随着基于第三代区块链协议的新定义项目的出现，以太坊的权威无疑将受到挑战。

随着 defi 不断扩大其市场，下一个“Defi 热潮”很可能来自于比早期区块链网络创新更敏捷、更专注的新兴产业。也就是说，随着加密世界为“下一次大翻转”奠定了基础，有前途的项目正在排队等待更新的区块链技术。

在市场主导地位方面，Cardano、Solana 和 Polkadot 处于领先地位。每个平台都提供一系列功能，这就是为什么新项目联盟正在排队开始在这些平台上构建他们的想法。

例如，卡尔达诺的稳定币和 defi 中心Ardana使卡尔达诺能够扩展到 defi 领域。该平台及其组成协议是从定义宏观的角度设计的，旨在为用户提供所需的功能，以帮助维护卡尔达诺链上所有类型的去中心化经济。它将作为一个金融基础层，通过采用 历史 证明的可组合性、资本效率和稳定性的协议模型来支持卡尔达诺的去中心化经济。

作为其战略路线图的一部分，Ardana 将很快推出 dUSD。这种可验证的、链上抵押支持的稳定币将帮助用户将他们的ADA和其他支持的资产投入使用。该平台还将推出其 AMM dex（去中心化交易所）Danaswap，用于稳定的多资产池。根据 Ardana 团队的说法，Danaswap 将提供资本高效的掉期，同时以最小的滑点为目标，并使流动性提供者能够利用低风险的收益机会。

另一项雄心勃勃的计划是Acala，它是利用第三代区块链协议 Polkadot 的内置功能的 Defi 流动性中心。目前，几乎所有稳定币都建立在以太坊网络上，限制了采用和使用。Acala 希望通过利用 Polkadot 的速度、跨链互操作性和成本效率来改变这一现实，以提供具有内置流动性和现成的去中心化金融应用程序的 defi 中心。

同样，Acala 声称以其他网络所需的一小部分来结算交易，在 defi 竞赛中建立了数量优势。该平台将通过 Polkadot 基于权重的费用模型支持受交易复杂性影响很小的小额 Gas 费用。此外，Acala 还将引入“算法风险调整”功能，该功能将自动修改其借贷协议的风险参数，包括利率和抵押品比率。

最后，在这场正在进行的 defi 市场份额争夺战中，建立在 Solana 区块链网络上的一体式加密交易平台Atani是另一个需要监控的重量级竞争者。该平台提供免费的加密交易工具，并与 Kucoin、Binance、Okex、Bitfinex、Poloniex 等顶级交易所合作，为用户提供更低的交易费用。

Atani 最近在 Solana 上推出了新的 dex 聚合器，以提供订单路由功能，同时提供投资组合跟踪、价格警报、技术分析等附加组件。有了这个聚合器和 Solana 的嵌入特性，Atani 的计划是减少分散的 defi 生态系统之间的摩擦，将 cexs（中心化交易所）和 dexs 的流动性提供给 Solana 生态系统，同时确保多链支持。

当谈到挖掘 defi 的真正潜力时，我们还没有真正触及表面。Web 3.0 正在发展，地球村正在变得越来越小。与此同时，defi 服务对于全球没有银行账户和银行账户不足的人来说都是革命性的，他们需要更多空间来扩展，就像现有协议推动网络容量限制一样。

从公正的角度来看，Polkadot、Cardano、Solana 和其他几个第三代区块链平台为阻碍传统链的可扩展性和互操作性提供了急需的解决方案。它们更快、更安全、更具成本效益且资源消耗低，将它们定位为可广泛使整个加密货币行业受益的多合一解决方案。随着以太坊 2.0 的首次亮相还有很长的路要走，第三代区块链协议已经在这里完成繁重的工作并将 defi 提升到一个新的水平。

您认为哪个网络会赢得 defi 竞赛？请在下面的评论部分告诉我们。

#热议区块链# #数字货币# #比特币[超话]#

㈧ Chainge技术沙龙（0414）-区块链技术的安全隐患

虚拟机设计

零钱整理

慢雾科技介绍

01| The Dao事件
以太坊第一个安全大事件
智能合约的取款
新建一个Bank，存入一部分钱，用Dao框架不停取钱。
取款-判断余额-取款操作框架-转空该账户下的所有钱。
简单的例子就是，你的银行卡有余额100万，你需要买一个10块钱的饮料，但是支付的过程有漏洞，所以你银行卡的所有钱都被转走。

一、外部调用

02| 以太坊黑色情人节
起源：第一转账时间是2.14

ETH节点统计
客户端、客户端版本、OS系统。整个系统的庞杂

蜜罐检测 （部署陷阱能检测出黑客的点来）

net_version
判断是主网还是测试网，只攻击主网
3000+主网节点完全暴露

eth_accounts
获取钱包账号，涉及钱包账号

eth_getBanlance
获取有多少钱，被盗46000+ETH

why?
unlockAccount 函数介绍
该函数将使用密码从本地的keystore 里提取private key 并存储在内存中,函数第三个参数ration 表示解密后private key 在内存中保存默认是300 秒; 如果设置为0,则表的时间，示永久存留在内存，直至Geth/Parity 退出。
详见:
https://github.com/ethereumgethereum/wiki/Management-APIs#personal_unlockaccount

节点存用户的keystore信息（严重危险）

eth_getBlockByNumber
墨子扫描引擎，扫描有问题的节点，慢雾的以太坊安全事件的披露
被盗ETH，市值，被盗钱包数
具体内容可以查看慢雾发布的 以太坊黑色情人节专题

生态相关
ETH：矿池、钱包、web3、smart contract、dapp
BTC:矿池、钱包、Lightning Network

BTC RPC
防御建议

管理数十万用户安全的接近百万的比特币

华人世界唯一被bitcoin.org网站展示的钱包

比特派多种区块链资产（BTC、ETH、Token、分叉）
冷热结合，确保安全
比特派-热钱包
比特护盾-冷钱包/硬件钱包

区块链安全事件

私钥决定了区块链资产的所有权，丢了私钥也就相当于丢了一切。私钥就是一个随机数，这个随机数的概率空间很大(256 位，即2^256)

钱包=生态入口
需要在安全的同时做到尽可能的开放

玩法的开放，技术的开放，通用的技术接口，生态的开放，把自己的资源进行导入。合作伙伴计划：技术咨询、区块链技术支持、开放平台、入口支持、生态支持、海外市场合作。帮助伙伴实现区块链转型或区块链项目孵化，安全、便捷实现真正落地的区块链应用场景。

联系方式 [email protected]

用户风控系统，数百万的数字货币用户。
最大可能保持我们的数字资产

骗子故事：抢数字货币份额，钱没到账，冒充官方，交出助记词

恶意钱包地址库
诈骗钱包、黑客钱包、羊毛党钱包

恶意网站库
钓鱼网站、空投网站、交易所、众筹

风险合约库
重名币、空格币、风险合约

安全事件库
历史安全事件提醒
最新事件提醒

盗币风险监控

安全意识教育

可能出现被盗的情况

游戏即资产，稀缺资源，成为游戏运营者。最后大BOSS死于暴露了自己的密钥。
通过社工（社会工程学）【欺骗的艺术】黑客攻击手法，虚拟景象做出错误判断让自己陷入危机。

人始终是系统中最薄弱的环节，币安背锅的黑客事件。大客户泄露自己的账户，调用API接口，自动交易。虽然没丢币但是黑客在期货市场盈利。

关于安全钱包的帖子（来自小白愤怒控诉，实际没有理解整个机制）：
1、我没私钥和交易密码，东西都在你们那我不知道安全在哪里
2、密语算个毛，你告诉我拿着你们的密语能做什么。

汽车和自行车事件，出了问题之后，弱势的一方被原谅。负责的是更大的一方。平台替没有安全意识的用户背锅。

对于大部分用户来说，交易所的安全性比普通用户自己管理的安全性要高，用户的安全意识没有提高，交给交易所帮助、协助你来管理你的钱包提示很多风险操作。

为什么要随机生成256位的密钥，为什么不能用户自己去设置，如果自己设置会处于一个集中的区域，随机值不够，私钥生成时就处于危险的状态。

自己的安全认识不够，所以自己造成的损失，先怼交易所先怼钱包。先想到得是你们的问题和漏洞造成的，不是我的操作失误和密钥泄露造成的。

币派做的是大神和小白的交流之间的翻译，做画漫画，写段子的逗比。

币小宝防骗指南漫画，贡献题材和内容。

㈨ 区块链怎么解决电子存证中的自证问题

电子存证是指通过时间戳，哈希算法，电子签名指纹认证信息保密技术手段来实现自证问题的，都是具有法律效力的。
1.时间戳：真实的事件记录，证明事件在什么时间、什么地点发生过，它是由我国中科院国家授时中心与北京联合信任技术服务有限公司负责建设的我国第三方可信时间戳认证服务。由国家授时中心负责时间的授时与守时监测
2.哈希算法： 比如，我们在一个乘法网注册一个账号，如果网站把密码保存起来，那这个网站不论有多安全，也会有被盗取的风险。但是如果用保存密码的哈希值代替保存密码，就没有这个风险了，因为哈希值加密过程是不可逆的。
当前也有很多有远见企业涉足这个领域，他们普遍都是通过一个第三方机构在乘法网存证，创建商业保密体系，他们却无法从技术上修改过数据，目前可以通过“区块链”技术很好的解决这一自证问题。