黑客肆虐，资产被盗，区块链App如何谈安全？

栏目: 编程工具 · 发布时间: 5年前

内容简介：在英剧《神秘博士》中，主人公的时间机器Tardis是一个电话亭。虽然从外面看着很小，但里面的空间巨大无比。如果Tardis放在互联网世界中，它便是手机中一个小小的APP Store。据工信部发布的数据，截至今年5月底，我国一共有415万款移动应用。

在英剧《神秘博士》中，主人公的时间机器Tardis是一个电话亭。虽然从外面看着很小，但里面的空间巨大无比。

如果Tardis放在互联网世界中，它便是手机中一个小小的APP Store。

据工信部发布的数据，截至今年5月底，我国一共有415万款移动应用。

图片来源于网络

聊天、煲剧、点外卖、订票……现在的年轻人已越发离不开一个个APP。相似的场景，在不久后，也将发生在区块链上。

在区块链上的APP，被称作DApp，即去中心化的APP。DApp基于智能合约，双方将约定的内容写进程序中，从而无法被篡改。

DApp其实也是智能合约+App。

目前，基于公链开发的DApp数量保持高速增长。根据DApp.com数据显示，今年前三季，以太坊上已有超过 900 个DApp，而在去年第二季度末，DApp的数量只有7个。

此外，如今市场上60％的DApp都是游戏，在今年第三季度EOS上推出的60中新DApp中，超过一半是投注、博彩类应用。

在高速增长背后，DApp的安全问题不容忽视。一个小小的漏洞，会造成巨大损失。

图片来源于网络

今年10月底，基于EOS主网开发的DApp EOS Cast游戏遭遇黑客攻击，团队账户共损失了超过7万枚EOS。据EOS当前价格估算，本次攻击中，EOS Cast平台损失超255万元人民币。

由于区块链上的数字资产采用的是匿名交易的原则，数字资产丢失后，几乎无法找回。一旦发生黑客攻击事件，运营团队和用户只能自认倒霉。

据PeckShield的最新数据，截至2018年12月12日，共发生35起DApp安全事件，共损失超过41万个EOS，市值近1000万元人民币。

据锌财经了解，目前DApp的安全问题主要在以下三个方面：

一是游戏的逻辑设计问题，本身出现Bug；二是DApp遭遇黑客攻击，资产被盗走；三是菠菜（博彩）类游戏随机算法被攻破。

DApp被黑客攻击事件频发，安全问题就成为DApp发展过程中绕不过的坎。

如何解决这些难题？如何在设计DApp时就防范有可能产生的安全问题？当DApp大规模爆发时，又会给公链带来怎样的压力和挑战？

12月20日，锌财经举办了本月第三场区块链主题分享活动，锌财经创始人潘越飞邀请了PeckShield EOS安全负责人施华国对上述问题做出解答。

施华国原是网秦安全响应负责人、360高级安全研究员、阿里巴巴高级安全专家，有10年移动互联网安全经验,主要专注于软件攻防和数据安全方向。

为什么说DApp 已到大爆发时期？

施华国

目前三大主流DApp公链有 ETH、EOS和TRON。先看以下三个公链的特点比较。

ETH、EOS和TRON的特点比较

左边的 ETH 属于 DApp 的第一代公链，从2015年7月30日上线，虽然已运行三年多，但由于高额GAS费用和每秒不到10个的交易速度，极大制约了它的发展。目前ETH上的DApp总数只有1705个，由于性能限制，在ETH上很难有高频操作的游戏。现在用户活跃较高的DApp主要是去中心化交易所和低频交易的游戏。

而随着EOS在2018年6月9日上线，经过了3个多月的稳定过度期，在10月初EOS开始出现大规模爆发，现在EOS上DApp 数量已经达到238个。

下面这张图是三网的DApp日活跃度数据对比。

数据截止到2018年12月13日

从图中可以看到，EOS在10月初出现DAU（日活跃用户数量）大幅上涨，最高时是ETH的6、7倍。但EOS的DAU数据波动比较大，这和安全事件、群控刷量行为等诸多因素有关。

在看浅蓝色的TRON的DAU数据，数据量虽然最高只有5000，但毕竟它上线比EOS更晚，体量又小，从长远看，我认为TRON的未来会有较大的发展空间。

下面这张图是三网DApp交易额数据对比，数据分析也是截止到2018年12月13日。

可以看到黄颜色的EOS交易额数据要比ETH和TRON高的多。

总的来说，区块链DApp爆发，可以看作EOS是公链上的DApp爆发。

如何看目前大家戏称EOS沦为博彩公链？

施华国

EOS目前的现状确实是竞猜类游戏为主，总数在DApp中占据了一半以上，并且交易额排名前几的都是竞猜类游戏。这个是不得不承认的事实。

但是同时我们也可以看到，仍然会有些优秀的DApp保持稳定、健康增长。比如去中心化交易所Newdex，现在交易额已经排名在第六。而另一款卡牌类游戏EOS Knights，在去除假量的真实DAU排名中，一直稳定在前五的位置，也拥有忠实玩家。

近期又有些开发者从ETH上的DApp和传统游戏领域开始转型加入EOS DApp开发的队伍中。

从行业度看，哪条链能获得最大规模的开发者？哪种类型的DApp最有机会跑出来？

施华国

DApp用户群体最大、热度最高的还是EOS，开发者肯定是要集中最优的资源在大平台上做更大投入了。除了EOS，TRON发展的势头也很迅猛，通过我们的数据分析，发现两个公链的DApp用户活跃度确实会有部分相互影响，未来TRON或许会成为EOS的一个不可忽视的竞争对手。

至于哪类DApp会成为新的Killer DApp，这个不好说。好多DApp上线时都号称自己是Killer DApp，宣传搞得火热但没多久就凉了。不过目前看，游戏至少是一个好的开端。

如何看带生态安全对于DApp发展的威胁？开发者将如何应对？

施华国

截至2018年12月12日，共发生35起DApp安全事件，共损失超过41万个EOS，市值近1000万元人民币。

我们发现从EOS生态早期到现在，黑客攻击原理其实是在不断演变的，从最早的溢出攻击到合约RAM吞噬问题，再到重放攻击、假EOS、假通知攻击，以及近一两个月比较活跃的随机数和交易回滚攻击等。黑客的攻击手段越来越复杂，也越来越成体系，攻击者还会定期用已知攻击扫描漏洞尝试攻击新上线的游戏，这给EOS本来就薄弱的早期发展生态带来了更大的挑战。

开发者一定要对安全有足够的防范意识，首先开发阶段需要参考安全编码规范进行编写代码，以降低被已知漏洞攻击的风险；其次需要找专业的安全团队对合约代码进行安全审计；最后一点也是最重要的，你永远无法预知未来是否会遭到黑客攻击。所以开发者一定要有一套完整的应急响应风控系统，确保当真正遭受攻击时，会及时预警并做熔断处理。