黑客肆虐，资产被盗，区块链App如何谈安全？

文/昊华、小C

编辑/邓龙

在英剧《神秘博士》中，主人公的时间机器Tardis是一个电话亭。虽然从外面看着很小，但里面的空间巨大无比。

如果Tardis放在互联网世界中，它便是手机中一个小小的APP Store。

据工信部发布的数据，截至今年5月底，我国一共有415万款移动应用。

图片来源于网络

聊天、煲剧、点外卖、订票……现在的年轻人已越发离不开一个个APP。相似的场景，在不久后，也将发生在区块链上。

在区块链上的APP，被称作DApp，即去中心化的APP。DApp基于智能合约，双方将约定的内容写进程序中，从而无法被篡改。

DApp其实也是智能合约+App。

目前，基于公链开发的DApp数量保持高速增长。根据DApp.com数据显示，今年前三季，以太坊上已有超过 900 个DApp，而在去年第二季度末，DApp的数量只有7个。

此外，如今市场上60％的DApp都是游戏，在今年第三季度EOS上推出的60中新DApp中，超过一半是投注、博彩类应用。

在高速增长背后，DApp的安全问题不容忽视。一个小小的漏洞，会造成巨大损失。

图片来源于网络

今年10月底，基于EOS主网开发的DApp EOS Cast游戏遭遇黑客攻击，团队账户共损失了超过7万枚EOS。据EOS当前价格估算，本次攻击中，EOS Cast平台损失超255万元人民币。

由于区块链上的数字资产采用的是匿名交易的原则，数字资产丢失后，几乎无法找回。一旦发生黑客攻击事件，运营团队和用户只能自认倒霉。

据PeckShield的最新数据，截至2018年12月12日，共发生35起DApp安全事件，共损失超过41万个EOS，市值近1000万元人民币。

据锌财经了解，目前DApp的安全问题主要在以下三个方面：

一是游戏的逻辑设计问题，本身出现Bug；二是DApp遭遇黑客攻击，资产被盗走；三是菠菜（博彩）类游戏随机算法被攻破。

DApp被黑客攻击事件频发，安全问题就成为DApp发展过程中绕不过的坎。

如何解决这些难题？如何在设计DApp时就防范有可能产生的安全问题？当DApp大规模爆发时，又会给公链带来怎样的压力和挑战？

12月20日，锌财经举办了本月第三场区块链主题分享活动，锌财经创始人潘越飞邀请了PeckShield EOS安全负责人施华国对上述问题做出解答。

施华国原是网秦安全响应负责人、360高级安全研究员、阿里巴巴高级安全专家，有10年移动互联网安全经验,主要专注于软件攻防和数据安全方向。

ZN

为什么说DApp 已到大爆发时期？

施华国

目前三大主流DApp公链有 ETH、EOS和TRON。先看以下三个公链的特点比较。

ETH、EOS和TRON的特点比较

左边的 ETH 属于 DApp 的第一代公链，从2015年7月30日上线，虽然已运行三年多，但由于高额GAS费用和每秒不到10个的交易速度，极大制约了它的发展。目前ETH上的DApp总数只有1705个，由于性能限制，在ETH上很难有高频操作的游戏。现在用户活跃较高的DApp主要是去中心化交易所和低频交易的游戏。

而随着EOS在2018年6月9日上线，经过了3个多月的稳定过度期，在10月初EOS开始出现大规模爆发，现在EOS上DApp 数量已经达到238个。

下面这张图是三网的DApp日活跃度数据对比。

数据截止到2018年12月13日

从图中可以看到，EOS在10月初出现DAU（日活跃用户数量）大幅上涨，最高时是ETH的6、7倍。但EOS的DAU数据波动比较大，这和安全事件、群控刷量行为等诸多因素有关。

在看浅蓝色的TRON的DAU数据，数据量虽然最高只有5000，但毕竟它上线比EOS更晚，体量又小，从长远看，我认为TRON的未来会有较大的发展空间。

下面这张图是三网DApp交易额数据对比，数据分析也是截止到2018年12月13日。

可以看到黄颜色的EOS交易额数据要比ETH和TRON高的多。

总的来说，区块链DApp爆发，可以看作EOS是公链上的DApp爆发。

ZN

如何看目前大家戏称EOS沦为博彩公链？

施华国

EOS目前的现状确实是竞猜类游戏为主，总数在DApp中占据了一半以上，并且交易额排名前几的都是竞猜类游戏。这个是不得不承认的事实。

但是同时我们也可以看到，仍然会有些优秀的DApp保持稳定、健康增长。比如去中心化交易所Newdex，现在交易额已经排名在第六。而另一款卡牌类游戏EOS Knights，在去除假量的真实DAU排名中，一直稳定在前五的位置，也拥有忠实玩家。

近期又有些开发者从ETH上的DApp和传统游戏领域开始转型加入EOS DApp开发的队伍中。

ZN

从行业度看，哪条链能获得最大规模的开发者？哪种类型的DApp最有机会跑出来？

施华国

DApp用户群体最大、热度最高的还是EOS，开发者肯定是要集中最优的资源在大平台上做更大投入了。除了EOS，TRON发展的势头也很迅猛，通过我们的数据分析，发现两个公链的DApp用户活跃度确实会有部分相互影响，未来TRON或许会成为EOS的一个不可忽视的竞争对手。

至于哪类DApp会成为新的Killer DApp，这个不好说。好多DApp上线时都号称自己是Killer DApp，宣传搞得火热但没多久就凉了。不过目前看，游戏至少是一个好的开端。

ZN

如何看带生态安全对于DApp发展的威胁？开发者将如何应对？

施华国

截至2018年12月12日，共发生35起DApp安全事件，共损失超过41万个EOS，市值近1000万元人民币。

我们发现从EOS生态早期到现在，黑客攻击原理其实是在不断演变的，从最早的溢出攻击到合约RAM吞噬问题，再到重放攻击、假EOS、假通知攻击，以及近一两个月比较活跃的随机数和交易回滚攻击等。黑客的攻击手段越来越复杂，也越来越成体系，攻击者还会定期用已知攻击扫描漏洞尝试攻击新上线的游戏，这给EOS本来就薄弱的早期发展生态带来了更大的挑战。

开发者一定要对安全有足够的防范意识，首先开发阶段需要参考安全编码规范进行编写代码，以降低被已知漏洞攻击的风险；其次需要找专业的安全团队对合约代码进行安全审计；最后一点也是最重要的，你永远无法预知未来是否会遭到黑客攻击。所以开发者一定要有一套完整的应急响应风控系统，确保当真正遭受攻击时，会及时预警并做熔断处理。

©本文版权归“锌财经”所有

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。