近来区块链的圈子中很繁华，又双叒叕有智能合约被曝存在严重破绽。
5月29日，来自360公司的 Vulcan（伏尔甘）团队向媒体发布，其发现了区块链平台EOS的一系列高危平安破绽，并表示局部破绽可以在EOS节点上近程执行恣意代码，即可以经过近程攻击，间接控制和接收EOS上运转的一切节点。
目前，EOS的代币市值高达690亿人民币，在全球市值排名第五，曾声称是“区块链3.0”新型平台。（弦外之音，比特币老大，以太坊老二，老三就是我了！
）
据众享比特研发部经理 洛图剖析，EOS在圈内的知名度之所以高，缘由之一是其团队声称，EOS的TPS（每秒提交买卖数量） 可以到达几千 ，这样的零碎吞吐量是十分吸引人的，目前比特币的 TPS 只要7，以太坊是40，rippleshi 可以到达1000，fabric 是200。假如真的能到达其所声称的TPS功能，则能局部处理区块链平台买卖费用高、确认工夫长、扩展性差的成绩。
本来，EOS计划6月1日上线，但就在这临门一脚的时分，被360的 Vulcan（伏尔甘）团队曝出“史诗级”破绽。
那麼，这个破绽终究严重在哪里？修复本钱高吗？其他的区块链平台能否也将会呈现相似的严重破绽？
29日下午，360公司 Vulcan（伏尔甘）团队担任人郑文彬、中心事业部平安研讨员彭峙酿、信息平安部担任人高雪峰在 360 总部解答了这些疑问（文后的回应方统称爲360）。
连老周也来站台的破绽，究竟有多严重？
在破绽发布不久后，周鸿祎在其团体微博中对这次破绽的评价爲“价值超越百亿美金”。
微博中称，假如被合法应用，可以近程攻击控制和接收EOS上运转的一切节点，严重状况下，EOS乃至整个虚拟货币市场都会遭遇滑铁卢。
那这样的攻击详细是如何完成的？
在其官方博客中，研讨团队表示这其实是一个缓冲区溢出的破绽。
破绽的发现者“古河”在其团体微博中解释，在64位零碎中，攻击者要完成近程代码执行是十分困难的，由于在近程攻击进程中普通缺乏破绽应用所需的内存布局/屡次读写过dep/aslr的手腕。
复杂来说，这是两道关卡，dep是对歹意代码的反省手腕，假如攻击者打破了这道关口，还会遇到aslr这第二道关口，它经过添加攻击者预测目的的难度，避免攻击者间接定位攻击代码地位，到达阻止溢出攻击的目的。
但是，EOS 爲了放慢合约执行速度而引入的wasm虚拟机，让他们可以绕过这两道关卡。宅客频道猜测，文中扫尾所提到的EOS的 TPS 功能劣势，正是树立在牺牲平安性的条件下。
大家应该都听过“牵一发而动全身”，区块链是把 N 个点联在一同的，而攻击者就是其中的一个点，他会结构并发布包括歹意代码的智能合约，随后，EOS 超级节点在执行这个歹意合约的进程中，会触发其中的平安破绽。紧接着，攻击者再应用超级节点将歹意合约打包进新的区块，进而招致网络中一切全节点（备选超级节点、买卖所充值提现节点、数字货币钱包效劳器节点等）被近程控制。
这样形成的后果是，由于曾经完全控制了节点的零碎，攻击者可以“爲所欲爲”，如窃取 EOS 超级节点的密钥，控制 EOS 网络的虚拟货币买卖；获取 EOS 网络参与节点零碎中的其他金融和隐私数据，例如买卖所中的数字货币、保管在钱包中的用户密钥、关键的用户材料和隐私数据。
甚至，攻击者可以将 EOS 网络中的节点变爲僵尸网络中的一员，发起网络攻击或变为收费“矿工”，挖取其他数字货币。
360表示，虽然之前以太坊上也发作过智能合约的破绽，但从未到达过近程执行恣意代码的水平。（即可以经过近程攻击，间接控制和接收链上运转的一切节点）
此前不断专注于区块链平安的团队“慢雾科技”在明天承受金色财经的采访时表示，由于这个破绽可以间接拿到EOS超级节点的效劳器权限，所以“史诗级”破绽的表述，并不过火。
用多长工夫发现的？修复本钱高吗？
周鸿祎在微博中泄漏，360从年终开端，曾经在区块链平安方面做了很多研讨，目前曾经做了几个区块链的平安处理方案，EOS超级节点平安处理方案正是其中之一。
而在采访中，几位平安研讨人员也表示，与传统软件范畴的破绽能够被应用来发起网络攻击，形成数据、隐私的泄露相比，数字货币自身是一套金融体系，在数字货币和区块链网络中的平安破绽，往往会有更严重、更间接的影响，所以十分注重区块链平安的研讨。
针对此次EOS的破绽，他们是在本月初发现的，其后用了半个多月的工夫来研讨如何充沛应用这个破绽，28日晚间，他们把破绽完好应用的演示视频和相关的代码细节提供应 EOS 团队，昔日清晨帮助其停止了修复。
目前EOS网络担任人表示，在修复这些成绩之前，不会将EOS网络正式上线。
花了这麼长工夫找出的破绽，修复复杂吗？行将于6月1日上线的EOS，能否会因而次的破绽而延迟上线？
关于宅客频道的这个成绩，360表示，能够会形成严重损失的优先级破绽其实修复起来并不复杂，很快就可以修复好，但是他们目前还发现了EOS更多的零碎破绽，关于前面的这些破绽能否会延迟 EOS上线，他们并不清楚。
80%的加密钱包都存在平安隐患
除了EOS，其他数字货币能否也存在各种破绽？
此前，360曾经发现和揭露了多个针对数字货币节点、钱包、矿池和智能合约的严重平安破绽，以加密钱包爲例，他们以为市面上八成都存在成绩。而昔日所发现的破绽也并非是EOS独有的，目前根本一切的区块链智能合约如以太坊能够都会面临此类成绩。
也就是说，这类型的平安成绩不只仅影响EOS，也能够影响其他类型的区块链平台与虚拟货币使用。
他们此次报告这个破绽，次要是想惹起区块链业界和平安同行在这类成绩的平安性上更多的注重和关注。（也有人说他们是要进军区块链
）
某位区块链圈中的平安大佬以为，此次EOS的破绽只是刚刚开端，还是站在开源代码的根底上的，所以平安同行能发现各种成绩，提早修补，EOS官方的态度也比拟正确。但目前仍然有很多藏着掖着不开源的同行，平安成绩其实一点没少。
閱讀更多 元年覆上 的文章
