在區塊鏈領域，51%的攻擊始終成為行業從業者熱議的話題之一，今天我們將討論這一話題。
首先，我們需要搞清楚以下幾個問題：1、什麼是51%攻擊；2、51攻擊能做什麼？3、區塊鏈底層安全是怎樣的？4、黑客入侵的收益與風險。
一、什麼是51%攻擊
所謂51%算力攻擊，就是指利用自己的算力優勢來篡改區塊鏈上的記錄，從而達到撤銷已付款交易的目的。
以比特幣為例，比特幣的交易數據，實際上是礦工通過算力競爭來打包記錄的。“算力”指的是每秒鐘可以計算哈希值的次數，算力越大礦工的計算速度就越快。理論上來說，當一個人掌握了51%以上的算力，那麼他計算出正確哈希值的速度就會比全網其他礦工更快，因此只要他從包含自己想要篡改的交易數據之前的一個區塊開始繼續向下挖礦，那麼他就有可能創造出一條比當前主鏈更長的區塊鏈。
在POW機制中，當節點接收到了從其他節點傳來的更長的區塊鏈時，會自動放棄當前的鏈，轉而繼續在新的主鏈上進行挖礦，這樣一來擁有51%算力的礦工，就能夠撤銷之前的交易記錄。
二、51攻擊能做什麼
發起51攻擊的人能夠：
1、修改自己的交易記錄，這可以使他進行雙重支付
2、阻止區塊確認部分或者全部交易
3、阻止部分或全部礦工開採到任何有效的區塊
但是他無法做到：
1、修改其他人的交易記錄
2、阻止交易被髮出去（交易會被髮出，只是顯示0個確認而已）
3、改變每個區塊產生的比特幣數量
4、憑空產生比特幣
5、把不屬於他的比特幣發送給自己或其他人
由此可見，51攻擊的主要收益還是雙花，這個從比特黃金的攻擊中得以驗證。
三、區塊鏈的底層安全
第一層，密碼學。密碼學是區塊鏈最底層的支撐技術，包含了哈希算法、數字簽名、隨機數等，如果這些密碼學技術存在問題或者漏洞，那麼基於此的整個區塊鏈構建的信任將會坍塌。
雖然目前密碼學技術已經頗為成熟，存在巨大漏洞的可能性比較小，但是仍然不排除一些項目存在問題。2017年7月15日，具有“物聯網世界第一幣”之稱IOTA收到了麻省理工學院附屬的學術研究組DCI的郵件，提醒IOTA團隊，IOTA的哈希算法Curl-P存在弱點，DCI可以對該系統進行成功的攻擊,竊取用戶資金。雖然IOTA隨後對DCI的郵件進行了質疑和反駁，到目前為止，也沒有用戶因為此漏洞而發生資金被盜的情況，但這一事件引起了大家對IOTA和其他項目在密碼學技術安全上的關注。
第二層，用戶私鑰的生成、使用與保護。用戶參與區塊鏈的憑證是一對公私鑰，每個人通過區塊鏈產生交互行為的前提就是他擁有安全的私鑰、並且能保管好自己的私鑰，因此私鑰的生成、試用與保護問題就非常重要。
今年7月，EOS就因私鑰生成工具存在安全隱患，創建的私鑰被黑客發現漏洞，並實施“彩虹”攻擊，導致賬戶數字資產被盜，造成上千萬數字資產損失。
第三層，節點系統安全漏洞。這一問題歸屬於傳統安全範疇，比如區塊鏈節點不能存在緩衝區溢出等傳統的安全漏洞。另外區塊鏈節點的實現要能忠實地正確實現區塊鏈的共識協議；節點不能暴露不該暴露的API接口，導致黑客可以無障礙的獲取一些節點關鍵信息。無論是以太坊還是EOS都曾經被爆出過比較嚴重的安全漏洞。這一部分安全也是至關重要的。
第四層，底層共識協議。目前市場上主流的區塊鏈共識協議有以下幾種，POW、POS、DPOS、PBFT。底層共識協議決定了區塊鏈整個架構是否可信，能不能真正做到形成一個具有共識的區塊鏈。現在真正被證明安全的共識協議並不多，因為共識協議本身無論從理論、還是從技術實現上都不簡單。而經過長時間驗證的共識協議是比較安全的，比如像比特幣的POW。 共識協議有一個不可能實現的三角關係：安全、去中心化和效率，這三者只能同時實現兩樣。如果追求效率，要麼犧牲去中心化，要麼犧牲安全。
一個區塊鏈系統的共識協議是不是安全這個問題至關重要。
理論上，基於底層共識協議創建的所有數字貨幣都是存在51%算力攻擊風險。今年上半年，就有至少4種數字貨幣分別受到了51%算力攻擊，分別是Monacoin 、Bitcoin Gold、Verge和Electroneum，給用戶造成數千萬美元損失。
第五層，智能合約。智能合約是一套以數字形式定義的承諾(promises)，包括合約參與方可以在上面執行這些承諾的協議。任何參與方都能在應用層創建合約，也就是所謂的DAPP（去中心化應用）。這也是目前出現安全問題最多的地方。
智能合約安全隱患包含了三個方面：第一，有沒有漏洞。合約代碼中是否有常見的安全漏洞。第二，是否可信。沒有漏洞的智能合約，未必就安全，合約要保證公平可信。 第三，符合一定規範和流程。由於合約的創建要求以數字形式來進行定義承諾，所以如果合約的創建過程不夠規範，就容易留下巨大的隱患。
目前市場上很多智能合約均存在安全漏洞問題，比如，6月3日，安比實驗室（SECBIT）發現Ethereum上出現81個合約帶有相同錯誤，ERC20 Token合約中的transferFrom函數存在巨大隱患，一旦部署後出現問題，將造成不可挽回的損失；6月6日，安比實驗室（SECBIT）發現ERC20代幣合約FXE由於業務邏輯實現漏洞，任何人都可以隨意轉出他人賬戶中的Token，Token隨時面臨徹底歸零風險。
第六層，激勵機制設計。智能合約要完成協作，通常是要設計相應的經濟激勵機制。經濟激勵是區塊鏈技術裡面非常有突破性的一個概念。一個真正健康有活力的區塊鏈生態，需要一個很好的激勵機制。但是經濟激勵設計得不夠安全，可能生態就無法建設起來，比如典型的類龐氏遊戲，這一點大家要警惕。
四、黑客攻擊的收益與風險
區塊鏈技術上的加密數字貨幣在不少國家已經被當做資產看待，甚至部分主流幣種在場外交易市場具備很好的流通性，攻擊這些對於黑客來說具備比較高的經濟收益，同時區塊鏈的去中心化，匿名性等特性，導致黑客的承擔的法律風險也比較低，黑客有攻擊區塊鏈的經濟動機就不能理解。
結合上述區塊鏈6個層次的安全問題，黑客在哪個層次都有攻擊的可能性，當然因為智能合約相對比較靈活，任何人都可以創建，所以相對容易出安全問題。
