在区块链领域，51%的攻击始终成为行业从业者热议的话题之一，今天我们将讨论这一话题。
首先，我们需要搞清楚以下几个问题：1、什么是51%攻击；2、51攻击能做什么？3、区块链底层安全是怎样的？4、黑客入侵的收益与风险。
一、什么是51%攻击
所谓51%算力攻击，就是指利用自己的算力优势来篡改区块链上的记录，从而达到撤销已付款交易的目的。
以比特币为例，比特币的交易数据，实际上是矿工通过算力竞争来打包记录的。“算力”指的是每秒钟可以计算哈希值的次数，算力越大矿工的计算速度就越快。理论上来说，当一个人掌握了51%以上的算力，那么他计算出正确哈希值的速度就会比全网其他矿工更快，因此只要他从包含自己想要篡改的交易数据之前的一个区块开始继续向下挖矿，那么他就有可能创造出一条比当前主链更长的区块链。
在POW机制中，当节点接收到了从其他节点传来的更长的区块链时，会自动放弃当前的链，转而继续在新的主链上进行挖矿，这样一来拥有51%算力的矿工，就能够撤销之前的交易记录。
二、51攻击能做什么
发起51攻击的人能够：
1、修改自己的交易记录，这可以使他进行双重支付
2、阻止区块确认部分或者全部交易
3、阻止部分或全部矿工开采到任何有效的区块
但是他无法做到：
1、修改其他人的交易记录
2、阻止交易被发出去（交易会被发出，只是显示0个确认而已）
3、改变每个区块产生的比特币数量
4、凭空产生比特币
5、把不属于他的比特币发送给自己或其他人
由此可见，51攻击的主要收益还是双花，这个从比特黄金的攻击中得以验证。
三、区块链的底层安全
第一层，密码学。密码学是区块链最底层的支撑技术，包含了哈希算法、数字签名、随机数等，如果这些密码学技术存在问题或者漏洞，那么基于此的整个区块链构建的信任将会坍塌。
虽然目前密码学技术已经颇为成熟，存在巨大漏洞的可能性比较小，但是仍然不排除一些项目存在问题。2017年7月15日，具有“物联网世界第一币”之称IOTA收到了麻省理工学院附属的学术研究组DCI的邮件，提醒IOTA团队，IOTA的哈希算法Curl-P存在弱点，DCI可以对该系统进行成功的攻击,窃取用户资金。虽然IOTA随后对DCI的邮件进行了质疑和反驳，到目前为止，也没有用户因为此漏洞而发生资金被盗的情况，但这一事件引起了大家对IOTA和其他项目在密码学技术安全上的关注。
第二层，用户私钥的生成、使用与保护。用户参与区块链的凭证是一对公私钥，每个人通过区块链产生交互行为的前提就是他拥有安全的私钥、并且能保管好自己的私钥，因此私钥的生成、试用与保护问题就非常重要。
今年7月，EOS就因私钥生成工具存在安全隐患，创建的私钥被黑客发现漏洞，并实施“彩虹”攻击，导致账户数字资产被盗，造成上千万数字资产损失。
第三层，节点系统安全漏洞。这一问题归属于传统安全范畴，比如区块链节点不能存在缓冲区溢出等传统的安全漏洞。另外区块链节点的实现要能忠实地正确实现区块链的共识协议；节点不能暴露不该暴露的API接口，导致黑客可以无障碍的获取一些节点关键信息。无论是以太坊还是EOS都曾经被爆出过比较严重的安全漏洞。这一部分安全也是至关重要的。
第四层，底层共识协议。目前市场上主流的区块链共识协议有以下几种，POW、POS、DPOS、PBFT。底层共识协议决定了区块链整个架构是否可信，能不能真正做到形成一个具有共识的区块链。现在真正被证明安全的共识协议并不多，因为共识协议本身无论从理论、还是从技术实现上都不简单。而经过长时间验证的共识协议是比较安全的，比如像比特币的POW。 共识协议有一个不可能实现的三角关系：安全、去中心化和效率，这三者只能同时实现两样。如果追求效率，要么牺牲去中心化，要么牺牲安全。
一个区块链系统的共识协议是不是安全这个问题至关重要。
理论上，基于底层共识协议创建的所有数字货币都是存在51%算力攻击风险。今年上半年，就有至少4种数字货币分别受到了51%算力攻击，分别是Monacoin 、Bitcoin Gold、Verge和Electroneum，给用户造成数千万美元损失。
第五层，智能合约。智能合约是一套以数字形式定义的承诺(promises)，包括合约参与方可以在上面执行这些承诺的协议。任何参与方都能在应用层创建合约，也就是所谓的DAPP（去中心化应用）。这也是目前出现安全问题最多的地方。
智能合约安全隐患包含了三个方面：第一，有没有漏洞。合约代码中是否有常见的安全漏洞。第二，是否可信。没有漏洞的智能合约，未必就安全，合约要保证公平可信。 第三，符合一定规范和流程。由于合约的创建要求以数字形式来进行定义承诺，所以如果合约的创建过程不够规范，就容易留下巨大的隐患。
目前市场上很多智能合约均存在安全漏洞问题，比如，6月3日，安比实验室（SECBIT）发现Ethereum上出现81个合约带有相同错误，ERC20 Token合约中的transferFrom函数存在巨大隐患，一旦部署后出现问题，将造成不可挽回的损失；6月6日，安比实验室（SECBIT）发现ERC20代币合约FXE由于业务逻辑实现漏洞，任何人都可以随意转出他人账户中的Token，Token随时面临彻底归零风险。
第六层，激励机制设计。智能合约要完成协作，通常是要设计相应的经济激励机制。经济激励是区块链技术里面非常有突破性的一个概念。一个真正健康有活力的区块链生态，需要一个很好的激励机制。但是经济激励设计得不够安全，可能生态就无法建设起来，比如典型的类庞氏游戏，这一点大家要警惕。
四、黑客攻击的收益与风险
区块链技术上的加密数字货币在不少国家已经被当做资产看待，甚至部分主流币种在场外交易市场具备很好的流通性，攻击这些对于黑客来说具备比较高的经济收益，同时区块链的去中心化，匿名性等特性，导致黑客的承担的法律风险也比较低，黑客有攻击区块链的经济动机就不能理解。
结合上述区块链6个层次的安全问题，黑客在哪个层次都有攻击的可能性，当然因为智能合约相对比较灵活，任何人都可以创建，所以相对容易出安全问题。
