巴比特專欄 | 區塊鏈的安全，誰來保障？_區塊鏈

作者：Larry,黃連金

近幾年，區塊鏈技術的發展非常迅猛，安全形勢也越來越嚴峻，僅安全事件導致的直接經濟損失就高達幾十億美元，給行業帶來了巨大的經濟損失和慘痛的教訓。由于區塊鏈技術是一個分布式的共享賬本和數據庫，具有去中心化、不可篡改、全程留痕、可以追溯、共同維護、公開透明等特點，為信任奠定了基礎。但區塊鏈技術存在的安全風險和技術特點也給廣泛應用及安全監管帶來了諸多挑戰，隨著區塊鏈商業落地，安全需求也變得十分緊迫。可以說，安全是區塊鏈的“立身之本”，是區塊鏈落地的第一要素！

中國區塊鏈現狀

中國政府將區塊鏈視為構建未來智能城市的下一代關鍵IT基礎設施，將5G鏈接的加密安全數據庫連接到可擴展的云和數據管理基礎設施，以便大數據/AI分析能夠高效地在上面運行

根據中國公司信息門戶網站，在中國運營的區塊鏈業務超過37000家.僅在過去一年中，就有超過三分之一的實體注冊

世界知識產權組織數據顯示，2019年10月，中國區塊鏈相關專利申請達到1.3萬件，占全球專利申請總量的53%以上

中國央行已就數字貨幣DC/EP申請了84項專利

中國人民銀行DCEP在4個主要城市進行試點，在連鎖店星巴克、賽百味和麥當勞等19家當地企業進行試點

中國人民銀行《金融分布式賬本技術安全規范》

中國人民銀行于2020年2月發布了《金融分布式賬本技術安全規范》，這份長達35頁的規范文件闡述了安全要求的各個方面，規定了金融分布式賬本技術的安全體系，包括：基礎硬件、基礎軟件、密碼算法、節點通信、賬本數據、共識協議、智能合約、身份管理、隱私保護、監管支撐、運維要求和治理機制等方面。

大中華區云安全聯盟區塊鏈安全工作組

國際著名非贏利組織云安全聯盟大中華區CSAGCR成立了專門的區塊鏈/分布式賬本技術工作組，專注于區塊鏈安全和區塊鏈技術在網絡信息安全的應用，工作組整合國內外的先進經驗及實踐，建立和發展區塊鏈安全指南、最佳實踐以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的區塊鏈從業者和關注區塊鏈安全的人們，以及改進區塊鏈和網絡信息的安全性。

數據：12月加密行業投融資交易數量和金額均創近兩年新低:金色財經報道，12月加密行業投融資交易數量和金額均創近兩年新低，加密初創公司在 2022 年 12 月籌集了 6.6 億美元的風險投資資金，比 11 月（2022 年）下降了 21.5%，比 2021 年 12 月（37.6 億美元）下降了 82.5%，其中基礎設施加密貨幣公司在 2022 年 12 月獲得融資份額占比最大，約為 22%，CeFi、DeFi、NFT/GameFi板塊占比分別為8%、18%、16%左右。在數量方面，12 月加密貨幣獲得投資的項目數量為 50 個，比 2022 年 11 月（65 個項目）下降 23%，比 2021 年 12 月（154 個項目）下降 68%。（cryptoslate）[2023/1/4 9:50:59]

區塊鏈安全：CSAGCR目前有9個區塊鏈安全工作組，包括智能合約安全、錢包安全、共識算法安全、交易所安全、dApp安全、用戶自治數字身份、網路通訊層安全、數據層的安全、合規KYC/AML等，未來還會根據需要增加其它相關工作組。每個工作組都由一位知名的專家領導，共有100多名網絡信息安全專家和區塊鏈安全專家在各個小組工作。

區塊鏈技術在網絡信息安全領域的應用：此外，還有可以將區塊鏈和分布式賬本技術應用于傳統網絡信息安全領域，以改進和完善傳統網絡信息安全，也由其它工作組，與區塊鏈安全工作組一起協作進行。

OWAS的中國區列出區塊鏈安全十大問題

OWASP中國收集、整理和分析了2011年至2019年間160多個典型區塊鏈安全事件，給出了區塊鏈安全TOP10：

高級可持續威脅

失控的幣值通脹

失效的權限控制

不安全的共識協議

考慮不充分的程序邏輯

以色列證券交易所將推出數字資產平臺:金色財經報道，以色列特拉維夫證券交易所今日發布2023-2027新戰略，其中涉足加密貨幣并創建數字資產平臺是該交易所未來四大核心戰略之一。以色列特拉維夫證券交易所表示，將使用區塊鏈創建數字制成品并涉足加密貨幣，促進創新技術包括分布式賬本、各類數字資產的代幣化和智能合約的實施，為數字資產提供一攬子服務和產品、推動創新技術部署到專業平臺。（prnewswire）[2022/10/24 16:37:19]

不嚴謹的業務策略

校驗不嚴格的交易邏輯

脆弱的隨機數機制

存在缺陷的激勵機制

日志記錄和監控不足

http://www.owasp.org.cn/owasp-project/533a575794fe5b895168top10

國內部分區塊鏈安全公司

目前一些中國的區塊鏈安全公司，在過去的幾年里，也發表了許多安全事件報告和分析：

https://www.knownsec.com/

https://www.slowmist.com/andhttps://slowmist.io/

https://secbit.io/

https://peckshield.cn/

https://beosin.com/#/

https://noneage.com/

區塊鏈安全技術書籍

2018年機械工業出版社出版的<<區塊鏈安全技術指南>>一書，對區塊鏈技術潛在風險的進行詳盡細致的分析：不僅包括區塊鏈技術本身帶來的風險，還包括區塊鏈應用方面的風險。有對區塊鏈技術各種安全機制的深度解剖，還有區塊鏈應用遭受攻擊的案例分析。理論與實際結合，對潛在風險的預期和評估置于現實背景之下。

60,000,000枚USDC從USDC Treasury轉移到未知錢包:金色財經報道，Whale Alert監測數據顯示， 60,000,000枚USDC從USDC Treasury轉移到未知錢包。[2022/10/3 18:38:15]

第1章詳解區塊鏈的安全屬性CIA，主要從保密性、數據完整性、可用性、物理安全性4個方面對區塊鏈的安全屬性進行詳解。

第2章特意挑選了一些主流數字貨幣，對其安全屬性進行分析。

第3章為應用與智能合約層的安全控制。主要從Web或者移動客戶端應用程序、智能合約，以及身份與訪問控制3個方面對安全問題以及區塊鏈的身份管理與訪問控制進行了分析。

第4章為激勵層安全機制設計。從激勵的產生和分配以及激勵層安全兩方面進行了分析，并從激勵模式的安全隱患、安全事件、法律風險以及安全措施等方面，對激勵層安全進行了分析，以及如何設計才能有效避免區塊鏈激勵層安全事件的發生。

第5章為網絡層安全與控制。網絡層的安全與控制直接影響區塊鏈的價值，從P2P加密、客戶端與節點通信加密、防御DDoS等攻擊3個方面進行了分析，描述了網絡層安全與控制等的相關安全內容。

第6章為數據層與共識安全。數據層是區塊鏈設計的基礎部分，是影響區塊鏈能否正常運行的關鍵。對區塊鏈數據加密技術、數據傳輸、區塊鏈交易簽名、共識攻擊、區塊鏈安全性考慮5個方面進行分析，闡述了數據層安全的知識以及保障區塊鏈的正常運行的價值。

第7章為私鑰的安全。從私鑰的重要性、使用方法、存在的問題等多個方面對私鑰的安全進行了全面的分析，給出任何使用私鑰才能有效避免安全問題的出現以及私鑰的更新、找回與吊銷等方法和措施，提高區塊鏈的安全性。

區塊鏈安全

區塊鏈的安全包括下面幾個方面：

分析師：比特幣即使在2040年到達200萬美元，其消耗的能源不到全球的1%:金色財經報道，Arcane分析師Jaran Mellerud發推稱，到2040年，比特幣價格即使為200萬美元，比特幣礦工仍將消耗不到全球能源的1%。他認為，花費不到1%的全球能源來確保全球貨幣體系是值得的。[2022/9/19 7:05:04]

智能合約安全

智能合約承載有價值的數字資產是黑客主要攻擊目標。黑客通過“重入攻擊”、“整數溢出”、“偽隨機數漏洞”等方式盜取數字資產。新的攻擊方法也層出不窮。對于智能合約的案例進行分析，制定測試標準，探索形式化證明在智能合約安全的應用，和智能合約安全的最佳實踐進行研究非常重要。

錢包安全

數字錢包存儲數字資產的私鑰，包括云錢包、在線的熱錢包、離線的冷錢包等等FormFactor。安全隱患主要存在于用戶使用上和錢包的安全技術設計上。數字錢包需要分析案例、制定測試標準和開發與應用最佳實踐，提高錢包的安全性。

共識算法安全

共識算法是區塊鏈底層技術的關鍵。共識算法的安全漏洞包括遠程攻擊、無利害關系攻擊、51%攻擊、自私挖掘、Eclipse攻擊等，主要研究算法的(security)和活躍性（liveness)，包括對常用的共識算法POW、POS、DPOS、BFT、POC、POA算法等的安全性研究；希望建立制定測試標準和算法開發最佳實踐，提高共識算法的安全性。

交易所安全

交易所是數字資產價格發現和價值交換的主要工具。主要有中心化和去中心化交易所。交易所安全漏洞頻發，研究交易所安全，保護用戶數字資產安全是區塊鏈發展的必要條件之一。需要分析案例，制定測試標準和開發與應用最佳實踐，Checklist等等。

dApp安全

分析主流公共鏈上dAPP開發的安全案例，提出最佳實踐、安全指南以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的dApp從業者，提高dApp的安全性。在目前，DeFi的應用非常火，但是安全問題經常發生。主要是項目方對于安全重視不夠。

goblintown.wtf NFT系列地板價突破5ETH:金色財經消息，據OpenSea數據顯示，goblintown.wtf NFT系列地板價突破5ETH，目前為5.5ETH，24小時的交易額為2808.75ETH，24小時交易額在OpenSea排名達到第二。[2022/6/1 3:56:12]

用戶自治數字身份

去中心化數字身份或者自治數字身份（SSI：SelfSovereignIdentity)是區塊鏈落地應用的基礎，目前對于這方面的安全研究才剛剛開始，但具有十分重要的意義。需要研究歐盟的SSI標準、北美為主的DID標準以及元界的Avatar數字身份和EID數字身份鏈，探索安全方面的最佳實踐、安全指南以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的DID/SSI開發者和使用者，提高其安全性。

網絡通訊層安全

區塊鏈網絡的安全運行是區塊鏈系統可靠運行的關鍵。黑客利用“日蝕攻擊”、“巫婆攻擊”、“交易溯源”等方法破壞數據完整性和系統可用性，對交易機密性進行攻擊給區塊鏈技術的落地實踐帶來了巨大的隱患。此外，基于區塊鏈可以構建一個新的安全通信系統。需要分析案例，制定測試標準，探索區塊鏈交易溯源、隱私保護、數據完整性等技術，開展基于區塊鏈網絡層的數據隱蔽通信等應用，研究5G技術對區塊鏈網絡的影響。

數據層的安全區塊鏈數據安全問題：

數據隱私保護

數據可用性保護

數據完整性保護

數據可控性保護等以提高區塊鏈數據安全和隱私保護。

合規

隨著加密數字資產價值的不斷提高，它越來越被人們所接受和使用。由于數字資產的匿名性，世界各國都在加緊對鏈上資產加密交易的監管，對KYC的需求也在不斷增加。AML/KYC工作組通過對鏈上數據的分析，討論了區塊鏈上的異常交易、識別鏈上對應地址背后實體的方法，以及追蹤匿名數字貨幣的方法。

區塊鏈開發安全工具

利用區塊鏈的不可篡改性對于數據的完整性進行保護，包括美國的國家安全部在研究的區塊鏈數據完整性系統就是把中心化需要保護的數據的Hash(相當于數據的指紋）進行上鏈，在使用的過程中檢測數據庫里面的數據的Hash與區塊鏈上的相對應的Hash是否相同來判斷數據的完整性。

密碼學在區塊鏈的應用

零知識證明，同態加密，和安全多方計算在區塊鏈和云安全領域有非常大的應用。目前，美國斯坦福大學，伯克利分校，和美國灣區的一些初創公司非常重視這方面的研究。比如，零知識證明可以用于隱私保護，性能擴充，和跨鏈交易證明。因此各種零知識證明的優化方法層出不窮。零知識證明用于隱私保護主要是保護交易雙方的地址和具體交易的內容。零知識證明用于性能擴充，主要是利用零知識的遞歸證明減少驗證所需要的時間和內存，從而既能保證隱私，又能提高效率。在多方交易的情況下安全多方計算是一個非常有用的算法。另外，同態加密意味數據可以在不被解密的情況下進行處理，處理的結果只有數據的擁有者才能解密。這個對于云安全和區塊鏈都有重大的意義。目前能夠滿足全同態加密的算法的速度還不夠，但是這方面的研究正在學術界如荼如火地進行。

公鏈和聯盟鏈安全

公鏈和聯盟鏈的主要兩個區別：公鏈不需要身份就可以進入公鏈的網絡。聯盟鏈必須經過身份或者證書的驗證才能進入聯盟的網絡。另外一個區別是共識算法。公鏈的共識算法對安全要求比較聯盟鏈的共識算法安全要高。在公鏈與聯盟鏈結合的時候需要考慮到他們之間不同的安全的要素。

跨鏈安全

跨鏈可以有同構的跨鏈和異構鏈之間的跨鏈。同構的跨鏈的安全方面較為簡單。因為同構的區塊鏈具有相同共識算法，共同的數據格式和交易確認時間。如果其中某一條鏈分叉了，另外一條鏈應該在規定的時間可以收到信息并且進行處理。但是異構鏈之間的跨鏈，如果其中某一條鏈分叉了，怎么辦？這還是一個沒有解決的問題。所以，跨鏈之間的安全是非常值得深入探討的問題。

節點配置安全

區塊鏈的共識節點決定數據的一致性問題。如果共識節點因為配置的不夠安全，遭到黑客攻擊，成為錯誤的節點。那么在這種情況之下，就有可能造成區塊鏈網絡的不安全。

運維安全及安全預算建議

區塊鏈項目在上線以前必須通過第三方的安全審計。即使在上線以后也要做定時的安全監測，因為新的安全攻擊經常發生。如果有新的智能合約或者新的應用案例上線以前，必須進行安全的檢測。在運維過程之中，需要建立一系列的工具去檢測區塊鏈網路的運行狀況，一般來說，整個區塊鏈項目10%到20%的預算必須用于安全。低于10%安全預算的區塊鏈項目基本上在上線6個月內就會有重大的安全問題發生。

區塊鏈安全與企業組織關系

一個企業如果決定利用區塊鏈部署應用落地項目，那么這個公司必須有區塊鏈安全的專職人員。公司的CEO必須對于安全負責。分析以前在國內或國外的區塊鏈安全事件，100%都是因為公司的主要負責人對于安全不重視，有的即使有區塊鏈安全的專職人員，因為不能得到公司的支持，不能真正發揮作用，最終還是導致安全事件發生。因此區塊鏈安全與企業組織關系必須有利于安全的技術開發和落地，也必須有利于第三方的安全審計。

隱私計算

隱私計算是指在保護數據本身不對外泄露的前提下，實現數據分析計算的一類信息技術，主要分為密碼學和可信硬件兩大領域。

密碼學中重要的技術有多方計算MPC、同態加密、零知識證明ZKP、差分混淆等。多方安全計算技術核心思想是設計特殊的加密算法和協議，從而支持在加密數據之上直接進行計算。目前MPC通過秘密分割、不經意傳輸、混淆電路或同態加密等專門技術實現，通用性相對較低、性能處于中等水平，但近年來性能提升迅速、應用價值極高。

可信硬件技術目前主要指可信執行環境，其核心思想是構建一個硬件安全區域，數據僅在該安全區域內進行計算。TEE將信任機制交給硬件方，嚴格來講并不屬于“數據可用不可見”，但其通用性高、開發難度低，使得在數據保護要求不是特別嚴苛的場景下存在價值發揮的可能。

此外，還有了聯邦學習、共享學習、知識聯邦、聯邦智能等一系列“聯邦學習類”技術，以實現機器學習、數據建模、數據預測分析等具體場景為目標，通過對上述技術改進融合，在算法層面進行調整優化而實現

綜上所述，區塊鏈安全目前面臨的主要問題有共識過程的中心化、智能合約代碼漏洞、算法漏洞、系統實現代碼漏洞等，分析區塊鏈安全性CIA需要從綜合系統安全性、算法安全性、使用安全性、實踐安全性與協議安全性等方面進行分析完善。行業需要從學術、技術和實踐等方面研究區塊鏈安全，探究其中存在的安全風險、對抗風險所需采取的措施，以及實踐經驗，最后形成一個安全規范，作為檢測、開發、應用的具有開放性和經濟性的指導標準，以解決“區塊鏈的安全，誰來保障？”的問題，為打造一個更安全的數字經濟和數字時代DT的到來打下堅實的基礎和保障。

Tags：區塊鏈數字資產HTTTPS區塊鏈的四大核心技術數字資產管理CHTTtps幣行情

SOL