Ethereum技术的普及化

从最初的区块链1.0（比特币起源），到区块链2.0（以太坊为代表），再到区块链3.0（EOS新生出现），区块链作为继互联网之后又一划时代的真正体现隐私性、公正性、可追溯的技术，已经悄然来到普罗大众跟前，最初的2万比特币购买咖啡的神话故事，到如今，随着区块链技术的不断迭代日趋成熟，我们已经能看到区块链应用在真切解决合同、税票等大型落地应用，可见区块链关联项目俨然将会迅速成为日常工作、生活、文娱不可或缺的一部分。

目前区块链2.0依然是整个区块链生态体系的主体，Ethereum（俗称以太坊）技术的稳步推进和吸能问题的不断优化，更是使得很多存在于脑中的想法，迅速通过基于Ethereum ERC标准和EVM机制构建出满足人类充分想象力的各方面区块链项目，虽然当下区块链3.0技术通过EOS已经进入了人们的视野，但是因为其初生态的存在重大漏洞隐患、不安全语言使用等，可以肯定区块链项目在当下和后面相当一段时间内，还将基于Ethereum和ERC标准进行构建和智能合约编写，虽然合约内容不同，但是万变不离其宗，即：ERC的标准是孕育其的来源和根基。

基于Ethereum机制的区块链项目随着数字交易所的遍地开花和机制成熟，伴随其诞生的各种合约以及代币也迎来了一个高速成长和爆发期，加上ERC机制的成熟和智能合约编码的一致性，所以项目虽有不同的业务本体和目标，但是其基于区块链的运行机制的相似性和一致性已经成为普遍现象，但是，这种现状，从安全人士角度来说，仿佛嗅到了一丝危险的气息，简单说，常说的“一损俱损”的安全威胁有很大可能会成为这种机制的“隐形杀手”。

ERC20存在的“隐形owner杀手”

以上是一段Ethereum ERC20中非常通行的智能合约代码。这段代码，从业务逻辑上，看似没有问题，但是在标注的地方，从上下文和去中心化控制特点来看，这简单的代码意味着：

1、该项目的创建者在合约的执行过程中，将可以不受约束，通过使用合约的Owner 特权，对整个项目产生的Token总量进行不受限制增发或毁灭式销毁所有Token操作；

2、即使项目已经上线，并在运行中、众多Token持有人已经开始使用，同样会产生致命影响，无法使用！

基于ERC20智能合约的高危漏洞，可以假定，如果项目方存在恶意欺诈意图和想法，后果将不堪设想，即使没有此类想法，如果项目上线，Owner权限丧失到黑客手中，项目同样面临瞬间倾覆风险。这是一个智能合约典型的“隐形杀手”。

相关的安全事件已经爆出：7月中旬，Bancor（BNT）的智能合约爆出与“隐形Owner漏洞”相似安全漏洞，导致2350万美元资金被窃取，而这漏洞危险的根源则是因为该合约设计时的漏洞缺陷导致该该项目团队拥有最高权限，从而黑客利用该缺陷获取项目权限后，通过修改地址方式将这部分任意资金转出，导致该项目蒙受巨大损失。

用传统的方法去直接修复，让很多项目无力承担。我们都知道，智能合约一旦发行，就不允许修改，只能重新发行和部署。所以，如果直接去修改合约内容（去掉错误的Owner权限），将会造成对于一些已经上线运行的项目，修复成本极高，甚至无法接受。因为需要重新部署，修改智能合约代码、项目重新发布、通知Token持有者进行更新、Token映射…这样高复杂度的修复方法和高额的Gas费用，对于很多项目方来说，都无力承担。

修复建议

霍因科技安全实验室，通过对Owner属性的分析和ERC20标准及接口梳理，基于修改量最小和避免重新部署原则出发，结合智能合约特点，摸索出一个可以基于浏览器的快速解决问题方式。这样的修复方法最轻量化，只需要owner放弃对合约一定的操控权。具体修复步骤如下：

1、使用Chrome或Firefox浏览器，安装以太坊钱包操作插件；

2、打开浏览器（Chrome或Firefox），进入可访问区块链项目网站（如，EtherScan），选择存在高危漏洞的区块链项目：

3、通过以太坊钱包插件授权区块链项目操作权限（以下供参考，可用其他方式）

4、建立项目合约接口和插件关联

5、关联成功后，只需要通过ERC20标准接口，将存在高危漏洞隐患的Owner属性进行安全处理，使得项目方不再独自拥有该项目所属权，确保发起方后续不再具有对项目Token具备任何超越合约规范操作权限。

以上整个操作过程顺利完成后，“隐形Owner杀手”无需重新部署的修复方式完成！截止到目前为止，霍因科技安全实验室提供的这种修复方法，还是属于效率最高、成本最低的一种修复方法。

区块链安全正在兴起

区块链世界，已经成为黑客的最爱，这不仅仅是因为这个行业的财富效应，更多的原因是，做为一项IT应用，区块链技术从机理上天生具有很多安全缺陷，而且，区块链行业的从业者的安全意识也确实有待提高。2018年，做为区块链应用的元年，区块链应用项目，层出不穷，在这种大形势下，已经有多个安全厂商进入该细分领域，例如360、慢雾科技、霍因科技、派盾、降维实验室等。值得一提的是，做为区块链安全的玩家，除了要有该细分领域的攻防分析技术之外，还应该具备有效的代码审计和加固服务能力。区块链安全作为新的应用场景，伴随着大量玩家的加入也会孕育出一个独立的细分市场。

企业简介

霍因科技

业务标签：数据安全、去中心化存储、区块链安全

公司官网：www.dnapiece.com

公司全称：北京霍因科技有限公司

创办时间：2017年11月

所在地：北京

融资轮次：天使轮

融资金额：未披露

投资方：未披露

北京霍因科技有限公司，是一家专注提供数据安全方案的安全公司。不一样的是，霍因科技，首创的采用了去中心化和数据DNA技术去解决数据安全的思路。霍因科技的创始团队是曾来自天融信/华为/网秦等公司的安全老兵。同时，霍因科技也成立了安全实验室，针对区块链行业的安全进行研究，也为该行业客户提供渗透测试、智能合约安全审计等安全服务。

声明：本文来自数说安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。