安比实验室_安全-简单区块链

安比实验室简介

安比实验室专注于区块链与智能合约安全问题，全方位监控智能合约安全漏洞、提供专业合约安全审计服务，在智能合约安全技术上开展全方位深入研究，致力于参与共建共识、可信、有序的区块链经济体。

安比实验室创始人郭宇，中国科学技术大学博士、耶鲁大学访问学者、曾任中科大副教授，后担任知名金融科技公司副总裁。专注于形式化证明与系统软件研究领域十余年，具有丰富的金融安全产品研发经验，是国内早期关注并研究比特币与区块链技术的科研人员之一。研究专长：区块链技术、形式化验证、程序语言理论、操作系统内核。

【国家区块链漏洞库《区块链漏洞定级细则》发布】9月27日消息，国家互联网应急中心联合长亭科技、链安科技、安比实验室和慢雾科技四家安全厂商，在CVSS2.0漏洞评分系统基础上，结合大量真实区块链漏洞案例，共同起草国家区块链漏洞库《区块链漏洞定级细则》，现向社会发布。《细则》整体分为《公链系统漏洞定级细则》、《联盟链系统漏洞定级细则》、《智能合约漏洞定级细则》、《外围系统漏洞定级细则》，主要依据“危害程度”和“利用难度”等方面分析，将漏洞分为高、中、低三个威胁等级，且每种危害和难度的描述中都罗列了非常详细的参考条目，基本涵盖了区块链领域可能遇到的大部分漏洞情况，可以帮助使用者快速定位和分析漏洞。同时依托 CVSS2.0，力争实现与传统基础领域漏洞规则的互通，从大网络安全的角度打通区块链新兴领域与传统领域对于漏洞的认知和定义。（国家区块链漏洞库官网）}

【金色相对论丨郭宇：以太坊提出的无状态客户端协议可能是最具颠覆性的新架构】在今日举行的金色相对论中，针对“以太坊目前采用的无状态以太坊、多客户端、信标链staking、rollup等技术，给各位印象最深刻、认为最有应用价值的是哪一个？”的提问，安比实验室创始人郭宇发言指出：个人非常看好路印的 DEX 系统以及 zkRollup 技术。zkRollup 是一个一般性的区块链扩容架构，完全可以移植到其它公链或者区块链平台中。并且对于底层平台的要求并不高。只要区块链底层平台能支持相关的密码学原语，主要是零知识证明原语，然后就可以支持 zkRollup。除此之外，个人认为以太坊提出的无状态客户端协议有可能是未来最具颠覆性的新架构。区块链验证节点不再需要存储区块，通过零知识证明来实现交易的验证和打包。这将打开更广阔的想象空间。目前这一技术的相关理论还是快速迭代过程中，相信很快这一技术就可以在一些试点场景中得到应用。

【动态 | zkSNARK合约“输入假名”漏洞致众多混币项目爆雷】据安比实验室消息，大量零知识证明项目由于错误地使用了某个zkSNARKs合约库，引入“输入假名 (Input Aliasing) ”漏洞，可导致伪造证明、双花、重放等攻击行为发生，且攻击成本极低。众多以太坊社区开源项目受影响，其中包括三大最常用的zkSNARKs零知开发库snarkjs、ethsnarks、ZoKrates，以及近期大热的三个混币（匿名转账）应用hopper、Heiswap、Miximus。事实上，所有使用了该zkSNARKs 密码学合约库的项目都应该立即开展自查，评估是否受影响。修复很简单。仅需在验证函数中添加对输入参数大小的校验，强制要求input值小于上面提到的q值。即严禁“输入假名”，杜绝使用多个数表示同一个点。所幸的是，目前常见的zkSNARKs合约库都火速进行了更新，从底层库层面杜绝“输入假名”。安比（SECBIT）实验室认为，底层库的更新诚然能够很大程度上消除掉后续使用者的安全隐患，但若该问题的严重性没有得到广泛地宣传和传播，依旧会有开发者不幸使用到错误版本的代码，或者是根据错误的教程进行开发，从而埋下安全隐患。

【动态 | FOMO 3D游戏第二轮大奖揭晓获奖方式仍为黑客阻塞交易攻击】Fomo3D 游戏第二轮于北京时间9月24日23点32分正式结束，最终大奖由地址 0x18a0451Ea56Fd4FF58f59837e9EC30f346ffDCa5获得，奖金达3264.668 以太币。安比实验室发现Fomo3D 第二轮大奖获得者 0x18a0 创建了攻击合约 0x705203fc06027379681AEf47c08fe679bc4A58e1，并发起大量攻击交易，连续堵塞 10 余个区块，时间长达2分钟以上。攻击者利用合约自动判断游戏进行状态，并通过高额手续费吸引矿工优先打包，最终能够以较低成本针对性地堵塞区块，加速游戏结束，并提高自己获胜概率。此前安比实验室曾报道 Fomo3D 第一轮游戏大奖获得者也采用同样手法获得大奖。

【动态 | 安比实验室认为God.Game攻击者明显是奔着该漏洞而来】安比实验室表示，God.Game 是综合“借鉴” PoWH3D 和 Zethr 的混合仿品，此前发动攻击的交易记录，发现其手段十分娴熟，目的性极强，明显是奔着该漏洞而来。可以推断以下两种情况：代码作者有可能是因为没有理解 PoWH3D 游戏机制引入了漏洞；也有可能是故意增加代码混乱度来迷惑他人，以达到埋藏后门之目的。

【ERC20智能合约又现大量整数溢出漏洞】今日清华-360企业安全联合研究中心的张超教授团队披露了一系列ERC20智能合约整数溢出相关漏洞。安比实验室针对这些漏洞，对以太坊上已部署的23357个合约进行了分析检测，发现共有866个合约存在相同问题，统计如下：受“underSell:高卖低收”影响的共有288个；受“ownerUnderflow:下溢增持”影响的共有7个；受“mintAny:随意铸币“影响的共有563个；受“overMint:超额铸币”影响的共有3个；受“allocateAny:超额定向分配”影响的有1个；受” overBuy：超额购币”影响的共有4个。上述前5个漏洞皆属于特权漏洞，黑客攻击需要事先获取特权用户的私钥。

标签：安比实验室