星球日报
搜索
手机客户端
iPhone · Android
微信公众号
微信公众号

iPhone · Android

微信公众号

NULS失窃,硬分叉“作废”黑客赃款

2019-12-24 10:22:00

项目安全警钟再敲响。

编者按:本文来自蜂巢财经News(ID:fengchao-caijing),作者:JX kin,Odaily星球日报经授权转载。

NULS遭遇攻击,12月20日,团队账户里200万枚NULS币被黑客转走。

3天后的凌晨,NULS社区发布公告称,22日下午18时发现了漏洞,团队连夜升级主网,采取硬分叉的方式应对。在此之前,失窃的200万NULS中,有54万已流向市场,这些资产价值近90万元。

技术应对的同时,团队紧急联系各个交易所关闭了NULS的充提。排查漏洞后,项目联合创始人冉小波披露原因时称,黑客通过特殊手段让节点打包了这笔交易,并绕开了其他节点的验证,以此方式转走了资产。

23日凌晨,NULS发布新版程序,在区块高度为878000处为主网进行了硬分叉。如此一来,黑客手里的币将不再受新主网的认可,无法交易,相当于“作废”。

“已经修复了相关漏洞。”冉小波说,团队也不打算再找回这批资产,为了不留后患,硬分叉后,“未进入交易市场的这145万多的币将永久锁定,直接销毁。”

200万NULS被盗 54万流入市场

12月20日是个周五,NULS的联合创始人冉小波还在出差。埋伏在暗处的黑客行动了,划走了NULS团队账户的200万个币。之后的两天,正好赶上周末,财务管理人员也没有注意到什么异常,直到22日晚上。

“我们在22号的NULS社区理事会讨论的时候,发现了网络中有一笔异常交易。”当时是下午6点左右,这距离团队账户里的币被盗已经过去了一天,冉小波说,成员们赶紧组织追踪、排查,“时间晚了一点点,导致一部分进入到交易市场中,无法再进行追溯。”

后来发出的公告显示,流向市场的被盗NULS为54.83万个左右。按照当日NULS价格计算,这批币价值90多万元。

2个小时内,团队找出了问题,也追踪定位到被盗资产转移的所有地址。在这期间,他们紧急联系了上线NULS的各个交易所,通知对方关闭充值和提现,以防被盗的币进一步流向市场。

接下来是如何应对黑客手里剩下那145多万个NULS带来的风险问题。“团队与理事会内部进行讨论,确定了硬升级的方案。”之后的5个小时内,技术团队的核心成员完成了编码和测试,发布了NULS系统的新版本,“所有的程序完成是在北京时间23日凌晨3点。”

1小时后,NULS官方社区公布了被盗事件和硬分叉的处理方案,提示各个节点升级系统。硬分叉后,被盗走的NULS币意味将不受新链认可,无法交易,直接“作废”。

NULS失窃,硬分叉“作废”黑客赃款

23日凌晨,NULS中文社区微博发布消息称团队账户被攻击

在区块链业内,NULS是2017年10月启动的老牌公链项目,用户可以开发和使用NULS网络的智能合约,实现跨链互操作和即时链构建等功能。

OKEx行情显示,12月20日,NULS24小时涨幅为3.2%,最高为1.82元;失窃发生后的21日,NUSL由涨转跌,下跌了4.8%,最低报价为1.64元;23日凌晨,NULS价格未发生明显震荡,24小时下跌1.2%;截至晚上10点,暂报1.66元。

按照这一价格,此次黑客攻击让NULS团队遭受332万元的损失。所幸,这次攻击未造成其他用户账户受损。

黑客绕过节点验证“偷钱”

黑客事件发生后,昨日,区块链安全团队慢雾科技在披露原因时称,NULS遭黑客攻击因该网络的交易签名验证算法存在漏洞,黑客利用精心构造的交易,绕过了签名验证。

“这个漏洞和签名算法有一点关系,但不是算法的问题。”冉小波告诉蜂巢财经,这笔交易在程序中没有通过验证,黑客通过特殊的手段,让节点打包了这笔交易,但绕开了其他节点验证,以此将团队账户里的币转走。

他分析,发起攻击者可能是熟悉Nuls底层的人,“但无法确定具体是谁。”有外界声音认为,此举系“内鬼作为”。对此,冉小波强调,NULS代码全开源,且有非常多的社区开发者,“不能认为是‘内鬼’攻击,因为区块链地址是匿名的,这种猜测毫无根据。”。

NULS完成了硬分叉后的系统更新,OKEx等交易平台目前仍处于暂停NULS充提的状态。

NULS失窃,硬分叉“作废”黑客赃款

12月22日,OKEx发布公告暂停NULS代币充提

目前,NULS团队表示,修复系统后,技术人员展开了全方位的多重审查,“确保未来不再出现同样的问题。”

在区块链行业里,从业者与黑客的攻守战已经成为一种常态。无论是保管用户资产的交易所,还是构建区块链网络的技术团队,稍有不慎,就会给黑客可乘之机。

著名的“Mt.Gox交易所被盗事件”中,80多万枚比特币丢失致使这家交易所破产,遭遇损失的用户至今还在就赔偿问题和平台打官司;“The DAO”事件则让知名区块链项目以太坊损失了5000万美元。

此次针对NULS的黑客攻击再次给区块链项目方敲响了警钟。慢雾科技相关人员提示,对于项目方来说,如果对自己的底层代码没足够的自信,建议联系第三方安全公司对代码进行审计;项目方也可以用“漏洞赏金”的方式主动发起悬赏,鼓励用户和开发者提交漏洞以供应对。

处理完黑客攻击的NULS即将回到正轨。冉小波透露,NULS目前已经开源仓库33个,基础模块7个,应用模块也超过了10个。此外,NULS在跨链方面已经实现与ChainBox区块链之间的无缝交互,“未来的几个月内,NULS即将打通几个主流资产的跨链交互。”

冉小波和团队都决定,不再找回这些失窃的资产,未免后患,硬分叉升级后,剩下的未流入市场的145万多个NULS将以永久锁定的方式直接销毁,“这也是我们对每一行代码都必须认真审视的一个警戒。”

本文来自投稿,不代表Odaily立场。如若转载请注明出处。

Odaily星球日报提醒,请广大读者树立正确的货币观念和投资理念,理性看待区块链,切实提高风险意识;对发现的违法犯罪线索,可积极向有关部门举报反映。

参与讨论

登录后参与讨论

蜂巢财经News

特邀作者

蜂巢财经News

区块链真相派

总文章数: 70


分享至

微信扫一扫分享

0