在这样的背景下,DVP在一周年之际,围绕「区块链安全进化论」这个主题,自7月20日启动了一系列活动,推出三重大礼,包括线上漏洞挖掘大赛、解谜游戏挑战和线下黑客松,设百万人民币奖池,旨在回馈白帽黑客和社区,促进万博app怎么下载安全发展。

上周六(8月10日),DVP线下黑客松圆满落幕。此次大会由DVP主办,OGC、PeckShield、MixMarvel、Contentos、Bibox、Ontology、YeeCo协办,获众多知名项目和媒体支持。上午,来自DVP、PeckShield、白帽汇、长亭科技、腾讯湛泸实验室的安全万博app怎么下载大佬,以及顶尖白帽黑客代表,进行重要安全议题分享;下午,则正式开始激烈的黑客松竞赛。

经过漏洞终选和综合竞赛(漏洞挖掘+CTF竞赛)两轮较量,最终角逐出6支队伍共15名选手分别获得一、二、三等奖,摘得总价值30余万人民币的大奖。其中一等奖获奖者为毕竟话少 / kennyS;二等奖获奖者为 fsname / 瓜瓜 / Chris_l、r4v3zn / Santanx / Xenc;三等奖获奖者为 gs-ice2019 / gs-sun1and / gs-saf3d0s、衬衫、cybersecurity / YouLii / Jasper。 值得一提的是,最小的获奖者,年龄只有16岁。

6个真实交易所漏洞

有趣的是,线下黑客松的漏洞终选环节,入选最终评选的6个严重危害漏洞,均是全球顶尖数字货币交易所的真实漏洞。据说,比赛现场,还有涉及的交易所亲临现场。从这些漏洞,可以更真切地感受到当前交易所安全的严峻形势,DVP已第一时间通知相关交易所修补漏洞。这些漏洞的基本影响如下:

(1)某全球前十交易所,通过该漏洞可获取整个交易所的KYC信息;

(2)某知名交易所提供商通用漏洞,通过该漏洞可获取所有使用其系统的交易所用户反馈的敏感信息,影响180+交易所,包括多家火爆的新兴交易所;

(3)某知名交易所,通过该漏洞可以篡改应用商店中官方app,替换为钓鱼app窃取用户资产;

(4)某知名交易所,通过该漏洞可以获得其旗下某站点的服务器账号密码、数据库账号密码等;

(5)某知名交易所,通过该漏洞可以在一定的交互之下对用户实施盗号攻击;

(6)某知名交易所,可以对当前交易所下发大量的买单、卖单,进行市场操控。

由此可以看到,KYC泄漏、钓鱼APP、账号密码泄漏、盗号攻击、市场操纵等安全风险,都是真实且普遍存在的,顶尖交易所也不例外。用户的信息安全和资产安全面临着极大的威胁。

DVP线上漏洞挖掘大赛排名第一的白帽领袖Chris_L,擅长挖掘交易所漏洞,他分享了自己近两年挖掘漏洞的对比。可以看到,信息泄漏类的漏洞占比显著提高,从2018年的15.6%上升至2019年的27.3%。

33291565506170_.pic_hd

Chris_L表示:“交易所漏洞很多,它们不太注重安全。通常情况下,9成漏洞是在没有意识的情况下暴露的,而现在交易所的漏洞,9成是因为配置不当造成的。”他还表示,数字货币领域的交易所,几乎都存在在大大小小的安全漏洞。

他给出了6条实用的个人安全防护建议:

1.在登录银行、交易所、钱包等网站时,一律使用带https开头的安全链接;

2.手机、电脑、硬件钱包等联网设备不随意使用第三方不明Wifi;

3.前提许可的情况下,必须安装防护杀毒软件,拒绝“裸奔”;

4.网页、APP出现异常情况时,及时确认和终止重大操作;

5.不打开来路不明的插件、邮件、链接;

6.大额数字货币资产尽量转到知名可靠的冷钱包。

区块链安全问题4大成因

在DVP CEO Daniel看来,区块链安全问题的产生,有很多原因。

一是开源特性:区块链通过开源作为构建信任的一个核心要素,但开源也导致了漏洞更容易曝露,更容易受到攻击。

二是安全投入不足:区块链处于万博app怎么下载发展的早期,万博app怎么下载对底层技术开发的投入和重视先行于在安全方面的投入。

三是万博app怎么下载安全资源缺乏:相比传统互联网和IT领域,从事区块链万博app怎么下载的安全人员仍然是少数。即使头部项目也难以获得足够资源构建覆盖全面的安全团队;

四是安全意识不足:众多项目在生态和技术扩展上没有把构建完整的安全防护体系作为首要的任务。用户对区块链产品使用的安全方面认识不够。

具体来讲,从整个互联网情况来看,过去几年安全人员的复合增长率约为6%,但需求的增长实际上是15%。到2021年,全球大概会有350万个安全岗位无法被填满,其中存在很大的缺口。从区块链万博app怎么下载角度来看,更是如此。新的区块链项目超过万家,但是真正提供安全服务的不到50家,且鱼龙混杂。

33331565507004_.pic_hd

剑桥大学另类金融研究中心(CCAF)做了一个关于区块链数字资产的调研,它的数据很有典型示范意义。从人数占比来讲,大型区块链企业安全人员占比在6-10%,小型企业占比11-20%。从安全投入预算来看,安全预算大概占总预算的11-20%。

33311565506859_.pic_hd

根据调查,只有接近50%的小型区块链企业进行年度外部安全审计。而大型企业中,这一比例仅有29%,这可能是因为他们有自信去做内部安全审计。

33321565506950_.pic_hd

有趣的是,大量的调查对象对审计频次的问题选择“不适用”或“不予回答” 这也体现出项目方在对外公开性上的疑虑。整体而言,对内部及外部安全审计情况披露的意愿非常低,最高的为存贮类约30%会披露外部审计的情况;最低的为交易所类,仅8%。

区块链安全模式的进化

对于项目来讲,可以自建安全团队,优点是响应迅速,可控程度高。缺点也显而易见,就是安全覆盖面低,维护成本也比较高。因此出现了一些新的趋势。

比如中心化漏洞悬赏平台,大企业和政府机构也慢慢开始接受这种模式,美国国防部迄今为止,至少已经有4次在三大中心化安全平台上发布赏金项目。这种模式的好处是,每个平台里会有很多白帽黑客,所以安全覆盖面会更广。而且白帽子挖到漏洞才会有奖励,所以收益成本比较高。但由于是一个中心化主导的平台,白帽利益如何得到保护?这是一个问题。

而DVP的逻辑是建立一个更加去中心化的平台,因为社区的建立,覆盖面会更广,参与人员多角度众测,提供的安全报告会更全面、质量会更高。另外,在厂商诉求和白帽子利益的平衡方面,也更容易做到平衡。一方面通过不对称加密通讯的方式,保证漏洞的机密不会被泄漏,另一方面通过区块链智能合约的设计,可以把白帽子的利益锁定在其中,以及通过经济模型设计,可以对白帽子有更好的激励。

具体来说,一是采用新型激励模式,“业务即挖矿,漏洞即挖矿”,当整个业务流程完成后,做出贡献的白帽子将获得一定奖励;二是由具有安全能力的厂商组成的治理节点,和由生态共建者组成的普通节点,通过质押的方式参加网络的维护和管理;三是各类社区的参与者,通过社区行为贡献的形式,获取一部分DVP通证奖励,形成良好的治理结构 。

一年以来,DVP,已经建立了一个完善的安全协作生态。目前有超过14000名注册白帽子,覆盖厂商1490家,注册厂商162家,有效挖掘漏洞4312个,为白帽子发放ETH奖励超过1170个、DVP奖励超过100万,避免万博app怎么下载潜在损失超过百亿人民币。

DVP即将开启“区块链安全进化论”全球行活动,凝聚全球白帽黑客社群力量。此外,鉴于交易所安全的严峻形势,“区块链安全进化论”系列活动将追加一轮“TOP交易所漏洞大赛”,增设价值数万RMB的奖励,旨在帮助顶尖交易所快速查找漏洞,保护广大用户资产。

精选 导读

三星Galaxy A90获得蓝牙认证 骁龙855+4400mAh电池

Galaxy S和Galaxy Note是三星两大旗舰产品线,每一代产品都搭载旗舰芯片,如今三星在Galaxy A系列上也要用旗舰芯片了。8月10日消息,Galaxy

发布时间: 2019-08-12 16:04
科技   2019-08-12

亚马逊可以邮寄小型住宅 还能提供太阳能和风力发电

如今,亚马逊已经从一家单纯的电商公司变成了一家科技公司,不过你还是无法想象亚马逊上可以买到什么另类的东西,比如一套可以邮寄的小型住

发布时间: 2019-08-12 15:48
万博app怎么下载   2019-08-12

DueDEX可启动自动减仓机制 完全杜绝暗箱操作

比特币期货自诞生以来,交易所发展迅猛,伴生了诸多插针,宕机,定点爆仓等恶性事件和对大户、机构用户的内部补贴政策,必然造成了普通用户

发布时间: 2019-08-12 14:10
八大胜官网   2019-08-12

华云数据推出安超OS 能让政企实现云部署和数字化转型

8月9日晚间消息,华云数据集团宣布推出首款国产通用型云操作系统安超OS。华云方面称,这是一款具有应用创新特性的轻量级云创新平台,能够让

发布时间: 2019-08-12 14:03
学院   2019-08-12

美联储计划发布FedNow支付服务 最初将支持2.5万美元的转账

8月初,美国联邦储备委员会宣布计划发布实时支付和结算服务,以促进该国的支付基础设施。据报道,该服务称为FedNow,到2023年或2024年将允

发布时间: 2019-08-12 09:42
八大胜官网   2019-08-12

莱特币项目仍在运作 3月GitHub指标继续下滑

据cryptoslate报道,莱特币创始人李启威驳斥了之前关于莱特币正在被抛弃的说法,并称目前项目仍在积极运作。此前在今年3月份,风险投资基金

发布时间: 2019-08-12 09:38
八大胜官网   2019-08-12

三星即将推出Galaxy M90 5G版将搭载骁龙855+4500mAh电池

Twitter爆料大神Ishan Agarwal近日表示除即将推出的Galaxy A90外,三星还将推出Galaxy M90。Ishan Agarwal认为Galaxy M90的出现意味着三星

发布时间: 2019-08-12 09:06
科技   2019-08-12

DxOMark可能公布三星Galaxy Note 10+评分 后置可能成为第一

8月12日,DxOMark官方预告将公布一款新机评分。有网友猜测可能是三星Galaxy Note 10+,因为三星最近几代旗舰都在DxOMark排行榜上,其中Gala

发布时间: 2019-08-12 09:01
科技   2019-08-12

光宝要把存储部门出售给东芝 7月存储业务营收58.1亿新台币

NAND闪存价格连跌6个季度,今年下半年即便跌幅收窄,但是价格涨回来的可能性并不大,对一些公司来说这样的局面就很难撑下去了。日前有消息

发布时间: 2019-08-09 17:57
管理   2019-08-09

One-Off概念车曝光 Rival铝合金行李架+A车顶帐篷

标志3008作为一款城市SUV似乎与高强度越野没有多大关系,不过标志的设计师可不这样想。近日,标志的设计师基于普通版3008打造了One-Off概念

发布时间: 2019-08-09 16:59
管理   2019-08-09

每日热点

热门TAG

more