360报的EOS漏洞，技术层面并不复杂，很容易懂它的攻击逻辑。但是这个漏洞背后却显现了EOS设计理念有着一些深层次的安全隐患。
先简单复盘下漏洞本身：根源是在这行代码，有个数组越界的内存漏洞：
因为binaryen.cpp这个代码是负责解析EOS智能合约的，所以攻击者可以：1.先创建一个「恶意」的智能合约；2.把「恶意」的合约上传到EOS网络让超级节点来解析，进而触发越界，形成EOSWASM虚拟机进程的内存漏洞；3.由于EOS为了性能的考虑，常用的内存缓解技术没有做到位，攻击者可以进一步在虚拟机进程里控制整个超级节点的机器，达到远程代码执行的效果。漏洞发现者的解释
区块链游戏工作室0xGames宣布倒闭，计划将游戏开源交由社区自治:近日，美国知名区块链游戏工作室0xGames首席执行官Sergey Kopov发文表示，由于出现财务问题，0xGames决定正式关停，将于本周结束旗下游戏内物品的销售，并将这些游戏项目开源并交由社区自治。
据悉，0xGames成立于2017年12月，此前曾开发出三款较为火爆的区块链游戏：0xUniverse、0xBattleships、0xWarriors。[2020/9/16]
而EOS官方的漏洞修复也是很奇葩的，BM在GitHub上创建了这样一个bugissue：根据标题，就不难发现，BM根本没修复根源的漏洞本身，却只是改了assert在release版的触发
加密借贷平台Nexo为散户开通PAXG信用额度:加密借贷平台Nexo已经为散户投资者开通了PAX Gold（PAXG）的信用额度
此前该服务只面向机构客户。Nexo联合创始人兼管理合伙人Antoni Trenchev表示，所有客户现在都可以“无缝地购买黄金，然后以此借款”。（The Block）[2020/3/25]
漏洞发现者说，这种修复没有本质上解决问题：
说完漏洞本身，再来探讨下深层次的原因
一、这个攻击的一大亮点是，合约本身可以是「恶意」的，是用来攻击节点的。那为什么「恶意合约」这个威胁会对EOS特别显著？因为EOS部署合约是零成本的，任何人只要锁定一定量的EOS都可以免费发布合约来让超级节点解析。这样攻击者几乎是零成本。所以这个threatmodel对EOS“特别”适用。
公告 | MXC抹茶于今日21时上线PAXG杠杆ETF交易对:据官方公告，MXC抹茶于2月26日21时上线杠杆ETF PAXG3L（3倍做多）与PAXG3S（3倍做空）交易对。据Paxos Trust Company官方介绍，PAXG是由美国金融科技公司Paxos Trust Company发行的首个可兑换实体黄金的数字资产，每个PAXG代表存放在Brink专业金库中的400盎司标准交割金条中的一金衡盎司。所有PAXG的持有者都享有在Paxos Trust Company托管下的对应黄金的直接拥有权。用户可在Web端或App端的“ETF专区”参与交易。杠杆ETF是以现货价格为标的，3倍放大现货涨跌幅的永续杠杆产品。购买“3L”表示3倍做多，购买“3S”表示3倍做空，采用再平衡动态减仓风控系统，无爆仓规则，已上线减半概念BTC、BCH、BSV、ETC、DASH，以及平台币OKB、HT、BNB等20个币种。详情点击原文链接。[2020/2/26]
二、EOS的21个超级节点的设计，会让这种攻击在现实世界里更容易实行。EOS超级节点的本质，就是用中心化来提高性能。可是无论每个超级节点背后有多少机群，一定有个主控端的机器。这样，攻击者只需要知道怎么破解每个主控机器的内存保护措施就可以了，反正最差情况也就适配21种。而相对地，拿ETH举例：ETH区块链网络现在有18266个节点，而这些节点又有很多不同的客户端版本和机器版本，光适配这些不同配置的exploit就够黑客头疼的，写PoC是相对简单的，现实运行是麻烦的，所以安全问题有时候是被一定程度地夸大了的。而且，由于EOS的中心化，超级节点会保存一般区块链节点不会有的太多的重要信息，一旦攻破，后果比攻破一个或多个普通区块链节点问题严重的多。
三、EOS为啥不用更严格的沙盒来限制内存漏洞呢？因为EOS的智能合约功能太多了，除了跟操作系统层有很多交互，合约本身还支持异步执行，「并发漏洞」也是个头疼的事情。
想做的功能越多，被攻击的危险就越大。有时候，设计越是简单，往往越有力量。
链闻ChainNews：提供每日不可或缺的区块链新闻。
原文作者：道链闻编译：YY版权声明：文章为作者独立观点，不代表链闻ChainNews立场。
来源链接：mp.weixin.qq.com
本文来源于非小号媒体平台：
链闻速递
现已在非小号资讯平台发布1篇作品，
非小号开放平台欢迎币圈作者入驻
入驻指南：
/apply_guide/
本文网址：
/news/3626834.html
EOS柚子漏洞风险安全
免责声明：
1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险
2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场
上一篇：
直指本质，EOS漏洞的复盘和深层次原因探讨
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。