TMT观察网_独特视角观察TMT行业

9 月 25 日（昨日）下午，IMEOS 發(fā)布公告稱，EOS 賬戶“gm3dcnqgenes”被盜 209 萬個(gè) EOS，約合 1080 萬美元（后更正為 212 萬個(gè)EOS）。

事件經(jīng)過是這樣的，25 日凌晨 3 點(diǎn)，該賬號(hào)被更新 owner 和 active 兩把私鑰。之后，黑客對該賬戶實(shí)施了系列操作，包括贖回賬戶抵押的所有 EOS、將賬戶中的大量糖果（主要是BLACK、IQ、ADD）通過交易所 Newdex 換成 EOS、并通過場外交易平臺(tái) OTCBTC 套現(xiàn)了小部分（ 5000 個(gè)） EOS。

EOS 治理社區(qū)得知情況后，各 BP（超級(jí)節(jié)點(diǎn)）表示將支持被害者，并凍結(jié)了黑客未提走的大部分EOS，目前，EOS 核心仲裁論壇（ECAF）正在處理該案件。

賬戶“gm3dcnqgenes”的情況，數(shù)據(jù)來自Blocks.io，時(shí)間截至2018.9.26 12:00

回過頭看，這一系列操作是如何發(fā)生的呢？

據(jù)Bcsec安全團(tuán)隊(duì)介紹，目前事件披露的信息較少，我們只知道該賬戶可能是被黑客釣魚了（ECAF 工作人員表示該賬戶疑似曾使用過一款名為 EOS Wallet 的釣魚軟件），這也是目前比較常見的手段。但實(shí)際情況如何還需等待仲裁結(jié)果。

自主網(wǎng)上線后，EOS 資產(chǎn)被盜的事件頻頻發(fā)生。據(jù) EOS 中文治理社區(qū)的 EMAC 的報(bào)告，截止 2018 年 7 月 8 日，已接到 6 起報(bào)告丟失 EOS 的案件，丟失數(shù)量從幾十到幾十萬個(gè)不等。

這些安全事件的發(fā)生，一方面是由于用戶的安全意識(shí)不夠，比如一些 EOS 賬戶使用弱助記詞生成私鑰，就存在隱含風(fēng)險(xiǎn)；另一面，也要?dú)w因于 EOS 獨(dú)特的賬戶機(jī)制，讓黑客有可乘之機(jī)。

我們知道比特幣和以太坊是每個(gè)賬戶都有一個(gè)地址/公鑰，以及與之對應(yīng)的私鑰。而 EOS 的賬號(hào)則有兩對不同權(quán)限的公/私鑰：

Active 權(quán)限，包括一對 Active 公鑰和私鑰。Active 即操作權(quán)，該權(quán)限可以用于轉(zhuǎn)賬、投票等日常操作。

Owner 權(quán)限，包括一對 Owner 公鑰和私鑰。Owner 即所有權(quán)，是賬戶最高權(quán)限，可以用于重置 Active 私鑰。

黑客利用這個(gè)機(jī)制設(shè)計(jì)，可輕易釣取用戶的資產(chǎn)。

舉個(gè)曾發(fā)生過的案例。由于注冊 EOS 賬戶需要已存在的賬戶幫忙抵押內(nèi)存，所以一種常見的釣魚手法是幫助新用戶注冊賬戶。注冊時(shí)，用戶需向來幫忙的賬戶提供公鑰，此時(shí)，釣魚者就會(huì)將用戶提供的公鑰設(shè)置為新賬戶 Active 公鑰，把自己的公鑰偷偷設(shè)置為新賬戶的 Owner 公鑰。之后，若有人向新賬戶轉(zhuǎn)入 EOS 資產(chǎn)，釣魚者就用自己控制的 Owner 權(quán)限來控制用戶的新賬戶，轉(zhuǎn)走 EOS 資產(chǎn)。

據(jù)知情人士透露，黑客控制賬戶后，如果他還未轉(zhuǎn)走 EOS，那么賬戶實(shí)際戶主可提請 ECAF 進(jìn)行仲裁；但若黑客已通過交易所提走 EOS，因?yàn)橐殉?ECAF 的權(quán)責(zé)范圍，追回資金較困難。

此次 “gm3dcnqgenes” 被盜消息披露后，黑客兌換糖果所用的 EOS 去中心化交易所 Newdex 宣布禁止被盜賬戶的一切交易（直到賬戶物歸原主）；Starteos 節(jié)點(diǎn)則自發(fā)凍結(jié)了該賬戶，加上BP 和 ECAF 的介入，黑客不得已終止了操作，沒給資產(chǎn)所有者造成過大損失。

EOS 是人治程度較高的去中心化平臺(tái)，大家覺得，這種善后機(jī)制的方式如何呢？