二、智能合約漏洞，左右為難!
時(shí)間：2022-03-24 12:57:01 | 來(lái)源：行業(yè)動(dòng)態(tài)
時(shí)間：2022-03-24 12:57:01 來(lái)源：行業(yè)動(dòng)態(tài)
智能合約本質(zhì)是一段運(yùn)行在區(qū)塊鏈網(wǎng)絡(luò)中的代碼，它完成用戶所賦予的業(yè)務(wù)邏輯。以以太坊體系的代幣為例，其業(yè)務(wù)邏輯是代幣發(fā)幣和交易。以太坊在設(shè)計(jì)之初，將智能合約設(shè)計(jì)成了一旦部署就不能修改的模式。這種設(shè)計(jì)有可能是為了提高智能合約的可信性。但是我們知道，只要是由人編寫(xiě)的程序，就一定會(huì)出現(xiàn)錯(cuò)誤和缺陷。以太坊這種設(shè)計(jì)本身就違背了程序設(shè)計(jì)的一般規(guī)律，在智能合約出現(xiàn)漏洞的時(shí)候可能會(huì)造成無(wú)法彌補(bǔ)的損失。我們可以看到，近期出現(xiàn)的以太坊體系智能合約的漏洞，造成了巨大的影響，有的代幣也因此毀滅。
目前以太坊體系區(qū)塊鏈智能合約的機(jī)制設(shè)計(jì)，加之漏洞可能帶來(lái)的毀滅性影響，使得已上線智能合約的漏洞的報(bào)告和處理變得非常棘手。360代碼衛(wèi)士團(tuán)隊(duì)在近期的研究中發(fā)現(xiàn)了以太坊體系下多個(gè)已上市交易的代幣的智能合約安全漏洞，并已第一時(shí)間報(bào)告廠商，但到目前為止廠商尚未作出任何回應(yīng)。對(duì)于廠商來(lái)說(shuō)，由于智能合約不可修改的特性，要對(duì)上線后發(fā)現(xiàn)的漏洞進(jìn)行有效修復(fù)，只能選擇重新部署新的合約，這將付出巨大的代價(jià)，因此有的廠商可能會(huì)選擇不響應(yīng)，不處理。而對(duì)于安全研究者來(lái)說(shuō)，也面臨尷尬的境地，左右為難。在廠商修補(bǔ)漏洞前公開(kāi)漏洞細(xì)節(jié)對(duì)于廠商不利，有悖漏洞披露的一般原則，但如果廠商遲遲不修補(bǔ)漏洞，公眾對(duì)于漏洞的存在不知情，風(fēng)險(xiǎn)會(huì)隨著時(shí)間的增長(zhǎng)迅速膨脹，漏洞一旦爆發(fā)可能會(huì)造成更大的危害，波及更大的人群，可能會(huì)造成很多人的投資瞬間化為烏有。接下來(lái)360代碼衛(wèi)士團(tuán)隊(duì)還將與廠商保持積極的聯(lián)系和溝通，以期幫助其修復(fù)漏洞。
在線咨詢