![](https://www.bitpush.news/wp-content/themes/Gztro/assets/img/logo.png)
区块链安全“猜疑链”
原创 | 刘教链
隔夜BTC(比特币)强势反攻,硬生生把高开低走逆转成了连续上涨,并一鼓作气,重新站上7万刀高地。多头干得漂亮,这一段战线打得十分解气!受此精神带动,加密市场全面上行,UNI (Uniswap)也趁势大举反推,一度涨超10%,逼近12刀一线。
昨6.4内参:百万美刀资产放在交易所离奇被盗的警示录![链接]提到了一个令人悲伤、使人警醒的消息:某网友把高达100万美刀(700多万RMB)的加密资产放在某交易平台,却不幸被黑客窃取了登陆凭证,远程进入账户洗劫一空。令人警醒的是,凭证盗用(被用于不同设备、不同IP等),交易行为异常(黑客没拿到提币密码,只能“对敲”出货),这些在web2互联网司空见惯的安全措施(大家可以试试支付宝或者微信支付对上面的两种情况会不会触发系统报警和暂时冻结账户就明白了),在web3全球头部平台的入侵检测系统居然安静如处子!
傻傻小白的你,还相信当年某交易所大佬说的,小白就别学什么自己保管私钥、链上持币了,把币放在交易所中心化托管,比你自己保管更安全,这样的话吗?
安全公司分析了半天,除了指出是该网友自己电脑浏览器安装了恶意插件,导致黑客盗取了登陆凭证之外,就是写了一大堆普通人根本不可能看懂的有关chrome插件的技术名词和解释。把普通用户培养成互联网安全专家,是一件不可能的事情。从这个角度入手,区块链安全问题永远得不到解决。
况且这样故事讲一半,还会产生一个误导性,就是这样的安全事故责任,全在该用户自己。
错。
教链认为应该明确一个web3资产管理的基本原则:谁实际控制资产,谁就负有更大的甚至是全部的安全义务和责任。
这才符合人类社会最最基本的“权力-责任”对等原则。
从这个原则出发,我们才能理解,为什么支付宝要搞那么多用户端的安全措施,银行为什么要关心用户汇款、防范电信诈骗。如果抛弃这个原则,支付宝或银行就可以说,用户自己上当受骗,与我何干?
由于区块链资产的超主权性质,使得这一份安全义务和责任的承担成本极其高昂,往往会成为一个中心化平台的“不可承受之重”。因此,这才进一步推导出,区块链的基本思想之一,就是让每个人都自己保管自己的私钥,自己控制自己的资产。各负其责,也就是所有人分担了责任、分散了义务,也就分散了成本,这才让区块链变得可行。
今天的区块链才发展了区区15年,中心化和去中心化各种混杂在一起。现在的加密世界,就像《三体》里描述的“黑暗森林”,处处充满了不可知的危险。涉足其中的小白朋友们,一个不小心,暴露了自己,就被潜伏在黑暗之中的“猎人”,一枪毙命。
这篇文章,教链要提出一个区块链安全的“猜疑链”模型(这个名词也出自《三体》),来告诉各位新老朋友们,如何简单识别区块链的安全风险,“苟全性命于乱世”。
「凡是有可能会出错的地方,迟早一定会出错!」—— 墨菲定律
教链提出的这个区块链安全猜疑链,就是把从你到你的资产之间到全部环节梳理成一个链条。根据墨菲定律,链条中的每个环节的安全性都是值得怀疑的,因此,链条越长,这个猜疑链的整体安全性就越低。
就像计算物理定律需要先确定参照系一样,要评估任何一个猜疑链的安全性,也要先建立区块链安全的参照系。这个参照系就是最短的猜疑链:自己用私钥保管比特币。(实操的办法教链很早就写过,可以回顾一下《如何使用私钥保管比特币》(2020.10.20)。)
自己用私钥保管比特币这条最短猜疑链可以像下面这样直观地画出来:
我
|
生成器(离线)
|
私钥(纸)
|
比特币区块链
|
BTC
或者如果是脑钱包的话,就是这样:
我(私钥口令)
|
编码器(离线)
|
比特币区块链
|
BTC
有了这两个最小猜疑链模型作参照,我们就可以对其他任何web3安全的猜疑链模型的安全风险进行评估了:
1. 如果猜疑链环节增多,那么安全性就会下降,风险就会增加。
2. 对于一个具体环节,安全性的比较顺序一般是:非电子介质 > 电子设备,离线 > 在线,无需信任第三方 > 需要信任第三方,等等。
「我们需要的是一个基于密码学证明而非信任的电子支付系统,……而无需一个受信任的第三方。」—— 中本聪,比特币白皮书
拿上文案例中,把资产(以BTC为例)放在中心化交易平台作为对比:
我
|
电脑(-)
|
浏览器(-)
|
交易平台(-)
|
比特币区块链
|
BTC
(-)表示扣分项。电脑是电子设备,扣分。浏览器访问交易平台是联网在线的,扣分。交易平台控制比特币,这意味着你需要信任它作为第三方,扣分。
该案例中被盗百万美刀的安全事故,正出在“浏览器”和“交易平台”这两个安全性降低、猜疑度升高的环节。浏览器被恶意插件入侵。交易平台对异常状态、行为监测做得不到位。两相结合,造成了悲剧。
不妨再举几个例子展示一下猜疑链的用法:
使用联网的手机App软件钱包(非托管式)保管BTC:
我
|
手机(-)
|
应用商店、下载网站(-)
|
助记词备份(纸)
|
App(-)
|
比特币区块链
|
BTC
联网手机是扣分项。苹果的安全性 > 安卓。App是扣分项。开源的、久经考验的App > 新的、未知的App。非官网下载的、其他网友发给你的安装包,直接红色警报!你如果有这种坏习惯,被盗币破产只是时间问题。
使用助记词保管USDT:
我
|
生成器(离线)
|
私钥(纸)
|
某USDT所在的区块链
|
USDT
|
Tether公司
|
银行
|
美元,
其他储备资产
|
美债
惊不惊喜,意不意外?USDT不是真正的底层资产,穿透下去,猜疑链还没结束呢!你以为抄了私钥就高枕无忧,那就大错特错了。
从这个模型开始,包括后面的更复杂、更长的猜疑链,就不标记扣分项了。因为全是扣分项,处处安全风险,都快漏成筛子了。哈哈~
使用Metamask插件钱包,持有WBTC(以太坊上的Wrapped BTC):
我
|
浏览器
|
插件商店
|
助记词备份(纸)
|
Metamask
|
以太坊区块链
|
WBTC
|
托管公司(多家)
|
比特币区块链
|
BTC
使用Ledger硬件钱包+Metamask,持有放在lido里质押生息的ETH:
我
|
助记词备份(纸)
|
Ledger硬件钱包
|
浏览器
|
插件商店
|
Metamask(无私钥)
|
lido质押网站
|
以太坊区块链
|
stETH
|
lido托管网络
|
ETH
如此种种。相信各位读者应该很容易领悟和掌握这一思维方法了。
区块链最重要的三件事是什么?第一是安全,第二是安全,第三还是安全。
小心驶得万年船。
希望教链的这个猜疑链思维方法,能够帮到各位读者,切实提高安全认知,少踩坑,不迷路!
(公众号:刘教链。知识星球:公众号回复“星球”)
(免责声明:本文内容均不构成任何投资建议。加密货币为极高风险品种,有随时归零的风险,请谨慎参与,自我负责。)
比推快讯
更多 >>- 新加坡在2024年Henley加密货币采用率指数排名中位居第一
- Pump.fun 自今年1月份推出以来,营业收入已突破 1 亿美元
- Yuga Labs 首席执行官: 将在ApeChain上推出第一批产品
- 8月份,现货比特币ETF累计净流出9400万美元,以太坊ETF净流出4.7725亿美元
- Vitalik Buterin 过去 3 年减持约26%的ETH持仓
- Galaxy Digital向比特币矿企 Rhodium 提供3000 万美元贷款融资选项
- 8 月 30 日现货比特币ETF流出1.7553 亿美元
- 研究:自2013年以来,9 月份是比特币表现最差的月份
- 贝莱德 iShares 比特币信托基金 (IBIT) 自推出以来第二次出现资金流出
- 星巴克在萨尔瓦多接受比特币作为付款方式
- 马斯克拒绝为“X”在巴西指定法人代表,巴西最高法院全面叫停“X”
- 美股收盘:三大股指收涨,英特尔涨逾9%
- 华尔街日报:高盛将裁员逾1300人
- 前 Nexo 交易主管推出加密做市商 Infima Capital,已获500万美元资金支持
- 金融时报:OpenAI据悉考虑调整公司结构,使其对投资者更友好
- Parlay Labs 启动由 DNA.fund 领投的 200 万美元融资,并将推出 Parlay 平台
- 民意调查:加密货币持有者普遍支持特朗普担任美国总统
- Arkham:特斯拉已持有BTC超三年时间未抛售,累计获利 3 亿美元
- Vitalik Buterin:Optimism和Arbitrum都符合安全委员会投票门槛要求,不能单方面窃取资金
- CNBC:美国总统大选筹集的所有企业资金中,几乎有一半来自BTC和加密货币
- 某巨鲸地址于1小时前向Kraken存入3300亿枚PEPE,约合253万美元
- 以太坊基金会第二季度对项目和社区活动的资助总金额超847万美元
- CryptoQuant研究主管:如果比特币跌破 56,000 美元,则更大幅度回调的风险会增加
- 分析师:此前Arbitrum 转移 3 万枚 ETH 为跨链调配
- 截至 2023 年底,Telegram持有价值达 4 亿美元的加密货币
- Robot Ventures为其新的加密风险投资基金筹集7500万美元
- Arbitrum向某地址转移3万枚ETH,价值近7500万美元
- 以太坊2024年Q2研究人员数量达450名,截至7月1日全职开发者数量为2788名
- Spartan Capital Securities:美国通胀或已见顶,但降息 25 或 50 基点仍有争议
- 1783枚BTC在未知钱包间转移,价值约1.06亿美元
- a16z 合伙人:LLM 类产品有潜力成为搜索业务的颠覆者,并可能实现相当的变现能力
- Aave 发起在 Scroll 支持 STONE 的提案,当前支持率达 100%
- 灰度于5分钟前向Coinbase Prime转移2114枚ETH
- 拜登:PCE报告显示了进展,但物价仍然过高
- 马斯克因 Telegram CEO 被捕考虑限制旅行目的地
- 某交易者花费 1200 美元投资波场链上Meme币 BULL,三天后价值最高超 1000 万美元
- PCE 数据对美联储降息押注影响甚微,股指期货小幅走高
- 美国7月核心PCE物价指数年率2.6%,预期2.70%,前值2.60%。
- 美国7月核心PCE物价指数月率0.2%,预期0.20%,前值0.20%。
- Powerledger:Telegram 频道已被黑客入侵,不要参与或分享任何信息
- 疑似 Amber Group 地址于4分钟前从 Binance 收到8000枚ETH
- 跨境转账平台 Kredete 完成 225 万美元种子轮融资,BFF 领投
- Oasys 与日本传统金融巨头 SBI Holdings 合作推动区块链游戏
- Kaiko:Mt.Gox还有超20亿美元比特币待分配给债权人,比特币面临美国、英国政府等潜在抛压
- 加密行业破产案为律师事务所带来约7.51亿美元收入
- Bitfinex 分析师:比特币短期持有者成本63900美元,夏季流动性缺乏将延续至9月
- 克里姆林宫:与 Telagram CEO Pavel Durov 没有进行任何谈判或达成协议
- 超过110家企业正在非洲开展比特币相关业务
- Witnesschain Discord 服务器已被黑客攻击,用户请勿点击任何链接
- 网龙今年上半年通过出售2.9亿元的加密货币,获利5100万元人民币
比推专栏
更多 >>观点
项目
比推热门文章
- 新加坡在2024年Henley加密货币采用率指数排名中位居第一
- Pump.fun 自今年1月份推出以来,营业收入已突破 1 亿美元
- Yuga Labs 首席执行官: 将在ApeChain上推出第一批产品
- 8月份,现货比特币ETF累计净流出9400万美元,以太坊ETF净流出4.7725亿美元
- 【比推一周web3新闻精选】巴黎检察院:Telegram创始人案涉及12项罪行,拘留时间或延长至8月28日; 特朗普确认出席9月10日ABC新闻主办的与哈里斯的辩论;纳斯达克寻求美SEC批准比特币指数期权
- Animoca与OKX投资400万美金,速览GameFi市场黑马《Legend of Arcadia》
- 吴说周精选:Telegram 创始人被法国拘留、非小号团队被抓、OpenSea 或被 SEC 起诉与新闻 Top10
- Vitalik Buterin 过去 3 年减持约26%的ETH持仓
- 中国长期国债收益率与BTC的奇妙相关
- Galaxy Digital向比特币矿企 Rhodium 提供3000 万美元贷款融资选项