區塊鏈世界的高智商犯罪：如何偷走價值6000萬人民幣的EOS_EOS:MES

編者按：本文來自區塊律動BlockBeats，作者0x2，Odaily星球日報經授權轉載。

黑客預先投入百萬人民幣，將自己控制的節點成功選舉為EOS中21個出塊節點，再利用節點的便利，將價值6000萬人民幣的被凍結EOS一次性轉走到交易所變現？還是他運用了更聰明的方法，使其不需要投入任何成本，上演了一出完美的空手套千萬？2月22日下午2點，區塊鏈世界總值排名第四的EOS網絡上出現了一筆離奇的轉賬。曾被而導致的。上面提到的被ECAF仲裁凍結交易的賬號，絕大部分為持有黑產、盜竊、詐騙等手段獲取的EOS資產的賬戶。為了防止黑客把偷來的幣轉移或銷毀證據，所以ECAF仲裁機構向節點發出凍結令，凍結以后賬戶就不能做任何交易，使用戶資產和黑客盜竊證據得以保全。按照規定，在ECAF宣布凍結命令后，EOS節點要完成黑名單的同步，這樣就保證幣不會轉移走，等到仲裁機構給出結論后再做下一步打算。可是，22日下午，因為21個EOS出塊節點之一的games.eos沒有設置好黑名單，黑客利用這個節點出塊時段，連續三次，把209萬個EOS區塊鏈代幣轉移走。此類行為又被稱為是「偷跑」。EOS節點的主要工作就是負責生產區塊，即處理轉賬交易和阻止黑名單交易。到這里，很多人都會認為這只是一起由于工作疏忽而導致的因意外事件，而事情接下來的發展，卻出乎我們的意料。

當天下午4點，PeckShield數據再次顯示，黑客是假裝向疑似Newdex去中心化交易所的賬號轉賬，躲避追蹤。但實際上這是一個混淆視聽的假賬號，黑客同時向多個不同的小號分散轉賬，小號收到轉賬馬上轉進交易所，比如火幣、幣安、Bitfinex等。據了解，這些轉進交易所的EOS，在安全團隊和交易所都還沒有反應過來的時間內就開始提幣走人，原先的贓款就這么瞬間洗白。據PeckShield提供的鏈上數據，目前黑客已向交易所成功匯入了35.5萬EOS，即洗白的贓款可能高達990萬元。這是一場預謀已久的犯罪行為。區塊鏈世界里又一例新的高智商犯罪？在社交網絡上有人認為這是黑客的一個完美高智商犯罪，以極低的成本成功將此前被凍結的價值6000萬人民幣的EOS取走。有觀點認為：為了讓黑客偷的幣順利轉移，黑客通過一些手段買到了1500萬EOS的票，讓一個沒有加黑名單的節點成為出塊節點，然后成功偷跑了價值5000萬的EOS。這里提到的「買票」，其實就是代理投票。EOS網絡上有專門做代理投票的團隊，他們手中持有大量的籌碼，可以根據客戶需求來進行投票成為節點，借此獲得節點分成或者利潤。代理投票和抵押EOS資源的服務模式是一樣的，相當于租賃業務，用戶只需要支付極少的費用就可以獲取大量的、短時可用的EOS。

8部門聯合發文關注供應鏈創新試點企業復工復產 加快區塊鏈等在供應鏈領域集成應用:商務部、工信部、農業部等8部門近日印發了《關于進一步做好供應鏈創新與應用試點工作的通知》。要求供應鏈創新試點城市和企業加速復工復產，加強區域協同，排查供應鏈風險點，同時推進供應鏈數字化、智能化發展，穩定國內和全球供應鏈。通知指出，完成好新形勢下試點各項工作任務，加快推進供應鏈數字化和智能化發展。試點企業要主動適應新冠肺炎疫情帶來的生產、流通、消費模式變化，加快物聯網、大數據、邊緣計算、區塊鏈、5G、人工智能、增強現實/虛擬現實等新興技術在供應鏈領域的集成應用。（商務部）[2020/4/14]

在EOSDAPP非常流行的時候，因為EOSDAPP大量消耗資源，所以用戶玩DAPP的時候需要購買CPU資源。不少錢包都提供CPU租賃業務，用戶4個EOS就可以租到5000個EOS的CPU。買票的服務也是一樣，用很少的EOS就可以買到大量的EOS投票，抵押結束后，票就會撤回來。如果按照抵押EOS資源的價格，有人也大概算出了這次犯罪的成本，大約在30-114萬人民幣之間。從EOS節點投票數據看，games.eos節點在2月20日和21日這兩天，一共新獲得了1518萬票，這些票讓games.eos一躍成為了前21名出塊節點。如果4個EOS可以買到5000個EOS的票，那1518萬票就需要12,144個EOS去買，按照現在的價格，就是30.3萬人民幣。而據業內從業者表示，100萬EOS投票一天需要3000個EOS的租賃費，那么1518萬票就需要45,540個EOS，價值114萬人民幣。所以網友推測這次犯罪的買票成本大概是在30萬到114萬人民幣之間。PeckShield安全團隊也認為，不排除黑客買票讓節點當選的可能性。然而這個讓人激動人心的黑客故事可能經不起推敲。根據PeckShield的數據，games.eos節點在2月21日就已經成為了出塊節點。如果黑客真的進行了買票操作，那黑客應該會第一時間趁著深夜將資產轉出，為什么要等到一個工作日的下午呢？而且買票的行為非常容易被人發現真實身份，目前還沒有可以進行匿名買票的途徑。區塊律動BlockBeats于是針對這一事件展開了深入調查。早有先例

動態 | 武漢網安：已將全市區塊鏈企業納入備案管理:截至目前，武漢網安“凈網2019”專項行動見成效，武漢網安已將全市2.2萬余家網絡信息系統、本地互聯網數據中心（IDC）、區塊鏈企業、物聯網、APP應用商店納入備案管理。針對區塊鏈、物聯網、人工智能和APP小程序應用、下載應用的違法違規行為，武漢網警開展重點整治。[2019/12/2]

區塊律動BlockBeats之前曾經報道過EOS節點偷跑黑名單導致普通用戶資產被盜事件：《EOS遲早毀在這群白吃干飯的超級節點上》。文中，小手在今年4月份以110元左右的價格買入了1000多個EOS。6月份EOS主網上線之后，各大錢包對EOSToken的支持都不完善，小手在操作轉賬到交易所的過程中遇到了問題，在電報群中求助后，有「客服」來與他聯系說可以手動導入EOS資產到交易所。然而小手沒有想到的是，這個客服其實是騙子假扮的。騙子在索要了小手的EOS私鑰后，將其EOS資產掠奪一空。因為泄露了自己的私鑰，小手自己EOS賬戶中的1280多個EOS被騙子盜走后買了EOSRAM。小手找到了EOS自治社區ECAF，并通過這一渠道進行了仲裁申請，3個月后的10月5日，ECAF發布了這一資產被盜事件的緊急凍結令，騙子的錢包地址被凍結，小手的資產得到了暫時的保護。然而，噩夢卻在那意思小確幸后降臨。11月12日，這個被凍結的EOS地址居然執行了操作，騙子將EOSRAM賣掉，這僅剩的552個EOS被騙子轉到幣安交易所賣掉后提現走人。已經被各個節點加入黑名單凍結的賬號是怎么進行操作的，小手大為不解。原來，負責這次交易的出塊節點starteos并沒有將這個黑客賬號添加到黑名單中，導致黑客成功地「偷跑」。2月22日的209萬個EOS被偷跑，也是使用的同樣的手法。于是有兩種可能性擺在我們面前：這是黑客精心安排的一次獨立高智商犯罪，亦或是與games.eos節點串通，一同導演的一場黑客盜幣的大戲。區塊律動BlockBeats把games.eos這個節點的得票歷史做了下面這張圖。可以看出，該節點賬號于10月份創建后并沒有立即開始獲得投票，直到11月才獲得大量選票，期間有三次大幅度的票數增長，分別在11月4-5日、12月23-25日和2月20-21日。在20日和21日這段時間里，games.eos得票量突然猛增，成為獲票數前21的節點，成為了出塊節點。在發現209萬個EOS通過該節點偷跑后，排名22和23的節點迅速獲得大量票數，將games.eos擠出出塊節點行列。大約1小時后，games.eos回到了排名23位，不再負責出塊。在區塊鏈瀏覽器上，每個節點都有完整名稱和國家所在地，可games.eos什么介紹都沒有，好像是憑空出來的，更令人生疑。

聲音 | 邁阿密大學教授：區塊鏈技術為高品質產品提供了質量保證:據新華網報道，邁阿密大學教授羅伯特·達爾斯特倫表示，區塊鏈技術在供應鏈領域的應用前景，相當于從技術上為高品質產品提供了質量保證，對品牌塑造、誠信體系建設、商業環境提升都有積極意義。[2018/8/18]

從投票歷史上看，games.eos是從去年10月份才開始有得票的節點，在瀏覽器上也發現這個賬號是一個10月份才開始建立的，出現了只有4個月。正常來說，節點申請提交是在去年6月前就截止了，不可能在有新的節點申請出現。其他的節點的主網賬號都是去年6月份建立的，只有games.eos比較特殊。既然不可能有新的節點團隊申請進來，那唯一的解釋，這個節點是現有節點團隊的小號。果然，有一個節點曾經公開表示，自己有兩個節點賬號，就是剛才提到的starteos節點。

在starteos自己發表的這篇文章里，他們承認，starteos建立了games.eos這個節點，這兩個節點都是一個團隊在控制。并且還公開表示，games.eos會給投票用戶分紅。

上述文章還提到了與引導大家投票的有關的內容：節點games.eos流暢運行后，節點收益將分給持幣者，這也就是EOS節點圈內褒貶不一的「賄選」做法。所以當你看到starteos和偷跑有關的時候，關于games.eos發生的一切似乎就可以解釋了。在區塊律動BlockBeats的《BOS，大佬和他的小弟們》這篇文章中曾提到，EOS的部分節點存在一個節點聯盟，節點之間會互相投票，以獲得節點獎勵。國內大多數節點也在這個聯盟中。在最近的節點換票中，games.eos獲得了大量的選票，直接升到了第20名，成為了出塊節點。starteos之前就因為沒有設置凍結賬戶黑名單，黑客在starteos出塊的那6秒鐘里把盜竊的EOS轉移了，但是該節點對外界的任何質疑不做任何形式的回應。

聲音 | Tim Draper：區塊鏈真正的應用潛力還沒有被最大限度地挖掘出來:美國投資家Tim Draper近日接受《財經》采訪時表示，“我們身處在一個瞬息萬變的世界，區塊鏈的到來將改變生活的方方面面，就像當年互聯網對于世界的重塑一樣。”他還強調，區塊鏈真正的應用潛力還沒有被最大限度地挖掘出來，但全球各國政府和創業者都在爭分奪秒地用行動塑造區塊鏈的未來。Tim Draper曾在2014年預言比特幣將在三年內漲到1萬美元。[2018/7/20]

這次被轉移的賬戶的凍結命令是9月25日下的，其他節點已經加入了黑名單，而10月份剛成立的games.eos依然延續了自己團隊的老問題，沒有更新黑名單。精心的謀劃與耐心的等待

目前事態已經非常明朗，黑客已經成功作案并洗白了不少資金，我們現在可以回過頭來分析發生的一切：黑客在games.eos當選出塊節點的第二天發現了這個可以偷跑的事實漏洞，喜出望外的同時，迅速計劃了這次轉移209萬個EOS的犯罪活動。從黑客轉移資產的路徑，區塊律動BlockBeats發現，除了一個混淆賬號外，其他所有關聯交易的EOS賬號均創建于9月27日，即黑客賬號被凍結后的2天，黑客早就做好了隨時偷跑的準備。黑客被凍結賬號第一個轉出的賬號為一個仿冒Newdex交易所的賬號。該混淆帳號創建于2月18日，創建之后就開始批量地向其他EOS賬號發送虛假的廣告來迷惑追蹤者，讓別人以為這是「Newdex交易所的官方賬號」。這種反偵察的行為甚至一度騙過了安全團隊的追查，但最后還是因為交易量過少而被發現。值得注意的是這個時間「2月18日」，也就是games.eos節點大量獲票的前2天，黑客已經預測到該節點很有可能會當選。在成功偷跑后，黑客將所有資產走轉移到了這個混淆帳號，隨后混淆帳號又轉到了十幾個二級賬號，二級賬號又快速地轉到了三級賬號或交易所。目前已經有大量EOS贓款通過交易所進行洗白，包括火幣、幣安、Bitfinex等交易所。據PeckShield提供的鏈上數據，目前黑客已向交易所成功匯入了了35.5萬EOS，即洗白的贓款可能高達990萬元。很顯然，黑客準備的十分充分，從目前掌握的證據來看，這是一個精通EOS開發的黑客，他對鏈上的交易和記錄查詢非常熟悉。創建混淆帳號的EOS賬號甚至曾創建過一個EOSDAPP并發行過mEOS代幣，這名開發者還發了一款名為mEOSFolio的EOS區塊鏈交易追蹤App，可在美區AppStore下載

高盛：共享經濟、社交媒體會更早采用區塊鏈技術:近日，高盛發布了一篇名為《區塊鏈——從理論到實踐》的研究報告。從理論到實踐，探索了區塊鏈在一系列特定的真實世界的應用場景，涵蓋了各類市場和產業，包括休旅業、能源、房地產和金融。報告對區塊鏈的未來做了預估：預計在接下來的2年中見到早期技術原型，2-5年后見到有限度的市場應用，而5-10年內會有更大范圍的市場接受度。相信聚焦客戶的共享經濟和社交媒體企業會在更短的時間內開始實施基于區塊鏈的身份與聲譽管理系統。在資本市場上，預計在接下來2年內見到早期的原型產品，但范圍有限、參與者數量也有限，更廣泛的市場接受度可能需要10年時間。[2018/2/1]

此外，guagddoefdqu賬號曾在1月30日測試往火幣交易所里進行過6次充值，備注的賬號識別信息分別為6個不同的賬號。也就是說，這位黑客已經在1個月前準備好了最少6個交易所洗白賬號，只等games.eos節點當選這一天的到來。

至此，我們已經了解了所有犯罪的準備條件：1、一個新的可能沒有黑名單的EOS節點即將上線；2、深諳EOS網絡的運行規律，比節點更懂EOS；3、準備好了多個交易所賬號，準備洗白；4、準備好了混淆視聽的賬號來避免追蹤，或者拖慢被凍結的進度；5、準備好大量可操控的賬號進行轉賬交易。在games.eos當選后的十幾個小時內，黑客得手了。問題這么久了為什么還沒解決？作為一個曾經被認為區塊鏈世界最安全的社區，EOS已經不是第一次出現由于節點的問題導致用戶資產損失的事情了。在事情發生24小時后，其中一個EOS節點EOS42發文表示，這種事情不應該再次發生，他們認為可以用廢除黑名單內賬戶私鑰的方式來防止單一節點不更新黑名單的行為再造成損失。黑名單賬戶的私鑰一旦被廢除，就再也不能進行交易行為了。這個辦法的確可以用，但是這樣一來，節點又可以對賬戶的私鑰進行操作了。在之前ECAF的仲裁命令中，ECAF就要求節點修改賬戶私鑰，這一行為引發了社區很多討論。不少人認為私鑰是個自己財產的最后底線，如果私鑰可以修改，那自己的財產根本談不上安全了。而廢除私鑰的這個方法，從某種程度上說，跟修改私鑰是一個意思，只能作為暫時性的方案。治標不治本。我們承認EOS作為頭部項目，正在身體力行的探索區塊鏈世界的種種可能性，區塊鏈就像一場大型社會實驗，而EOS在其中做了很大的貢獻。但區塊律動Blockbeats也要看到，作為EOS生態重要環節的EOS節點，本應該履行應盡的職責，但卻一而再，再而三的出現同樣的問題，讓人不禁反思，這樣的治理方法，真的有效么？諷刺的是，基于EOS而誕生的BOS區塊鏈，在事情發生后一天就在區塊鏈上配置了BP多簽黑名單機制，解決了節點因為懶惰或工作失誤不作為而偷跑的高風險漏洞。BOS上目前以中國的EOS節點為主，也就是說，同樣一批人，在側鏈上，解決了這個問題，這到底是節點的問題，還是制度的問題？讓EOS的每一個節點都能保證永遠負責，永遠認真為用戶做事，讓節點與節點之間永遠不存在利益共生體，讓每一個節點都保持獨立，這樣的想法是不是太過于理想了。

Tags：EOS區塊鏈MESGAMEEOSC幣區塊鏈中的代幣是什么MES價格Bees Game

瑞波幣