前言
區塊鏈是個偉大的發明,它帶來了某些生產關系的變革,讓「信任」這種寶貴的東西得以部分解決。但,現實是殘酷的,人們對區塊鏈的理解會存在許多誤區。這些誤區導致了壞人輕易鉆了空子,頻繁將黑手伸進了人們的錢包,造成了大量的資金損失。這早已是黑暗森林。
基于此,慢霧科技創始人余弦傾力輸出——區塊鏈黑暗森林自救手冊。
本手冊(當前 V1 Beta)大概 3 萬 7 千字,由于篇幅限制,這里僅羅列手冊中的關鍵目錄結構,也算是一種導讀。完整內容可見:
https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook
我們選擇 GitHub 平臺作為本手冊的首要發布位置是因為:方便協同及看到歷史更新記錄。你可以 Watch、Fork 及 Star,當然我們更希望你能參與貢獻。
好,導讀開始...
如果你持有加密貨幣或對這個世界有興趣,未來可能會持有加密貨幣,那么這本手冊值得你反復閱讀并謹慎實踐。本手冊的閱讀需要一定的知識背景,希望初學者不必恐懼這些知識壁壘,因為其中大量是可以“玩”出來的。
動態 | 太原市城區農村信用合作聯社上線基于區塊鏈技術的電子保函平臺:金色財經報道,日前,太原市城區農村信用合作聯社電子保函平臺正式上線,平臺由山西金蟬電子商務有限公司提供技術支持。該平臺利用人工智能和區塊鏈等技術手段,實現了線上申請、線上審核、線上驗證真偽環節全流程電子化,同時對保函進行電子加密,中間無人工干預,可3小時出保函,從根本上保證了保函的真實性。[2020/2/19]
在區塊鏈黑暗森林世界里,首先牢記下面這兩大安全法則:
零信任:簡單來說就是保持懷疑,而且是始終保持懷疑。
持續驗證:你要相信,你就必須有能力去驗證你懷疑的點,并把這種能力養成習慣。
關鍵內容
Download
找到正確的官網
行業知名收錄,如 CoinMarketCap
多問一些比較信任的人
下載安裝應用
PC 錢包:建議做下是否篡改的校驗工作(文件一致性校驗)
瀏覽器擴展錢包:注意目標擴展下載頁面里的用戶數及評分情況
移動端錢包:判斷方式類似擴展錢包
實力派 | 中企云鏈董事長:多中心的區塊聯盟鏈才是區塊鏈技術在本領域的未來:在今日的金色實力派中,中企云鏈董事長劉江表示:關于區塊鏈技術在供應鏈金融場景下的應用,中企云鏈供應鏈金融業務特點出發,認為,多中心的區塊聯盟鏈才是區塊鏈技術在本領域的未來。
縱觀整個市場,目前供應鏈金融平臺建設已經呈現百家爭鳴的態勢,而供應鏈金融平臺上留存企業資產數據是企業的核心數據。
如果平臺是一個“點”,那么區塊聯盟鏈能夠為每一個平臺與其他平臺建立鏈接,進行眾認和共識,以實現安全、有條件的鏈接。實現入口、應用、數據各自獨立,但業務和數據應用相互共享。[2020/1/14]
硬件錢包:從官網源頭的引導下購買,留意是否存在被異動手腳的情況
網頁錢包:不建議使用這種在線的錢包
Mnemonic Phrase
創建錢包時,助記詞的出現是非常敏感的,請留意你身邊沒有人、攝像頭等一切可以導致偷窺發生的情況。同時留意下助記詞是不是足夠隨機出現
Keyless
Keyless 兩大場景(此處區分是為了方便講解)
Custody,即托管方式。比如中心化交易所、錢包,用戶只需注冊賬號,并不擁有私鑰,安全完全依托于這些中心化平臺
Non-Custodial,即非托管方式。用戶唯一掌握類似私鑰的權力,但卻不是直接的加密貨幣私鑰(或助記詞)
聲音 | 濟南市副市長:濟南已在自貿試驗區發出在區塊鏈存儲的數字營業執照:11月3日,濟南市委常委、副市長鄭德雁透露,濟南已在中國(山東)自貿試驗區濟南片區發出了一張在區塊鏈存儲和傳遞的數字營業執照。下一步,濟南希望在山東自貿區濟南片區打造區塊鏈等新技術的應用場景,推動自貿區企業上鏈。(中國經濟新聞網)[2019/11/4]
MPC 為主的 Keyless 方案的優缺點
助記詞/私鑰類型
明文:12 個英文單詞為主
帶密碼:助記詞帶上密碼后會得到不一樣的種子,這個種子就是之后拿來派生出一系列私鑰、公鑰及對應地址
多簽:可以理解為目標資金需要多個人簽名授權才可以使用,多簽很靈活,可以設置審批策略
Shamir's Secret Sharing:Shamir 秘密共享方案,作用就是將種子分割為多個分片,恢復錢包時,需要使用指定數量的分片才能恢復
Encryption
多處備份
Cloud:Google/Apple/微軟,結合 GPG/1Password 等
Paper:將助記詞(明文、SSS 等形式的)抄寫在紙卡片上
Device:電腦/iPad/iPhone/移動硬盤/U 盤等
Brain:注意腦記風險(記憶/意外)
聲音 | 中國人民銀行參事盛松成:政府部門大力監管對區塊鏈行業是好事 可讓區塊鏈發展更穩健:據中新經緯客戶端報道,中國人民銀行參事盛松成表示:“虛擬貨幣本質上不是貨幣,監管層應進一步規范其交易。政府部門的大力監管對區塊鏈行業是好事,通過治理ICO,驅逐數字劣幣,可以讓區塊鏈發展得更加穩健。”[2018/8/23]
一定要做到定期不定期地驗證
采用部分驗證也可以
注意驗證過程的機密性及安全性
AML
鏈上凍結
選擇口碑好的平臺、個人等作為你的交易對手
Cold Wallet
冷錢包使用方法
接收加密貨幣:配合觀察錢包,如 imToken、Trust Wallet 等
發送加密貨幣:QRCode/USB/Bluetooth
冷錢包風險點
所見即所簽這種用戶交互安全機制缺失
用戶的有關知識背景缺失
Hot?Wallet
與?DApp(DeFi、NFT、GameFi 等)交互
惡意代碼或后門作惡方式
?錢包運行時,惡意代碼將相關助記詞直接打包上傳到黑客控制的服務端里
錢包運行時,當用戶發起轉賬,在錢包后臺偷偷替換目標地址及金額等信息,此時用戶很難察覺
家樂福擬將進一步擴大區塊鏈技術應用范圍:家樂福計劃在2018年底前,把使用區塊鏈技術對食品來源追溯的計劃,從雞肉擴大運用到雞蛋、奶酪、牛奶、橘子、番茄、鮭魚及漢堡等更多的食品上。[2018/3/8]
破壞助記詞生成有關的隨機數熵值,讓這些助記詞比較容易被破解
DeFi 安全到底是什么
智能合約安全
權限過大:增加時間鎖(Timelock)/將 admin 多簽等
逐步學會閱讀安全審計報告
區塊鏈基礎安全:共識賬本安全/虛擬機安全等
前端安全
內部作惡:前端頁面里的目標智能合約地址被替換/植入授權釣魚腳本
第三方作惡:供應鏈作惡/前端頁面引入的第三方遠程 JavaScript 文件作惡或被黑
通信安全
HTTPS 安全
舉例:MyEtherWallet 安全事件
安全解決方案:HSTS
人性安全:如項目方內部作惡
金融安全:幣價、年化收益等
合規安全
AML/KYC/制裁地區限制/證券風險有關的內容等
AOPP
NFT 安全
Metadata?安全
簽名安全
小心簽名/反常識簽名
OpenSea?數起知名 NFT 被盜事件
用戶在 OpenSea 授權了 NFT(掛單)
黑客釣魚拿到用戶的相關簽名
取消授權(approve)
Token Approvals
Revoke.cash
APPROVED.zone
Rabby 擴展錢包
4.?反常識真實案例
一些高級攻擊方式
針對性釣魚
廣撒網釣魚
結合 XSS、CSRF、Reverse Proxy 等技巧(如 Cloudflare 中間人攻擊)
操作系統
重視系統安全更新,有安全更新就立即行動
不亂下程序
設置好磁盤加密保護
手機
重視系統的安全更新及下載
不要越獄、Root 破解,除非你玩安全研究,否則沒必要
不要從非官方市場下載 App
官方的云同步使用的前提:賬號安全方面你確信沒問題
網絡
網絡方面,盡量選擇安全的,比如不亂連陌生 Wi-Fi
選擇口碑好的路由器、運營商,切勿貪圖小便宜,并祈禱路由器、運營商層面不會有高級作惡行為出現
瀏覽器
及時更新
擴展如無必要就不安裝
瀏覽器可以多個共存
使用隱私保護的知名擴展
密碼管理器
別忘記你的主密碼
確保你的郵箱安全
1Password/Bitwarden 等
雙因素認證
Google Authenticator/Microsoft Authenticator 等
科學上網
科學上網、安全上網
郵箱
安全且知名:Gmail/Outlook/QQ 郵箱等
隱私性:ProtonMail/Tutanota
SIM 卡
SIM 卡攻擊
防御建議:啟用知名的 2FA 工具、設置 PIN 碼
GPG
PGP 是 Pretty Good Privacy 的縮寫,是商用加密軟件,發布 30?多年了,現在在賽門鐵克麾下
OpenPGP 是一種加密標準,衍生自 PGP
GPG,全稱 GnuPG,基于 OpenPGP 標準的開源加密軟件
隔離環境
具備零信任安全法則思維
良好的隔離習慣
隱私不是拿來保護的,隱私是拿來控制的
Telegram
Discord
來自“官方”的釣魚
Web3 隱私問題
盜幣、惡意挖礦、勒索病、暗網交易、木馬的 C2 中轉、洗錢、資金盤、等
SlowMist Hacked 區塊鏈被黑檔案庫
止損第一
保護好現場
分析原因
追蹤溯源
結案
Code Is Law
Not Your Keys, Not Your Coins
In Blockchain We Trust
密碼學安全就是安全
被黑很丟人
立即更新
當你閱讀完本手冊后,一定需要實踐起來、熟練起來、舉一反三。如果之后你有自己的發現或經驗,希望你也能貢獻出來。如果你覺得敏感,可以適當脫敏,匿名也行。其次,致謝安全與隱私有關的立法與執法在全球范圍內的成熟;各代當之無愧的密碼學家、工程師、正義黑客及一切參與創造讓這個世界更好的人們的努力,其中一位是中本聰。最后,感謝貢獻者們,這個列表會持續更新,有任何的想法,希望你聯系我們。
Tags:區塊鏈APP加密貨幣PRO區塊鏈游戲幣最高漲多少幣贏交易所app官網下載一笑傾城加密貨幣市場行情走勢圖AlfProtocol
4月11日,Coinbase決定上架超過50項數字資產,包括45個ERC-20通證和5個Solana通證.
1900/1/1 0:00:00如果你想成為一個虛擬服裝博主,只需要在官方商店下單后,按照要求發送自己的照片,等待官網制作人員通過渲染合成后回執返圖,就可以將虛擬服裝的著裝照片發在社交媒體上.
1900/1/1 0:00:00頭條 ▌四川省發改委發文稱嚴打挖礦和執行差別電價4月15日消息,四川省發改委發布通知,根據國家和省整治虛擬貨幣“挖礦”活動相關政策規定,嚴禁一切虛擬貨幣“挖礦”活動.
1900/1/1 0:00:001.金色觀察|Meta計劃探索推出元宇宙虛擬貨幣:扎克幣據英國《金融時報》報道,Meta平臺公司正準備計劃將虛擬代幣和加密貨幣引入其應用,目的是使用這些虛擬代幣獎勵創作者.
1900/1/1 0:00:00無聊猿 NFT(Bored Ape Yacht Club)將通過加密貨幣交易平臺 Coinbase 制作的動畫短片系列正式進軍娛樂界,該系列名為“The Degen Trilogy”.
1900/1/1 0:00:00Web3.0 將從開放、隱私和共建三個角度去顛覆 Web2.0 互聯網,并打造一個由用戶社區主導的去中心化世界,重構互聯網流量價值范式.
1900/1/1 0:00:00