簡析區塊鏈節點運營的門檻、方法和難點_區塊鏈:區塊鏈的幾個大騙局是真的嗎

運行節點要符合加密世界無處不在的精神：去信任，要驗證。

原文標題：《詳解區塊鏈節點：如何有效地運營自己的節點？》

撰文：SupraOracles

區塊鏈節點通過它們的連接、交互組成網絡，該網絡通過共識機制將新區塊添加到鏈上，本文將解釋如何有效地運營自己的區塊鏈節點。

在深入講解如何運行節點之前，我們有必要了解一下什么是區塊鏈節點。通常在計算機網絡中節點可以是計算機或任何涉及在計算機網絡內接收和發送數據的設備，因此在區塊鏈網絡中每個賬本參與者都是一個節點。

基于 P2P（點對點）網絡的原理，公有鏈技術本質上是去中心化跟開源的，在大多數網絡中，公有鏈沒有專用服務器，不是一個授權機構，依賴于用戶之間的共識。節點通常通過共享狀態信息、對其協議的治理進行投票以及驗證傳入交易的新塊來在網絡內進行通信。

LendHub被黑簡析：系LendHub中存在新舊兩市場:金色財經報道，據慢霧安全區情報，2023 年 1 月 13 日，HECO 生態跨鏈借貸平臺 LendHub 被攻擊損失近 600 萬美金。慢霧安全團隊以簡訊的形式分享如下：

此次攻擊原因系 LendHub 中存在兩個 lBSV cToken，其一已在 2021 年 4 月被廢棄但并未從市場中移除，這導致了新舊兩個 lBSV 都存在市場中。且新舊兩個 lBSV 所對應的 Comptroller 并不相同但卻都在市場中有價格，這造成新舊市場負債計算割裂。攻擊者利用此問題在舊的市場進行抵押贖回，在新的市場進行借貸操作，惡意套取了新市場中的協議資金。

目前主要黑客獲利地址為 0x9d01..ab03，黑客攻擊手續費來源為 1 月 12 日從 Tornado.Cash 接收的 100 ETH。截至此時，黑客已分 11 筆共轉 1,100 ETH 到 Tornado.Cash。通過威脅情報網絡，已經得到黑客的部分痕跡，慢霧安全團隊將持續跟進分析。[2023/1/13 11:11:00]

來自不同地理位置的多樣化和分散的節點有助于建立一個更強大的共識機制。如果有足夠多的節點維護他們的區塊鏈賬本副本并繼續區塊生產，那么網絡可以無限期地運行下去。

安全公司：AurumNodePool合約遭受漏洞攻擊簡析:金色財經報道，據區塊鏈安全審計公司Beosin EagleEye監測顯示，2022年11月23日，AurumNodePool合約遭受漏洞攻擊。

Beosin分析發現由于漏洞合約的changeRewardPerNode函數未進行驗證，導致攻擊者可以調用該函數進行任意值設置。

攻擊者首先調用changeRewardPerNode函數將每日獎勵值設置成一個極大數，接下來調用claimNodeReward函數提取節點獎勵，而節點獎勵的計算取決于攻擊者設置的rewardPerDay值，導致計算的節點獎勵非常高。而在這一筆交易之前，攻擊者便通過一筆交易(0xb3bc6ca257387eae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d)向合約存入了1000AUR，創建了攻擊者的節點記錄，從而使得攻擊者能夠提取出該節點獎勵。最終攻擊者通過該漏洞獲得約50個BNB($14,538.04)。[2022/11/23 8:01:04]

也正因此，由于每一個用戶對于整個網絡的安全性和完整性都至關重要，成為某個加密項目社區的一員不僅是件令人興奮的事，也是一種責任。

安全團隊：LPC項目遭受閃電貸攻擊簡析，攻擊者共獲利約45,715美元:7月25日，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，LPC項目遭受閃電貸攻擊。成都鏈安安全團隊簡析如下：攻擊者先利用閃電貸從Pancake借入1,353,900個LPC，隨后攻擊者調用LPC合約中的transfer函數向自己轉賬，由于 _transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。隨后攻擊者歸還閃電貸并將獲得的LPC兌換為BUSD，最后兌換為BNB獲利離場。本次攻擊項目方損失845,631,823個 LPC，攻擊者共獲利178 BNB，價值約45,715美元，目前獲利資金仍然存放于攻擊者地址上（0xd9936EA91a461aA4B727a7e3661bcD6cD257481c），成都鏈安“鏈必追”平臺將對此地址進行監控和追蹤。[2022/7/25 2:36:51]

通常來說，節點分兩種主要類型：一種是存儲完整賬本的全節點（full node），這種節點通過驗證數據來保證區塊鏈上數據的安全性和正確性；另一種是輕節點 (lightweight node)，即每個參與的用戶。每一個輕節點都需要連接到一個全節點，以便同步網絡的當前狀態并能夠參與運行。

慢霧：Avalanche鏈上Zabu Finance被黑簡析:據慢霧區情報，9月12日，Avalanche上Zabu Finance項目遭受閃電貸攻擊，慢霧安全團隊進行分析后以簡訊的形式分享給大家參考：

1.攻擊者首先創建兩個攻擊合約，隨后通過攻擊合約1在Pangolin將WAVAX兌換成SPORE代幣，并將獲得的SPORE代幣抵押至ZABUFarm合約中，為后續獲取ZABU代幣獎勵做準備。

2.攻擊者通過攻擊合約2從Pangolin閃電貸借出SPORE代幣，隨后開始不斷的使用SPORE代幣在ZABUFarm合約中進行`抵押/提現`操作。由于SPORE代幣在轉賬過程中需要收取一定的手續費(SPORE合約收取)，而ZABUFarm合約實際接收到的SPORE代幣數量是小于攻擊者傳入的抵押數量的。分析中我們注意到ZABUFarm合約在用戶抵押時會直接記錄用戶傳入的抵押數量，而不是記錄合約實際收到的代幣數量，但ZABUFarm合約在用戶提現時允許用戶全部提取用戶抵押時合約記錄的抵押數量。這就導致了攻擊者在抵押時ZABUFarm合約實際接收到的SPORE代幣數量小于攻擊者在提現時ZABUFarm合約轉出給攻擊者的代幣數量。

3.攻擊者正是利用了ZABUFarm合約與SPORE代幣兼容性問題導致的記賬缺陷，從而不斷通過`抵押/提現`操作將ZABUFarm合約中的SPORE資金消耗至一個極低的數值。而ZABUFarm合約的抵押獎勵正是通過累積的區塊獎勵除合約中抵押的SPORE代幣總量參與計算的，因此當ZABUFarm合約中的SPORE代幣總量降低到一個極低的數值時無疑會計算出一個極大的獎勵數值。

4.攻擊者通過先前已在ZABUFarm中有進行抵押的攻擊合約1獲取了大量的ZABU代幣獎勵，隨后便對ZABU代幣進行了拋售。

此次攻擊是由于ZabuFinance的抵押模型與SPORE代幣不兼容導致的，此類問題導致的攻擊已經發生的多起，慢霧安全團隊建議：項目抵押模型在對接通縮型代幣時應記錄用戶在轉賬前后合約實際的代幣變化，而不是依賴于用戶傳入的抵押代幣數量。[2021/9/12 23:19:21]

首先，要部署區塊鏈節點，新節點運營商必須要達到硬件和軟件要求門檻，例如兼容的操作系統、足夠的可用磁盤空間、RAM 內存和網速。接著，運營商需根據他們所期望的參與程度下載所需的核心軟件。

慢霧：BSC項目Value DeFi vSwap 模塊被黑簡析:據慢霧區情報，幣安智能鏈項目 Value DeFi 的 vSwap 模塊被黑，慢霧安全團隊第一時間介入分析，并將結果以簡訊的形式分享，供大家參考：

1. 攻擊者首先使用 0.05 枚 WBNB 通過 vSwap 合約兌換出 vBSWAP 代幣；

2. 攻擊者在兌換的同時也進行閃電貸操作，因此 vSwap 合約會將兌換的 vBSWAP 代幣與閃電貸借出的 WBNB 轉給攻擊者；

3. 而在完成整個兌換流程并更新池子中代幣數量前，會根據池子的 tokenWeight0 參數是否為 50 來選擇不同的算法來檢查池子中的代幣數量是否符合預期；

4. 由于 vSwap 合約的 tokenWeight0 參數設置為 70，因此將會采用第二種算法對池子中的代幣數量進行檢查；

5. 而漏洞的關鍵點就在于采用第二種算法進行檢查時，可以通過特殊構造的數據來使檢查通過；

6. 第二種算法是通過調用 formula 合約的 ensureConstantValue 函數并傳入池子中緩存的代幣數量與實時的代幣數量進行檢查的；

7. 在通過對此算法進行具體分析調試后我們可以發現，在使用 WBNB 兌換最小單位(即 0.000000000000000001) vBSWAP 時，池子中緩存的 WBNB 值與實時的值之間允許有一個巨大的波動范圍，在此范圍內此算法檢查都將通過；

8. 因此攻擊者可以轉入 WBNB 進行最小單位的 vBSWAP 代幣兌換的同時，將池子中的大量 WBNB 代幣通過閃電貸的方式借出，由于算法問題，在不歸還閃電貸的情況下仍可以通過 vSwap 的檢查；

9. 攻擊者只需要在所有的 vSwap 池子中，不斷的重復此過程，即可將池子中的流動性盜走完成獲利。詳情見原文鏈接。[2021/5/8 21:37:37]

針對所有區塊鏈，你都可以在運行節點上配置所需的設備、內存要求和處理能力。市場上有門檻較低的鏈，但也有其他一些鏈因為網絡設計導致節點運行困難而昂貴。當然，昂貴的節點運行要求運營商的大量財務投入，可以在成本上篩掉一些試圖投機的惡意節點。

例如，比特幣的網絡允許用戶運行全節點或輕節點。對于比特幣全節點來說，必須下載存儲區塊鏈歷史記錄并保存在本地文件中，在撰寫本文時，其硬盤內存需超過 380 GB。

[如圖]區塊鏈節點通過它們的連接、交互和在全節點的情況下共同組成網絡

再拿以太坊舉個例子，根據復雜程度不一，可運行的節點為：全節點、輕節點和存檔節點。

全節點更具獨立性，對自己的數字資產擁有更完整的主權，不像輕節點那樣需要依賴其他節點訪問區塊鏈。全節點可以連接到區塊鏈的主網絡，也可以在測試網或其他安全環境上運行，以測試和開發新軟件。

輕節點對沒有強大硬件或帶寬能力的用戶很友好，因為不需要下載以太坊的完整歷史、錢包余額或智能合約代碼。可以在手機或其他更小、功能更弱的設備上運行，但它們可以通過檢驗區塊頭的狀態根，從而驗證數據的有效性。

[如圖]全節點對網絡負有更大的責任，需要更復雜的硬件和軟件，但他們的努力在金錢方面得到了更直接的回報。

就運營商資源而言，以太坊存檔節點可能是運行難度最高的節點之一。它們需要更多的硬件設備來運行，也需要使用大容量的 RAM 和磁盤空間。即便使用先進的設備，新的以太坊存檔節點同步也需要花費數周時間，如果使用速度較慢的 HDD 硬盤同步存檔節點，則該節點將無法實現完全同步，因為新塊生成的速度將超過這類計算機同步的速度。另外，如果客戶端的節點版本出現任何錯誤，則該節點需要重新同步。無形的時間消耗，增加了整個運營成本。

當然，為了防止節點脫機，運行節點時應該進行定期檢測，可以向兼容節點發送請求或從區塊鏈請求數據。不然的話，如果遇到節點崩潰的情況需要手動重啟設備，這很可能會之前通過驗證或挖掘新塊產生的收入都將丟失。

節點運營商通常會有帶寬限制與硬件性能方面的問題。很多節點運營商會向互聯網提供商獲取無流量限制的服務，值得注意是要警惕網絡被其他不明原因占用的情況。在早期的比特幣網絡中，病簽名曾被上傳到區塊鏈，導致 Windows 用戶的病軟件檢測到病后仍遇到了問題。雖然用戶的設備并沒有受到感染，但他們運營節點的整體性能受到了損害。

為了解決技術以及操作門檻跟效率問題，許多區塊鏈節點運營服務公司（BaaS）應運而生。節點運營商部署必要的資本和資源來連接其基礎設施，并維護其與所需區塊鏈相關的功能。

[如圖]區塊鏈服務提供商托管運行企業和其他實體的節點，為節點運營者提供諸多好處，降低了節點運營者的時間成本或專業知識要求。

根據每個客戶的需求，區塊鏈服務提供商可以達成對已集成公鏈的完全訪問，只要運營者滿足最低要求，包括在所需網絡上的最低投資。服務提供商則會承擔節點操作相關的繁瑣內容，讓客戶可以專注于他們本身的專業領域而不用在操作上耗費精力。

目前市場上比較流行的區塊鏈服務提供商有 Blockdaemon、Infura、GetBlock、Alchemy、QuickNode、Figment 等等。

啟動和維護節點有助于區塊鏈的去中心化。在某些網絡上，運行一個節點可以為運營商提供回報，因為該節點會因驗證新交易和參與產生新區塊的投票過程而獲得報酬。

但同時，區塊鏈節點運營也會消耗大量時間和資源，在投入和產出比上，對礦工或驗證者來說是有利可圖的。全節點的報酬豐厚，因為它們驗證區塊并存儲整個區塊鏈賬本，因此驗證節點可以產生可預期的收入。

盡管運行輕節點不會產生加密回報，但它仍然有助于增強用戶和其他節點之間的信任、安全和隱私。擁有自己的節點意味著您無需信任第三方網絡的狀態或提交給網絡進行驗證的交易的真實性。

為了更好地說明這一點，假設您是一家僅接受實物黃金作為服務付款交易站的所有者，現在您想驗證黃金是否是真實的并且確認具體的數量，您是會將其發送給檢查員網絡，還是安排在內部進行所有驗證？換句話說，運行你自己的節點符合加密世界無處不在的精神：去信任；要驗證。

Tags：區塊鏈ABUSPOREPOR區塊鏈的幾個大騙局是真的嗎ABUSDSporesZenSports

ETH