如何評估“分叉版EVM”的安全風險？_BSP:BSPT價格

本文來自 Coinbase，原文作者：Ethen Pociask & Eric Meng & Nadir Akhtar & Gabriela Melendez Quan & Tom Ryan，由 Odaily 星球日報譯者 Katie 辜編譯。

為了加強對交易 ERC-20 和其他基于智能合約的資產的客戶的安全和托管保證，Coinbase 區塊鏈安全團隊調查了定義這些資產行為的程序層：以太坊虛擬機（EVM）。在評估修改自身網絡的 EVM 的項目時，Coinbase 的區塊鏈安全團隊會審查關鍵的 EVM 更改，以確定修改后的 EVM 是否能夠提供與原始 EVM 實施相同的安全和托管保證。

截至 2023 年 5 月，以太坊虛擬機（EVM）奪得最熱門智能合約執行平臺“榜一大哥”頭銜。根據 DefiLlama 的數據，總鎖倉價值（TVL）排名前 10 位的鏈中有 9 個支持 EVM 智能合約。因此，深入了解 EVM 對于支持整個區塊鏈生態系統中的智能合約至關重要。

Uniswap基金會：將在未來幾周討論如何部署超437萬枚ARB:金色財經報道，Uniswap 基金會表示將把 Arbitrum 分配的 4,378,188 枚 ARB 發送到 Arbitrum 上 Uniswap 基金會擁有的多重簽名地址（90xF4E08 開頭），接下來幾周將啟動關于如何部署這些資金的社區討論。[2023/4/18 14:11:14]

EVM 是一種虛擬機，用于在以太坊網絡上去中心化執行智能合約。許多兼容 EVM 的區塊鏈在其協議軟件中直接利用不同語言的熱門 Ethereum 執行客戶端的標準實施方案，如 go-ethereum（Golang）和 besu（Java）。

也就是說，分叉和修改 EVM 實際上在區塊鏈生態系統中非常常見，甚至在主要協議中也是如此。例如，為 Coinbase 的 Base L2 區塊鏈提供“動力”的 Optimism Bedrock Stack 使用了一個名為 op-geth 的 go-ethereum 執行客戶端的分叉版本，該版本運行的 EVM 與熱門的以太坊執行客戶端兼容。然而，這并不意味著以太坊上的 EVM 與 Optimism 上的 EVM 行為完全相同：op-geth EVM 在某些情況下的行為略有不同（即 DIFFICULTY 返回隨機值是由序列器確定的）。

Paxos發布加密寒冬如何幫助拯救數字資產經濟白皮書:金色財經報道，數字資產公司Paxos發布《加密貨幣冬天如何幫助拯救數字資產經濟》白皮書。白皮書匯集了Paxos領導團隊和加密貨幣市場數據提供商Kaiko的內部人士的見解，《加密貨幣之冬如何幫助拯救數字資產經濟》提供了對2022年底和2023年初歷史性破壞后的加密貨幣行業的看法。

為了對數字資產領域在這一動蕩時期的過去、現在和未來提供一個全面的看法，《加密貨幣之冬如何幫助拯救數字資產經濟》深入探討了2022年加密貨幣之冬之前的幾年，FTX和Alameda Research的高調崩潰所帶來的影響，以及由此造成的2.1萬億美元的市值損失。該白皮書還研究了一些關鍵的前瞻性話題，如監管環境、加密貨幣行業的運營路徑、該行業如何與消費者、風險投資公司、機構投資者重新建立信任等。[2023/4/12 14:00:08]

雖然這聽起來很可怕，但對于 EVM 的采用來說，一般情況下是有益的。雖然標準 EVM 實施方案針對以太坊基礎協議進行了高度優化，但分叉的 EVM 通常會針對自己的新協議進行擴展。因此，合約在某些 EVM 兼容鏈上的執行方式可能與在以太坊上的執行方式不同，EVM 智能合約行為的安全假設在不同協議之間也可能存在很大差異。

為此，Coinbase 開發了一個Web3安全框架，用于評估一些分叉 EVM 實施方案中的安全影響。我們稱之為 Coinbase 的分叉 EVM 框架，下面將對其進行詳細的解釋。

現場丨Cdot創始人劉毅：公鏈發展面臨的核心問題是如何突破性能瓶頸:金色財經現場報道，10月11日，由金色財經、Candaq和哼哈互動聯合發起的金色沙龍第55期“Polkadot-波卡萬物生長與跨界破圈對話”在北京正式舉行。在本次沙龍上，Cdot創始人劉毅指出，公鏈發展面臨的核心問題，是如何突破性能瓶頸，同時保持可組合性，不過度犧牲去中心化。目前解決方案有跨鏈、Layer2、超級Layer1和分片。Polkadot也是分片，但它是處在多鏈和分片之間的。分片最難的是跨片智能合約調度問題，Polkadot也面臨這個問題。此外，他表示，Polkadot的成功非常依賴于共享安全，共享安全成不成立確定了Polkadot整個設計成不成立。[2020/10/11]

有了這個分叉 EVM 安全框架，Coinbase 能夠有效地：

了解我們的以太坊代幣框架的安全假設的無效性，使我們能夠安全地啟用新的 EVM 兼容區塊鏈，以便在我們的去中心化交易所支持 ERC-20/ERC-721 代幣；

為智能合約審計師提供關于分叉 EVM 的智能合約漏洞情況的分析，特別是跨網絡中的微小差異；

確保在 Coinbase 的 Base L2區塊鏈上安全使用和執行 EVM 智能合約。

梭哈學院：教你如何快速抓住合約開倉點:4月23日15:00，行情大V梭哈學院做客金色財經《幣情觀察室》直播間，將分享《教你如何快速抓住合約開倉點》，欲觀看直播掃描下圖二維碼即可！[2020/4/23]

為了解以太坊虛擬機中的安全風險是如何存在的，首先要知道標準 EVM 實施方案為我們提供了哪些保障。我們將標準 EVM 定義為以太坊執行規范中描述的以太坊驗證器執行客戶端一致使用的 EVM。到目前為止，最常用的客戶端是 go ethereum（即 geth）。

我們將安全性總結為兩個安全標準，它們代表了任何分叉 EVM 實施方案有資格獲得 Coinbase 支持的最低要求。

我們的分叉 EVM 框架在評估是否符合總體安全標準（即合約不變性和安全執行環境）時，主要關注以下審計要求。需要注意的是，以下風險成分并不是分叉 EVM 審計的全部范圍。

修改 EVM 操作碼的定義和編碼會導致合約執行方式的重大差異。例如，假設一些分叉的 EVM 實施（EVM'）將算術 ADD 操作碼定義邏輯（x 1 + x 2 ）改為減去兩個值（x 1 - x 2 ）。

動態 | 芬蘭海關對如何處理繳獲的比特幣感到困惑:金色財經報道，芬蘭財政部下屬的海關一直在考慮如何處理幾年前從販手中繳獲的1666枚比特幣。據悉，芬蘭海關不想拍賣沒收的比特幣，因為可能會將其返還給犯罪分子。這些比特幣在沒收的時候價值不到70萬歐元(約合76萬美元)。根據Coin360的數據，截至目前，這1666枚比特幣的價值接近1500萬歐元（超過1550萬美元）。據報道，該機構最初計劃在2018年拍賣這些資金，但最終以“反洗錢”為由凍結了這些比特幣。報告指出，除了持有超過1500萬美元的比特幣外，芬蘭海關還持有一些價值數百萬歐元的山寨幣。[2020/2/26]

結果，偏離的 EVM '在執行上與標準 EVM 不相等且不兼容。修改操作碼的后果可能是有益的行為，比如防止算術操作碼中的整數溢出和下溢，也可能是更危險的行為，比如導致本地資產無限鑄造的自毀行為。

EVM 使用預編譯合約來定義復雜的功能（如加密函數），使用更方便和性能更強的語言，如 Golang，而不是使用不太容易訪問的 EVM 字節碼。

從根本上說，這些是通過節點軟件中表示的預定鏈地址來訪問的編程功能。以太坊黃皮書（截至 2023 年 5 月）中定義了 9 個預編譯器，對這 9 個預編譯器所做的任何更改或引入新的預編譯器都需要進行審計。

讓我們再舉一個具體的例子——BNB 智能鏈漏洞。BNB 智能鏈使用 go-ethereum 的一個偏離的實施方案來運行節點。為此，引入了兩個新的預編譯合約（tmHeaderValidate，iavlMerkleProofValidate），利用第三方軟件（即 Cosmos SDK）來執行輕客戶端區塊驗證和 Merkle 證明驗證。問題是，Cosmos SDK 軟件在其 IAWL 樹表示法中有一個實施錯誤，允許加密無效的證明通過驗證。換句話說，任何人都可以憑空產生資金。攻擊者能夠利用嵌套在 iavlMerkleProofValidate 預編譯器中的這個實施漏洞，從幣安跨鏈橋中抽走數億美元。

這個利用漏洞的例子是為了展示預編譯器安全性的必要性，以及為偏離的 EVM 實施引入新的預編譯合約所帶來的潛在風險。

引入額外的預編譯器可能帶來的致命風險包括：

允許一方單方面修改任何已部署合約的狀態；

這包括所有存儲修改（插入、更新、刪除）；

使用不受信任、未經驗證或未經審計的第三方依賴項；

提供對不確定節點內值的訪問。

盡管將編譯器和 EVM 視為完全獨立的實體，但值得注意的是，Solidity 編譯器確實對前三個預編譯合約（ecrecover、sha 256 和&ripemd）的行為做出了嚴格的假設，這些合約通過 Solidity 語言中的本機語言關鍵字函數表示。在后臺，Solidity 編譯器實際上將這些關鍵字處理成字節碼，字節碼執行合約間靜態調用操作。下圖進一步說明了這種合約間的溝通方式。

修改標準預編譯器會帶來的安全風險包括：

允許中心化的交易對手單方面修改任何已部署合約的狀態；

Solidity 編譯器預編譯位置假設不一致；

提供對不確定節點內值的訪問；

使用不受信任、未經驗證或未經審計的第三方依賴項。

修改 EVM 基本組成部分所帶來的關鍵風險包括：

不約束解釋器堆棧，使其無限大；

對內存模型進行大小修改或改變，可能導致非確定性的執行；

繞過訪問控制，允許任意的對手方單方面訪問所有鏈狀態；

使用不受信任、未經驗證或未經審計的第三方依賴關系。

我們的目標是建立一個基于區塊鏈技術的開放金融系統，為此，我們鼓勵開發各種 EVM 實施方案。然而，為了讓兼容 EVM 的區塊鏈得到 Coinbase 的全面支持，它必須滿足標準 EVM 實施的基本要求。本文希望提高人們對偏離 EVM 相關風險的認識，并鼓勵資產發行人在偏離 EVM 時優先開發安全組件，提高整個 Web3 生態系統的安全意識。

Odaily星球日報

媒體專欄

閱讀更多

區塊律動BlockBeats

Foresight News

曼昆區塊鏈法律

GWEI Research

吳說區塊鏈

西柚yoga

ETH中文

金色早8點

金色財經 子木

ABCDE

0xAyA

Tags：BSPNBSBAS以太坊BSPT價格nbs幣發行量Coinbase Pre-IPO tokenized stock FTX以太坊最新價格行情走勢圖

Fil