(图片来源于网络）12月05日，新上线的又一款EOS竞猜类游戏Fastwin遭到黑客攻击，区块链安全公司PeckShield态势感知平台捕捉到了该攻击行为并率先进行了安全播报披露。数据显示，当天凌晨03:18—04:15之间，黑客(ha4tsojigyge)向Fastwin游戏合约(fastwindice3)发起124次攻击，共计获利1,929.17个EOS。PeckShield安全人员分析发现，该攻击行为是黑客利用Fastwin的合约在校验合约调用方时存在的漏洞，导致“内联反射(inlineReflex)”攻击成功。据PeckShield此前发布的《浅析DApp生态安全》的报告显示，截止11月底，已经发生了超27起EOSDApp安全事件，主要集中在假EOS攻击、随机数问题等攻击方式，且在不断升级演变。而这次看似较小的攻击事件背后却暴露出了一个较以往危害性可能更大的新型漏洞：EOSIO官方系统对调用合约自身函数存在不校验权限的问题。
远光区块链3款产品再获国家网信办区块链信息服务备案:近日，根据国家互联网信息办公室披露的《关于发布第四批区块链信息服务备案编号的公告》显示，远光软件的区块链电子学历平台、区块链捐赠管理平台及区块链内模管理系统3款产品获得备案号。加上此前获得备案的区块链企业应用服务平台、供应链金融平台、区块链商品溯源及区块链分布式能源交易4款产品，截止目前，远光软件已累计有7款产品通过备案，覆盖了底层平台、供应链金融、商品溯源、数据存证、慈善公益等多个领域。（互联科技快报）[2020/11/10 12:11:16]
(图一：PeckShield与Block.one邮件沟通）PeckShield认为这是一个非常严重的漏洞，并第一时间通知了Block.one团队。Block.one官方团队接受了该漏洞提议，并告知我们有其他研究团队也事先独立汇报了该漏洞，最终于周四(12月13日)更新了紧急补丁以补救防御，同时次日新发布1.5.1和1.4.5两个版本，完成了该漏洞修复，避免了更多攻击事件的发生及可能造成的资产损失。“内联反射(inlineReflex)”攻击原理正常的转账流程如图所示：玩家通过调用系统合约(eosio.token)，将EOS转账给游戏合约，触发游戏合约的分发逻辑(apply)，进而调用相关函数实现开奖。
国家网信办第三批区块链备案清单：金融行业成区块链应用最广泛领域:国家互联网信息办公室4月24日发布第三批区块链信息服务备案清单，此次共发布224个境内区块链信息服务名称及备案编号，中国银联、平安银行、招商银行、百度、苏宁金融、东方财富、阿里健康大药房、沃尔玛等公司均有项目入选。从备案情况来看，金融行业是区块链应用最广泛的领域，包括存证、票据、供应链金融、金融服务平台等细分应用。除此之外，还有政务、溯源、版权、智慧医疗、游戏等领域。（财联社）[2020/4/24]
而此次的攻击者(ha4tsojigyge)，在自己帐号部署的合约中包含了与游戏合约相同的操作函数，在转账完成后，自行开奖获得奖金。如图所示：
声音 | 江苏省委网信办主任徐缨：区块链存储等技术应用对网络舆论形成新的冲击:据求是网消息，中共江苏省委宣传部副部长、省委网信办主任徐缨发文指出，当前，网络舆论总体安全健康，但也面临境外渗透、抹黑唱衰、恶意炒作等问题，算法推荐、区块链存储等技术应用对网络舆论形成新的冲击。维护网络舆论安全，多方协同的综合治理局面，共同筑牢网络舆论安全防线。[2018/11/20]
从图中可以看出，攻击者在自身合约的函数(pushck)中，内联调用了与游戏合约开奖同名的函数(check)，再通过通知(require_recipient)的方式将信息发送到了游戏合约。此时游戏合约的分发逻辑(apply)没有过滤掉此信息，并调用了开奖函数(check)。总之，攻击者利用了EOSIO系统中对调用合约自身函数不校验权限的漏洞，进而使用游戏合约(fastwindice3)的帐号权限发起内联调用，致使绕过游戏合约在敏感函数中校验调用者权限的方法(require_auth)，从而获取了游戏合约发放的奖励。修复方法从上述分析能够发现，攻击者合约的通知信息中，实际调用的合约是攻击者合约(ha4tsojigyge)，而非游戏合约(fastwindice3)，因此在游戏合约的分发逻辑(apply)中过滤掉此类信息即可。而且从系统定义的宏(EOSIO_ABI或者EOSIO_DISPATCH，如图四)中能够看到，分发逻辑处理了此问题。因此PeckShield在此提醒开发者在定制化自己的分发逻辑时，需要特别注意其中的调用来源。
深层次及兼容性问题需要强调的是：这个问题属于EOS公链层的较大漏洞，攻击者在内联调用中可以伪造任意帐号的权限执行，但这个修复可能会给部分开发者造成兼容性问题，如合约内联调用函数，而执行者帐号(actor)不是自己的时候，会导致整个交易(transaction)执行失败，如需解决兼容性问题请给合约赋予执行者帐号的eosio.code权限。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。