全球人工智能与机器人峰会 CCF-GAIR 2019
                    您正在使用IE低版浏览器,为了您的雷锋网账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
                    网络安全 正文
                    发私信给灵火K
                    发送

                    0

                    项目方的锅!游戏Vegas Town遭受攻击损失数千EOS

                    本文作者:灵火K 2019-03-12 16:11
                    ?#21152;錚?#25915;击帐号为 fortherest12

                    3月10日凌晨,EOS游戏Vegas Town (合约帐号 eosvegasgame)遭受攻击,损失数千EOS。

                    慢雾安全团队分析发现本次的攻击帐号为 fortherest12,通过 eosq 查询该帐号,发现首页存在大量的错误执行交易,查看其中任意一笔交易,可以发现其中的失败类型均为 hard_fail。

                    项目方的锅!游戏Vegas Town遭受攻击损失数千EOS

                    安全团队称:“根据之前对EOS黑名单攻击手法的分析其原理基本类似,区别在于没有对下注交易的状态进行分析。本次攻击有两点值得注意:一个是 hard_fail,第二个是时间延迟。此次攻击中的延迟竟达到了 2 个小时之久。”

                    他们认为,本次的攻击发生和 EOS 的机制相关,当交易的延迟时间不为0的时候,不会立马校验是否执行成功,对延迟交易的处理是push_schedule_transaction,而交易的延迟时间等于 0 的时候,会直接 push_transaction,这两个的处理机制是存在区别的。

                    安全团队针对这两个要点进行分析:

                    (1) hard_faild

                    一般来说,fail 有两种类型,分别是 soft_fail 和 hard_fail,此次攻击中呈现出的是后者。

                    项目方的锅!游戏Vegas Town遭受攻击损失数千EOS

                     在官方描述中,hard_fail被称作“客观的错误并且错误处理器没有正?#20998;?#34892;”。通俗来说,就是出现错误但是没有使用错误处理器(error handler)处理错误,比方说使用 onerror 捕获处理,如果说没有 onerror 捕获,就会 hard_fail。

                    (2) 延迟时间

                    安全团队发现,fortherest12 属于普通帐号,这使得攻击者可以轻易通过 cleos 中的一个参数设置来对交易进行延迟。根据官方文档的描述,和非?#25103;?#36134;号实现延迟最大的区别在于hard_fail会在链上出现记录。

                    本次攻击是因为项目方没有对 trx 的 status 状态进行校验,只是对 trx 是否存在作出了判断,进而导致了本次攻击的发生。

                    项目方的锅!游戏Vegas Town遭受攻击损失数千EOS

                    在此安全团队建议,在项目方进行开奖的时候,需要注意下注订单的执行状态,除了要判断交易是否存在,还要判断下注订单是否成功执行。雷锋网(公众号:雷锋网)

                    参考来源:慢雾科技

                    雷锋网原创文章,未经授权禁止转载。详情见转载须知

                    项目方的锅!游戏Vegas Town遭受攻击损失数千EOS
                    分享:

                    文章点评:

                    表情
                    最新文章
                    请填写申请人资料
                    姓名
                    电话
                    邮箱
                    微信号
                    作品链接
                    个人简介
                    为了您的账户安全,请验证邮箱
                    您的邮箱还未验证,完成可获20积分哟!
                    请验证您的邮箱
                    立即验证
                    完善账号信息
                    您的账号已经绑定,现在您可以设置密码以方便用邮箱登录
                    立即设置 ?#38498;?#20877;说
                    捷豹时时彩分分彩网站