写点什么

一笔钱买两次东西?——双花安全问题分析

用户头像
石君
关注
发布于: 2020 年 06 月 18 日
一笔钱买两次东西?——双花安全问题分析

一、什么是双花攻击

双花攻击(Double Spend Attack)是一笔钱花了两次的简称,可以是双重支付,也可以是双重转账,最终导致“一笔钱”被攻击者使用了两次或者多次。



数字货币的本质也是货币,所以我们可以类比钞票流通的场景:

双花就像拿到冠字号重复(对于数字货币来说就是token)的钞票,他们拥有同样的唯一标识,但我们知道,只有一张是真的。一张钞票表面上一张纸,但内容上是一系列防伪技术+冠字号的集合,一张“数字货币”表面上是一串token,内容上是一系列安全措施的集合,但很明显,在“落袋为安”之前,token很容易被复制、容易被攻击者二次拿到。



所以双花攻击中没有产生新 Token,但攻击者能把自己花出去的钱,通过回滚、分叉等技术手段重新拿回来。



去中心化网络难以快速收敛、分布式节点难以快速同步,这是数字货币面临包括双花攻击在内的很多问题的本质原因。

二、常见攻击手法

1、算力攻击(51%攻击)

攻击者首先把一定数量的数字货币发给自己在交易所的钱包,这条分支我们命名为分支A,交易完成后立刻套现,此时状态下的分支A是主链。然后,攻击者到另一个分支上进行挖矿,命名为分支B,由于攻击者控制了51%以上的算力,其获得记账权的概率很大,于是当分支B的记账权超过分支A时,即便分支A上可能已经有了新的区块,B仍将取代A成为新的主链,分支A上的所有交易就会被回滚。此时分支A上攻击者已经套现,但又因为分支A被取消,从而又拿到了花掉的token。





在B分支落后的情况下要强行让它超过A分支,其实是挺难的,假设攻击者掌握了全网1%的计算能力,那么他争取到记账权的概率就是1%,两次争取到记账权的概率就是1%的平方。如果攻击者算力占据绝对优势,也就是超过全网一半的算力,拥有51%的算力,那么,即使落后很多,攻击者追上也只是时间问题。

2、竞争攻击(Race Attack)

这种攻击主要通过控制矿工费来实现双花。攻击者同时向网络中发送两笔交易,一笔交易发给自己(为了提高攻击成功的概率,他给这笔交易增加了足够的矿工费),一笔交易发给商家。由于发送给自己的交易中含有较高的手续费,会被矿工优先打包进区块的概率比较高。这时候这笔交易就会先于发给商家的那笔交易,那么发给商家的交易就会被回滚,如果回滚发生在商家交易确认之后,比如确认收到货款、确认发货,那么攻击者就实现了双花。对于攻击者来说,通过控制矿工费,最终实现了同一笔 Token 的“双花”。



你要是百度的话,race attack都会被翻译成“种族攻击”,让人摸不着头脑,明明race应该翻译成竞速、竞争,币圈水平真是一言难尽。



上述攻击基于这样一个事实:

手续费的目的主要是为了激励矿工不辍挖矿,早期矿工的挖矿底薪比较高,每个区块50枚BTC,但是创世块之后每出21万个块(每四年),底薪减半。等到所有2100万枚比特币都被挖出后,由交易费充当挖矿奖励。 每笔交易都有优先级,由“输入”的年龄、金额和交易输入数量决定。若发送的比特币金额过小,或币龄过低,则很有可能被收取费用,也可以人为的增加手续费,以减少矿工打包成区块的时间。

3、芬尼攻击( Finney Attack)

Hal Finney是第一个与中本聪进行区块链交易的人,第二个承认比特币的人,是得了渐冻症的优秀的密码学家,所以在他发现未确认交易双花攻击的问题之后,为了纪念他,这类攻击以他的名字命名。

在芬尼攻击中,攻击者通过控制区块的广播时间来实现双花,攻击对象针对的是接受 0 确认的商家。假设攻击者挖到区块,该区块中包含着一个交易,即 A 向 B 转了一定数量的 Token,其中 A 和 B 都是攻击者自己的地址。但是攻击者并不广播这个区块,而是立即找到一个愿意接受 0 确认交易的商家向他购买一个物品,向商家发一笔交易,用 A 向商家的地址 C 支付,发给商家的交易广播出去后,攻击者再把自己之前挖到的区块广播出去,由于发给自己的交易先于发给商家的交易,A向C支付的这笔交易就会被回滚,商家遭受损失。对于攻击者来说,通过控制区块的广播时间,就实现了同一笔 Token 的“双花”。



如上图所示,A->B的交易隐约可见,只在适当的时候才广播,本质上讲这也是一种竞速,由于区块链会校验A地址转出的这笔Token的真实性、有效性,所以一旦发现Token已经转给过B,A->C的交易就不会被认可,通过广播打了个时间差。



除了上述几类典型的双花攻击之外,还有Vector76 attack(76号向量攻击),这个攻击结合了竞争攻击中的高手续费、芬尼攻击中的广播时间差,使得商家即使在一次交易确认之后,也能够回滚,实现双花。至于为什么叫Vector76,根据我检索下来的情况来看,所谓攻击向量,就是指某一种针对性的攻击或攻击组合,针对某一个特定网站的XSS攻击也可以是向量攻击,XSS脚本就是攻击向量。所以我猜测,发现上述双花攻击类型的同志,出于简单且不重复的考虑,给它安了个Vector76的名字,还不如叫“一次性确认攻击”。

三、攻击实例

上面都是讲的一些理论,我们从一个实际的例子中,看一下双花攻击是怎么发生的。



区块链项目中,一个交易一般是由未签名的部分(UnsignedTx,交易要执行的内容)和签名的部分(交易的 witness,见证,就是签名)构成的。在比特币之类的区块链项目中,交易的 hash 计算实际上是包含了该交易的签名部分的,即 hash=SHA256(UnsignedTx+witness)。但在 NEO、ONT 等多种区块链平台中,交易的计算公式为 hash=SHA256(UnsignedTx),即交易的哈希是由未签名的部分计算的来的,与签名无关。NEO 智能合约在执行的时候,能够通过 Transaction_GetWitnesses 方法,从一个交易中获得该交易的签名,能够通过Witness_GetVerificationScript 方法,获得该签名的验签脚本。注意这两个方法,也就是说,如果攻击者针对同一个未签名交易 UnsignedTx1,构造两个不同的验签脚本,就可以造成该合约执行的不一致性。有关智能合约是什么,可以阅读历史文章《看得懂的区块链及智能合约概念》,地址是https://xie.infoq.cn/article/7088786f5bf4e5bd2463dac54



正常情况下,合约的 VerificationScript 是由合约的输入等信息决定的,攻击者无法构造不同的验签脚本并通过验证。但是我们发现在 VerifyWitnesses方法中,当VerificationScript.Length==0 的时候,系统会调用 EmitAppCall 来执行目标脚本 hash。智能合约的哈希值就是智能合约的地址。



通过查看NEO源码,EmitAppCall(byte[] scriptHash, bool useTailCall = false) 方法是用来构建调用智能合约的二进制字节流的。



也就是说,当 VerificationScript长度等于0,或者 VerificationScript 等于目标脚本的时候,下一步都会执行签名验证。攻击者利用这个性质,就可以对 NEO 智能合约上的所有代币资产进行双花攻击,具体步骤如下:



  1. 攻击者构造智能合约交易 Tx_1(未签名内容 UnsignedTx_1, 验证脚本为 VerficationScript_1)。在 UnsignedTx_1 合约的执行中,合约判断自己的 VerficationScript 是否为 VerficationScript_1。如果为 VerficationScript_1,就发送代币给 A 用户。如果 VerficationScript 为空,则发送代币给 B 用户。

  2. Tx_1 被打包到区块 Block_1 中。

  3. 攻击者收到 Block_1 后,将 Tx_1 替换成 Tx_2(Tx_1 具有与 Tx_1 相同的未签名内容 UnsignedTx_1,但验证脚本为空) 从而形成 Block_2。攻击者将 Block_1 发送给 A 用户,将 Block_2 发送给 B 用户。

  4. 当 A 用户收到 Block_1 时,发现自己收到攻击者发送的代币。当 B 用户收到 Block_2 时,也会发现自己收到了攻击者发送的代币,双花攻击完成。

四、总结

从上述内容可以看出,双花攻击的出现与分布式网络无中心的特征有直接关系,既然不能依托于统一的中心化状态这种方式去解决问题,那么就要依靠算法的设计、交互的机制和具体实现,多握几次手在所难免。

发布于: 2020 年 06 月 18 日阅读数: 713
用户头像

石君

关注

与其更好,不如不同 2020.03.26 加入

分享孤独,成为故事,分享思考,成为思想。 做信息安全领域的探险家。

评论

发布
暂无评论
一笔钱买两次东西?——双花安全问题分析