首页 > 区块链 > 关键词 > DApp最新资讯 > 正文

为什么 DApp 经常会遭遇随机数攻击?

2019-10-18 09:28 · 稿源:白话区块链公众号

作者 | 李火华

出品|白话区块链(ID:hellobtc)

9 月 14 日,一款名为“EOSPlay”的 DApp 游戏遭遇了新型随机数攻击,一共损失了数万个 EOS。

或许很多人对「随机数攻击」这个词已经司空见惯了,因为在 DApp 遭遇黑客攻击的事件中,随机数攻击占了很大一部分,很多 DApp 的随机数被黑客破解了。

你或许会问,随机数不是随机的吗?随机意味着不可预测,为什么还会被黑客破解呢?

这还得从随机数说起。

随机数可以分为真随机数和伪随机数。真随机数需要同时满足随机性、不可预测性、不可重现性,而伪随机数只需要满足随机性,或者是随机性和不可预测性即可。

真随机数只存在于物理世界中,一般需要通过物理手段(包括量子过程)获得,比如我们日常见到的抛硬币、掷骰子,生成的随机数就是真随机数。但是,抛硬币、掷骰子这种随机数生成方法的缺点非常明显,那就是耗时、耗力,而且也无法满足现代的计算机世界对随机数的需求。

因为效率的缘故,现代的计算机软件主要依赖伪随机数。最早的伪随机数生成器由 20 世纪最重要的数学家之一冯·诺依曼创造,通过一个确定的随机数种子,由确定的算法生成伪随机数序列。现在的主流计算机编程语言,默认的是将 1997 年发明的梅森旋转算法作为生成伪随机数的方法。

伪随机数最大的缺陷是,只要种子不变,生成的伪随机数序列也不会变。换句话说,只要你能拿到种子,你就可以破解随机数。

计算机生成伪随机数的过程,或多或少与这台计算机的物理状态或运算状态有关。也就是说,同一套随机数算法,不同的计算机,或是同一台计算机在不同的时刻,生成的随机数是不一样的。

然而,这种传统的计算机伪随机数生成方法虽然足够安全,却并不适用于区块链。区块链是一个分布式的系统,同一个 DApp 在不同的节点上运行,采用的随机数必须要一致,这样才能让各个节点进行验证。所以,DApp 的随机数来源,不能是运行这个 DApp 的计算机自动生成的,因为这样的话,不同的节点计算机运行的结果就不一样了。

那么,区块链上的 DApp 随机数从哪里来呢?主要有以下三种方法:

第一种方法是通过可信第三方提供随机数。比如说专门提供随机数的网站 random.org,我们可以通过独立于区块链之外的 Oraclize 预言机为以太坊区块链上的 DApp 获取随机数。当然,这种依赖可信第三方的方法有违区块链去中心化的精神。

第二种方法是不同的参与者一起合作生成随机数。比如以太坊区块链上的 RANDAO,任何人都可以提交一个数字,RANDAO 将所有提交的数字集合作为种子,生成随机数,其他 DApp 可以付费调取 RANDAO 生成的随机数,这些费用会奖励给那些提交了数字的用户。因为以太坊的去中心化,你不知道别人提交了什么数字,所以要破解 RANDAO 的随机数种子难度很大。

第三种方法是采集区块链上的信息作为种子。这也是目前大部分 DApp 所采用的随机数生成方法,缺陷是随机数的种子“几乎是”透明的。以本文开头提到的 EOSPlay 为例子,这款游戏的随机数采用的是未来某个区块的 ID(哈希值)作为随机数的种子。

那么,黑客是如何实现攻击的呢?根据区块链安全公司慢雾科技的分析,可能使用了以下的方法:

1、黑客为自己和项目方租用了大量的 CPU;

2、黑客发起大量的延迟交易;

3、由于以上两点原因,导致 CPU 价格被拉高,从而导致其它用户 CPU 不足;

4、因为 CPU 不足的原因,其他用户难以发送交易,黑客得以使用自己的交易占满区块;

5、根据提前构造的交易内容,黑客可以成功预测出区块哈希。

也就是说,虽然哈希算法不可逆,但是黑客可以通过控制输入实现输出的控制:控制区块内的交易内容,从而控制区块信息,进而控制区块哈希值,最终达到预测开奖结果的目的。

最后,我们总结一下:

随机数可以分为真随机数和伪随机数,真随机数只存在于物理世界中,一般需要通过物理手段获取。为了效率,计算机主要采用伪随机数,然而由于区块链的分布式特性,足够安全的传统计算机伪随机数生成方法并不适用。大部分 DApp 采用的是收集区块链上的信息作为伪随机数的种子,而要想设计足够安全的伪随机数,难度非常大,这就是为什么很多 DApp 经常遭受随机数攻击的原因。

你知道区块链中,有哪些方面/情境下会用到随机数吗?欢迎在留言区分享你的观点。

网友热搜:

  • 相关推荐
  • 大家在看
  • 更自助、更开放、更轻量 Dataphin三大升级助力企业成本减少50%

    6 月 9 日,阿里巴巴集团副总裁、数据技术及产品部负责人朋新宇在 2020 阿里云线上峰会上表示,作为阿里云数据中台核心产品之一的Dataphin(智能数据构建与管理平台),将围绕“自助化”“服务化”“轻量化”三个核心点进行服务升级。这预示着,数据建设门槛将会被进一步降低,越来越多的企业将享受数智赋能带来的便利。三大升级 助力企业畅享数智赋能凭借Dataphin“全域数据可引入”“ 100 消除数据二义性”“分钟级自动化代码生?

  • 人人App疑遭全网下架 人人App为什么被下架

    近日苹果AppStore应用商店上已经无法搜索到人人APP,疑似已经被下架,而在多个安卓应用渠道同样也无法搜索和下载,提示为“该应用内部优化中,暂不提供下载”。那么人人APP为什么被下架,官方对此如何回应呢。

  • 腾讯马晓轶:腾讯游戏官方社区“闪现一下”App已上线

    昨日,腾讯游戏年度发布会正式在线上召开,期间集中发布了四十余款游戏产品与品牌。同时,在会上,腾讯公司高级副总裁马晓轶表示,未来腾讯游戏将会做好自己的“新基建”。

  • 这个背靠十亿用户的 App 商店,竟成了山寨游戏的容身之地

    如果要评出一个最混乱不堪的 App 分发平台,你觉得谁有望能拿下这一名号?Steam 或 App Store?可别忽略了微软的 Windows 应用商店。它出身豪门,迄今发展约 8 年时间,背靠着用户超过 10 亿人的Win10 系统,得益于此,它本可以融入人们日常,但实际状况却是门庭冷落。

  • 7月起 游戏上架苹果App Store必须有版号

    DoNews 6月18日消息(记者 刘文轩)中国法律规定上架一款游戏必须拥有版号,苹果当然也遵守这一规定的要求。据GameLook报道,苹果确认将严格遵守中国法律对游戏产品的相关规定,并对在中国区运营的iOS平台游戏进行严格的资质审核。报道称,今年7月开始,无版号新游戏将无法通过苹果审核和上架中国区App Store。也就是说,iOS游戏想在中国上架,则必须获得版号。苹果在今年2月向开发者发出通知,要求6月30日前提交游戏版号。报道称?

  • CBNData在“潮MOODS·涨潮计划”启动会现场,发布95后国潮报告

    正如《快乐崇拜》唱的那句“什么年代吹着什么样的风”80 年代的“潮”是喇叭裤、爆炸头,外加一副无敌拉风蛤蟆镜90 年代的“潮”则是宽肩膀、厚垫肩,以及满大街的“郭富城头”00 年代的“潮”又变成小甜甜布兰妮的低腰牛仔裤,还有东方神起同款非主流发型……这届年轻人眼中的“潮”,又长什么样?6 月 22 日 19 点,由第一财经商业数据中心(CBNData)旗下全新潮流态度IP“潮MOODS”发起的「涨潮计划」线下启动会在上海启动。活动不

  • 内存新锐ZADAK首次转战SSD:性能、外观都没得挑

    ZADAK这个品牌大家可能还不太熟悉,此前专注于高性能内存,现在第一次转战SSD固态硬盘,而且出手不凡,首款产品“SPARK PCIe Gen 3x4 M.2 RGB SSD”从外观设计到规格性能都非常出色。

  • 专注移动医疗应用,就是销邦M8Y医疗PDA

    医疗与民生紧密相连,医护人员忙碌沉重的工作压力,急需科技创新分担解忧。物联网时代下借助信息化移动设备,提升医疗行业管理水平,帮助医院高效运转,医护者更周全为病人服务,同时带来优质就医体验。 深入行业,洞察所需 推动智慧医疗建设销邦一直在努力!这一次,基于医疗行业特有属性,销邦沿袭PDA的传统优势创造性的做出更贴心设计,销邦M8Y,理想匹配医疗行业应用场景,专属定制超轻大屏PDA,纯净登场! 白衣天使的“白”+纯

  • 和鲸推出自有赛事品牌DataJoy,以最大化数据人才价值

    近期,和鲸社区上线了DataJoy?练习赛系列,这也意味着,经过半年的酝酿,和鲸自有Data Science赛事和活动品牌——DataJoy?正式与大家见面了。DataJoy?品牌将专注于服务数据人才,帮助他们更好地掌握数据科学方法,熟悉数据科学工具,贴近数据科学的实际应用场景,同时让数据科学爱好者们能够有一个平台可以更好地探索、互动和创造。在和鲸看来,数据的积累与算力的升级正在以指数级的速度推进,但是数据到智能的闭环,还远没有实现

  • 有味APP

    有味APP,前身为腾讯新闻极速版,产品定位是“美好生活分享平台”。产品分为首页、圈子、关注和小窝(即个人主页)四大部分,用户可在产品内发布图文内容或视频内容。

  • AppClips是什么功能 AppClips怎么使用

    苹果iOS14系统中加入了一个全新的AppClips功能,这个功能是可以让用户不下载全部应用的情况下就可以使用该应用的功能,那么AppClips是怎么使用,这里我们来了解下AppClips功能的介绍。

  • 派客动力成为DAMA(国际数据管理协会)首批授权培训服务机构

    2020 年 6 月 28 日, DAMA (国际数据管理协会)China发布数据治理首批授权培训服务机构。并表示,经过DAMA专家团队的认真评估,派客动力?有幸成为(第一批)被授权的培训服务机构。派客动力CEO杜绍森表示非常感谢DAMA专家团队对派客动力在数据治理专业领域的认可。派客动力不仅有优秀的产品,在业界更有令人骄傲的声誉。我们非常有幸能承担向社会、大众传播更好的管理数据,更好的数字化转型的专业方法、最佳实践,并将最好的人?

  • Dafex 达菲创新小宇宙 AIT 3.0 引领金融科技

    随着大时代的改变与发展迁移,人工智能、大数据、云计算等新一代信息技术的发展已经成为了改变传统一尘不变的模式。DAFEX 达菲是一家全球性的专业金融技术服务提供商,用心致力于创新科技为一直保守着传统方式的金融业带来新景象。一个汇集顶尖人工智能技术及金融交易的专业平台 – 小菲达人(AIT 3.0)正是DAFEX 达菲的核心所在。小菲达人(AIT 3.0)不仅汇聚了业内专家和各大技术支持,更以区块链技术为研发领航者创建了许多人工

  • 轻装随行,大屏视界!销邦M8工业级PDA震撼登场!

    您的声音我们一直用心倾听,您说,想要一款超~大~屏PDA,时尚的、轻薄的、便携的,但工业等级不能低,最好终结您的电量焦虑,系统、配置请按高配走,当然,扫描力是刚需,必须牛,应用嘛,能多全面就多全面……OK!这一次,全部满足,谁让您是我们在乎的人呢。销邦M8 工业级大屏PDA,响应您的心声震撼登场 更大,更清晰! 5. 5 英寸电容触摸高清液晶显示屏,分辨率达1080*1920,耐低温IPS全视角显示,超清晰大屏,轻薄便携,外观望去

  • 苹果中国区App Store上万款游戏更新被冻结

    DoNews 7月1日消息(记者 刘文轩)苹果要求游戏开发者在6月30日前,提交在中国大陆发布的任何付费游戏或可提供应用内购买项目游戏的批准文号。如今已经到了7月1日,金融时报消息称,为遵守中国的规定,苹果公司冻结了中国区App Store应用商店中上万款手机游戏的更新。此举可能给苹果造成最多8.79亿美元的销售损失(约合人民币62亿元)。Sensor Tower数据显示,中国是苹果App Store最大市场,年销售额164亿美元,高于美国的154亿美?

  • 消息称阿里旗下东南亚电商Lazada任命李纯为新任CEO

    【TechWeb】6月26日消息,据新浪科技报道,7月1日起,李纯将接替皮尔·彭龙出任Lazada首席执行官,皮尔将调任阿里巴巴集团董事会主席兼首席执行官张勇的特别助理。根据公开消息显示,李纯曾任阿里巴巴B2B事业群首席技术官。Lazada成立于2012年,2016年起成为阿里巴巴东南亚旗舰电商平台。数据显示,截至2020年3月31日的12个月里,Lazada服务了东南亚六国超7000万位活跃消费者。同期,Lazada印尼的订单同比增长超过170%。

  • 注意了:微软悄然取消Windows Update手动推迟功能更新选项

    据外媒报道称,微软已经悄然取消了Windows 10商业版本用户从2020年5月更新(2004版)开始在Windows更新设置页面手动推迟功能更新的功能。该公司在几天前更新了操作系统版本的文档公开了这一变化

  • Trustdata:今日头条、趣头条更受银发族青睐

    DoNews 6月10日消息(记者 刘文轩)Trustdata发布了《中国移动互联网新闻资讯行业发展分析报告》,分析了2016年1月到2020年3月,中国移动互联网新闻资讯行业用户平台类新闻资讯产品的使用情况。报告显示,中国移动互联网新闻资讯行业历经高速发展,活跃用户已经上升到5亿规模,在2020年第一季度,受疫情影响,净增用户相比上一季度超5千万。行业品牌方面,中国目前已经形成今日头条、腾讯新闻、新浪新闻三强争霸的局面,新浪新闻、

  • 即刻app恢复上架

    ​今日,下架近一年的社交app即刻宣布正式回归,已可下载。据悉,即刻本次上线的是即刻7. 0 版本,新增了额心情日记、足迹地图、头像弹一弹等功能。去年 7 月,即刻APP发文称,将进行技术升级,升级期间即刻App端和Web端暂时无法使用,升级完成后即刻会在第一时间通知大家。

  • 罗永浩推荐秒熊英语App怎么样?秒熊App介绍

    秒熊英语app是一款通过有趣的短视频来学外语的应用,由「搜狗输入法之父」马占凯老师倾力打造的英语学习产品,帮助广大英语学习爱好者,广大考生提升英语能力。秒熊英语app是一款看电影学英语神器,还有热门美剧、动画、纪录片、脱口秀等 100000 条小视频。 15 秒小视频学英语,有趣无压力!以下是秒熊英语App特点的详细介绍。

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议

热文