作者簡介：唐飛虎（島娘），仙女座科技ceo。
自主網上線以來，一場最大型的 eos 合約漏洞攻擊正在上演且追隨者無數，涉及到的專案包括 eosbet、newdex 等眾多頭部專案，專案方累計損失 11萬個 eos（約價值人民幣400萬）。目前尚不能判斷這一系列事件是由一人還是多人所為，主要涉及到的賬號包括："guydgnjygige", "imeosmainnet", "iloveloveeos", "aabbccddeefg"及眾多疑似小號，如"chinasichuan", "cityhangzhou", "cityhongkong", "guangxichina", "guydgnjygige", "lloolloolloo", "meadwestvaco", "nbcuniversal", "ooooo11ooooo", "shunwanggame", "sichuanchina", "surveymonkey", "wolframalpha", 「slowmistsafe", "helloboy1234"...
第乙個中招的遊戲 -
主要涉及到的黑客賬號"guydgnjygige"。
後期該賬號主要投注各類骰子、樂透類菠菜專案，並通過**各項目的隨機數產生，產生收益。
8月27日，luckyos旗下的石頭剪刀布遊戲被成功攻破。
該黑客找到了剪刀的隨機數產生規律，於是通過持續在指定時間出石頭，來贏得獎勵，並指出有38%的概率獲勝。
(eos區塊瀏覽器截圖）
自此，該黑客對破解其他菠菜遊戲產生了濃厚的興趣，不斷的嘗試挑戰破解新的遊戲，並通過小額轉賬memo指點了的開發者。
(eos區塊瀏覽器截圖）
（ 遊戲截圖）
第二個中招的遊戲 - deosbet
10日，黑客又利用類似的漏洞，攻擊了deosbet，並且連續贏了 24 次，累計接近 2.4 萬美元。
主要涉及到的黑客賬號imeosmainnet 。
攻擊方法是黑客首先賭了較小的金額，並在 transfer 方法中加入了鉤子開關，transfer 過程可以被黑客預留的鉤子中斷，所以 reveal 被卡死，當 reveal 被卡死時候，並且這時候 bet 是仍然可以被呼叫的，重放攻擊就成立了。黑客選擇預設關閉開關，當檢測到得到五倍以上的開獎金額之後，就再發一筆數額較大的金額，並開啟開關，從而每一次都可以獲得數倍的回報。
而黑客 imeosmainnet 非法獲得了eos之後，立刻轉入了fcoin交易所。黑客的最初幾筆資金來自火幣和zb兌換中心。但從記錄表明，並未看出 imeosmainnet 與 guydgnjygige 的關係，可以猜測，這兩個賬號背後是不同的人。
該專案目前已經重新上線。
第四個中招的遊戲 - fairdice
主要涉及到的黑客賬號iloveloveeos 。
這一次攻擊的手法也是重放攻擊，由於 fairdice 的隨機數演算法和時間相關，因此多次同一筆下注在不同時間開獎可以獲得不同的結果，黑客正是利用了這一點，拒絕了所有失敗的開獎結果，從而可以讓自己的下注總是獲勝。
fair的**增加了安全機制，每次獲勝的金額不得超過合約獎池的 1%，並且我們發現及時，立即 call 醒了開發者，才沒有讓損失繼續擴大。
第五個中招的遊戲，也是損失最慘重的 - eosbet
主要涉及到的黑客賬號aabbccddeefg 。
就在被攻擊前的幾個小時，eosbet在twitter推文公布，稱該專案將要達到210萬的交易筆數。
eosbet專案尚未開源，卻也難逃離攻擊。9月14日上午11點左右，aabbccddeefg 在未進行投注的情況下，卻以中獎的方式, 在20多分鐘的時間內，贏得了4.2萬個eos(總價值約為150萬人民幣）及投注產生的1千多個平台代幣bet。
據分析，eosbet被攻擊，是因為**中並沒有檢查收到的eos是不是eosio.token產生的eos，黑客通過自己建立的名字同為eos的「假幣」，套取了真的eos。
在獲得了eos之後，黑客分別給guydgnjygige和cctvworldcup兩個賬號各轉賬了1萬個eos。
第六個中招的遊戲 - eos.win/dice
隨後相同手法又被用在了 eos.win上，導致各專案方產生驚恐，紛紛關閉了自己的專案。
第七個中招的是去中心化交易所- newdex
主要涉及到的黑客賬號oo1122334455 。
整個黑客攻擊事件最無奈的便是，作為乙個去中心化的交易所，在遭遇了假幣之後，不得不通過中心化的手段來強制下架了交易對。此次事件，共造成了newdex使用者11803個eos損失。
賬戶安全提醒
更有詐騙賬號假裝eosbet官方，不斷的向黑客賬號發出索賠要求。
（eos區塊瀏覽器截圖）
圖中eosbet的賬號為eosbetdice11, 而eosbetdlcell 用l來代替i和1來以假亂真。切記不要轉賬到此類釣魚賬戶。
點評eos生態
跟隨社群的忠告，當友商被攻擊時及時 update 資訊，確認自己的合約是否有類似的漏洞。
新增風控功能，防止黑客在短時間內盜取大量 eos。
總是使用 defer transcation，阻止黑客的鉤子攻擊。
種子只使用一次，避免被重放攻擊。
eos核心仲裁法庭（ecaf)
eos在社群治理方面與以太坊等區塊鏈有很大的不同，率先建立了仲裁法庭機制來服務於社群，作為社群的日常管理。當出現爭議時，社群成員便可以向ecaf提出訴求，等待社群仲裁。
仲裁員通常由社群公民投票任命，而撤銷仲裁員的任命需要三大權力機構（bp、社群、法庭）中的兩方批准方可執行。一般情況下乙個案件僅指定一名仲裁員，而特殊情況則需由一名高階仲裁員領導的三人小組進行審理。
所有案件中，大家最關心的便是前段時間出事的區塊鏈遊戲eos狼人殺了，該專案團隊於7月26日及7月29日分別發布了兩個宣告，聲稱被黑客eosfomoplay1非法盜取60686.4190 eos，並建議中獎者guztknrygqge通過eos核心仲裁法庭申請仲裁。該事件一直被外界認為是狼人殺團隊監守自盜的行為，認為eosfomoplay1的黑客賬號屬於狼人殺團隊。
（狼人殺團隊公告）
該案件在ecaf的案件編號是#ecaf00000339，緊急處理的結果是所有bp不再執行eosfomoplay1賬號以及與其公鑰私鑰相關的任何交易，即凍結該賬號，等待案件的進一步審查。
截止目前，該賬號非法所得的eos依舊凍結在其中，理論上講，如果證據確鑿，且ecaf通過裁決，判斷這筆eos應轉入給受害者，是可以追回的。只不過目前尚未有過成功追討的案例。
code is law？
**是專案的骨架和齒輪，儘管各個專案的目標或許是做最公平的gambling、或許是為了盈利賺大錢；儘管各個專案對外有著明確的玩法規則，但撥開外衣，最本質客觀的規則還是執行在各個節點機器上的**。
從道德上來講，黑客攻擊了專案合約轉走了「非法」所得；但從**這一「規則」角度，黑客的攻擊，也可以視作合約所允許的一種「玩法」，黑客精妙地發掘了"裡メニュー（隱藏選單）"，並贏得了「獎勵」。
「立法」總會落後於現實。規則是死的，而人總是會犯錯，因此我們需要累積前人智慧型作為指導。
由於**的知識門檻，嚴格執行code is law，會增加使用者監督門檻，開發者故意埋下漏洞的行為也難以譴責追訴。而過分的人治，又會成為民粹的溫床，打擊開發者審計合約的動力。
從整個公鏈的利益考慮，此次的黑客攻擊，雖然慘痛，但仲裁法庭不應該干涉，而是應該敦促制定一套安全標準，規範未來專案的開發；也讓ecaf真正成為生態的重要一環。
我們一直希望開源能夠讓世界變得更好，這是因為我們相信透明的機制的力量，相信透明的規則能夠讓信任的成本降到最低，讓合作的效率變得更高。而基於客觀規則的行為，如果因此受到懲罰，那麼無疑會助長更多對規則的破壞和不公正的行為。但我們也支援在現在生態還處於比較原始的階段，仲裁法庭利用自身的專業知識一起構建更安全的規則，維護廣大使用者群體的利益，讓eos公鏈的生態變得更好。
關於仙女座科技：
仙女座科技是由唐飛虎於2023年4月創立，我們的成員來自google、微軟和各大高校，我們有google的工程師文化和微軟的嚴謹做派。
我們深耕在區塊鏈應用開發，致力於推動區塊鏈技術與實體產業的長足發展，加速實現去中心化理想「變革社會生產力關係「。並一直秉持give the power back to user——"使用者的權利還給使用者"的技術宗旨。
黑客劫持汽車不新鮮 盤物聯網八大黑客攻擊事件
最近，黑客遠端控制汽車事件導致菲亞特克萊斯勒汽車公司召回140萬輛面臨黑客攻擊風險的汽車，這次汽車召回的直接導火索 美國網路安全專家查利?公尺勒和克里斯?瓦拉塞克 黑入 一輛切諾基吉普車的實驗。兩人在家利用膝上型電腦,通過這輛吉普車的聯網娛樂系統侵入其電子系統,遠端控制車的行駛速度，操縱空調 雨刮器...
物聯網裝置安全性堪憂 已成為黑客發動攻擊的跳板
這聽起來就像科幻電影一樣奇幻。黑客入侵了一家大學的5000多台連網裝置比如智慧型燈泡和自動販賣機等，然後利用這些裝置向該大學的網路發動攻擊，拖慢了這家大學的網速。目前市面上的各種物聯網裝置的安全性普遍較差，於是它們經常變成黑客向各家 和服務發動ddos攻擊的跳板。但是本文要講述的這個案例卻比較罕見，...
黑客攻擊 嗅探
dsniff是乙個高階的口令嗅探器,dug song寫的dsniff的工具是第一批擴充套件了傳統的sniffer概念的監聽工具。dsniff將製造的資料報注入到網路，並將通訊資料重新定向到攻擊者的機器。在這種方式下，dsniff允許攻擊者在交換環境的網路內竊聽資料，甚至在攻擊者和攻擊目標不在同乙個l...