以太坊如何解除鎖定賬戶地址調(diào)用jsonrpcapi？
2個(gè)回答
區(qū)塊鏈大觸8星評(píng)價(jià)
2020-05-07 14:59:19
因?yàn)閰^(qū)塊鏈技術(shù)對(duì)實(shí)現(xiàn)智能合約存在天然的優(yōu)勢(shì)。
比特幣、瑞泰幣、萊特幣、以太坊等數(shù)字加密貨幣都使用了區(qū)塊鏈技術(shù)。
區(qū)塊鏈（Blockchain）是比特幣的一個(gè)重要概念，本質(zhì)上是一個(gè)去中心化的數(shù)據(jù)庫，同時(shí)作為比特幣的底層技術(shù)。區(qū)塊鏈?zhǔn)且淮褂妹艽a學(xué)方法相關(guān)聯(lián)產(chǎn)生的數(shù)據(jù)塊，每一個(gè)數(shù)據(jù)塊中包含了一次比特幣網(wǎng)絡(luò)交易的信息，用于驗(yàn)證其信息的有效性（防偽）和生成下一個(gè)區(qū)塊。
無情的帥3星評(píng)價(jià)
2020-05-07 14:59:35
新型攻擊手法披露：以太坊黑色情人節(jié)事件里已經(jīng)出現(xiàn)的隱蔽攻擊方式!
新的攻擊手法過程簡(jiǎn)述：
1. 以太坊節(jié)點(diǎn)的 RPC 接口開放，但是賬戶沒有 ETH (此時(shí)黑客已經(jīng)通過掃描發(fā)現(xiàn)目標(biāo))
2. 黑客立即構(gòu)造交易并簽名(簽名設(shè)置的金額為 X ，nonce 設(shè)置為當(dāng)前的 N+1，N+2，...，N+N )，可以構(gòu)造多個(gè)
3. 以太坊節(jié)點(diǎn)發(fā)現(xiàn)自己的問題，關(guān)閉 RPC 端口
4. 以太坊節(jié)點(diǎn)認(rèn)為自己已經(jīng)安全，開始往賬戶轉(zhuǎn)入 ETH
5. 其實(shí)此時(shí)攻擊者通過程序自動(dòng)化實(shí)時(shí)監(jiān)控發(fā)現(xiàn)你的轉(zhuǎn)入，立即開始廣播之前 RPC 開放的時(shí)候簽名好的信息
6. 攻擊完成 這種攻擊手法非常隱蔽且真實(shí)存在，在此我們提醒：以太坊節(jié)點(diǎn)里杜絕存放私鑰文件。只要節(jié)點(diǎn)沒有私鑰就不會(huì)出現(xiàn)此類攻擊，如果有，安全起見建議暫停節(jié)點(diǎn)，把相關(guān)資產(chǎn)安全轉(zhuǎn)移后廢除這個(gè)私鑰文件，并在其他隔離機(jī)器里重新生成新的私鑰，未來采用私鑰簽名交易+節(jié)點(diǎn)廣播交易的方式來進(jìn)行轉(zhuǎn)賬操作。
這個(gè)攻擊手法與以往的攻擊手法不同的點(diǎn)在于：只要你這個(gè)賬戶在開放了JSON-RPC的節(jié)點(diǎn)上被解鎖過，攻擊者就可以對(duì)你的賬戶種一個(gè)“后門”。
其原理就是在以太坊的JSON-RPC種有個(gè)名為eth_sign的函數(shù)，以下是此函數(shù)的官方說明：
通俗來講就是，以太坊的JSON-RPC雖然沒提供輸出私鑰的功能，但是提供了使用私鑰來簽名事務(wù)的功能，這個(gè)功能的實(shí)現(xiàn)就是eth_signTransaction函數(shù)(目前僅Parity實(shí)現(xiàn)，Geth未實(shí)現(xiàn)此函數(shù))。
如果利用這個(gè)函數(shù)來對(duì)transfer交易進(jìn)行簽名，被簽名的原始數(shù)據(jù)是從受害者賬戶將余額轉(zhuǎn)賬至黑客賬戶，黑客利用簽名后的數(shù)據(jù)可以在任何時(shí)候從受害者賬戶中將余額轉(zhuǎn)移出來(即使節(jié)點(diǎn)關(guān)閉了JSON-RPC)，而且無法避免，這是無法根除的“后門”
理論上來說，只要在開放JSON-RPC節(jié)點(diǎn)上unlock過的賬戶都存在這個(gè)風(fēng)險(xiǎn)(用戶無法確認(rèn)自己的API是否被黑客用來簽名原始數(shù)據(jù)，除非開啟了日志)，BCSEC團(tuán)隊(duì)建議立即放棄使用這些高危賬戶，以保障自己的資金安全!