作者:Rudy Lu

9 月 25 日,EOS 一名原 BP 候選人(備選節點)得票數上升成爲排名前 21 的超級節點,但沒有及時配置完整的賬戶黑名單,導致原先被凍結的賬戶內近 20 萬 EOS 盜幣成功被黑客轉出,正在逐步轉入交易所。

據慢霧科技反洗錢 (AML) 系統監測顯示,攻擊者利用新任超級節點黑名單不完整的缺陷,將黑名單賬號 craigspys211 內 19.999 萬枚 EOS 轉入 eosusswallet,然後逐步遞歸創建小號,現在正逐步將分散在 41 個小號內的 EOS 轉向 ChangeNow 交易平臺。

由於超級節點的疏忽,攻擊者的不正當盈利即將得逞,原凍結 20 萬 EOS 進入流通盤。

什麼是黑名單?

EOS 的黑名單功能可以令超級節點忽略黑名單內賬戶發出的任何交易,可以有效保護被黑客攻擊的賬戶的資金不被繼續挪動,讓被盜的資產有機會先做凍結處理,爲下一步追回被盜資產增加可能性。
但黑名單功能要想 100% 生效,必須讓 21 個超級節點全部完整配置;否則,在沒有配置黑名單的超級節點出塊時,黑名單內賬戶利用其漏洞依然可以交易。

顯然,排名上升而新加入的 EOS 超級節點沒有及時做好應有的準備,被黑客鑽了空子。

今年 Staking 話題火熱,新入場者日益增多,而 EOS 作爲當下 PoS 公鏈中市值最高的項目,無疑受到了極爲熱烈的關注,也是各方力爭的主要“戰場”。自今年 8 月以來,EOS21 名超級節點一直處於劇烈的動態變化之中,超級節點的得票量門檻不斷攀升,8 月時門檻爲 1.5 億票左右,如今已超過 2.6 億票,整整提升 1 億票之多令人咂舌。

但我們可以從此次事件中得到警示,各公鏈的節點首先應承擔穩定運行公鏈、保障公鏈安全的本分義務,節點在關注、競爭得票數之前務必先完成公鏈對節點的基本要求,做好技術上的充足準備。

Tezos、Cosmos 等公鏈設置有對節點的 Slash 也即懲罰機制,用以懲罰節點的不正當、不盡責的行爲。EOS 尚沒有加入此類機制,好在投票行爲是去中心化的,當出塊節點失職而不再受持幣人認可,持幣人可以通過撤票的方式將其投出出塊節點序列。

截止目前,因黑名單疏忽而造成盜幣轉出的始作俑者,由於得票數下降已經跌出前 21 超級節點序列。