主网上线前夕，360曝EOS重大漏洞，是喜是忧？

今日，360官方团队发布消息称，360公司Vulcan（伏尔甘）团队发现了区块链平台EOS的一系列高危安全漏洞。经验证，其中部分漏洞可以在EOS节点上远程执行任意代码，即可以通过远程攻击，直接控制和接管EOS上运行的所有节点。

360团队称，“29日凌晨，360第一时间将该类漏洞上报EOS官方，并协助其修复安全隐患。EOS网络负责人表示，在修复这些问题之前，不会将EOS网络正式上线。”

消息一出，市场应声大跌，截至发稿，EOS全球市场跌幅超过8%。

据悉，在攻击中，攻击者会构造并发布包含恶意代码的智能合约，EOS超级节点将会执行这个恶意合约，并触发其中的安全漏洞。攻击者再利用超级节点将恶意合约打包进新的区块，进而导致网络中所有全节点（备选超级节点、交易所充值提现节点、数字货币钱包服务器节点等）被远程控制。

由于已经完全控制了节点的系统，攻击者可以“为所欲为”，如窃取EOS超级节点的密钥，控制EOS网络的虚拟货币交易；获取EOS网络参与节点系统中的其他金融和隐私数据，例如交易所中的数字货币、保存在钱包中的用户密钥、关键的用户资料和隐私数据等等。

更有甚者，攻击者可以将EOS网络中的节点变为僵尸网络中的一员，发动网络攻击或变成免费“矿工”，挖取其他数字货币。

对于该漏洞，量子链创始人帅初这样解读，

“1. 这种漏洞在支持虚拟机的合约平台上容易发生，智能合约无限的灵活性也留下了无限的隐患。 任何一个小的共识协议的疏忽，都会有机会DDos整个区块链网络。2. 面向货币的设计，比特币做的不多不少，刚好合适。 3. ETH和EOS，都不是面向货币的设计，面向区块链平台的设计，复杂度很高，也蕴含更多安全隐患。4. 之前Unlimited BTC，也是因为一个共识bug，网络就会被DDos瘫痪。 5. 应该和webassembly新的虚拟机和无gas模型有关，远程代码被VM编译后，被无限执行。6. 目前区块链平台的货币属性与应用层属性深度耦合，如何把货币层与应用层进行分层处理，打造一个松耦合度的系统是行业的另外一个挑战。”

此前，BM曾表示，提供有价值的漏洞可以获得1万美金报酬，BM团队将负责评估漏洞价值。而对于今天发布的漏洞消息，HelloEos 、EOSUnion、EOS CANNON等EOS超级节点竞选团队都表示，主网启动之前发现更多漏洞并得到修复是一件好事。

截至发稿，EOS团队尚未对该漏洞做出正式回应。后续进展，将持续关注。主网上线前夕发现重大漏洞，是喜是忧，你怎么看？