Decentralized Systems Lab实验室的一项新研究发现，许多权益证明中的代币存在严重的安全漏洞。

伊利诺伊大学厄巴纳香槟分校(University of Illinois at Urbana Champaign)分散式系统实验室(Systems Lab)的一份新报告显示，针对许多权益证明代币的攻击载体被发现。根据这份报告，这些问题中的许多都源于将比特币的设置应用于权益证明代币:许多加密货币实际上是比特币代码库的分支(或至少是后代)，其中嫁接了PoS功能。然而，一些设计思想被不安全地复制过来，导致了父代码库中不存在的新漏洞。

所发现的漏洞主要影响PoSv3实现，允许攻击者诱骗节点过度提交资源，导致节点崩溃:“我们把发现的漏洞称为‘假权益’攻击。从本质上说，它们之所以有效，是因为PoSv3实现在提交宝贵资源(磁盘和RAM)之前没有充分验证网络数据。其结果是，没有太多权益关系(在某些情况下根本没有权益关系)的攻击者可以通过用虚假数据填充受害者节点的磁盘或RAM而导致其崩溃。我们认为，所有基于UTXO和最长链权益证明模型的货币都容易受到这些“假权益”攻击。

发现了这种攻击的两个版本，影响不同的加密货币集。一个利用节点不能单独通过块头来确定有效的桩，从而填满节点的RAM或磁盘。第二种方法是将代币中的合法股份移动数次，并使用以前的每个实例来欺骗赌注。

受影响的代币可能没有在开发过程中进行尽职调查

分布式系统实验室的报告发现，使用对比特币(一种工作量证明代币)有效的方法替换在权益证明代币上的假设是错误的:虽然“假权益”攻击在原则上很简单，但它们凸显了一个设计上的难题:一些在工作量证明中有意义的想法，无法安全地转化为权益证明。鉴于PoSv3加密货币中，比特币核心作为“上游”的代码共享程度很高，我们认为这应该受到更严格的审查。

使用直接复制的比特币代码来制作完全不同的比特币，意味着，权益证明代币的开发人员可能无法完全理解这两种共识方法之间的根本区别:“对我们来说，这表明PoS开发人员意识到，这个设计空间中的权衡和需求还没有被完全理解。”挑战在于，一方面，我们希望尽快拒绝无效的块，但另一方面，我们又不希望在处理实际的主链时陷入链分裂或延迟。系统地处理这一问题仍然是今后工作的一个悬而未决的问题。”

更令人担忧的是，许多开发团队似乎在方向盘上睡着了，没有对这些漏洞的披露做出响应，其中4个没有响应，6个没有联系，因为最近Github活动的缺乏表明开发停滞或死亡:有5个团队承认存在漏洞，3个团队仍在调查中，3个团队反驳了该漏洞(指出了实施过程中产生的缓解效果)，4个团队没有做出回应。对于没有回应的四个团队，我们通过他们网站上的渠道与他们取得了联系。

最值得注意的是，PIVX在撰写市值排名前80位的加密货币时，尚未对漏洞披露做出公开回应。

2019年可能是加密货币网络遭受攻击的一年

今年，针对加密货币的攻击可能会显著增加。除了在权益证明代币中发现的这些漏洞外，工作量证明币可能也会受到越来越多的攻击，正如Siacoin的首席开发人员预测的那样，这种攻击将在2019年发生。在今年的一次重大攻击中，Ethereum Classic成为了受害者，代表着前20强项目的重大中断。

Dash定位良好，能够抵抗潜在的攻击，具有高哈希率，并主导了X11挖掘算法的使用。在不久的将来，Dash计划实施一项被称为“链锁”(ChainLocks)的创新，这将要求潜在的攻击者同时控制一半以上的主控节点网络。这是一项艰巨的任务，尤其是考虑到运行主节点所必需的逾一半代币供应的时候。

Dash Core的首席开发人员Udjinm6说，Dash经常被误认为是一个权益证明的混合体，但它是一枚工作量证明的代币，添加链锁来利用权益证明的节点来提高安全性不会导致Dash出现分散系统实验室发现的那种权益证明漏洞: “主节点不产生块，并且它们的规划不是块验证的一部分。ChainLocks是后头块，所以可以说，他们不能对无效的头块产生ChainLocks投票。”

这种独特的改进可能使Dash成为世界上最安全的加密货币之一。