• 项目
首页>>文章列表
文章列表

2017至2018,区块链世界的两年“沉浮录”

很多没有经历过从2017年到2018年币圈和链圈的那些事的朋友,要么不成系统在朋友圈道听途说,要么选择从深奥艰深的技术流和科普着手,从圈外看圈内容易懵圈。这个行业极速上演过一夜暴富,也有过打回原形人后抹泪,“币圈一天,人间一年”,有太多的故事,等待有故事的人娓娓道来。


倪叔是知名科技自媒体,曾写过不少刷屏级爆款文章,出于对风口的职业敏感,倪叔属于接触区块链风口的一批人,历经过行业过山车般的潮起潮落,也赚了一笔钱,目前他还有另外一个身份即锐驰资本合伙人,平时也留意一些优秀的区块链创业项目,做做投资。


应阿星的邀请,倪叔在拉风财经“区块链小白升级群”分享了他在2017年和2018年经历过的区块链世界演进脉络,本文信息量很大,能带来领略币圈和链圈惊心动魄的风景。


一、疯狂币圈:比特币十几次复活周期,ICO助推比特币至最高点


比特币作为核心数字货币,大概经历了十几次跌宕起伏的反复轮回周期,比特币价格是十数次。而我们这一轮,的上一轮,是2012年到2013年上半年一路上扬,但是到2014年后陷入长达一年多的熊市,这其中爆发了当时最大规模的交易所“门头沟跑路事件”,此后从2014年至2016年比特币的价格是每个几百块至几千块钱磨底,一度把90%的老韭菜赶出市场。


现在出名的比特币大佬大多是在上一轮比特币泡沫中交过学费的,经过两三年的布局才有今天的成就,宝二爷之前是卖牛肉的,后来遇上了他老婆才知道比特币,在2014年泡沫破灭后在内蒙古建比特币挖矿“矿场”,如今他已占据后来者难以追赶的优势。

每次数字货币的复苏就让其影响力扩展一圈,带动更多的人来参与“游戏”,把币值推向更高的位置。而我们所经历的这一轮之所以如此疯狂,其背后重要的推手就是“ICO”(你懂得,不多解释了)。


ICO的运作方式有点像发行股票新股,用户用手上的代币按照一定比例来换取ICO方的代币,项目方可以向机构和散户进行集资。2017年3月、4月最早做ICO的是量子链、公信宝,他们在一些社区中融资,尽管当时没有融满,参与进来的人基本赚得几百倍的收益。


比特币自身价格的单边上涨与ICO模式相互促进,ICO带来了更多流动性,因而比特币作为价值锚定货币价格拉升最为明显,最高点是一万多美金即差不多八万人民币一个(截止6月26日,BTC的价格是4万人民币左右)。


“ICO”一度非常受监管层关注,但幸运的是2017年上半年,监管层绕了个弯决定先行管制现金贷,为不少项目和庄家的缓冲了压力,大多数暴富大概是去年上半年的ICO中完成的。


一般“ICO”的操作流程是发布项目、设定比例、按ETH比例兑换、到代币到认购者的(数字货币)钱包,告诉认购者上哪个交易所发行届时到交易所充值,然后通过交易获取收益。为了保证项目确实有足够的价值支撑,一般项目方会先行募集ETH作为基石。

为什么ICO项目一般选择以太坊(ETH)作为交换筹码呢?相对于比特币,以太坊传输速度较快、价格相对稳定、手续费相对便宜。


在2017年上半年牛市阶段参与“ICO”几乎都赚了钱,用户花钱参与“ICO”项目享受项目升值红利;项目方通过ICO集资之后,价格上升项目方也赚钱;项目方把币放到交易所,交易所也赚钱。当时所有人疯狂参加“ICO”、找项目方要额度,单边上扬比特币价格也让庄家赚的盆满钵满,整个ICO市场异常亢奋。


二、九四之后的区块链:交易所出走海外,韭菜和VC机构疯狂进场


从2017年7月底开始,监管层已注意到火热的ICO项目存在的非法集资的风险性,相应加强监管声音已经一些区块链社区和媒体中出现,到了八月份就已经有点风声鹤唳了。


直到2017年9月4日下午,中国人民银行、中央网信办、工业和信息化部、工商总局、银监会、证监会和保监会七部门联合发布《关于防范代币发行融资风险的公告》业内称之为“九四事件”,整个比特币和以太坊都砸到了非常低的位置,当时ETH只有800元一个,大部分人以为要“药丸”了,大部分国内主流交易所纷纷发声明要把所有的币退还给用户,退还完毕之后,交易所就会关闭。


按照过往互联网金融项目经验,一旦被国家定性和监管进场基本就挂掉了。奇怪的是还有大量的用户眷恋不走,大量场外的用户之间的币币交易群仍然活跃,还从来没有经历过一个(金融)项目是整个全世界范围内都参与的,就算国内的ICO全部消停,其他国家还在搞。“九四”之后,很多项目及交易所靠转移至日、韩等国(包括柬埔寨、泰国等地)。


九四之前有个“聚币网”很火,而九四之后币安、OK才火起来的,很多渠道私底下会告诉老韭菜交易所又重新开起来了。仅一个月的时间,数字货币价格就从低谷迅速回涨,海外市场快速补位让比特币的价格从两万在一个月之内回升到了五万,华尔街那边的比特币出现期货市场,这意味着正式金融开始接纳比特币交易,因为比特币不可篡改、不会增发的规则,有助于维护未来的金融秩序。


国内也有越来越多的人把比特币视为理财产品。比特币的价格不断上升,以ETH为首的数字货币的价值也在快速拉升。


当时以太坊的价格涨到五千以上,徐小平在真格基金创始人社群喊话号召大家All in 区块链,还特意标注了不要外传,结果全网传的到处都是,在此之后传统VC大量入场。市面上的发币私募项目越来越多,导致需要大量增量用户进场,按照以往金融项目的经验当大妈都来的时候,就是收网的时候了,到了2017年11月份大量ICO项目出现“破发潮”,比如你用5个以太坊去买了这样的1万个代币,等这个项目上市后,发现就这个币卖掉收不回成本。


为什么传统VC也如此看重区块链,或者说数字货币对于传统VC的真实价值在哪里?


整个传统的VC行业在2012年到2014年这波“双创”风潮中并没有那么多企业赚钱,大量创业公司死掉,很多股权投资基金要付出大量的金钱并且要等待漫长的退出过程,一些看起来很牛的基金并没那么赚钱,故事也没那么传奇,相比于那些在股票市场做二级市场的那些人,他们这些一级市场的投资人就显得特别苦逼,二级市场赚钱更快,也没那么高的技术含量,更不用那么赌项目,他们只要有足够的资金再差的项目都可以炒起来,所以传统VC在整个传统金融秩序里是一个赚慢钱的角色。


而ICO模式却可能是VC翻身的机会,投资机构把过去几年投得一些半死不活的创业公司让他们全部通过ICO发币来融资,融完资之后马上解散退出。


这样很多VC把投出一些负资产或不良资产突然以ICO方式盘活了。过去创业公司上市可能要等五年以上,现在通过操作一个项目可能两三个月的时间就回来了,所以对于VC行业来说,这是一次改变命运的机会,所以大量VC进一上来就囤ETH,我了解到投资人都是一万个、一万个的买入以太坊,很快把以太坊的价格从五千炒到了一万。



这却是整个故事的最高点。从2018年1月份开始,也就是在徐小平喊话的一个月后,整个行业一直向下持续到现在6月份,过程中会有反复、震荡、回调,比特币价格已经下七千美元,尽管已经非常低了,但是没有人能保证还会不会继续下跌。2017年我身边不下20个“币神”而到2018年5月真正最后能完整保存胜利果实的很少,一般来他们最终还是留下一两百万的盈利的但绝多大数没有能力战胜市场的,如果有幸赚钱一定要稳健、趁早离场。


三、区块链“围城”:被套牢的出不来,创业者即将爆发“千链大战”


2017带你买币赚了是你的恩人;2018年很可能就变成仇人了。2018年1月至4月处于熊市阶段,相对于2017年高峰已腰斩了,如果以太坊跌了百分之五十,那么以太坊(ETH)为价值的虚拟货币肯定跌了百分之七十到八十甚至九十。很多一次买入几万以太坊的传统VC全部被套牢在里面,社会上没有这么大的流动量来接盘,一些之前暴发的人可能在这一波里面又吐进去了,还有可能亏了本。


如果你是个普通散户希望通过买币的方式获取市场红利,并且对于未来比较看好,可以考虑在这个时候少量抄底,如果对未来不那么看好,建议还是要谨慎操作,尤其是尽量不要买空气币,尽量认准比特币、以太坊这样主流币;需要注意的是,由于数字货币交易所的交易深度相比股市是非常不够的,以至于有时会出现哪怕已经跌掉一半了,想全部清掉也清不掉,因为市场上没有人来接盘。


随着区块链行业透明化,越来越多的交易信息被公开之后,以前“代投”两头收又向用户收代投费,转身又向项目方收返点费,还私扣比例,基本上庄家是稳赚不赔的,如今所有风险转嫁在散户身上,加上又市场不断的跌,所有人对市场预期处于保守或悲观的状态,这个时候“代投”业务也没有办法玩了,新发币的ICO项目也很难融资。所以,现在参与ICO不赚钱的概率很大。


从我身边还在做区块链行业里面创业的,基本上就是三类,第一类项目发币,第二类帮产业配套服务,第三类就是做公链或应用。


关于发币项目,是区块链创业最主流的方法,尽管还没有谁因为发币被抓进去坐牢的,但确实是存在政策风险的,所以很多人都会保留一个外国的国籍或者说有美国的三年签证做好准备,也有一些注册在新加坡公司为了保证合规,发行的不是证券类的而是类似于游戏道具的消耗品。对于想投身区块链的创业者,我建议不能再像过去简单发行ICO或去找个创业公司的壳放进去发行;而应对监管的无币区块链目前还没有找好很好的盈利模式。


关于配套服务,主要是有区块链媒体、社群运营、FA、市值管理等,不过目前市面上区块链媒体又将千家了,是否有能力做到头部绑定好的客户,需要差异化打法。


关于公链或应用项目,目前已融到资并且打算做长期落地应用创业者正在抢滩“公链”。我预测,2018下半年会爆发“千链大战”,放到互联网的行业来看,公链是未来的区块链项目的平台,相当于搭建类似区块链世界里BAT平台,大家都在抢占这样的一个时间和机会。


从落地的角度来看,整个行业还比较早期,还没有达到快速通过一个区块链产品聚集海量用户的场景,搭建平台的机会依然存在。ETH之所以这么牛逼,它是是目前生态最完整的链,很多应用基于其链条诞生,目前区块链项目的DAU(日活)相对较低,距离真正的落地很有比较长的距离。

区块链在跨境支付中的N种姿势

蚂蚁金服于2018年6月25日下午宣布全球“首个”基于区块链的电子钱包跨境汇款服务在香港上线,轰动了这个本来就不大的圈子。本文在讨论区块链如何在跨境支付场景应用的同时尝试分析蚂蚁金服到底用了什么“暖科技”迈出了区块链应用上的这一步。


区块链技术在跨境支付中的应用主要可以分为两大类,一是使用数字货币作为货币兑换的润滑剂。将私人数字货币作为跨境支付中的不同货币的交易媒介,从而理论上做到任意两种货币间的无缝、快速兑换。二是将区块链技术视为支付机构与商业银行之间的接口技术。跨境汇款中的多方通过区块链技术将汇款报文传递给各个参与方,从而实现多方协同信息处理,将原本机构间的串行处理并行化,提高信息传递及处理效率。


1.基于私人数字货币的跨境支付


我们先来说基于私人数字货币的跨境支付。这类支付项目最有名的应当归属于瑞波(Ripple)了。早在2004年Ripple的早期版本就已经推出,但该版本不太成功,主要原因是,该早期版本只能在相互信任的人之间通过Ripple进行转账,没有信任链就无法拓展。从2012年开始,OpenCoin公司开始接手Ripple项目,并于2013年推出新版本。


新版本的Ripple主要增加了两部分内容。一是引入了“网关”概念。网关是区块链中可被公众信任的节点(下图中的大圈),参与各方可视网关为一个交易中介,通过可信中介解决了陌生人之间的转账问题。二是引入了瑞波币(XRP)。瑞波币(XRP)是Ripple系统内的流动性工具,是一种桥梁货币,是各类货币之间兑换的中间品,在进行跨境汇兑的时候需要先将法定货币转为数字货币,再由数字货币转为目标法定货币。瑞波币的价格完全由市场决定,即供大于求时价格下跌,反之亦反。


当然Ripple最大的应用障碍就是监管,可以看到该公司的高管频繁出现在各国央行的桌子前,但是至今都未能得到任何一家央行的青睐。


2.基于区块链的跨境协同报文系统


我们再说说如何将区块链技术作为“接口技术”来优化跨境汇款业务。这类方案实际仅是通过区块链技术实现支付报文的传输与共享,实际账务处理依然在商业银行内部完成。这也就是我们常说的单纯的区块链技术只能完成信息流传输,并无法解决资金流与价值的传输。这类项目在业界实际上并不少见,2017年落地的国内项目有:

1、招商银行与香港永隆银行之间的直联支付业务;

2、中国银行与中国银联之间的跨境金融服务平台。


前者可实际进行资金汇款,后者则是在银联速汇(MoneyExpress)的基础上解决原本支付信息不透明的问题。总体来看蚂蚁金服在25日公布的跨境汇款业务更像招行与永隆之间的直接支付场景。


在这种场景下区块链系统仅承担不同机构之间的数据传输媒介,实际账务处理依然在跨国商业银行内部或银行间完成。如招商银行与永隆银行的直连支付业务中,在客户从招商银行向永隆银行汇款时,永隆银行会在日间进行垫资从而做到支付操作可以在数秒内到账,而永隆银行愿意垫资的原因是其本为招商银行集团的一员。


3.蚂蚁金服方案猜想


最后回到蚂蚁金服跨境支付的场景上来,由于对外公开资料所透露的信息实在有限,我们只能猜一猜蚂蚁的方案到底是啥了。首先我们过滤下重要信息(信息来自蚂蚁金服科技和独创科技公众号):

1、本次汇款中利用了区块链的分布式账本技术来实现AlipayHK、渣打银行(香港、新加坡)和菲律宾钱包(GCash)间的跨机构协同。

2、不做“空气币”;不做违反法律法规的技术应用;不做任何伤害用户数据安全和隐私的行为。

3、蚂蚁金服方面表示,和CIRCLE、RIPPLE等跨境支付产品相比,蚂蚁区块链跨境支付不碰币,没有效率、汇率和安全的风险。

4、汇款时间为3-6秒。


3.1猜测中的最优方案


从公开资料来看,蚂蚁金服跨境支付应当没有使用数字货币,并且已经和香港金管局、新加坡金管局进行了充分沟通与合作。猜测中的最优方案应当是由AlipayHK、Gcash、渣打银行(将渣打银行香港、新加坡视为一家银行,下同)、香港金管局、新加坡金管局五方组成一个联盟链,并且AlipayHK和Gcash均需要在渣打银行开设准备金账户并保证充足的头寸。业务流程如下:

1、当有一笔款项汇出的时候汇出机构将汇款信息放到区块链上(第一个块);

2、监管机构首先进行合规检查后修改合规检查状态(第二个块);

3、渣打银行进行本贷本账务处理(汇出机构到汇入机构的对公账户),成功后将交易成功的信息上送区块链(第三个块);

4、收款方查看区块链上的记录为已成功后修改收款方钱包余额,完成汇款操作。

假设每个块的出块时间为1秒,则最优交易完成时间正好为3秒,考虑到香港和新加坡之间的网络延迟、交易执行消耗时间则会延长到6秒左右。这种方案的有优势显而易见是可以使用智能合约做到一定程度的并行信息处理,但是劣势也很明显就是区块链网络相对较大,出现问题的可能性也较大。


3.2猜测中的次优方案


实践告诉我们区块链网络的规模越大出现问题的可能性就越大,当然我们可以将整个区块链网络进一步简化,猜测中的次优代替方案为由AlipayHK、渣打银行、香港金管局组成一个区块链网络;Gcash、渣打银行、新加坡金管局组成另一个区块链网络,从而减小区块链网络的规模,降低出现问题的概率。业务流程如下:

1、当有一笔款项汇出的时候汇出机构将汇款信息放到本方区块链上(第一个块);

2、监管机构进行合规检查后修改合规检查状态(第二个块);

3、渣打银行在汇出方区块链中检测到汇款并通过合规的信息后进行本贷本账务处理,成功后将交易成功的信息分别上送到收付款双方的区块链上(第三个块);

4、收款方查看区块链上的记录为已成功后修改收款方钱包余额,完成汇款操作。

这种方案依然可以做到3-6秒完成汇款,并且由于数据隔离,进一步加强了对隐私的保护,虽然部分牺牲了并行操作的特性,实际也是一种不错的方案。


3.3猜测中的可行方案


再次的方案可以是监管机构不在链上,而是汇出汇入机构分别与当地监管部门直连,再由AlipayHK、Gcash、渣打银行组成区块链网络。这种方案的业务流程基本与第一种类似,但是完全牺牲了与监管的并行处理能力。


3.4猜测中的最差方案


当然网络还可以进一步退化,但是再退化下去可就不怎么像区块链了。猜测中最差的代替方案是渣打银行与AlipayHK在一条区块链上,而蚂蚁金服通过传统方式与香港金管局对接;Gcash与渣打银行在另一条区块链上,Gcash通过传统方式与新加坡金管局对接完成交易。


4.总结

分析过程中我们也可以看的出,实际上跨境支付并没有像想象中一样可以做到完美的并行处理,比如在支付指令发出后必须先经由监管准许,才能够进行接下来的贷记业务,实际上信息共享的同时业务依然只能是串行处理。当然在实际操作中还有其他的限制条件也会影响业务效率,据了解银联速汇(MoneyExpress)不能够做到秒级响应的原因一是时差,二是监管系统的开放窗口所限。


无论如何蚂蚁金服在区块链技术应用上跨出了一步,这一步值得整个链圈人为之高兴。

“金融第一考”扩围:明年起CFA考试加入数字货币和区块链

报道称,英国特许金融分析师协会(CFA)将从明年起,首次向I、II级考试中加入数字货币和区块链科目。III级考试暂不涉及。


根据协会最新通知,上述新增的考试内容将涉及金融科技(FinTech)主题,包括人工智能、机器学习、大数据和自动化交易。


诸如虚拟货币如何与经济学产生交叉之类的额外内容可能在将来进入考试范围。


上述有关区块链和数字货币等新的主题也将出现在CFA关于职业道德的阅读材料当中。很多虚拟货币运作在法律的灰色地带,而很多数字货币交易所时不时传出欺诈、市场操纵、洗钱和盗窃等负面消息。


根据报道,CFA协会负责通识教育与课程的董事总经理Stephen Horan在谈及上述新增考试内容时称:


这不是一时跟风。我们看到,这个领域的发展要比其他领域快得多,而且我们也看到它越来越持续。


早在去年8月,CFA协会亚太区董事总经理连伯乐(Nick Pollard)就在第六届CFA中国投资峰会上确认,CFA一级、二级、三级考试中都将加入Fintech科目。


当时连伯乐称:“中国的互联网金融已经成为主流趋势,未来社会 FinTech只有向着更好的方向发展,这是一种趋势。当越来越多的社会问题如股票选择、量化投资、养老保险等问题越来越突出,需要更多更负责的金融解决方案,而金融科技会成为未来金融解决方案的首选。”


彼时,CFA部门主席Lisa Plaxco还介绍,原本的考试科目不会有变动,Fintech会分成4个组别。


第1组别包含:金融分析,大数据分析,人工智能,机器学习与演算法证券交易。


第2组别包含:科技对于投资组合与资产管理的影响,尤其是机器人建议系统的引用。


第3组别包含:同侪借贷、影子银行与群众募资的崛起,专注于资金如何流入经济系统里。


第4组别包含:市场基础建设、行动付款、区块链技术、高频交易、比特币等付款系统以及监管机构如何使用科技把关。


2019年的CFA考试材料将在8月份发布。


截至今年6月,已有来自91个国家和地区的227031考生登记参加CFA考试,人数之多创出了历史最高纪录。


其中,多数考生来自亚洲,这也是全世界虚拟货币交易最火爆的地区。根据CypCurrasecom的数据,约有45%的比特币交易涉及日元,而韩国的虚拟货币交易所规模则是世界上最大的。

金准人工智能 区块链技术安全概述

前言

区块链技术目前的发展方兴未艾,大多的技术和应用处于试验阶段,目前发生的安全事件多集中出现于加密资产相关领域,给用户造成了较大的经济损失,其安全问题日益受到行业关注。

同时区块链智能合约一旦在分布式、去中心化网络中部署,就难以变更,这种难以变更性一方面防止了数据操纵,建立起基于加密算法的信任机制。但另一方面,当区块链在面对安全攻击时,也就缺乏了有效的纠正机制,难以逆转。

金准人工智能专家在本文中主要讨论了区块链的安全性问题,以及相应的解决方案和建议。 本文中,区块链应用从架构上分为三层:基础网络、平台层和应用层。三个层面相互影响,每一个环节出现的安全问题,都将给下个环节带来更多的安全问题。

因此,金准人工智能专家认为,在进行区块链项目开发的过程中,从设计到实现,从验证到响应,不仅仅需要考虑到单个环节的安全性问题,也需要将其放入到整体的层面中去判断可能出现的风险点。

一、 基础网络安全风险

基础网络由数据层及网络层组成,是区块链的基础部分,该部分封装了区块链的底层数据,对区块链的数据采用非对称性加密,利用 P2P 网络并设置了传播、验证机制等,目前主要面临以下几类安全问题。

1.1 数据层:信息攻击与加密算法攻击

1)数据区块信息攻击风险:一方面写入区块链后的信息很难删除,不法分子将某些有害信息、病毒特征码、淫秽信息等写入区块中,影响区块链生态环境。另一方面,大量的垃圾交易数据攻击会堵塞区块链,使得有效交易和信息迟迟无法被处理。

2)加密算法安全风险:早年普遍使用的 SHA-1 于 2005 年 2 月被王小云、殷益群及于红波等人证明安全性不足,只需少于 2 的 69 次方的计算复杂度就能找到一组碰撞。此外 SHA-2 算法跟 SHA-1 基本相似,虽目前未出现有效攻击,但安全性已被严重质疑。其余的 SHA-224、SHA-256、SHA-384、SHA-512 等加密算法目前没有公开证据表明存在漏洞,但在量子计算高速发展的情况下,并不是无懈可击。目前针对加密算法进行攻击的方式主要有:穷举攻击、碰撞攻击、长度扩展攻击、后门攻击、量子攻击等。

1.2 网络层:节点传播与验证机制风险

1)P2P 网络风险:区块链信息传播采用 P2P 的模式,节点之间的信息传播,会将包含自身 IP 地址的信息发送给相邻节点。由于节点安全性参差不齐,较差的节点容易受到攻击,目前可进行攻击的方式有:日食攻击、窃听攻击、BGP 劫持攻击、节点客户端漏洞、拒绝服务(DDoS)攻击等。例如:2018 年 3 月以太坊网络爆出的“日食攻击”。

2)广播机制风险:节点与节点之间相互链接,某节点将信息广播给其他节点,这些节点确认信息后再向更多的节点进行广播。在广播机制中常见的攻击方式有双花攻击及交易延展性攻击。双花攻击即同一笔加密资产被多次花费,当商家接受 0 确认交易付款时或者通过 51%算力攻击时这种情况较容易发生。交易延展性攻击也被称为可锻性,即同一个东西,本质没有变化,形状发生了改变,攻击者利用交易签名算法特征修改原交易 input 签名,生成一样的 input 和output 的新交易,导致原有交易一定概率不被确认形成双花。

3)验证机制风险:验证机制更新过程易出现验证绕过,一旦出现问题将导致数据混乱,而且会涉及到分叉问题,需要确保机制的严谨性。

1.3 解决方案与建议

金准人工智能专家认为,基础网络作为区块链的底层,其安全性尤为重要。

与时俱进,关注技术安全方面的最新进展。在量子计算快速发展的情况下,加密系统只有不断研发更新才可防范黑客攻击。

接受专业的代码审计,了解相关安全编码规范。大多数区块链项目为了增加可信度和透明性,对其项目代码进行开源管理,然而这样也使得项目更易受到攻击,接受专业的代码审计及注重安全编码可以有效规避潜在的风险。

二、 平台层安全风险

平台层由共识层、激励层及合约层组成,是衔接基础网络与应用服务层的桥梁。该部分封装了网络节点的共识算法、发行机制、分配机制、脚本及智能合约等。

2.1 共识层:常见共识机制安全性对比

共识机制是对于一个时间窗口内的事务先后顺序达成共识的算法。区块链可支持不同的共识机制,目前存有的共识机制有 POW、POS、DPOS、POOl 验证池机制、BFT 等等。金准人工智能专家将介绍以下三种常见的共识机制攻击方式:

2.2 激励层:发行与分配机制风险

1)发行机制风险:目前暂无安全风险事件曝光,但不排除激励层发行机制中存在安全隐患。

2)分配机制风险:大量小算力节点易集中加入矿池,对于去中心化趋势造成威胁。

2.3 合约层相关安全风险

合约层主要封装区块链的各类脚本、算法及智能合约。最初区块链只能用于交易,合约层的出现使得很多领域可以使用区块链技术。图灵完备的代表是以太坊,其合约层包括了以太坊虚拟机和智能合约两部分。目前合约层可能出现以下攻击对区块链的安全造成威胁:Solidity 漏洞、逃逸漏洞、短地址漏洞、堆栈溢出漏洞、可重入性攻击、交易顺序依赖攻击、时间戳依赖攻击、整数溢出攻击等。例如:2017 年 7 月 19 日在 github 上出现一个针对 VMware 虚拟机的逃逸exploit 源码;2016 年 6 月 17 日,DAO 黑客利用重入性漏洞抽走了价值 5000万美金的以太坊;2018 年 4 月 22 日,黑客利用机制漏洞,转出大量的通证,计算结果产生溢出,完成通证增发。BEC 无中生有出巨额通证,价值几乎归零。

2.4 解决方案与建议

目前现有的共识机制均不是完美无缺的,需探求设计更安全性能更快的共识机制。

智能合约开发前需要对当下已经出现过的漏洞进行防范。

发布智能合约之前需要充分的进行安全测试。

关注相关情报,专业人员及时进行代码优化。

定期进行代码审计,包括但不限于:交易安全审查、访问控制审查等。

异常操作监控,监控已部署合约异常行为,降低损失。

应用层安全风险

应用层作为区块链技术一个实际的落地场景,也是目前区块链产业的所有架构中受到安全性事件影响最多也是最频繁的一个层级。攻击目标主要集中在与加密资产相关的领域例如用户节点、数字资产钱包以及交易平台之中,每一次的安全事件所带来的实际损失可达千万至上亿美元。

3.1 节点常见安全问题

1)傀儡网络是指恶意软件开发者或运营者通过感染受害者的系统和设备在对方不知情的情况下进行加密资产挖矿行为。黑客主要通过在例如网页、游戏辅助程序、系统后台中安装木马程序的方式侵占用户的算力与电力,并用于采矿以谋求非法收益。美国哈佛大学与国家基金会的超级计算机在此前均受到过类似的攻击方式,国内也常常发生例如网页被串改或者应用程序被植入采矿木马的相关事件。在当下采矿需要大量的计算能力的前提下,单一设备的算力已经无法满足采矿所需要的算力。于是攻击者扩大了攻击目标设备的范畴,尤其是易受到攻击的物联网设备成为了主要目标,这也形成更大规模的傀儡网络采矿,目前主要的感染对象包括数字视频摄像机、路由器、监控摄像头、打印服务器、游戏机等。常见的攻击方式有:

跨站脚本攻击

Microsoft 中远程执行代码的漏洞利用

命令缓冲区溢出漏洞利用

SQL 注入

BlackNurse 拒绝服务攻击

2)解决方案或建议

这些恶意软件可能会威胁系统的可用性、完整性和安全性,并使最终用户和企业面临信息窃取,劫持和感染其他恶意软件的风险。对于这些恶意软件没有一蹴而就的解决方案,但可以通过以下方式来减轻感染风险:

定期使用最新补丁更新设备有助于防止攻击者利用系统漏洞。

更改设备默认凭据并启用设备防火墙,尤其在使用家用路由器时。

禁用路由器中不必要的组件,也可重新配置路由器例如更改子网地址、使用随机 IP 地址、强制执行 SSL 等。

如果物联网家庭设备链接到移动设备,则仅通过官方/可信应用商店使用合法应用程序。

咨询 IT 管理员和安全专家,制定对策和监控流程,以预防或缓解高级威胁,例如采用应用程序白名单或类似安全机制。

3.2 加密资产钱包安全性对比

1)区块链的钱包主要用于存储区块链资产的地址和私钥文件,目前根据使用场景的不同分为了不同类型的数字资产钱包,主要包括:

中心化钱包:使用用户名/密码进行登陆,可在多个链上交易多个通证。

多种类钱包:可通过相同的私钥保存不同链上的通证。

网络钱包:通过网络托管的链上钱包,有的需要将私钥存储在密码之后,有的则要求在对账户执行任何操作之前存储私钥并上传。

本地钱包:本地安装的软件,用于对特定区块链执行操作,私钥仍然需要存储在钱包可以访问的地方。

硬件钱包:冷钱包,存储在物理脱机设备中例如硬盘、USB,只在使用时

连接网络。

2) 目前影响安全的因素主要包括:

网络钓鱼:简单来讲为通过欺骗的方式获取访问账户所需信息。例如:通过邮件发送的需要输入私钥或账户密码的虚假链接。

恶意三方程序:来自非官方地址下载的有后台程序漏洞的钱包。

计算机黑客:跟踪计算机上执行的操作,输入密钥或密码将会被盗。

丢失密码/密钥:丢失存储的密钥、密码或助记词。

(3)不同的数字资产钱包安全性问题

有别于其他的应用程序,钱包因为各自用途、属性的不同,目前并无统一的解决方案,用户可以通过各自的适用性来判断相应适合的加密资产钱包,从用户的角度出发目前主要有以下几种拓展功能:

私钥控制:意味着可以随时使用其他软件获取私钥并访问数字资产,甚至可以直接在链上进行交互。

账户恢复:忘记密码或者丢失私钥时,可使用服务来恢复访问权限。

获取 AirDrop/Forks:当硬分叉发生或者通证被空投到另一个通证的持有者时,只能使用私钥获取这些新通证。

存储不同链上的通证:使用同一个账户存储不同链上的通证。

3.3 加密资产交易平台常见安全问题

1)加密资产是数字经济中重要的组成部分,但针对加密资产交易平台展开的频繁网络攻击不断冲击着用户对于数字资产的信任。就在最近的几个月里,人们目睹了数起针对交易平台的攻击。例如日本的加密资产交易平台Coincheck 于 2018 年 1 月被入侵,损失超过 5 亿美元。韩国交易平台Coinrail 也证实它在 2018 年 6 月被黑客攻击,入侵损失达 3,690 万美元。

目前看来,加密资产交易平台主要有六类常见隐患和漏洞,即拒绝服务攻击、网络钓鱼事件,热钱包防护问题,内部攻击,软件漏洞,和交易可锻性。

拒绝服务攻击:攻击者通过拒绝服务攻击使得交易平台无法正常访问,也是目前最主要的针对交易平台的攻击方式。用户因为无法准确分辨攻击程度,往往会造成恐慌性的资产转移,从而给交易平台带来损失。

网络钓鱼事件:目前即使是最好的技术措施也无法保护加密资产交易平台免受网络钓鱼攻击。 欺诈者往往通过虚假域名或者仿冒页面的方式迷惑受害者,受害者如无法分辨交易平台的真实性便会遭受资产上的损失。

热钱包防护问题:许多交易平台使用单个私钥来保护热钱包,如果犯罪分子可以访问单个私钥,他们将能够破解与私钥相关的热钱包。 私钥攻击的典型例子是 2017 年首尔交易所 Yapizon 的攻击,攻击者一年内前后两次对交易平台发起了针对平台上热钱包的盗取,总共造成了交易平台近 50%的资产损失,并最终导致了交易平台的破产。

内部攻击:由于没有完善的风险隔离措施或对于员工权限监督不力,导致了部分拥有平台操作权限的员工利用内部信任监守自盗。例如 2016 年交易平台 ShapeShift 发生的员工盗取 BTC 事件,其通过私下盗取和将敏感信息转卖给其余人员的方式前后给交易平台造成了 23 万美元的损失。

软件漏洞:包括单点登陆漏洞、oAuth 协议漏洞等。各国都有法律要求银行或其他金融机构实施信息安全措施,以保护客户的存款。但是,由于区块链领域还处于起步阶段,目前缺少适用于加密资产的此类规范。 因此,许多交易平台在缺乏安全规范约束的条件下,存在大量漏洞并非偶然。

交易可锻性:区块链技术的支持者常常认为区块链交易是高度安全的,因为它们被记录在据称不可更改的记录上。但是每个交易都需有相应签名,而在交易最终确认之前,记录是可以被暂时伪造的。“Mt.Gox 事件“是加密资产历史上最大的攻击之一,共造成了 4.73 亿美元的损失,而这次攻击事件便是由黑客在初始交易发布之前向公共帐本提交代码更改进行的。

2)解决方案与建议

在技术开发方面持续的投入,抵御日益增长的黑客攻击,切实的增强系统的安全性。

确保员工保护安装在专业工作计算机或个人计算机上软件应用程序相关的登录凭据,并完善安全培训,提高安全意识。

定期的安全测试,建立完善的应急相应机制。

网络安全隔离,谨慎进行服务端口开放。

选择具备完善防护的能力的服务供应商。

行业需要统一的治理机制,引入第三方监管与合作,在出现问题时及时与外部协同工作。

以上金准人工智能专家概述了区块链三个架构层中可能存在的安全问题。总体来说,一是在架构设计上,由于区块链应用具有高度自治特性,智能合约一旦运行就无法逆转,因此初期的安全设计规范尤显重要。二是在具体开发阶段,目前部分区块链开发者的代码质量、开发工具和应用平台的成熟度都需要进行不断完善与提升。三是区块链问题外延方面,鉴于安全问题始终是非静态的,关注区块链底层技术的安全问题同时,区块链安全问题同样外延到了传统的个人信息安全保护、基础设施安全、网络安全等领域中,无论是在区块链概念上,还是在实际应用层面上,都需要长期有效的校正机制。

自动驾驶创企Momenta获新一轮融资 估值10亿美金

今天上午,自动驾驶创业公司Momenta今日对外公布完成新一轮融资,本轮战略投资者包括腾讯等多家机构,国资背景投资者则包括招商局创投、上海国资经营公司旗下国鑫资本、苏州元禾资本以及建银国际,既有股东蔚来资本、高达资本等持续加持。


Momenta称,公司目前累计完成融资超过2亿美金,估值超过10亿美金,进入独角兽行列,成为国内自动驾驶行业估值最高的创业公司。


针对本轮融资,Momenta CEO曹旭东表示:“本轮融资是一轮对公司非常重要的战略融资轮次,Momenta会在前装、后装、出行、物流、大数据等领域与合作伙伴高效协同,进一步推动自动驾驶技术安全落地。”


Momenta创办于2016年9月,公司致力于“打造自动驾驶的大脑”。Momenta CEO曹旭东总结,在过去两年时间里,公司主要完成了三个阶段的建设:第一阶段是底层基础平台的建设;第二阶段是基于底层平台,建立起环境感知、高精度地图与定位、驾驶决策规划等一系列的软件算法。第三阶段是形成自主泊车、高速公路与城市环路以及城市道路等不同场景和不同级别的自动驾驶解决方案。


据悉,Momenta曾在去年公布由蔚来资本等多家机构投资的B1轮融资,以及由凯辉创新基金领投的B2轮融资。更早之前, Momenta完成顺为资本领投的A轮融资;以及由蓝湖资本领投,创新工场和真格基金跟投的天使轮融资。


今年4月份,Momenta与与苏州签订战略合作协议,公司将在苏州建立规模化的测试车队,推动L4级别自动驾驶落地,助力苏州的智慧城市建设。目前基于上述的技术和解决方案,Momenta正与多家Tier1和OEM进行合作,并已同步开展海外业务。


Momenta投资人、创新工场董事长李开复表示,“祝贺刚满两周岁的Momenta成为中国无人驾驶领域首个独角兽。至此,创新工场已经在无人驾驶、AI芯片、计算机视觉、金融等领域投出5只AI独角兽,成为全球最顶尖的‘AI独角兽捕手’之一。”

苹果更新隐私网站,你可以看它搜集了那些数据

10月18日消息,据国外媒体报道,苹果公司当地时间周三在美国和几个其它国家,向用户推出一个在线工具,用于下载、更改或删除这家iPhone制造商从他们收集到的所有数据。


苹果利用该工具更新了它的隐私网站。为了遵守欧盟的“通用数据保护规则”(GDPR),这样的工具今年早些时候为欧盟用户发布。现在,苹果将允许美国、加拿大、澳大利亚和新西兰的用户查看并下载苹果从他们收集到的所有信息。此外,苹果还为用户提供了一种更简单的方法来修改数据、暂停他们的苹果帐户,甚至进行永久删除。


苹果以前在不同的地方提供这些功能,但为了遵守欧洲的数据保密法而把在不同地方的这些功能整合到了一起。该公司计划在年底前向世界各地的所有用户推出同样的工具。


iPhone或Apple Watch等苹果设备,收集用户的详细数据,比如他们的电子邮件、通话或者短信,甚至诸如心率和指纹等生物识别数据。但是,苹果的做法是将大部分数据保存在设备上,并使用用户的密码加密。这意味着苹果不拥有这些数据,并且即使执法人员要求查看,也无法解密。


苹果试图将其隐私立场,转化为与科技行业竞争对手竞争时的商业优势。今年早些时候Facebook因剑桥分析公司(Cambridge Analytica)滥用其数据而受到审查时,苹果首席执行官蒂姆·库克(Tim Cook)当时表示,苹果“不会出现这种情况”。Facebook首席执行官马克·扎克伯格(Mark Zuckerberg)针对库克的这一表态回应称,库克的言论“极其轻率”。


尽管专注于在设备上保存数据,苹果也确实收集并存储了它的一些用户的数据。随着在当地时间周三对其隐私网站进行的更新,苹果正寻求更好地解释这些情况。例如,苹果收集用户阅读习惯的数据,目的是为了改进苹果新闻(Apple News)应用程序中的提示。不过苹果表示,数据被链接到匿名标识符,而不是个人资料,而且没有连接到该公司的其他服务,并且可以随时重置。


就用户如何调整自己的隐私设置,苹果还扩展了指南。例如,在App Store和Apple News应用中,苹果的默认设置允许广告跟踪。现在,苹果向用户提供了如何限制跟踪的细节方法。

车和家正式发布智能电动车品牌“理想智造”

今日,车和家发布智能电动车品牌“理想智造”,并宣布将于10月18日正式发布首款没有里程焦虑的智能电动车——理想智造ONE。



理想智造ONE

理想智造品牌源于对用户需求的用心思考和对技术研发的扎实投入,作为一个纯正的智能电动车品牌,将史无前例地为用户打造没有里程焦虑的智能电动车。理想智造的英文品牌名称为“LEADING IDEAL”,品牌LOGO“LI”灵感来自英文名称LEADING IDEAL的首字母。



理想智造品牌LOGO

作为理想智造品牌的首款智能电动车,理想智造ONE将采用创新的增程电动解决方案,从产品技术本身入手解决电动车的里程焦虑问题。整车采用纯电四驱的电动平台,通过大容量电池组和高功率增程发电系统的高效配合,提供超过700公里的NEDC综合续航里程,市区工况续航里程更是超过1000公里。通过多种能源补充方案,实现城市零排放,长途无焦虑的纯电驾驶体验。



理想智造ONE将采用创新的增程电动解决方案


作为一款豪华中大型SUV,理想智造ONE车身长度超过5米,提供6座/7座两种布局的豪华空间,以及领先的安全和舒适配置。智能方面,理想智造ONE将采用多屏幕与全车语音结合的智能交互方式,通过强大的硬件和系统能力打造真正的智能电动车。产品还配备Level 2.5的高级辅助驾驶系统,针对中国路况和驾驶习惯研发的控制算法提供更安全、更便捷的驾驶体验



理想智造ONE在吐鲁番进行高温试验


理想智造ONE的研发工作于2015年正式启动,至今历时近40个月,超过1000名工程师参与研发。目前,理想智造ONE已经完成两轮工程试制,全方位的实车试验与标定工作已经于2018年初全面启动。在2019年四季度正式交付前,理想智造ONE将经历总共50个月的研发与生产准备,完成291项优化和超过300万公里的道路试验,以确保品质和可靠性。