360发现区块链漏洞背后：周鸿祎与区块链不得不说的故事

　　360安全卫士于2018年5月29日下午在微博上发布公告称，360Vulcan（伏尔甘）团队发现了区块链平台EOS的一系列高危安全漏洞。经验证，其中部分漏洞可以在EOS节点上远程执行任意代码，即可以通过远程攻击，直接控制和接管EOS上运行的所有节点。一石激起千层浪，这个消息在网上立马引起了轩然大波。

　　与此同时，《中国经营报(博客,微博)》记者注意到之前360公司对区块链兴趣并不大，是什么促使其对区块链大为改观，积极入局呢？

　　致命漏洞事件全回放

　　“我们从今年年初开始，就已经关注和研究区块链安全问题了，这次EOS的漏洞，Vulcan（伏尔甘）团队在5月初就发现了。之后半个月里，团队继续研究了漏洞会被如何利用。在28日晚上，Vulcan（伏尔甘）团队把完整利用漏洞的演示视频，还有漏洞相关代码细节提交给了EOS团队，并在29日凌晨协助EOS团队进行了修复。“360公司Vulcan（伏尔甘）团队负责人、360助理总裁、首席安全工程师郑文彬在接受《中国经营报》记者采访时解释了此次发现漏洞的具体细节。

　　据郑文彬介绍，这次EOS的漏洞属于缓冲区溢出的漏洞。在64位系统里面，想要进行远程攻击的难度实际上比较大，因为之前，EOS为了加快合约执行速度引入了wasm虚拟机，这样可以帮助EOS的TPS（每秒提交交易数量）相比其他区块链平台要高得多，但与此同时，其实是牺牲了一定的安全性，这个wasm虚拟机能让攻击者更容易实现远程执行代码。“这次发现的漏洞修复起来不太复杂，在我们给EOS团队提交之后，已经配合他们完成了修复。”

　　安全问题不容忽视

　　在最近疯魔区块链行业的EOS主网6月1日上线前夕，传出了如此重大的高危漏洞。比起是否会对区块链行业造成冲击，区块链的安全性问题变得更加发人深思。

　　郑文彬告诉记者，区块链技术和其他互联网技术一样，都是基于软件，是通过代码写程序来实现功能的。只要是编程的东西，一定会存在各式各样的漏洞，所以不仅仅是EOS，其他区块链产品和服务，也都可能存在各种安全隐患。今天发现的是EOS漏洞，但实际上他们也发现过很多其他的，比如钱包、矿池甚至智能合约都存在严重的安全漏洞。

　　值得注意的是，昨日360在微博发布的重大漏洞公告中提及攻击者有可能可以利用此次EOS漏洞致使网络中的节点变为僵尸网络中的一员，从而发动网络攻击。郑文彬告诉记者，如果利用此次漏洞去发起攻击，不仅仅是上述提到的51%，甚至于控制EOS所有节点也并非不可能。“不管是利用来作为僵尸网络的一员还是做其他事情，都是可以的。”

　　对于公众关心的EOS主网上线是否会因此延期，郑文彬表示，“我们在主网上线之前发现漏洞，并通报给EOS官方团队，并帮助他们修复漏洞，这肯定是有益于EOS的长期发展的。至于对EOS主网上线的影响以及是否延期，这个我们不好判断。”

　　“区块链方向之前也出现过很多次安全问题带来的负面事件，但我相信这次漏洞事件，能够引起区块链业界和同行们真正重视区块链安全问题。“郑文彬这样说道。

　　360早先对区块链并不感冒

　　2018年1月17日，360董事长周鸿祎出席中国金融博物馆书院读书分享会时，被问到对于区块链的看法时，他曾坦言目前他本人对区块链的布局还没有具体想法，他对区块链对于实际应用的意义是否如很多人所吹捧狂热的那么重要，也持谨慎的态度。

　　但是1月19日下午，360公司就宣布推出全球首家基于区块链的安全共享云平台——共享云计划。

　　3月2日，作为全国政协委员出席两会发布会上的周鸿祎在接受采访时也表示，目前为止尚未看到非用区块链不可的场景，区块链中唯一刚需就是比特币。并且比特币即使具有账本不可篡改的特性，也会面临网络攻击的问题，比如当有人控制了51%的算力进行攻击，还有如今的加密算法将来面对量子计算的问题，万一哈希算法被破解，那么区块链将面临的安全风险不可忽视。

　　但到了近期，360公司对区块链显示出了前所未有的热情。

　　5月25日，360首次发布针对区块链领域的安全解决方案。该方案基于360的安全大数据，结合360安全大脑，涵盖了钱包、交易所、矿池、智能合约四大领域。在钱包领域，Dbank为360首家战略合作方，360安全团队则为Dbank提供核心安全技术。