只要是系統，就存在著被攻擊的危機。
而區塊鏈是一個龐大的系統，一個融合各專業知識所集成的分散式帳本。
2019 年 4 月，一篇論文《 Exploring the Attack Surface of Blockchain:A Systematic Overview》整理了從古至今在區塊鏈上發生的常見攻擊方式。
除了知名的「雙花攻擊」及「女巫攻擊」概念以外，
這篇論文還介紹其他攻擊手段，並且提供解決的方案，
這篇文章會是技術導讀，帶大家認識區塊鏈上資安攻擊手段有哪些，初步了解相關資安議題：
文章目錄
一、雙花攻擊（針對「最長鏈原則」進行攻擊）
51%攻擊
攻擊者擁有超過區塊鏈上 50% 的算力，
因此可以創造一條長度大於原來鏈的新鏈，那麼根據最長鏈原則，過去的舊鏈則會失效。
(但因成本太高，現實中如比特幣、以太坊網絡皆沒被此攻擊過）
競賽攻擊（Race Attack）
通過控制礦工費（gas），來實現雙花攻擊。
攻擊者會發送兩筆交易，一筆給自己（含有較高的礦工費），一筆給商家／對方（含有較少的礦工費），並隱瞞發給自己的這筆交易。
商家看到攻擊者發送的交易，這時可能已被驗證，故提供商品給攻擊者。
然而，由於攻擊者給自己的這筆交易，因為具有較高礦工費，因此有較高機率被優先打包進最長鏈中；而之前商家所看到的，則是在部分節點上所進行的驗證。
在此種狀況下，商家就會產生損失。
自私挖礦（也有謀求挖礦獎勵的動機）
攻擊者隱瞞自己所挖到的區塊，先讓別人在公開最長鏈上進行挖礦。
等到自己手上隱瞞的區塊足以成為最長鏈後，再釋出來取代原本的最長鏈。
如此一來，攻擊者就會獲得對應的挖礦獎勵，以及有機會實現雙花攻擊。
在論文中的 “Block Withholding Attacks” 章節，其中又細分成三種攻擊手法：
- The finney Attack
- Classical withholding attack
- Fork after withholding attack
（以上為針對「最長鏈原則」最常見的攻擊方式，更多細節可參考這篇文章）
二、女巫攻擊 （針對「網絡 & 節點」進行攻擊）
由於區塊鏈是一個點對點（peer-to-peer）的網路架構，因此除了針對區塊鏈本身的規則（最長鏈）進行攻擊外，
另一種攻擊方式便是針對這些基礎節點（node）／網絡進行攻擊，在一般的資訊系統上也相當常見。
這類攻擊的概念很簡單：針對網絡上的節點、連線、或機制進行攻擊，達到阻隔用戶對網路資源的正確存取，甚至進一步誤導用戶到惡意節點上，來影響整個區塊鏈上的共識。
常見的攻擊方式有以下三種：
DNS 攻擊
當一個新節點加入到區塊鏈的網絡時，需要先訪問 DNS，才能獲得其他「誠實節點」的相關資訊，並決定要加入到哪個網絡中。
此時如果駭客針對 DNS 進行攻擊，在裡面植入「惡意節點」的資訊，那將會誤導用戶連結到由駭客所架構的「惡意網絡／惡意節點群」中，進而被利用向區塊鏈提供錯誤的區塊。
BGP 挾持攻擊（詳細介紹：BGP 挾持攻擊介紹）
藉由挾持路由器，來達到控制全節點／輕節點的目的。
論文表示：這類攻擊會使區塊鏈上的區塊傳播（block propagation）延遲最多20分鐘。
在比特幣中，是每十分鐘就會產生一個區塊，因此這類延遲將會使「雙花攻擊」、「區塊鏈分岔」、「共識延遲」的機率增加。
日蝕（Eclipse）攻擊
在區塊鏈網絡中，相鄰的節點之間會形成節點群（node clusters），互相交換最新的資訊。
所謂的日蝕攻擊，就是指在節點群中，先混入所謂的「惡意節點」，並針對網路連線進行攻擊，切斷誠實節點之間的連結。
如此一來，「誠實節點」之間的資訊無法互通，同時「惡意節點」又向「誠實節點」輸送假造的惡意資訊，使「誠實節點」誤以為是目前最正確的資訊，進而誤導整個區塊鏈上的共識。
三、分散式阻斷服務攻擊（DDoS）
是另一種常見的攻擊手法之一。
概念上來說，是針對目標電腦或系統進行大量頻繁的訪問，導致其資源耗盡，迫使服務暫時中斷，影響正常用戶的存取訪問，或是正常用戶的交易驗證。
由於區塊鏈是「掌握算力者恆強」的機制，因此駭客透過DDoS 去癱瘓其他礦工的算力，使自己握有的算力比例提升，這是此種攻擊方式最主要的目的！（延伸閱讀：區塊鏈 vs. DDoS）
（之所以不透過攻擊別人來提升自己算力的比例，那是因為成本太高了）
在論文中，有兩種這類型的攻擊方式，主要以「影響其他正常交易資料的驗證」為目的：
壓力測試（Stress Test）
在比特幣區塊鏈中，平均一個區塊會包含 2000 筆交易資料。而為了讓區塊鏈上的所有交易都能被驗證，因此每分鐘最多不能產生超過 200 筆交易資料。
這類攻擊方式的核心概念為－－在短時間產生大量、價值小的交易資料，造成系統阻塞，將大部分的資源來處理這些價值小的資料，而無暇去理會鏈上其他正常用戶的交易資料。
內存池攻擊（Mempool flooding）
所有的交易資料，在未經確認前都會先集中到區塊鏈上的一個內存池（Mempool），然後由其他礦工來進行驗證。
而這類手法，便是針對內存池進行 DDoS 攻擊。在一些已知案例中，Saad 等人藉由透過提高 gas 費用，往內存池內塞入大量的未確認交易，
而礦工們為了獲得更多的報酬，就會率先去驗證這些交易，而忽略其他人的正常交易。
結語
在論文中，還有提到其他如「共識延遲攻擊」、「時間戳記竄改」、「加密挾持」、「瀏覽器挾持(進行挖礦)」、「智能合約攻擊」……等攻擊方式。
但因為沒時間深入了解，等之後有空再來介紹！
總之這篇論文深具系統性，除了剖析成區塊鏈的組成以外，還整理出從古至今發生過的資安攻擊手段，以及做為系統開發方該如何反制。
對於有心想開發區塊鏈系統、或對區塊練資安問題感興趣的人來說，這篇論文值得一讀。
【區塊鏈 & 加密貨幣文章】
- 區塊鏈教學：如何部署一份 ERC-20 智能合約到以太坊的測試鏈上？
- 區塊鏈教學：以太坊 Dapps 事前準備－如何在 Windows 作業系統上設定好開發環境？
- 幣安 Binance 完整註冊開戶教學：1分鐘快速開戶，二次驗證帳戶安全
- 幣安 Binance 身份驗證教學：認證實名制，提高提現與入金額度
- 幣安 Binance 品牌故事：趙長鵬當年如何創立幣安？
【加入FB社團】
- 台灣加密貨幣討論區 》以加密貨幣投資討論為主，歡迎對此有興趣的人來入社參加
- 聊點薪❤️（理財交流區） 》 分享理財小撇步，包含儲蓄、投資、保險或其他理財問題！
- 台灣 eToro 亞洲華人投資討論區 》 超過 3000 人社團，由我經營，含 eToro 討論、美股分析及活動
- 史帝夫和戴夫和他們60級的貓(eToro交流群) 》 台灣第二名明星投資者 Ada Tsao 經營，我擔任版主
- 大麻股票 — 投資產業消息交流俱樂部 》討論大麻股票/產業投資/合法化，歡迎志同道合加入
【精選文章】
- 【最新】2020 紓困振興政策懶人包：振興三倍券怎麼領？出去玩有哪些旅遊補助？
- 全台最貴豪宅「陶朱隱園」介紹：18 億天價住不起沒關係，不能讓貧窮限制我們的想像
- 差價合約投資攻略：CFD 和期貨的差異、交易風險、手續費！
- REITs 不動產投資信託完整教學：投資心態、優點與風險？VNQ、VNQI、IYR介紹與績效表現
- Lo-Fi House 抄襲的 Pinterest 是何許公司？善用圖像社群網站培養你的靈感跟想像力！
- 美股分析：直覺手術 ISRG Intuitive Surgical Inc
- 石油投資：五大石油公司超過 10% 殖利率配息，全球存股達人的長期首選！
- 黃金投資：理解影響金價漲跌的因素 | 四種黃金商品入門介紹
【訂閱、追蹤、按讚】
