只要是系統,就存在著被攻擊的危機。
而區塊鏈是一個龐大的系統,一個融合各專業知識所集成的分散式帳本。
2019 年 4 月,一篇論文《 Exploring the Attack Surface of Blockchain:A Systematic Overview》整理了從古至今在區塊鏈上發生的常見攻擊方式。
除了知名的「雙花攻擊」及「女巫攻擊」概念以外,
這篇論文還介紹其他攻擊手段,並且提供解決的方案,
這篇文章會是技術導讀,帶大家認識區塊鏈上資安攻擊手段有哪些,初步了解相關資安議題:
👉 如果你想跟其他幣圈投資人一起討論資訊,歡迎加入社群:漫談加密貨幣二群
雙花攻擊(針對「最長鏈原則」進行攻擊)
51%攻擊
攻擊者擁有超過區塊鏈上 50% 的算力,
因此可以創造一條長度大於原來鏈的新鏈,那麼根據最長鏈原則,過去的舊鏈則會失效。
(但因成本太高,現實中如比特幣、以太坊網絡皆沒被此攻擊過)
競賽攻擊(Race Attack)
通過控制礦工費(gas),來實現雙花攻擊。
攻擊者會發送兩筆交易,一筆給自己(含有較高的礦工費),一筆給商家/對方(含有較少的礦工費),並隱瞞發給自己的這筆交易。
商家看到攻擊者發送的交易,這時可能已被驗證,故提供商品給攻擊者。
然而,由於攻擊者給自己的這筆交易,因為具有較高礦工費,因此有較高機率被優先打包進最長鏈中;而之前商家所看到的,則是在部分節點上所進行的驗證。
在此種狀況下,商家就會產生損失。
自私挖礦(也有謀求挖礦獎勵的動機)
攻擊者隱瞞自己所挖到的區塊,先讓別人在公開最長鏈上進行挖礦。
等到自己手上隱瞞的區塊足以成為最長鏈後,再釋出來取代原本的最長鏈。
如此一來,攻擊者就會獲得對應的挖礦獎勵,以及有機會實現雙花攻擊。
在論文中的 “Block Withholding Attacks” 章節,其中又細分成三種攻擊手法:
- The finney Attack
- Classical withholding attack
- Fork after withholding attack
(以上為針對「最長鏈原則」最常見的攻擊方式,更多細節可參考這篇文章)

女巫攻擊 (針對「網絡 & 節點」進行攻擊)
由於區塊鏈是一個點對點(peer-to-peer)的網路架構,因此除了針對區塊鏈本身的規則(最長鏈)進行攻擊外,
另一種攻擊方式便是針對這些基礎節點(node)/網絡進行攻擊,在一般的資訊系統上也相當常見。
這類攻擊的概念很簡單:針對網絡上的節點、連線、或機制進行攻擊,達到阻隔用戶對網路資源的正確存取,甚至進一步誤導用戶到惡意節點上,來影響整個區塊鏈上的共識。
常見的攻擊方式有以下三種:
DNS 攻擊
當一個新節點加入到區塊鏈的網絡時,需要先訪問 DNS,才能獲得其他「誠實節點」的相關資訊,並決定要加入到哪個網絡中。
此時如果駭客針對 DNS 進行攻擊,在裡面植入「惡意節點」的資訊,那將會誤導用戶連結到由駭客所架構的「惡意網絡/惡意節點群」中,進而被利用向區塊鏈提供錯誤的區塊。
BGP 挾持攻擊(詳細介紹:BGP 挾持攻擊介紹)
藉由挾持路由器,來達到控制全節點/輕節點的目的。
論文表示:這類攻擊會使區塊鏈上的區塊傳播(block propagation)延遲最多20分鐘。
在比特幣中,是每十分鐘就會產生一個區塊,因此這類延遲將會使「雙花攻擊」、「區塊鏈分岔」、「共識延遲」的機率增加。
日蝕(Eclipse)攻擊
在區塊鏈網絡中,相鄰的節點之間會形成節點群(node clusters),互相交換最新的資訊。
所謂的日蝕攻擊,就是指在節點群中,先混入所謂的「惡意節點」,並針對網路連線進行攻擊,切斷誠實節點之間的連結。
如此一來,「誠實節點」之間的資訊無法互通,同時「惡意節點」又向「誠實節點」輸送假造的惡意資訊,使「誠實節點」誤以為是目前最正確的資訊,進而誤導整個區塊鏈上的共識。

分散式阻斷服務攻擊(DDoS)
是另一種常見的攻擊手法之一。
概念上來說,是針對目標電腦或系統進行大量頻繁的訪問,導致其資源耗盡,迫使服務暫時中斷,影響正常用戶的存取訪問,或是正常用戶的交易驗證。
由於區塊鏈是「掌握算力者恆強」的機制,因此駭客透過 DDoS 去癱瘓其他礦工的算力,使自己握有的算力比例提升,這是此種攻擊方式最主要的目的!(延伸閱讀:區塊鏈 vs. DDoS)
(之所以不透過攻擊別人來提升自己算力的比例,那是因為成本太高了)
在論文中,有兩種這類型的攻擊方式,主要以「影響其他正常交易資料的驗證」為目的:
壓力測試(Stress Test)
在比特幣區塊鏈中,平均一個區塊會包含 2000 筆交易資料。而為了讓區塊鏈上的所有交易都能被驗證,因此每分鐘最多不能產生超過 200 筆交易資料。
這類攻擊方式的核心概念為 → 在短時間產生大量、價值小的交易資料,造成系統阻塞,將大部分的資源來處理這些價值小的資料,而無暇去理會鏈上其他正常用戶的交易資料。
內存池攻擊(Mempool flooding)
所有的交易資料,在未經確認前都會先集中到區塊鏈上的一個內存池(Mempool),然後由其他礦工來進行驗證。
而這類手法,便是針對內存池進行 DDoS 攻擊。在一些已知案例中,Saad 等人藉由透過提高 gas 費用,往內存池內塞入大量的未確認交易,
而礦工們為了獲得更多的報酬,就會率先去驗證這些交易,而忽略其他人的正常交易。
結語
在論文中,還有提到其他如「共識延遲攻擊」、「時間戳記竄改」、「加密挾持」、「瀏覽器挾持(進行挖礦)」、「智能合約攻擊」……等攻擊方式。
但因為沒時間深入了解,等之後有空再來介紹!
總之這篇論文深具系統性,除了剖析成區塊鏈的組成以外,還整理出從古至今發生過的資安攻擊手段,以及做為系統開發方該如何反制。
對於有心想開發區塊鏈系統、或對區塊練資安問題感興趣的人來說,這篇論文值得一讀。
免責聲明: 本篇文章僅為知識分享教學文,所有交易皆存在風險,尤其加密貨幣和相關合約商品屬於波動性高的產品, 請謹慎投資。本文不構成任何開戶建議,請謹慎選擇具有安全監管保障的交易所與券商。
對加密貨幣有興趣的讀者可以加入》Line 群組-漫談加密貨幣群(區塊鏈、加密貨幣交流)
合作工商
加密貨幣其實就像台股一樣,你可以享有交易手續費折扣,不過取得方式卻不一樣。
在台股,你可以親自和業務員談手續費減免;但在幣圈,你必須透過推薦連結開戶才能享有手續費減免。
手續費減免的幅度也有分等級,這裡提供的都是折扣幅度最高的推薦連結,也就是說你在交易時能夠享受最大幅度的手續費折扣,而且保證是全球最大幅度的。
如果你今天在交易上多省 1% 的手續費,就代表你在投資績效上可以多賺 1%,更不用說下面的推薦連結都不只 1%,動輒 5% – 20% 的任君選擇。所以在幣圈投資時,用越好的手續費折扣連結來註冊,你在交易時能取得的投資績效也就越好。
交易所 | 這間交易所適合做什麼操作? | 終身交易手續費折扣 | 註冊推薦碼 |
幣安 Binance | 現貨、合約交易,以及質押領息 | 最高 40%(20%折扣 +20%BNB費率抵免) | YIX7CMSZ |
派網 Pionex | 開網格天地單、抄底寶,用期現套利領高額利息 | 20% | EhYBkd6v |
FTX 交易所 | 購買股權通證和 8% 活存利息 | 5% | rayskyinvest |
Bitfinex | 美元放貸,獲取 18~25% 的利息收入 | 6% | MkvZwqTRR |
Gate.io | 買平台幣 GT、小幣交易,提前布局潛力項目 | 首年享 30% 費率折扣 | 5961249 |
BingX | 合約交易與實體福利,享受一百多間在地店家優惠 | 90 天享 20% 費率折扣 | HTDTMS5H |
Kucoin | 閒幣賺息 | 享 0.02% 手續費 | rJ6X7EW |
Bybit | 現貨、合約交易 | 享 0.1% 吃單手續費 | 21215 |
【精選專欄】
【其他區塊鏈知識文章】
- 區塊鏈教學:用白話文看懂比特幣與挖礦是什麼?
- 加密貨幣投資第一步:台灣最完整買賣 USDT 入金方式教學
- 新手加密貨幣教學:區塊鏈原理、避免詐騙、可靠交易所統整
- 區塊鏈教學:以太坊 Dapps 事前準備-如何在 Windows 作業系統上設定好開發環境?
- 區塊鏈的資安議題:常見的駭客攻擊有哪些?論文導讀《Exploring the Attack Surface of Blockchain: A Systematic Overview》
- 區塊鏈教學:利用 Windows 部署、開發 ERC-20 加密貨幣
- 區塊鏈知識:比特幣披薩日!第一筆比特幣交易
- The SandBox 是什麼?虛擬土地價值與應用,附帶土地購買教學詳解
- 區塊鏈介紹:PoS 機制是什麼?如何運作?有何風險?
- 公鏈什麼意思?又有哪些加密貨幣可以投資?
【訂閱、追蹤、更了解雷司紀的小道投資在做些什麼】