「干得好,小伙子!」杨霞拍着研发组同学的肩膀,高兴地说道。今年11月6日,她创办的Beosin完成了智能合约形式化验证平台VaaS2.0的研发,把行业内智能合约审计的准确度提高到95%以上。
统计数据显示,2011年~2018年间,智能合约安全事件损失金额达12.4亿美元,占该期间区块链安全事件总损失金额的1/3。2016年下半年,杨霞便从智能合约安全入手,采用形式化验证方法解决区块链安全问题。此前,形式化验证多用于安全系数要求较高的航空、航天等关键领域。
历时近2年,杨霞带领团队发布VaaS平台。用户只需把公链的合约代码导入VaaS自动验证平台,点击「开始审计」按钮,平台便会审查智能合约的漏洞,审查结果可精确到代码所在的具体某行,提醒用户存在安全隐患。
目前,Beosin已与Huobi、OKEx、KuCoin、LBank、ONT、Qtum、比原链等国内40多家区块链行业公司建立长期战略合作。截至11月末,公司已完成超500份智能合约的审计工作,实现收支平衡。
成都链安:fortress被盗金额已被转换成1048eth并转入了Tornado Cash:5月9日消息,据成都链安安全舆情监控数据显示,fortress 遭受预言机价格操控攻击,被盗金额已被转换成1048eth并转入了Tornado Cash。经成都链安技术团队分析,本次攻击原因是由于fortress项目的预言机FortressPriceOracle的数据源Chain合约的价格提交函数submit中,将价格提交者的权限验证代码注释了,导致任何地址都可以提交价格数据。攻击者利用这个漏洞,提交一个超大的FST价格,导致抵押品价值计算被操控,进而借贷出了项目中所有的代币。
攻击交易:0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf
攻击者地址:0xa6af2872176320015f8ddb2ba013b38cb35d22ad
攻击者合约:0xcd337b920678cf35143322ab31ab8977c3463a45[2022/5/9 3:00:21]
今年11月初,该公司获得了界石资本和盘古创富的数百万美元天使轮投资,资金主要用于全生态区块链安全产品的开发和全球化市场布局。
北京链安:“OKEx暂停提币”可能引发国内向国外交易所大规模提币的猜测并不成立:据北京链安分析,火币和币安面对OKEx暂停提币,用户在提币上的表现并未有非常大的差异,特别伴随近一周比特币行情的到来,两家交易所的整体趋势呈现趋同的态势,可见此前对事件可能引发国内交易所向国外交易所大规模提币的猜测并不成立。综合来看,OKEx暂停提币事件发生的背景是DeFi退潮和主流币上涨带来的比特币等主流币向交易所回流的大趋势。在这个时候,OKEx这样的大所发生“黑天鹅事件”,对火币、币安在用户充币和提币上确实产生了一定的短期影响,特别提币在事发当日表现明显。但是从数据走向可以看到,这种影响是短期的,一时的黑天鹅事件对市场可能产生冲击,但是最终还是大趋势决定市场方向,两大交易所在接下来一周双双出现了链上交易额的提升。[2020/10/27]
注:杨霞承诺文中数据无误,为内容真实性负责。铅笔道作客观真实记录,已备份速记录音。
18年的「安全啄木鸟」
安全,一直是杨霞职业生涯的关键词。前18年是面向安全关键嵌入式系统,后3年则是区块链安全。
仙人掌CTS智能合约已通过Beosin(成都链安)安全审计:据官方消息,Beosin(成都链安)近日已完成仙人掌CTS智能合约项目的安全审计服务。
?仙人掌CTS是基于波场底层打造的一个去中心化开放金融底层基础设施。结合跨链,同时包含去中心化稳定数字货币,去中心化预言机,去中心化保险,流动性挖矿,智能挖矿等等功能的创新和聚合,进而打造全面的去中心化金融平台。仙人掌CTS代币无ICO、零预挖且零私募,社区高度自治。仙人掌CTS将会在9月28日晚20点上线Justswap,并开启流动性挖矿。
合约地址:TST5pvck2DSYXJk3hkuGH3t1AisCAT4t1s
审计报告编号:202009262149[2020/9/28]
读书期间,杨霞是名副其实的学霸,一路被保送读到博士。毕业后,她一边在大学任教,一边在系统安全领域从事研究和创业。这期间,杨霞从事形式化验证、内核安全、移动设备安全、TEE等安全技术研究长达18年,担任CC国际安全标准成员、CCF区块链专委会委员、CCF形式化验证专委会委员,发表学术论文30多篇,申请专利20多项。同时,她还围绕安全领域进行了3次创业。
以太坊联合创始人:信标链安全性对ETH 2.0至关重要:7月17日,以太坊联合创始人、ConsenSys创始人Joseph Lubin发推称,信标链的安全性对ETH 2.0的成功和ETH 2.0第一阶段的顺利推出至关重要。Joseph Lubin还表示,ConsenSys正想办法为信标链生态系统作为努力和贡献。而据Joseph Lubin的说法,ConsenSys正和ethstatus等团队一起对信标链的安全性作出评估。[2020/7/17]
她所做的形式化验证,就是用数学和逻辑学的方法对代码的安全属性进行证明或证伪,通过判断代码问题,从而证明这个代码的实现是否能满足用户需求。这种方法相较传统审计代码方法具有更高效、更安全的特点,多用于对安全系数要求较高的航空、航天等关键领域。
杨霞称自己是「安全啄木鸟」。在她看来,做安全研究就像是啄木鸟,要不断地找出bug解决它,保障系统安全,「这个过程就像是啄木鸟要不断啄虫子,才能让树木健康一样。」
成都链安CMO:交易所需建设一套完整的资金内控系统:3月11日晚8点,成都链安CMO Adolfo Gao做客“抹茶周三见”时发表观点:交易所需建设一套完整的资金内控系统,并对每笔资金的出入都应该做好审核和记录。此外他还指出,关键私钥和转账授权的防护也是重中之重。成都链安科技是最早专门从事区块链安全的公司,由前海母基金,联想创投,复星国际,分布式资本等知名企业和创投战略投资,电子科技大学杨霞教授,郭文生教授,高子扬博士联合创立。“抹茶周三见”是MXC抹茶推出的一档AMA活动,不定期邀请重量级嘉宾在周三进行分享。[2020/3/11]
2015年下半年,区块链项目大量涌现的同时,也出现不少安全问题。2016年6月,黑客利用TheDAO项目的智能合约安全漏洞,导致项目方损失约5000万美元资产。当时,「TheDAO」事件被认为是最大的以太坊智能合约漏洞事件。
「TheDAO」事件后,早已入局区块链的朋友们问起杨霞,可不可以用形式化验证的方法进行区块链安全的防护?这使杨霞意识到区块链安全问题已经成为一个普遍现象,安全问题将影响区块链行业的发展。她对区块链安全开始产生兴趣。
于是,2016年下半年,杨霞便从航空、航天安全转向了区块链安全研究。通常来说,区块链安全问题主要包括共识机制安全、智能合约安全、钱包安全和交易平台安全等方面。
对于Beosin为何选择智能合约安全方向,杨霞解释说,智能合约安全事件在区块链安全中影响比较严重,由它导致的损失占总损失金额的近1/3;另外,形式化验证是个复杂的过程,代码量太大的话会使验证周期变得很长,刚好智能合约的代码量都不大,这使得用形式化验证进行安全审计非常可行。
智能合约安全事件损失金额约占总损失金额的1/3
目前,针对智能合约的安全验证主要有两种。一种是渗透测试,另一种是形式化验证。渗透测试只能测出某些已知Bug,未知的Bug显示不出来。形式化验证则通过数学推理进行,可保证一定不存在指定属性的安全问题,或者一定存在指定安全属性的问题。
建VaaS平台
从安全级别最高的军工方向「降级」到区块链方向,虽然后者在安全程序上趋向于简单,但杨霞在这条路上走得也并非一帆风顺。
事实上,直到2017年上半年,杨霞都是带着学生采用人工建模的方式进行验证。在近一年的研究中,她发现,形式化验证在审计智能合约安全上确有成效,但人工建模代价大、效率低,人工参与对人员的素质要求很高,形式化验证方面的人才很紧缺。
于是,2017年下半年,杨霞决定向自动化方向发展,降低人工成本的同时,减少人为误判,提高形式化验证的准确度。约1年后,今年5月,Beosin发布了智能合约形式化验证平台VaaS1.0,可同时支持EOS和ETH的智能合约形式化验证。
VaaS的5项技术优势
VaaS是一个智能合约安全验证平台,主要来检验智能合约的安全属性和功能正确性,功能正确性是指智能合约的代码实践符合用户的预期功能需求。
在使用上,用户只需把公链的合约代码导入VaaS自动验证工具,点击「开始审计」按钮,工具就会开始审查智能合约的漏洞,并且精确到代码的哪一行存在常规安全隐患。不过,对于复杂的功能逻辑的正确性验证则需要部分人工的参与。
VaaS1.0的安全检测准确度达80%以上,但杨霞并不满意。「误报率是我们非常头疼的问题。我们需要尽可能提高精确度,降低误报率。」于是,杨霞和团队紧接着就开始了VaaS2.0的研发。
11月,Beosin发布VaaS2.0,其安全检测准确度可达95%以上。杨霞自信地说,「有些客户的智能合约在其他平台上检测没有问题,在我们的平台上却被检测出了漏洞。这种情况已经至少发生了5次了。」
当前,国内外从事VaaS形式化验证平台研发的有四家公司,包括Beosin、Certik、Securify.ch和RuntimeVerification。杨霞认为,相较于其他三家,Beosin的特色在于能够提供除ETH、EOS之外的多个区块链平台的验证工具,且准确率较高。
截至目前,Beosin已经与国内40多家区块链行业公司,如Huobi、OKEx和KuCoin等建立长期战略合作,其用户包括了交易所、项目方、公链及所有区块链从业者、开发者等。另外,Beosin的核心业务包括安全审计和定制化应用开发两方面。其中,安全方面包括智能合约安全审计、智能合约开发审计一条龙、钱包安全加固与审计、DApp安全加固与审计、区块链平台安全检测、交易所安全检测、企业级安全服务等。
杨霞介绍,作为一家区块链安全服务商,Beosin的盈利点主要有两个,分别是安全审计的服务费和应用开发的开发费用。截至11月末,Beosin已审计超过500份智能合约,实现了收支平衡。
今年3月,Beosin获得了分布式资本的种子轮融资。11月,杨霞团队又获得界石资本、盘古创富数百万美元天使轮融资,资金主要用于全生态区块链安全的产品开发和全球化市场布局。
对于现在持续的熊市,杨霞则认为,安全在任何时候都是刚需。「熊市只是相对于币圈市场来讲,但市场上除了发币合约还有落地应用合约。未来,随着落地应用越来越多,智能合约的数量肯定会爆发性增长,项目方也会越来越重视合约的安全。」
本文来源于非小号媒体平台:
Beosin成都链安
现已在非小号资讯平台发布1篇作品,
非小号开放平台欢迎币圈作者入驻
入驻指南:
/apply_guide/
本文网址:
/news/3627100.html
免责声明:
1.资讯内容不构成投资建议,投资者应独立决策并自行承担风险
2.本文版权归属原作所有,仅代表作者本人观点,不代表非小号的观点或立场
上一篇:
利用比特币回款,横扫全球银行的黑客组织「Carbanak」
下一篇:
再提Mt.Gox,糟糕的「里程碑事件」正提升区块链世界的安全意识
WeissRatings首席加密分析师JuanVillaverde表示,比特币在5月16日飙升至2019年的高点8,373美元。从历史上看,牛市开始后的第一次回调是回到加密市场的最佳时期之一.
1900/1/1 0:00:00金色财经比特币5月24日讯以太坊区块链网络创始人“V神”VitalikButerin表示:“我们需要向更隐私的方向迈出第一步.
1900/1/1 0:00:001、宏观新闻沙特阿拉伯海关已试点基于区块链平台TradeLens的货物运输!5月22日消息,沙特阿拉伯海关部门已通过TradeLens首次试点沙特阿拉伯港口至比利时的货物发送.
1900/1/1 0:00:00本文大纲一二三四1.政策2.马来西亚区块链生态-监管机构&协会-媒体&社区-项目方-钱包-交易平台-投资机构3.Beecast总结一马来西亚简称大马或马来,目前全国共十三个州.
1900/1/1 0:00:00以太坊基金会刚刚宣布了第五批科研奖金名单,共有7个项目被授予资金支持,包括:1)TheMatter,一项应用了zkSNARK技术的Plasma扩容方案;2)LeapDAO.
1900/1/1 0:00:00火星财经APP一线报道,对冲基金BitBullCapital首席执行官JoeDiPasquale近日向福布斯表示,比特币在本月大部分时间一直上涨,出现一些相应的回调是意料之中的事.
1900/1/1 0:00:00