WEEX 唯客博客， 1. 前言 本報告由 Web3 區塊鏈安全審計公司 BitsLab 旗下子品牌 TonBit 攜手合作夥伴 TONX 共同出品。隨著區塊鏈技術的不斷發展和應用的日益廣泛，TON 生態系統在 2024 年繼續表現出強勁的增長勢頭，吸引了大量開發者、投資者和用戶的關注。 2024 年，TON 生態繼續在技術創新、應用落地和社區建設等方面取得了顯著的進展，進一步鞏固了其在區塊鏈領域的地位。然而，隨著生態系統的快速發展，安全問題也日益凸顯。面對不斷演化的安全威脅，如何有效防範和應對成為了 TON 生態的重要課題。 2. TON生態概述 2.1 TON生態系統簡介 基本介紹與架構 TON（The Open Network）是由 Telegram 創建的區塊鏈和數字通信協議，旨在構建一個快速、安全和可擴展的區塊鏈平台，為用戶提供去中心化的應用和服務。通過結合區塊鏈技術和Telegram的通信功能，TON 實現了高性能、高安全性和高可擴展性的特點。它支持開發者構建各種去中心化應用，並提供分散式存儲解決方案。與傳統的區塊鏈平台相比，TON 具有更快的處理速度和吞吐量，並採用了 Proof-of-Stake 共識機制。 2.2 為什麼選擇 TON 在與比特幣和以太坊強大的流動性和社區競爭時，TON 表現出獨特的優勢。Vitalik Buterin 提出的區塊鏈三難困境描述了 Layer 1 網路在平衡安全性、可擴展性和效率方面面臨的挑戰。比特幣和以太坊各自有其優缺點，但 TON 通過靈活且可分片的 PoS 架構克服了許多這些挑戰。 2.2.1 靈活且可分片的 PoS 架構 TON 採用了權益證明共識機制，並通過其圖靈完備的智能合約和非同步區塊鏈實現了高性能和多功能性。TON 的閃電般快速且低成本的交易由鏈的靈活且可分片的架構支持。這種架構允許其在不損失性能的情況下輕鬆擴展。動態分片涉及初步開發的具有各自目的的單獨分片，這些分片可以同時運行並防止大規模積壓。TON 的區塊時間為 5 秒，最終確定時間少於 6 秒。 現有基礎設施分為兩個主要部分： ● 主鏈（Masterchain）：負責處理協議的所有重要和關鍵數據，包括驗證者的地址以及驗證的幣量。 ● 工作鏈（Workchain）：連接到主鏈的次級鏈，包含所有交易信息及各種智能合約，每個工作鏈可以有不同的規則。 2.2.2 擴展用例和優勢 TON 基金會是由 TON 核心社區運營的 DAO，為 TON 生態系統中的項目提供各種支持，包括開發者支持和流動性激勵計劃。2024 年，TON 社區在多個方面取得了顯著進展： ● TON Connect 2.0 的推出：提供了一種直觀的方式連接錢包和應用程序，改善用戶體驗。 ● TON Verifier：由 Orbs 團隊創建的智能合約檢查器，提升了合約的可靠性。 ● Blueprint 開發工具：幫助開發者編寫、測試和部署智能合約。 ● Sandbox 開發者工具包：適用於從企業到政府的各種用例。 ● Tact 語言 Beta 版本：促進更強大的編程環境。 ● TON Society 國際化：在全球多個城市啟動了國際中心。 ● DeFi 流動性激勵計劃：為項目提供資金，促進 TON DeFi 領域的可持續性。 2.3 2024 年 TON 發展方向與目標概覽 TON 的發展路線圖包含許多有趣的計劃，如穩定幣工具包、分片工具以及 BTC、ETH 和 BNB 的原生橋接。 ● 無 Gas 費交易：TON 可能會補貼某些情況下的 Gas 費，吸引更多用戶。 ● 驗證節點與打包節點分離：這是 TON 可擴展性的重大升級，計劃到 2028 年吸納 5 億 Telegram 用戶。 ● 選舉人和配置合同更新：允許用戶投票表決網路提案。 ● TON 穩定幣工具包：允許任何人發行與本地法定貨幣掛鉤的演算法穩定幣。 ● Jetton Bridge：允許用戶將 TON 代幣發送到其他鏈。 ● ETH, BNB, 和 BTC Bridge：推出官方橋接以引入主要加密貨幣到 TON。 ● 非原生代幣：允許 TON 用戶創建類似原生的代幣。 3. 生態發展情況 3.1 生態概況 TON 基金會官網展示了接近 1000 個應用程序，涵蓋廣泛領域，如去中心化金融（DeFi）、遊戲、社交媒體和工具類應用。通過這些項目，TON 基金會展示了其在區塊鏈技術領域的領先地位，並推動了創新和生態系統的發展。 3.2 TON 生態系統關鍵指標 截至 2024 年 7 月 27 日，TON 鏈上的驗證節點數量為 383 個，總質押 $TON 數量為 5.9 億多個，分佈在 29 個國家中。每日活躍地址數達到 37.3 萬個，較去年同比增長了 5360%。TON 網路的 DeFi 生態系統展現出強勁的發展勢頭，獨立用戶數量達到 1,784,089，總鎖倉量（TVL）為 706,307,873 美元，流動性提供者數量為 26,297。 3.3 TON 如何成為一個強大的去中心化遊戲平台 3.3.1 構建基於 TON 的去中心化遊戲的主要原因 基於 TON 區塊鏈開發去中心化遊戲為企業和開發者提供了一系列優勢： ● 與 Telegram 的集成：提供超過 9 億月活躍用戶的訪問許可權。 ● 強大的用戶獲取和留存工具：包括 Telegram 應用中心和廣告工具。 ● 快速且高效的區塊鏈：處理每秒超過 100,000 筆交易，保持低費用。 ● 多樣化的貨幣化機會：如應用內廣告和可交易的非同質化代幣。 ● 簡單且易於訪問：提供一整套工具，適合 GameFi Web3 開發者和玩家。 4. TON 生態安全研究 4.1 如何在 TON 上做安全開發 為了確保智能合約的安全性，我們需要採取一系列安全措施，以下是一些 TON 生態關鍵的安全實踐： 1. 訪問控制 描述：當合約中有一些重要的邏輯或者敏感操作需要特定授權用戶來執行時，我們應該做好訪問控制，避免攻擊者執行敏感操作，從而造成嚴重的損害。 實踐： 確定哪些操作需要許可權控制。 對需要許可權執行的操作通過校驗消息的發送方來限制訪問。 定期審查和更新訪問控制策略，以適應合約需求的變化。 具體提案可參考： https://github.com/ton-blockchain/TEPs/pull/180 https://github.com/ton-blockchain/TEPs/pull/181 2. 驗證消息輸入 描述：智能合約中如果缺乏對外部輸入的適當驗證或過濾，會導致惡意用戶或攻擊者輸入惡意數據，從而可能導致不安全行為或漏洞。 實踐： 對所有外部輸入進行嚴格的驗證和過濾,這包括驗證數據類型、檢查邊界條件以及清理用戶輸入 考慮所有可能的輸入場景，包括邊緣情況和意外輸入。 定期審計和測試輸入驗證邏輯。 3. 檢查 Gas 使用量 描述：在處理內部消息時，發送者通常需要支付 Gas 使用費。當處理外部消息時，合約會支付 Gas 使用量。這意味著需要小心外部消息中的 Gas 使用。應該始終測試合約的 Gas 使用情況，以驗證一切是否按預期運行，並避免可能耗盡合約餘額的漏洞。 實踐： 在開發過程中監控和優化 Gas 使用情況。 使用 Gas 限制來防止高消耗操作。 定期測試合約在不同情景下的 Gas 消耗情況。 4. 時間戳依賴 描述：一些智能合約的行為依賴區塊時間戳，而區塊時間戳可能會被驗證者操縱。例如，驗證節點可以有選擇地包含或排除某些交易，或者調整時間戳以服務於某些目的。這種行為可能會導致合約邏輯被操縱，帶來安全風險。 實踐： 避免直接依賴區塊時間戳進行關鍵邏輯判斷。 如果必須使用時間戳，請確保使用更可靠且不可控的方法。 採用時間緩衝機制，允許時間在一定範圍內變化，減少對單個時間點的依賴。 定期審查合約邏輯，確保不會受到時間戳操縱影響。 5. 整數溢出 描述：整數上溢和下溢是超出變數表示範圍的指數值運算，導致計算結果不正確。整數溢出通常發生在加、減、乘等運算中。如果不加以控制，可能會導致嚴重的安全問題，例如餘額計算不正確或意外的資金轉移。 實踐： 使用安全的數學庫來處理整數運算。 在所有數學運算前後添加溢出檢查。 定期審計合約代碼，確保所有整數運算均受到保護。 6. 舍入誤差 描述：舍入誤差風險是指由於數值運算中精度限制或舍入方法不當而導致計算結果出現誤差。特別是在處理貨幣或高精度數值時，舍入誤差可能會導致資金損失或分配不公平。 實踐： 使用高精度數值庫或定點數庫來處理貨幣運算。 定期測試和驗證數值運算邏輯，確保精度符合預期。 在代碼中明確標註舍入方法，確保一致性。 7. 拒絕服務 描述：拒絕服務風險是指消耗智能合約的計算資源或觸發錯誤條件，導致合約無法正常執行或陷入無休止的操作。這可能會阻止合法用戶與合約交互，甚至阻止合約狀態更新。 實踐： 限制循環次數或遞歸深度以避免長時間運行的操作。 關鍵操作前檢查剩餘 Gas，避免因 Gas 不足導致交易失敗。 定期審查和優化合約邏輯，確保效率和可靠性。 使用事件日誌記錄重要操作，便於故障排查和恢復。 8. 業務邏輯 描述：業務邏輯漏洞是指智能合約在實現其業務流程時的設計缺陷或實現錯誤，導致合約在某些情況下表現異常。這些漏洞可能被惡意用戶利用，導致資金損失、數據篡改或合約功能失效等嚴重後果。業務邏輯漏洞通常不是編碼錯誤，而是業務需求和流程的誤解或不完善的實現。 實踐： 深入理解和分析業務需求，確保邏輯設計正確。 定期進行代碼審計和邏輯驗證，及時發現並修復漏洞。 編寫全面的測試用例，覆蓋所有可能的業務場景。 通過上述安全實踐，我們可以大大提升智能合約的安全性，降低風險，確保合約的穩定運行和用戶的資金安全。 4.2 TON 生態安全事件回顧 在 2024 年，TON 生態系統中發生了多起安全事件，揭示了其安全性方面的挑戰。以下是一些重要事件的詳細描述、分析事件的原因、影響及其解決方案，並對一些典型的安全漏洞進行了盤點。 1.某協議的質押合約遭受攻擊，導致大量代幣損失 時間：2024 年 5 月 22 日 損失金額：/ 根本原因：參數配置錯誤 描述： 在慶祝 TON 生態系統繁榮的質押活動后，由於協議參數配置錯誤，某協議的質押合約遭受了黑客攻擊，導致合約中大量代幣被盜。事件發生后，項目方立即暫停了質押獎勵領取功能，並分配了大量 $USDT 用於回購丟失的 307,264 個代幣。 攻擊發生后，這個項目方迅速聯繫了 TonBit 進行審計。TonBit 展示了其專業性，迅速反應並調集安全專家團隊，對項目的核心代碼進行了全面而細緻的安全審計。TonBit 的安全專家們發現了 6 個低危問題，並立即與項目方團隊進行了詳細的溝通。憑藉豐富的經驗和專業的技術能力，TonBit 不僅提供了問題的具體解決方案，還協助該團隊迅速完成了所有問題的修復工作，確保了合約的安全性和穩定性。 TonBit 審計發現的和配置相關的 issue： 解決方案：修改參數配置 2.黑客利用錢包展示可控的 comment 信息誤導用戶 時間：2024 年 5 月 10 日 損失金額：22,000 TON 根本原因：錢包進行交易時展示的 comment 信息可能誤導用戶 描述： 在 Ton 中處理 transfers 消息時，雖然可以添加註釋（comment），但部分錢包在展示這些註釋時的界面 UI 設計存在潛在誤導風險。這種設計缺陷被黑客利用，通過操控 transfers 消息的註釋內容，黑客能夠在交易過程中向用戶展示虛假信息，從而實施欺詐行為，導致用戶誤操作，造成資金損失。 解決方案： 為了解決這一問題，錢包應用在展示這些信息時需要添加醒目的註釋，提醒用戶這些內容並不可信。此外，錢包開發團隊應改進 UI 設計，確保交易信息展示的透明度和可靠性。同時，用戶也需要提高辨別能力，警惕可疑交易信息。 進一步措施： TonBit 建議錢包開發團隊在展示交易註釋信息時引入多層驗證機制，例如對註釋信息進行源驗證，確保信息的可靠性。此外，定期進行用戶教育，發布安全提示，幫助用戶識別和防範潛在的欺詐行為。通過技術手段和用戶教育相結合，可以有效減少此類安全事件的發生。 3.BookPad 使用帶有後門的合約騙取資金后攜款跑路 時間：2024 年 4 月 15 日 損失金額：74,424 TON 根本原因：BookPad 使用後門合約吸取用戶資金后跑路 描述： BookPad 發布了一份存在後門的且不開源的智能合約，開始進行預售活動。在收到了足夠的資金后，他們利用合約中的後門取出資金，然後迅速攜款跑路。 解決方案： 為防止類似事件再次發生，用戶在參與任何項目的投資活動前，應儘可能多地搜集項目方的信息，選擇那些開源且經過嚴格安全審計的項目。 TonBit建議用戶特別關注以下幾點： 1.項目開源性：確認智能合約代碼是開源的，這樣可以讓獨立的安全專家對其進行審查，確保沒有隱藏的漏洞或惡意代碼。 2.安全審計：選擇經過知名安全審計機構審核的項目。安全審計能發現並修複合約中的潛在漏洞，提供額外的保障。 3.項目背景調查：調查項目方的背景、團隊成員的信譽和歷史記錄。透明度高、信譽好的項目方更值得信賴。 4.社區反饋：關注社區對項目的反饋，參與討論，了解項目的聲譽和潛在風險。 進一步措施： TonBi t建議在 TON 生態系統中引入更加嚴格的監管和審核機制，對新項目進行資質審核，確保其符合安全標準。此外，可以設立一個公共的合約代碼庫，只有通過審核的合約才能被使用。這將大大降低用戶資金被盜的風險，提升整個 TON 生態系統的安全性和可信度。 5 用戶如何在 TON 和 Telegram 上保持安全 隨著 TON 和 Telegram 生態系統的迅速發展，如今已有超過 3800 萬個活躍賬戶，隨之而來的關注度也帶來了更大的風險。 騙子和惡意行為者瞄準了湧入的新手用戶，即使在最安全的生態系統中，保持警惕了解潛在風險仍然至關重要。這些最常見的詐騙手段你需要多加註意。 5.1常見的詐騙手段 1. 急需幫助的朋友：騙子冒充朋友或家人，緊急請求資金。請務必核實其身份。 2. 釣魚網站：假冒網站模模擬實網站，竊取登錄信息。核對網址，避免點擊來歷不明的鏈接。 3. 投資騙局：這些騙局在加密貨幣領域非常常見，承諾高回報但沒有證明。深入研究；如果聽起來好得不真實，可能就是騙局。 4. 假調查：提供參與調查的獎勵以竊取個人信息。避免向未知調查者提供詳細信息。 5. 假工作機會：吸引人的招聘廣告要求提供個人信息、下載應用或支付費用。通過官方渠道核實。 6. 分類廣告騙局：假冒的廣告引導您到虛假的 Telegram 機器人以竊取信息。 7. 拉高出貨：團體操縱加密貨幣價格以牟利，導致其他人虧損。始終研究並核實投資建議。 8. 浪漫騙局：網路關係中，騙子要求錢財或個人信息。對在線認識的人要求錢財保持警惕。 5.2警惕 Toncoin 金字塔騙局 Telegram 對 TON 區塊鏈的支持不幸吸引了一些騙子，他們試圖利用毫無戒心的用戶。以下是該騙局的詳細分析： 1. 設局：騙子發送鏈接到「獨家賺錢計劃」，看似來自朋友或聯繫人。他們引導用戶加入一個非官方的 Telegram 機器人，謊稱是用於存儲加密貨幣。 2. 投資：用戶被指示通過合法渠道（如錢包、P2P 市場或加密貨幣交易所）購買 Toncoin。這增加了虛假的可信度。一旦購買，用戶必須將其 Toncoin 轉移到詐騙機器人。 3. 加速器：受害者被迫通過一個單獨的機器人購買「加速器」，費用在 5 到 500 Toncoin 之間。在此階段，用戶失去了他們的加密貨幣。 4. 招募：騙子推廣推薦計劃，要求用戶創建私人 Telegram 群組並邀請朋友。他們承諾每推薦一個人可獲得 25 TON 的固定支付及基於推薦人購買的加速器的傭金。 實際上，這就是典型的金字塔騙局。騙子賺錢，而其他人失去投資本金。 5.3 如何避免網路詐騙 為了保護自己免受網路詐騙並確保 Telegram 賬戶的安全，請遵循以下基本步驟： 1. 啟用 Telegram 的兩步驗證：進入「設置 > 隱私和安全 > 兩步驗證」，為您的賬戶增加額外的安全保障。 2. 驗證聯繫人：對未經請求的消息保持警惕，尤其是要求提供個人信息或資金的消息。通過其他方式確認發件人的身份。 3. 定期檢查 Telegram 賬戶活動：進入「設置 > 設備 > 活躍會話」，檢查賬戶是否有未知設備或會話。 4. 報告可疑活動：如果遇到詐騙行為，請向 Telegram 舉報。 5. 避免快速致富計劃：對這些計劃保持警惕，即使是朋友或家人推薦的，他們可能也是受害者。 6. 不要將加密貨幣轉移到未知錢包：在轉移加密貨幣之前，始終驗證接收者的身份，以避免被騙。 在 TON 和 Telegram 中保持安全需要警惕和意識。通過識別常見的詐騙手段並遵循這些安全提示，您可以保護您的資產和個人信息。始終核實來源，對好得不真實的優惠保持懷疑，並僅通過官方渠道進行交易。保持信息靈通和謹慎，您便能安心享受 TON 和 Telegram 帶來的好處，而不會成為欺詐的受害者！ 6.總結 選擇 TON 的理由在於認識到 Telegram 本身的生態系統。在 TON 上部署你的 Web3 項目可以利用 Telegram 龐大的用戶群，月活躍用戶超過 7 億。這種集成為去中心化應用的繁榮提供了肥沃的環境。TonBit 致力於為 TON 生態系統提供全面的安全保障，助力項目實現更高的安全標準和用戶信任度。作為 TON 生態的安全守護者，TonBit 將繼續努力，為區塊鏈技術的發展貢獻自己的力量。 完整報告鏈接：https://tonbit.xyz/reports-page 或點擊「閱讀原文」查看完整報告。 WEEX唯客交易所官網：weex.com
