NULS失窃，硬分叉“作废”黑客赃款

编者按：本文来自蜂巢财经News（ID：fengchao-caijing），作者：JX kin，Odaily星球日报经授权转载。

NULS遭遇攻击，12月20日，团队账户里200万枚NULS币被黑客转走。

3天后的凌晨，NULS社区发布公告称，22日下午18时发现了漏洞，团队连夜升级主网，采取硬分叉的方式应对。在此之前，失窃的200万NULS中，有54万已流向市场，这些资产价值近90万元。

技术应对的同时，团队紧急联系各个交易所关闭了NULS的充提。排查漏洞后，项目联合创始人冉小波披露原因时称，黑客通过特殊手段让节点打包了这笔交易，并绕开了其他节点的验证，以此方式转走了资产。

23日凌晨，NULS发布新版程序，在区块高度为878000处为主网进行了硬分叉。如此一来，黑客手里的币将不再受新主网的认可，无法交易，相当于“作废”。

“已经修复了相关漏洞。”冉小波说，团队也不打算再找回这批资产，为了不留后患，硬分叉后，“未进入交易市场的这145万多的币将永久锁定，直接销毁。”

“我们在22号的NULS社区理事会讨论的时候，发现了网络中有一笔异常交易。”当时是下午6点左右，这距离团队账户里的币被盗已经过去了一天，冉小波说，成员们赶紧组织追踪、排查，“时间晚了一点点，导致一部分进入到交易市场中，无法再进行追溯。”

后来发出的公告显示，流向市场的被盗NULS为54.83万个左右。按照当日NULS价格计算，这批币价值90多万元。

2个小时内，团队找出了问题，也追踪定位到被盗资产转移的所有地址。在这期间，他们紧急联系了上线NULS的各个交易所，通知对方关闭充值和提现，以防被盗的币进一步流向市场。

接下来是如何应对黑客手里剩下那145多万个NULS带来的风险问题。“团队与理事会内部进行讨论，确定了硬升级的方案。”之后的5个小时内，技术团队的核心成员完成了编码和测试，发布了NULS系统的新版本，“所有的程序完成是在北京时间23日凌晨3点。”

1小时后，NULS官方社区公布了被盗事件和硬分叉的处理方案，提示各个节点升级系统。硬分叉后，被盗走的NULS币意味将不受新链认可，无法交易，直接“作废”。

23日凌晨，NULS中文社区微博发布消息称团队账户被攻击

在区块链业内，NULS是2017年10月启动的老牌公链项目，用户可以开发和使用NULS网络的智能合约，实现跨链互操作和即时链构建等功能。

OKEx行情显示，12月20日，NULS24小时涨幅为3.2%，最高为1.82元；失窃发生后的21日，NUSL由涨转跌，下跌了4.8%，最低报价为1.64元；23日凌晨，NULS价格未发生明显震荡，24小时下跌1.2%；截至晚上10点，暂报1.66元。

按照这一价格，此次黑客攻击让NULS团队遭受332万元的损失。所幸，这次攻击未造成其他用户账户受损。

“这个漏洞和签名算法有一点关系，但不是算法的问题。”冉小波告诉蜂巢财经，这笔交易在程序中没有通过验证，黑客通过特殊的手段，让节点打包了这笔交易，但绕开了其他节点验证，以此将团队账户里的币转走。

他分析，发起攻击者可能是熟悉Nuls底层的人，“但无法确定具体是谁。”有外界声音认为，此举系“内鬼作为”。对此，冉小波强调，NULS代码全开源，且有非常多的社区开发者，“不能认为是‘内鬼’攻击，因为区块链地址是匿名的，这种猜测毫无根据。”。

NULS完成了硬分叉后的系统更新，OKEx等交易平台目前仍处于暂停NULS充提的状态。

12月22日，OKEx发布公告暂停NULS代币充提

目前，NULS团队表示，修复系统后，技术人员展开了全方位的多重审查，“确保未来不再出现同样的问题。”

在区块链行业里，从业者与黑客的攻守战已经成为一种常态。无论是保管用户资产的交易所，还是构建区块链网络的技术团队，稍有不慎，就会给黑客可乘之机。

著名的“Mt.Gox交易所被盗事件”中，80多万枚比特币丢失致使这家交易所破产，遭遇损失的用户至今还在就赔偿问题和平台打官司；“The DAO”事件则让知名区块链项目以太坊损失了5000万美元。

此次针对NULS的黑客攻击再次给区块链项目方敲响了警钟。慢雾科技相关人员提示，对于项目方来说，如果对自己的底层代码没足够的自信，建议联系第三方安全公司对代码进行审计；项目方也可以用“漏洞赏金”的方式主动发起悬赏，鼓励用户和开发者提交漏洞以供应对。

处理完黑客攻击的NULS即将回到正轨。冉小波透露，NULS目前已经开源仓库33个，基础模块7个，应用模块也超过了10个。此外，NULS在跨链方面已经实现与ChainBox区块链之间的无缝交互，“未来的几个月内，NULS即将打通几个主流资产的跨链交互。”

冉小波和团队都决定，不再找回这些失窃的资产，未免后患，硬分叉升级后，剩下的未流入市场的145万多个NULS将以永久锁定的方式直接销毁，“这也是我们对每一行代码都必须认真审视的一个警戒。”