Decentralized Systems Lab實驗室的一項新研究發現，許多權益證明中的代幣存在嚴重的安全漏洞。

伊利諾伊大學厄巴納香檳分校（University of Illinois at Urbana Champaign）分散式系統實驗室（Systems Lab）的一份新報告顯示，針對許多權益證明代幣的攻擊載體被發現。根據這份報告，這些問題中的許多都源于將比特幣的設置應用于權益證明代幣：許多加密貨幣實際上是比特幣代碼庫的分支（或至少是后代），其中嫁接了PoS功能。然而，一些設計思想被不安全地復制過來，導致了父代碼庫中不存在的新漏洞。

所發現的漏洞主要影響PoSv3實現，允許攻擊者誘騙節點過度提交資源，導致節點崩潰：“我們把發現的漏洞稱為‘假權益’攻擊。從本質上說，它們之所以有效，是因為PoSv3實現在提交寶貴資源（磁盤和RAM）之前沒有充分驗證網絡數據。其結果是，沒有太多權益關系（在某些情況下根本沒有權益關系）的攻擊者可以通過用虛假數據填充受害者節點的磁盤或RAM而導致其崩潰。我們認為，所有基于UTXO和最長鏈權益證明模型的貨幣都容易受到這些“假權益”攻擊。

發現了這種攻擊的兩個版本，影響不同的加密貨幣集。一個利用節點不能單獨通過塊頭來確定有效的樁，從而填滿節點的RAM或磁盤。第二種方法是將代幣中的合法股份移動數次，并使用以前的每個實例來欺騙賭注。

受影響的代幣可能沒有在開發過程中進行盡職調查

分布式系統實驗室的報告發現，使用對比特幣（一種工作量證明代幣）有效的方法替換在權益證明代幣上的假設是錯誤的：雖然“假權益”攻擊在原則上很簡單，但它們凸顯了一個設計上的難題：一些在工作量證明中有意義的想法，無法安全地轉化為權益證明。鑒于PoSv3加密貨幣中，比特幣核心作為“上游”的代碼共享程度很高，我們認為這應該受到更嚴格的審查。

使用直接復制的比特幣代碼來制作完全不同的比特幣，意味著，權益證明代幣的開發人員可能無法完全理解這兩種共識方法之間的根本區別：“對我們來說，這表明PoS開發人員意識到，這個設計空間中的權衡和需求還沒有被完全理解。”挑戰在于，一方面，我們希望盡快拒絕無效的塊，但另一方面，我們又不希望在處理實際的主鏈時陷入鏈分裂或延遲。系統地處理這一問題仍然是今后工作的一個懸而未決的問題。”

更令人擔憂的是，許多開發團隊似乎在方向盤上睡著了，沒有對這些漏洞的披露做出響應，其中4個沒有響應，6個沒有聯系，因為最近Github活動的缺乏表明開發停滯或死亡：有5個團隊承認存在漏洞，3個團隊仍在調查中，3個團隊反駁了該漏洞（指出了實施過程中產生的緩解效果），4個團隊沒有做出回應。對于沒有回應的四個團隊，我們通過他們網站上的渠道與他們取得了聯系。

最值得注意的是，PIVX在撰寫市值排名前80位的加密貨幣時，尚未對漏洞披露做出公開回應。

今年，針對加密貨幣的攻擊可能會顯著增加。除了在權益證明代幣中發現的這些漏洞外，工作量證明幣可能也會受到越來越多的攻擊，正如Siacoin的首席開發人員預測的那樣，這種攻擊將在2019年發生。在今年的一次重大攻擊中，Ethereum Classic成為了受害者，代表著前20強項目的重大中斷。

Dash定位良好，能夠抵抗潛在的攻擊，具有高哈希率，并主導了X11挖掘算法的使用。在不久的將來，Dash計劃實施一項被稱為“鏈鎖”（ChainLocks）的創新，這將要求潛在的攻擊者同時控制一半以上的主控節點網絡。這是一項艱巨的任務，尤其是考慮到運行主節點所必需的逾一半代幣供應的時候。

Dash Core的首席開發人員Udjinm6說，Dash經常被誤認為是一個權益證明的混合體，但它是一枚工作量證明的代幣，添加鏈鎖來利用權益證明的節點來提高安全性不會導致Dash出現分散系統實驗室發現的那種權益證明漏洞： “主節點不產生塊，并且它們的規劃不是塊驗證的一部分。ChainLocks是后頭塊，所以可以說，他們不能對無效的頭塊產生ChainLocks投票。”

這種獨特的改進可能使Dash成為世界上最安全的加密貨幣之一。