2024年TON生态系统安全审计报告：技术创新与安全挑战分析

该报告由Web3区块链安全审计公司的子品牌及其合作伙伴TONX制作。随着区块链技术的不断发展和更加广泛的应用，TON生态系统将在2024年继续呈现强劲的增长势头，吸引大量开发者、投资者和用户的关注。

2024年，TON生态系统将继续在技术创新、应用落地、社区建设等方面取得重大进展，进一步巩固其在区块链领域的地位。然而，随着生态系统的快速发展，安全问题也日益突出。面对不断演变的安全威胁，如何有效防范和应对已成为TON生态中的重要问题。

2TON 生态系统概述 21 TON 生态系统简介

基本介绍及结构

Open是阿里云创建的区块链和数字通信协议，旨在构建一个快速、安全、可扩展的区块链平台，为用户提供去中心化的应用和服务。通过结合区块链技术和先进的通信功能，TON实现了高性能、高安全性和高可扩展性。它支持开发者构建各种去中心化应用，并提供分布式存储解决方案。与传统区块链平台相比，TON具有更快的处理速度和吞吐量，并采用共识机制。

22 为什么选择TON

TON 在与比特币、以太坊强大的流动性和社区性竞争时显示出独特的优势。提出的区块链三难困境描述了第一层网络在平衡安全性、可扩展性和效率方面面临的挑战。比特币和以太坊各有优缺点，但 TON 通过灵活且可分片的 PoS 架构克服了许多挑战。

221 灵活且可分片的 PoS 架构

TON 采用权益证明共识机制，通过图灵完备的智能合约和异步区块链实现高性能和多功能性。 TON 闪电般快速且低成本的交易由该链灵活且可分片的架构提供支持。这种架构使其能够在不损失性能的情况下轻松扩展。动态分片涉及最初开发具有各自用途的单独分片，这些分片可以同时运行并防止大量积压。 TON 的出块时间为 5 秒，最终确定时间小于 6 秒。

现有基础设施分为两个主要部分：

主链：负责处理协议所有重要且关键的数据，包括验证者的地址和验证的币量。

工作链：与主链连接的副链，包含所有交易信息和各种智能合约。每个工作链可以有不同的规则。

222 扩展用例和优势

TON 基金会是一个由 TON 核心社区运营的 DAO，为 TON 生态系统中的项目提供各种支持，包括开发者支持和流动性激励计划。 2024年，TON社区在多个方面取得了重大进展：

TON 20 推出：提供直观的方式连接钱包和应用程序，改善用户体验。

TON：Orbs 团队创建的智能合约检查器，用于提高合约的可靠性。

开发工具：帮助开发者编写、测试和部署智能合约。

开发人员工具包：适用于从企业到政府的用例。

Tact语言测试版：促进更强大的编程环境。

TON国际化：已在全球多个城市设立国际中心。

DeFi流动性激励计划：为促进TON DeFi领域可持续发展的项目提供资金。

23 2024年TON发展方向和目标概述

TON 的发展路线图包括许多有趣的计划，例如稳定币工具包、分片工具以及 BTC、ETH 和 BNB 的原生桥接。

免Gas费交易：TON在某些情况下可能会补贴Gas费以吸引更多用户。

验证节点与打包节点分离：这是TON扩展性的重大升级，计划到2028年吸纳5亿用户。

选举者和配置合约更新：允许用户对网络提案进行投票。

TON 稳定币工具包：允许任何人发行与当地法定货币挂钩的算法稳定币。

：允许用户将 TON 代币发送到其他链。

ETH BNB 和 BTC：推出官方桥，将主要加密货币引入 TON。

非原生代币：允许 TON 用户创建类似原生的代币。

3 生态发展现状 31 生态概况

TON基金会官网展示了近1000个应用，涵盖去中心化金融DeFi、游戏、社交媒体和工具应用等广泛领域。通过这些项目，TON 基金会展示了其在区块链技术方面的领导地位，并推动创新和生态系统发展。

32 TON 生态系统关键指标

截至2024年7月27日，TON链上验证节点数量为383个，质押TON总数超过59亿，分布在29个国家。日活跃地址数达到373万，较去年增加5360个。 TON网络的DeFi生态呈现出强劲的发展势头，独立用户数量达到26,000人，总锁仓TVL达美元，流动性提供者数量达到26,297个。

33 TON 如何成为强大的去中心化游戏平台

331 基于 TON 构建去中心化游戏的主要原因

基于TON区块链开发去中心化游戏为企业和开发者提供了一系列优势：

集成： 提供对超过 9 亿月活跃用户的访问。

强大的用户获取和保留工具：包括应用中心和广告工具。

快速高效的区块链：每秒处理超过 10 笔交易并保持较低的费用。

多样化的货币化机会：例如应用内广告和可交易的非同质代币。

简单易用：提供了一整套适合Web3开发者和玩家的工具。

4TON生态安全研究 41 如何在TON上做安全开发

为了保证智能合约的安全，我们需要采取一系列的安全措施。以下是 TON 生态系统中的一些关键安全实践：

访问控制

描述：当合约中存在一些重要逻辑或敏感操作需要特定授权用户执行时，我们应该控制访问权限，防止攻击者执行敏感操作，从而造成严重损害。

实践：

决定哪些操作需要权限控制。

通过验证消息的发送者来限制对需要权限的操作的访问。

定期审查和更新访问控制策略，以适应合同要求的变化。

具体提案请参考：

验证信息输入

描述：智能合约中缺乏对外部输入的适当验证或过滤可能会导致恶意用户或攻击者输入恶意数据，从而可能导致不安全行为或漏洞。

实践：

对所有外部输入进行严格验证和过滤。这包括验证数据类型、检查边界条件和清理用户输入。

考虑所有可能的输入场景，包括边缘情况和意外输入。

定期审核和测试输入验证逻辑。

检查燃气使用情况

注意：发送者在处理内部消息时，通常需要支付Gas使用费。处理外部消息时，合约会支付 Gas 使用费用。这意味着您需要小心外部消息中 Gas 的使用。应始终测试合约的 Gas 使用情况，以验证一切是否按预期运行，并避免可能耗尽合约余额的错误。

实践：

在开发过程中监控和优化气体使用。

使用气体限制来防止昂贵的操作。

定期测试合约在不同场景下的gas消耗情况。

时间戳依赖

描述：一些智能合约的行为依赖于区块时间戳，而区块时间戳可能会被验证者操纵。例如，验证节点可以有选择地包括或排除某些交易，或者调整时间戳以服务于某些目的。这种行为可能会导致合约逻辑被操纵，带来安全风险。

实践：

避免直接依赖区块时间戳来进行关键逻辑判断。

如果一定要使用时间戳，一定要使用更可靠且不可控的方法。

采用时间缓冲机制，允许时间在一定范围内变化，减少对单个时间点的依赖。

定期审查合约逻辑，以确保其不受时间戳操纵的影响。

整数溢出

说明：整数上溢和下溢是指数值运算，超出了变量所表示的范围，导致计算结果不正确。整数溢出通常发生在加、减、乘等运算中。如果不加以控制，可能会导致严重的安全问题，例如余额计算不正确或意外的资金转移。

实践：

使用安全数学库来处理整数运算。

在所有数学运算之前和之后添加溢出检查。

定期审核合约代码以确保所有整数运算都受到保护。

舍入误差

说明：舍入误差风险是指数值运算中由于精度限制或舍入方法不当而导致计算结果出现误差。特别是在处理货币或高精度数值时，舍入误差可能会导致资金损失或分配不公平。

实践：

使用高精度数值库或定点库来处理货币运算。

定期测试和验证数值运算逻辑，以确保准确性符合预期。

在代码中清楚地标记舍入方法以确保一致性。

拒绝服务

描述：拒绝服务风险是指消耗智能合约的计算资源或触发错误条件，导致合约无法正常执行或陷入无休止的操作。这可能会阻止合法用户与合约交互，甚至阻止合约状态更新。

实践：

限制循环数量或递归深度以避免长时间运行的操作。

在关键操作前检查剩余Gas，避免因Gas不足导致交易失败。

定期审查和优化合约逻辑，确保效率和可靠性。

使用事件日志记录重要操作，以便故障排除和恢复。

业务逻辑

描述：业务逻辑漏洞是指智能合约在实现其业务流程时的设计缺陷或执行错误，导致合约在某些情况下表现异常。这些漏洞可能被恶意用户利用，导致资金损失、数据篡改或合约功能失效等严重后果。业务逻辑漏洞通常不是编码错误，而是业务需求和流程的误解或不完善的实现。

实践：

深入理解和分析业务需求，确保逻辑设计正确。

定期进行程序代码审计和逻辑验证，及时发现并修复漏洞。

编写涵盖所有可能的业务场景的综合测试用例。

通过以上安全实践，我们可以大大提高智能合约的安全性，降低风险，保证合约的稳定运行和用户资金的安全。

42 TON生态安全事件回顾

2024年，TON生态系统发生多起安全事件，暴露出其安全挑战。下面对一些重要事件进行详细描述，分析事件的原因、影响和解决方案，并盘点一些典型的安全漏洞。

1某协议质押合约被攻击，导致代币大量损失

时间：2024年5月22日

损失金额：/

根本原因：参数配置错误

描述：

在一次庆祝 TON 生态繁荣的 Stake 活动之后，由于协议参数配置错误，某协议的 Stake 合约被黑客攻击，导致合约中的大量代币被盗。事件发生后，项目方立即暂停了质押奖励领取功能，并拨出大量USDT用于回购丢失的代币。

攻击发生后，很快联系项目组进行审核。展现了其专业性，快速响应，调动安全专家团队对项目核心代码进行全面细致的安全审计。安全专家发现了6个低风险问题，立即与项目组进行了详细沟通。凭借丰富的经验和专业的技术能力，我们不仅针对问题提供了具体的解决方案，还协助团队快速完成了所有问题的修复工作，保证了合同的安全性和稳定性。

审核期间发现的与配置相关的问题：

解决办法：修改参数配置

2 黑客利用钱包展示可控信息误导用户

Bitop交易所官网

时间：2024年5月10日

损失金额：22,000吨

根本原因：钱包在进行交易时显示的信息可能会误导用户。

描述：

尽管在 Ton 中处理消息时可以添加注释，但某些钱包在显示这些注释时的 UI 设计可能会产生误导。这个设计缺陷被黑客利用。黑客通过操纵消息的注释内容，可以在交易过程中向用户显示虚假信息，从而实施欺诈，导致用户误操作并造成经济损失。

解决方案：

为了解决这个问题，钱包应用程序需要在显示这些信息时添加显着的注释，以提醒用户该内容不可信。此外，钱包开发团队应改进UI设计，保证交易信息显示的透明性和可靠性。同时，用户还需要提高识别能力，对可疑交易信息保持警惕。

进一步措施：

建议钱包开发团队在展示交易标注信息时引入多层验证机制，例如标注信息的来源验证，以保证信息的可靠性。此外，我们定期进行用户教育并发布安全提示，帮助用户识别和防止潜在的欺诈行为。通过技术手段和用户教育相结合，可以有效减少此类安全事件的发生。

利用后门合约骗取资金，然后卷款逃跑

时间：2024年4月15日

损失金额：74424吨

根本原因：利用后门合约吸收用户资金然后跑路

描述：

发布了带有后门且未开源的智能合约，并开始预售活动。在收到足够的资金后，他们利用合约中的后门提取资金，然后迅速携款逃跑。

解决方案：

为了防止类似事件再次发生，用户在参与任何项目投资活动之前，应尽可能多地向项目方收集信息，并选择开源且经过严格安全审核的项目。

建议用户特别注意以下几点：

1 项目开源：确认智能合约代码开源，允许独立安全专家对其进行审查，确保不存在隐藏漏洞或恶意代码。

2 安全审计：选择经过知名安全审计机构审计的项目。安全审计可以发现并修复合同中的潜在漏洞，提供额外的保护。

3、项目背景调查：调查项目方背景、团队成员的可信度和历史记录。透明度高、信誉好的项目更值得信赖。

4、社区反馈：关注社区对项目的反馈，参与讨论，了解项目的声誉和潜在风险。

进一步措施：

建议在TON生态系统中引入更严格的监管和审查机制，对新项目进行资格审查，以确保其符合安全标准。另外，可以建立公共合约代码库，只有经过批准的合约才能使用。这将大大降低用户资金被盗的风险，提高整个 TON 生态系统的安全性和可信度。

5 用户如何在 TON 上保持安全

随着 TON 和生态系统的快速发展，如今活跃账户已超过 3800 万，随之而来的关注也带来了更大的风险。

诈骗者和恶意行为者的目标是涌入的新手用户，即使在最安全的生态系统中，保持警惕以了解潜在风险仍然至关重要。这些是最常见的骗局，您需要多加注意。

51 种常见诈骗 紧急求助的朋友：诈骗者冒充朋友或家人，紧急请求资金。请务必核实其身份。网络钓鱼网站：假冒网站模仿真实网站并窃取登录信息。检查 URL 并避免点击来源不明的链接。投资骗局：这些骗局在加密货币领域非常常见，并在没有证据的情况下承诺高额回报。研究更深入；如果听起来好得令人难以置信，那么它可能是一个骗局。虚假调查：为参与调查提供奖励以窃取个人信息。避免向未知的调查人员提供详细信息。虚假工作机会：引人入胜的招聘广告要求提供个人信息、下载应用程序或支付费用。通过官方渠道核实。分类广告诈骗：虚假广告将您引导至试图窃取信息的虚假机器人。拉高和抛售：团体操纵加密货币价格以获取利润，导致其他人亏损。始终研究和验证投资建议。浪漫诈骗：在网上关系中，诈骗者索要金钱或个人信息。警惕网上遇到的人提出的金钱请求。 52 谨防金字塔诈骗

不幸的是，对 TON 区块链的支持吸引了试图利用毫无戒心的用户的诈骗者。以下是该骗局的详细分析：

设置：诈骗者发送看似来自朋友或联系人的“独家赚钱计划”链接。他们引导用户加入一个非官方机器人，该机器人错误地声称用于存储加密货币。投资：指导用户通过钱包、P2P 市场或加密货币交易所等合法渠道进行购买。这增加了虚假的可信度。购买后，用户必须将其转移到诈骗机器人。加速器：受害者被迫通过单独的机器人购买“加速器”，价格在 5 到 500 美元之间。在这个阶段，用户会失去他们的加密货币。招募：诈骗者推广推荐计划，要求用户创建私人群组并邀请朋友。他们承诺每次推荐都会收到 25 TON 的固定付款，并根据推荐人购买的加速器收取佣金。

事实上，这是典型的传销。诈骗者赚钱，而其他人则损失投资资金。

53 如何避免网络诈骗

为了保护自己免受在线诈骗并确保您的帐户安全，请按照以下基本步骤操作：

已启用两步验证：转到“设置”>“隐私和安全”>“两步验证”，为您的帐户添加额外的安全层。验证联系人：警惕未经请求的消息，尤其是那些要求提供个人信息或资金的消息。通过其他方式确认发件人身份。定期检查帐户活动：转至“设置”>“设备”>“活动会话”，检查您的帐户是否有未知设备或会话。举报可疑活动：如果您遇到欺诈行为，请向 举报。避免快速致富的计划：对这些计划保持警惕，即使是由可能成为受害者的朋友或家人推荐的。不要将加密货币转移到未知的钱包：在转移加密货币之前务必验证接收者的身份，以避免被骗。

在 TON 中保持安全需要保持警惕和意识。通过识别常见的诈骗者并遵循这些安全提示，您可以保护您的资产和个人信息。始终验证来源，对看似好得令人难以置信的报价保持怀疑，并仅通过官方渠道进行交易。通过保持知情和谨慎，您可以享受 TON 的好处，而不会成为诈骗的受害者！

6 总结

选择TON的原因是认可其自身的生态系统。在 TON 上部署 Web3 项目可以利用每月超过 7 亿活跃用户的庞大用户群。这种集成为去中心化应用程序的蓬勃发展提供了肥沃的环境。致力于为TON生态系统提供全面的安全保障，帮助项目实现更高的安全标准和用户信任。作为TON生态的安全卫士，我们将继续努力，为区块链技术的发展做出贡献。