https://time-friend.com/zh/tags/parity/Recent content in Parity on Time FriendHugozh-CNTue, 28 Jul 2026 10:00:00 +0000https://time-friend.com/zh/archive/ethereum-incidents-avoidable-on-cardano/Tue, 28 Jul 2026 10:00:00 +0000https://time-friend.com/zh/archive/ethereum-incidents-avoidable-on-cardano/<p>我研究链的时候, 最关心的其实就一句: 它会不会被黑。先把话说清楚: 以太坊是一条非常优秀的链——它开创了可编程的通用链, 账户模型的灵活性撑起了整个 DeFi 生态。这篇拿几起真实的安全事故做对照, 想说的是: 同样是要做智能合约和跨链, <strong>Cardano 的方案, 我认为更先进。</strong></p> <h2 id="thedao-重入-结构性隐患-和结构性答案">TheDAO 重入: 结构性隐患, 和结构性答案</h2> <p>2016 年, TheDAO 被抽走约 6000 万美元的以太坊, 直接导致社区硬分叉。漏洞是<strong>重入攻击</strong>: 账户模型里, &ldquo;转账给对手&quot;和&quot;更新自己的余额&quot;是两个动作, 中间存在时间差, 攻击者就在这个窗口里反复调用取款函数。</p> <div class="mermaid-wrap"> <pre class="mermaid" role="img" aria-label="Mermaid diagram">flowchart TB A[合约转钱给攻击者] --&gt; B[攻击者合约回调&lt;br/&gt;再次取款] B --&gt; C[因为余额还没扣&lt;br/&gt;第三次取款] C --&gt; D[账户模型里&lt;br/&gt;存在这种中间态]</pre> </div> <script type="module"> import mermaid from 'https://cdn.jsdelivr.net/npm/mermaid@11/dist/mermaid.esm.min.mjs'; mermaid.initialize({ startOnLoad: false, theme: 'base', themeVariables: { background: '#1d1f21', primaryColor: '#282c34', primaryBorderColor: '#3e4147', primaryTextColor: '#c9cacc', lineColor: '#5a5f66', edgeLabelBackground: '#1d1f21' } }); mermaid.run({ querySelector: 'pre.mermaid' }); </script> <p>这个漏洞能存在, 根子在账户模型的<strong>共享可变状态</strong>: 余额是全局的、可变的, 执行到一半还能被插队。而 eUTXO 的答案是结构性的——一笔交易花哪些旧输出、造哪些新输出, 提交前就写死, 脚本一次性验证通过就结束, 根本没有&quot;取款到一半&quot;的中间态。同样的功能, eUTXO 用&quot;不能随便改状态&quot;换掉了整类漏洞, 这是我认为它更先进的地方。</p>