区块链抽奖合约别光看链上数据这几个坑你得先摸清

导读： 看到“链上抽奖”这四个字, 很多人就会产生一种自动化的错觉, 以为把东西扔进区块链里公平透明这些优点就自然而然地实现了, 这纯粹是胡扯。...

看到“链上抽奖”这四个字, 很多人就会产生一种自动化的错觉, 以为把东西扔进区块链里公平透明这些优点就自然而然地实现了, 这纯粹是胡扯。

大家不妨回想一下小区门口随处可见的那种刮刮乐机器, 区块链里的去中心化抽奖智能合约, 它的底层逻辑跟这种传统的刮刮乐机本质上是一模一样的, 它仅仅是在外面多了一层所谓的分布式账本的外壳, 但是藏在里面的套路和漏洞, 一个都没有减少过。

最大的陷阱其实就在于随机数这件事情。有人竟然拿区块哈希的尾数来当作随机数使用, 这种想法真是让人感到惊讶。毕竟存储在链上的数据本来就是所有人都能够直接看到的, 你居然还敢这么放心大胆地去用。

一旦对方进行女巫攻击, 那么你所谓的“随机”选择, 实际上就跟一台早就写好剧本的彩票机没有任何区别了。真正能够实际使用的方案应该是VRF或者多方承诺与揭示的方案,虽然这些方案的运行成本确实非常高, 但是每少一次被攻击的风险, 就是实打实的一次好处, 多省一刀算是一刀吧。

再来说说gas费用这一回事。如果组织一个抽奖活动, 好几千人都在同一时间参与互动, 那么Gas费用就会突然暴涨, 这个时候合约里面设定的那个判断逻辑机制是否能够稳稳地兜住底呢?

我亲眼看到过太多的项目, 在上线的当天因为这个问题就直接卡死不动了。大家不要只盯着所谓的去中心化这些概念去嗨, 先把重入攻击以及权限控制这些非常老旧的问题全部透彻地研究清楚, 这对于任何项目来说都比其他事情要强得多。