以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads

從一個錢包被盜的案例,探討Web 3的安全指南_NFT

Author:

Time:1900/1/1 0:00:00

原文標題:《技術|從一個錢包被盜的案例,探討Web3的安全指南》

原文作者:Chris阿法兔

事件

2022年元旦假期的某個早上,小C準備寫代碼,繼續測試Web3js的鏈上合約交易。突然發現自己的測試賬號在MetaMask歸零了,明明前一晚賬戶內還有100usd,然后查完轉賬就發現:

錢都沒了,錢哪去了?

背景

技術出身的小C,最近在學習區塊鏈開發。本身是專業開發者,已經很謹慎小心了,通常都是在測試網絡上跑,跑完之后,再會去正式網絡上部署,但是沒有意識到整個產業目前還處在相對混亂的階段,麻痹大意,順手習慣導致造成了損失。

損失是如何造成的?

2021年的最后一天,小C偶然看到一個賬號很有趣,就追蹤了他的一些鏈上交易,然后看到了一個非常有意思的項目,然后就鬼使神差地連上了自己的MetaMask,然后鬼使神差的進行了approve,因為一般Web3的項目就是這個流程,approve然后轉賬就結束了。

但是令人驚呆的一幕出現了:點完之后,整個網站突然卡死了,沒有任何反應,小C當時沒當回事,把站點給關了,去做其他事情了。

Pendulum已上線Polkadot主網,完成路線圖第一階段:3月1日消息,Pendulum已上線Polkadot主網,標志著該項目完成路線圖的第一階段。在其三階段路線圖中,后續階段將包括推出Token Transferability Event、Spacewalk Stellar-Polkadot Bridge以及forex-AMM 0xAmber。目標是在3月份之前完成整個階段。

Pendulum網絡已經產出區塊,并且在鏈上成功執行了第一筆交易。完成后,Pendulum的原生代幣PEN將為Polkadot上的法幣樞紐、Pendulum上的交易以及治理和質押提供動力。

此前1月消息,Polkadot宣布Pendulum贏得第35次平行鏈拍賣。(Finance Feeds)[2023/3/1 12:36:51]

過了大概一天,小C重新回來開發的時候,發現賬上的錢全部沒有了,去查了歷史記錄,發現賬上的余額已經被全部轉走。

回顧過程

盜取者是怎么把小C賬戶上的錢都轉走的?

現象:只要你approve了,不需要私鑰理論上也可以把對應的錢全部轉走。

幣安與哈薩克斯坦政府合作啟動區塊鏈教育項目:12月22日消息,幣安正在哈薩克斯坦推出一項區塊鏈教育計劃。根據與當地政府的合作協議,幣安將為區塊鏈和合規基礎課程提供教育材料和支持,到2026年,將對中亞國家高校的40,000多名學生提供區塊鏈培訓。

據悉,今年5月,趙長鵬與哈薩克斯坦總統會面并達成合作倡議。10月,幣安提出支持哈薩克斯坦政府“安全發展”該國的加密貨幣行業。目前,幣安正與哈薩克斯坦國家銀行(NBK)支付和金融技術發展中心、阿斯塔納國際金融中心(AIFC)、數字發展部和教育部合作。[2022/12/22 22:01:41]

小C進行了下溯源,大概是在一個釣魚網站的approve出了問題,于是追溯該轉賬記錄。

如圖,可以看到,先是approve了一個合約,授權了釣魚合約能夠對賬號里面BUSD進行操作,而且是沒有數量限制的。

為什么會是BUSD呢?小C回憶了一下,一進入這個釣魚站點是默認選了BUSD,估計在瀏覽站點鏈接錢包之后,盜取者就已經篩選了出了賬號里面錢最多的token了。

然后當小C以為這是一個新的swap合約,并且有很高的年化收益,準備先試試的時候,按照常規流程就進行approve。approve結束后,網站直接卡了。

馬克·庫班:FTX破產并不意味著加密貨幣的崩潰:金色財經報道,NBA球隊達拉斯小牛隊的老板馬克庫班表示,最近加密領域的崩潰,包括FTX破產,“是銀行的崩潰”,而不是加密貨幣的崩潰。他還解釋了他投資加密貨幣的原因。“貸款給錯誤的實體,抵押品估值錯誤,傲慢的套利,隨之而來的是儲戶擠兌。看看長期資本、儲蓄和貸款以及次貸危機。都是同一個故事的不同版本。”他補充說,真正的去中心化金融“需要為當今世界制定新的法規。”(news.bitcoin)[2022/11/16 13:11:39]

后來經過追溯,大概在授權之后幾十秒,合約就直接觸發了一個轉賬操作,直接把BUSDtoken給轉走了。

后來去查了一下授權的信息

基本上MetaMask默認授權的時候是:

轉換成數字,我們認識的就是1.157920892373162乘以10的59次方。基本上就可以理解為無限量轉賬了,也就是這個授權的操作,可以讓這個合約無限量的操縱我賬號的token。看到這里感覺背后一涼,因為以前點過很多次approve都是不會去看的。

然后黑客操縱一個可以控制這個合約方法的錢包地址,就發起合約轉賬方法,把錢轉走了。所以小伙伴之后點metamask授權的時候一定要小心。

歐易OKX NFT市場:NFT市場未來將是算法驅動的類電商平臺:8月11日消息,歐易OKX NFT一級市場負責人Kyle在IEEE P3220 NFT國際標準參編會上發言表示:歐易OKX NFT市場是集創作、發行、交易功能于一身的多鏈聚合NFT平臺。支持7條公鏈,聚合4家主流NFT交易平臺以及CryptoPunks官方流動性。堅持0交易手續費政策,不炒作NFT項目,也不發行平臺代幣。

歐易NFT市場將堅持通過技術沉淀,搭建技術壁壘,為用戶提供集移動端、網頁為一體的NFT交易體驗。[2022/8/11 12:18:04]

小C查了下,盜取者現在這個賬號里大概已經有了3w美金的token了,現在還有源源不斷的受害者在轉錢。但是面對區塊鏈沒有辦法,根本無法找不到這個黑客是誰。

出現問題的環節

問題到底出在哪里?

因為最近在學習區塊鏈。小C大概理了一下這個釣魚的邏輯方式,害人之心不可有,防人之心不可無。大家有興趣可以了解一下:

正常轉賬

案例一:直接用戶間轉賬A用戶向B用戶轉賬BUSD

比特幣經紀公司River Financial取消定期訂單費用:8月2日消息,比特幣技術和金融服務公司River Financial宣布取消定期訂單(Recurring Order)費用,此外,還降低了標準比特幣買賣訂單費用。(CoinDesk)[2022/8/2 2:54:16]

合約正常會檢查以下邏輯

1)判斷A用戶賬戶余額是否有足夠的錢;2)是否是A用戶發起的轉賬

流程如下圖

正常合約兌換

就是我們平時使用pancakeswap、uniswap等兌換時候的流程

案例二:通過swap進行token兌換A用戶進行token兌換流程合約進行判斷:

1)A用戶賬戶余額是否有足夠的BUSD,

2)swap合約取A賬戶下的500BUSD放入swap的合約池中

3)成功后合約再向A賬戶轉入1BNB

注意第2、3點,是由合約控制token進行操作。那么也就是說合約可以繞過我們直接發起對我們賬號下的token的操作。

釣魚合約

先看這張溯源圖

正常的轉賬,轉賬方和合約執行的轉賬方應該是同一個人,即上圖與應該是由同一個人發起的。而我被轉賬的這筆交易,這兩個不是同一個地址。推測應該是由一個可以執行釣魚合約的錢包地址控制執行了合約,然后將我授權給釣魚合約里的BUSD轉走了。

去查看釣魚合約,不出意料釣魚合約是一個加密的合約。不過想一下也不難,稍微學過Solidity的人都知道,在合約定義的時候,多設置幾個Admin或者Owner就可以了。

所以以后一定要注意項目方的背書,不要隨便給不知道的項目授權!!!

安全建議

因為這件事,小C搜了一些有用的建議和方法,也看到了很多血淋淋的教訓。

這里列出來一些方法大家可以根據自己的需要選擇。

1)不要共用密鑰

之前看有帖子說一個助記詞生成多個賬號的,這種我不建議哈,因為很可能被一鍋端。

2)密鑰離線保存

因為現在有很多剪貼板工具輸入法會將你的剪貼板記錄上傳到云端,如果你直接復制了,如果云端泄漏,你的密鑰就直接無了。

我的建議就是生成之后,第一時間抄到本子上。當然抄到本子上,你也可以參考我對密鑰自己的字典加密,比如a用1代替,b用2代替,1用a代替,這樣就可以保證即使有人看到了你的紙質密鑰,也不能動你的數字資產。

3)開發和測試分開

安裝2個瀏覽器,一個可以是chrome,一個是brave。一個管理你的主錢包。另外一個可以參與領取空投,各種鏈上操作等

4)不要下載來歷不明的軟件

不要去用baidu這些下載來歷不明的軟件,我看到有案例是下載盜版metamask,直接破產的。一定要去正規的地址下載,有條件的可以參考googleplay。chromewebstore等

5)立即檢查你的授權

檢查的網址有下面幾個,debank沒有開源,但是UI交互比較好,后續的有開源的,大家自己抉擇吧。

https://debank.com/

https://approved.zone/

https://tac.dappstar.io/

https://ethallowance.com/

看到圖上所示,基本上就是無限的。

每次喚起MetaMask的時候一定要多看看授權,不要像我現在這樣無腦點授權下一步。

6)進行授權前,對合約安全進行確認

https://www.slowmist.com/service-smart-contract-security-audit.html

可以使用慢霧的合約審計功能。

也可以看看該合約是否開源,如果開源的話需要確認該合約是否是可升級合約等等。

7)擼空投和福利的時候注意安全

用小號去領取,別用大號,授權的時候可以設置額度!!!

8)警惕社工的入侵,小心Discord私聊你的陌生人

比如Discord或者Telegram,有人跟你認識幾天,說要帶你賺錢拿空投,讓你安裝他發給你的軟件并登錄,這種99.99%你會血本無歸。賬號被盜。

特別地,Discord里面,進NFT的官方Discord,會有人私聊你,告訴你獲得了白名單,附帶一個mint鏈接。騙子會把頭像和名稱改成官方的樣子,其實是把他和你拉了一個組來實現的。

其實只要不貪,這種騙局還蠻好識破的,一般會告訴你在幾個小時內mint,數量1-10。很多大熱項目一個白名單mint一兩個不錯了,這一上來頂格10個還帶時間限制。

還有,會有騙子模仿項目官網做個假網站,私信給項目Server里的人,讓他們來mint.

還有小伙伴在opensea買了假NFT后來發現不是官方的然后過了幾天那個NFT就從賬戶消失了然而已經扣了...(怎么發現的?看鏈條還有官方discord發了官方Opensea網址)

還有假的collab.land騙錢包密碼,給大v空投然后號稱大v買了那個NFT/token.

新的一年到來,大家一定要注意安全呀,希望看到本文的朋友都能平平安安順順利利!

本文感謝作者Chris

Tags:NFTKENAPPTOKNFTG幣BOSS Tokenokx交易所app官網imtoken錢包怎么提現

比特幣價格
RFOX Games 通過另一個 IP 合作夥伴關係擴展 NFT 革命_RFOX

RFOXGames是MetaverseCompanyRFOX的一個部門,旨在為遊戲領域帶來新的遊戲收入水平.

1900/1/1 0:00:00
a16z分析師:Web3的可組合性成就了加密貓、Axie Infinity等鏈游_TOK

web3獨有的核心價值是可組合性:獲取由一種協議生成的資產或數據并與另一種協議一起使用的能力。在web3游戲中,可組合性解鎖了一些強大的東西——玩家第一次可以參與指導游戲本身的機制和價值.

1900/1/1 0:00:00
灰度比特幣信托負溢價達26.5%再創新低 比特幣ETF或成新戰場?_NBA

根據YCharts的數據,美東時間周三,灰度比特幣信托的負溢價達到了26.53%,創下歷史記錄。GBTC的投資者正在面臨更多損失.

1900/1/1 0:00:00
次元空間Dimensional Space幣安孵化_ION

次元空間DimensionalSpace幣安孵化在了解次元空間DimensionalSpace之前我們先來簡單了解一下NFT,元宇宙以及DAO. NFT 2021年3月11日.

1900/1/1 0:00:00
Colony:90秒親手創建一個DAO_DAO

近期DAO被屢屢提起,其火熱程度無需多言。DAO是分布式自治組織,它并不屬于任何一個人,成員有著共同的目標,個體自主為自己的目標做出貢獻,圍繞著同一使命而前進.

1900/1/1 0:00:00
Ronin:推動 Axie Infinity 增長的引擎_RON

引言 以太坊?(Ethereum)?的?Layer-1?并非專用于游戲。游戲交易追求高速、廉價,這樣才能擴大和促進每天發生的數千甚至數百萬筆微交易。用戶體驗必須無縫順暢且令人樂在其中.

1900/1/1 0:00:00
ads