慢霧余弦：詳解DNS劫持，如何防范相關風險？_HTT

DNSHijacking(劫持)大家應該都耳濡目染了，歷史上MyEtherWallet、PancakeSwap、SpiritSwap、KLAYswap、ConvexFinance等等以及今天的CurveFinance，十來個知名加密貨幣項目都遭遇過。但很多人可能不一定知道其劫持的根本原因，更重要的是如何防御，我這里做個簡單分享。DNS可以讓我們訪問目標域名時找到對應的IP：Domain->IP_REAL如果這種指向關系被攻擊者替換了：Domain->IP_BAD(攻擊者控制)那這個IP_BAD所在服務器響應的內容，攻擊者就可以任意偽造了。最終對于用戶來說，在瀏覽器里目標域名下的任何內容都可能有問題。DNS劫持其實分為好幾種可能性，比如常見的有兩大類：域名控制臺被黑，攻擊者可以任意修改其中的DNSA記錄(把IP指向攻擊者控制的IP_BAD)，或者直接修改Nameservers為攻擊者控制的DNS服務器；在網絡上做粗暴的中間人劫持，強制把目標域名指向IP_BAD。第1點的劫持可以做到靜默劫持，也就是用戶瀏覽器那端不會有任何安全提示，因為此時HTTPS證書，攻擊者是可以簽發另一個合法的。第2點的劫持，在域名采用HTTPS的情況下就沒法靜默劫持了，會出現HTTPS證書錯誤提示，但用戶可以強制繼續訪問，除非目標域名配置了HSTS安全機制。重點強調下：如果現在有Crypto/Web3項目的域名沒有強制HTTPS(意思是還存在HTTP可以訪問的情況)，及HTTPS沒有強制開啟HSTS(HTTPStrictTransportSecurity)，那么對于第2點這種劫持場景是有很大風險的。大家擦亮眼睛，一定要警惕。對于項目方來說，除了對自己的域名HTTPS+HSTS配置完備之外，可以常規做如下安全檢查：檢查域名相關DNS記錄(A及NS)是否正常；檢查域名在瀏覽器里的證書顯示是否是自己配置的；檢查域名管理的相關平臺是否開啟了雙因素認證；檢查Web服務請求日志及相關日志是否正常。對于用戶來說，防御要點好幾條，我一一講解下。對于關鍵域名，堅決不以HTTP形式訪問，比如：http://examplecom而應該始終HTTPS形式：https://examplecom如果HTTPS形式，瀏覽器有HTTPS證書報錯，那么堅決不繼續。這一點可以對抗非靜默的DNS劫持攻擊。對于靜默劫持的情況，不管是DNS劫持、還是項目方服務器被黑、內部作惡、項目前端代碼被供應鏈攻擊投等，其實站在用戶角度來看，最終的體現都一樣。瀏覽器側不會有任何異常，直到有用戶的資產被盜才可能發現。那么這種情況下用戶如何防御呢？用戶除了保持每一步操作的警惕外。我推薦一個在Web2時代就非常知名的瀏覽器安全擴展：@noscript(推特雖然很久很久沒更新，不過驚喜發現官網更新了，擴展也更新了)，是@ma1的作品。NoScript默認攔截植入的JavaScript文件。

慢霧：警惕針對 Blur NFT 市場的批量掛單簽名“零元購”釣魚風險:金色財經報道，近期，慢霧生態安全合作伙伴 Scam Sniffer 演示了一個針對 Blur NFT 市場批量掛單簽名的“零元購”釣魚攻擊測試，通過一個如圖這樣的“Root 簽名”即可以極低成本（特指“零元購”）釣走目標用戶在 Blur 平臺授權的所有 NFT，Blur 平臺的這個“Root 簽名”格式類似“盲簽”，用戶無法識別這種簽名的影響。慢霧安全團隊驗證了該攻擊的可行性及危害性。特此提醒 Blur 平臺的所有用戶警惕，當發現來非 Blur 官方域名(blur.io)的“Root 簽名”，一定要拒絕，避免潛在的資產損失。[2023/3/7 12:46:39]

慢霧：NimbusPlatform遭遇閃電貸攻擊，損失278枚BNB:據慢霧安全團隊情報，2022 年 12 月 14 日， BSC 鏈上的NimbusPlatform項目遭到攻擊，攻擊者獲利約278枚BNB。慢霧安全團隊以簡訊的形式分享如下：

1. 攻擊者首先在 8 天前執行了一筆交易（0x7d2d8d），把 20 枚 BNB 換成 NBU_WBNB 再換成 GNIMB 代幣，然后把 GNIMB 代幣轉入 Staking 合約作質押，為攻擊作準備；

2. 在 8 天后正式發起攻擊交易（0x42f56d3），首先通過閃電貸借出 75477 枚 BNB 并換成 NBU_WBNB，然后再用這些 NBU_WBNB 代幣將池子里的絕大部分 NIMB 代幣兌換出；

3. 接著調用 Staking 合約的 getReward 函數進行獎勵的提取，獎勵的計算是和 rate 的值正相關的，而 rate 的值則取決于池子中 NIMB 代幣和 GNIMB 代幣的價格，由于 NIMB 代幣的價格是根據上一步閃電貸中被操控的池子中的代幣數量來計算的，導致其由于閃電貸兌換出大量的代幣而變高，最后計算的獎勵也會更多；

4. 攻擊者最后將最后獲得的 GNIMB 代幣和擁有的 NIMB 代幣換成 NBU_WBNB 代幣后再換成 BNB，歸還閃電貸獲利；

此次攻擊的主要原因在于計算獎勵的時候僅取決于池子中的代幣數量導致被閃電貸操控，從而獲取比預期更多的獎勵。慢霧安全團隊建議在進行代幣獎計算時應確保價格來源的安全性。[2022/12/14 21:44:29]

但是NoScript有一點的上手習慣門檻，有時候可能會很煩，我的建議是對于重要的域名訪問可以在安裝了NoScript的瀏覽器(比如Firefox)上進行，其他的盡管在另一個瀏覽器(如Chrome)上進行。隔離操作是一個很好的安全習慣。許多你可能覺得繁瑣的，駕馭后、習慣后，那么一切都還好。但是這并不能做到完美防御，比如這次@CurveFinance的攻擊，攻擊者更改了其DNSA記錄，指向一個IP_BAD，然后污染了前端頁面的：https://curvefi/js/app.ca2e5d81.js植入了盜幣有關的惡意代碼。如果我們之前NoScript信任了Curve，那么這次也可能中招。可能有人會說了要不要多安裝一些瀏覽器安全擴展，我的看法之前已經提過：

慢霧：Transit Swap事件中轉移到Tornado Cash的資金超過600萬美元:金色財經報道，慢霧 MistTrack 對 Transit Swap 事件資金轉移進行跟進分析，以下將分析結論同步社區：

Hacker#1 攻擊黑客（盜取最大資金黑客），獲利金額：約 2410 萬美元

1: 0x75F2...FFD46

2: 0xfa71...90fb

已歸還超 1890 萬美元的被盜資金；12,500 BNB 存款到 Tornado Cash；約 1400 萬 MOONEY 代幣和 67,709 DAI 代幣轉入 ShibaSwap: BONE Token 合約地址。

Hacker#2 套利機器人-1，獲利金額：1,166,882.07 BUSD

0xcfb0...7ac7(BSC)

保留在獲利地址中，未進一步轉移。

Hacker#3 攻擊模仿者-1，獲利金額：356,690.71 USDT

0x87be...3c4c(BSC)

Hacker#4 套利機器人-2，獲利金額：246,757.31 USDT

0x0000...4922(BSC)

已全部追回。

Hacker#5 套利機器人-3，獲利金額：584,801.17 USDC

0xcc3d...ae7d(BSC)

USDC 全部轉移至新地址 0x8960...8525，后無進一步轉移。

Hacker#6 攻擊模仿者-2，獲利金額：2,348,967.9 USDT

0x6e60...c5ea(BSC)

Hacker#7 套利機器人-4，獲利金額：5,974.52 UNI、1,667.36 MANA

0x6C6B...364e(ETH)

通過 Uniswap 兌換為 30.17 ETH，其中 0.71 支付給 Flashbots，剩余 ETH 未進一步轉移。[2022/10/6 18:41:10]

慢霧余弦：多數穩定幣都有拉黑地址操作，未來或看到更多黑地址:金色財經報道，慢霧科技創始人余弦剛剛發微博稱，不少人驚訝USDT、USDC有拉黑地址的操作，其實GUSD、PAX、TUSD等知名穩定幣都有。智能合約代碼就在那，設計文檔就在那，都能看到可以滿足AML(反洗錢)/CTF(反恐融資) 的設計，從誕生起就有的設計。未來可以看到更多黑地址的出現。AML/CTF如果精準，那絕對是好事，當然如果誤傷，那就麻煩了。 ????[2020/7/11]

這個話題我暫時先介紹到這，目的是盡可能把其中要點進行安全科普。至于其他一些姿勢，后面有機會我再展開。原地址

Tags：HTTTPSBNBUSDHTT價格tps幣圈bnb可以和幾個女主互動mStable USD

幣贏