原文標題:《囂張的黑客,和正在消失的防護網...……》
失序的區塊鏈行業里,時刻隱藏著風險,黑客就是其一。就像武俠里的江洋大盜,他們隨時出沒在存儲著大量數字貨幣的區塊鏈錢包、交易所、DApp里,伺機挖掘漏洞,竊取資產。
據粗略統計,近一個月內,區塊鏈領域涉百萬以上黑客攻擊事件近5起。
另一面,多數項目拿這些黑客并沒有辦法。尤其是幣圈進入熊市大半年以來,不少公司都鬧錢荒。區塊鏈安全防護系統因資金匱乏,防護能力正在變弱。
安全團隊BYSECCOO劉澤坤告訴記者,其平臺上注冊有5000多名網絡安全工程師,但在「生存第一」的熊市下,安全防護下降為弱需求。目前愿意付費做安防的僅有10余家。
代碼安全無法守護,共識安全也岌岌可危。
熊市中,一部分礦工由于入不敷出關機蟄伏,直接導致了PoW網絡算力下跌,閑置算力成為「散兵游勇」,威脅著公鏈的安全。
礦工是共識安全的守護者,他們的缺位給了攻擊者可趁之機,本月初ETC遭遇51%攻擊即是一例。
這張本該嚴密的安全防護網,隨著熊市的持續,一個個牽引的防護點正在消失。
派盾:OlympusDAO黑客已將竊取資金歸還:10月22日消息,據派盾監測,OlympusDAO黑客已將竊取資金歸還給DAO。派盾澄清道,雖然漏洞是真的,但這不是OlympusDAO合約,受影響的合約是由 Bond Protocol編寫的,用來測試推出OHM債券。
此前報道,10月21日,據派盾監測,OlympusDAO 的 BondFixedExpiryTeller 合約中的 redeem() 函數因無法正確驗證輸入導致了約 29.2 萬美元的損失。[2022/10/22 16:35:33]
頻繁的攻擊
去年12月27日發生的錢包釣魚事件可能是近來最大的黑客攻擊事件。
據Cointelegraph消息,當日有用戶在社交媒體上爆料,有團體正在對加密貨幣錢包Electrum進行惡意攻擊,并竊取了近250個BTC。
消息隨后獲得Electrum證實,據介紹,該攻擊主要通過創建一個假版本的錢包,來騙取用戶的密碼信息。
2018年下半年,幣圈進入了明顯的熊市,不少項目開始減員收縮。但黑客永不眠,那些匯集資金的地方永遠是黑客的目標。
區塊鏈安全平臺DVP聯合創始人鄧煥也告訴記者,今年12月以來,越來越多的攻擊者將目光投向了EOSDApp。
EXMO在周一的黑客攻擊中損失了全部加密資產的6%:金色財經報道,加密貨幣交易所EXMO對在周一的安全漏洞中損失的加密貨幣做出了新的估計,稱其近6%的加密資產被盜。該平臺最初估計其加密貨幣的5%已丟失,目前仍在計算美元價值的總損失。[2020/12/23 16:10:56]
根據區塊鏈安全網bcsec統計,12月份其搜索到區塊鏈領域發生的攻擊事件共有20余起,對行業造成損失約190萬美元,其中90%受攻擊的對象是EOS上的DApp。
1月16日凌晨03:47-03:55之間,DAppShield監測到,有黑客向EOS競猜類游戲「影骰」發起連續攻擊,獲利超1萬個EOS。黑客采用的交易阻塞攻擊手段。一個月來,黑客已經憑借該手段發動了4次攻擊。
12月18日晚間至19日凌晨,多個EOS頭部DAPP則遭遇回滾交易攻擊。
遭受攻擊的幾款游戲基本為EOS頭部較活躍的競猜類游戲:EOSMax、ToBet、BigGame和BetDice。據PeckShield的數據,其中,BetDice一周日均活躍用戶數超5000人,交易額也在5000萬EOS以上。
與此同時,黑客利用重放攻擊漏洞攻破另一款競猜類游戲TRUSTBET。
數據庫公司MongoDB遭網絡攻擊,黑客索要比特幣贖金:金色財經報道,跨平臺數據庫公司MongoDB遭受了網絡攻擊,黑客團伙通過擦除其內容滲透了22,900個不安全的數據庫。此后,該團伙要求支付比特幣以換取數據備份。根據網絡安全公司ESET的WeLiveSecurity的說法,如果贖金在兩天內沒有支付,該團伙威脅將通知負責執行歐盟《通用數據保護條例》(GDPR)的當局。ZDNet發布的一份報告解釋稱,在攻擊中受損的數據庫幾乎占MongoDB所有數據庫的47%。黑客要求每個數據庫支付0.015 BTC(約合140美元),因此要求的總金額超過320萬美元。[2020/7/3]
這些集中攻擊,讓幾款游戲共損失303404.18EOS。以EOS當時的單價18元來測算,黑客盜走的金額達546萬元。
對于這次攻擊,蔣旭憲曾表示,這次攻擊背后是同一個團伙或個人。另外,ECAF追回盜取的EOS預計難度較大,目前已經牽涉到1808個賬戶,數量還在增長中。
鄧煥分析指出,從早期針對以太坊的TheDAO,到最近的BCE、SMT代幣等事件,以太坊生態已經經過了一場來自黑客的「血的洗禮」,生態環境逐漸趨于安全。而DApp生態的第二翹楚EOS目前正處于蠻荒生長階段,于是黑客開始將魔爪伸向這里。
動態 | 媒體:幣安KYC資料再遭直播 黑客與幣安談判記錄全曝光:8月14日消息,名為Guardian J的用戶像此前的Guardian M一樣,開始在電報群里小范圍地直播幣安KYC資料。此次所泄露的資料注冊時間均為2018年2月26日。 根據黑客與幣安工作人員完整對話截圖文件,對話雙方為黑客John Amat和幣安工作人員Symbiotic。該黑客身份目前暫時無法查證,經過在幣安官方電報群進行查證,確實存在名為Symbiotic的工作人員。文件主要披露以下信息: 1. 黑客稱幣安內部有內鬼,幣安工作人員稱之前也被告知過這個信息。 2. 黑客展示了其手中擁有的幣安用戶KYC資料,且幣安并不清楚這些資料的來源。 3. 黑客愿意披露盜幣黑客以及幣安內鬼的相關信息,但要求幣安分期付300個BTC。 截圖信息顯示,對話發生在7月10日-7月20日之間。這早于黑客Guardian M直播幣安KYC資料,同時也早于Coindesk披露“黑客與幣安首席增長官林義翔談判”的時間。就這份對話截圖的真實性,幣安CMO何一表示,這些截圖真實性尚待驗證。如果任何人能夠提供對幣安安全有用的信息,幣安都愿意付幣,黑客在勒索過程中沒有提供真正有效的信息。(深鏈財經)[2019/8/14]
囂張的攻擊者
黑客從ATM偷12億美元,靠加密貨幣捕獲:29日消息,據國外媒體Futurism報道,2013年起一些黑客瞄上一些大銀行,欺騙銀行系統下載ATM機入侵軟件。這種軟件會指示ATM機大吐鈔票,同伙把錢撿走并轉入罪犯的賬戶中,這些錢最終被轉入加密貨幣平臺上。以這種方式,黑客盜取了超過10億歐元(合12億美元)的資金。歐洲刑警組織最近逮捕了四名盜竊分子,其中包括一名在西班牙被捕的“主謀”。該組織并未公布這些罪犯被拘捕的地方。[2018/3/29]
對于黑客而言,攻擊這種從別人口袋里掏錢的生意,只有錢難不難掏,沒有錢多錢少的分別。
我們知道,交易所是幣圈最大的聚寶盆,亦是黑客攻擊的高發地。即使在交易量大幅萎縮的境況下,交易所亦逃不過黑客的「摸排」。
賀凱是X交易所的市場負責人。「盡管在各個行情網站上排不上名,但被黑客‘打’卻是家常便飯。」
據他介紹,全球有約1.5萬家交易所,在業內稍微能說的出名字的,基本上三天兩頭就要來一次攻防戰。身處這個「聚寶盆」中,他已經見怪不怪。
但去年11月份的那次黑客尋釁事件,讓賀凱哭笑不得。
那天中午,X交易所的客服像往常一樣在微信群里和用戶聊天。
突然有人加她,沒有注明名字和事由,她通過了。
不料對方一上來就像查戶口似的問:「哎,你是X交易所的嗎?」
「你們其他聯系方式能給我一個嗎?」
對方看客服沒反應補充了句,「我要「打」你們了,怕到時聯系不上你們。這個是你們的啰?」
客服當時明白了,跟她聊天的這個人可能是個黑客。常規的黑客攻擊是先攻擊再勒索,而且最好能攻其不備以降低成本。待攻下后再聯系被攻擊方商談「贖金」事宜。
但這個黑客似乎勝券在握,就等著攻擊結束后的談判了。
「真是活久見」,客服心想。無奈,客服只得回復他:「你先打吧,打完再說。」
作為區塊鏈「白帽子」平臺的調度人,鄧煥沒少見這類令人咋舌的攻擊。
去年12月5日,幣安發布了一個去中心化交易所DEX。消息出來的第二天,DVP即觀察到,社交軟件中有個冒充DEX斂財釣魚網站。
下圖是該釣魚網站的主頁。從UI上看簡直可以以假亂真。
該網站放著幣安此前發布的DEX的宣傳視頻。并配文虛構了一個活動,稱為慶祝DEX的推出,特向全球粉絲贈送5000BTC作為回饋。參與活動的用戶需要先驗證地址,驗證時需發送0.1-10個BTC到指定地址,而后將獲得貢獻BTC數的10倍BTC。
在轉賬頁面,還伴有實時更新的獎池數量、該地址的轉賬交易記錄以及參與用戶的即時評價等,十分逼真。DVP當即發現有人轉賬,那些幣隨即被提走。
DVP向幣安報告了該情報。但該釣魚網站作為外部網站,幣安也拿他沒辦法。
DVP還發現,這個第二天就能上線高仿網站的攻擊者,之前還用同樣的手段模仿過OKEX,可謂在失序的世界中無法無天。即使熊市如此之涼,它也能抓住熱點穩賺一筆。
脆弱的「防護網」
在這些安全事件背后,是黑客不分牛熊的攻擊和熊市中防護網缺失的矛盾。
有數據顯示,目前全球有10000的區塊鏈項目,區塊鏈安全服務公司卻只有不到50家。從紅藍對抗的角度講,紅隊就要比藍隊弱得多。再遇熊市,恐會讓這一狀況更加惡劣。
當前,各個項目方、服務商在寒冬中縮小成本,其在安全上的需求也繼續弱化。這形成了一個惡性循環,在安全上投入越低便越容易遭到攻擊,造成的損失又將給項目方帶來致命的災難。
安全團隊BYSEC的COO劉澤坤和記者講了上個月發生的一個案例。一個以太坊上的菠菜類DApp遭遇黑客攻擊,數萬個ETH被盜,盡管其已做過基本的審計,但離相對安全仍然很遠。
按理說,每個項目都應投入10%的錢來保障100%的資金的安全,但很多團隊在縮減開支中跳過了這一步。
BYSEC團隊是個「白帽子」平臺,其上注冊了5000余名「白帽子」,大多是傳統安全業人員,在上面兼職挖漏洞領取賞金。
到了熊市,平臺上仍在支付賞金的項目方僅有10余家,BYSEC團隊只能提示平臺上的「白帽子」盡量只在這些付費廠家中挖洞,不然可能要變成「楊白勞」。
其他的廠家,要么沒有付費意愿,要么沒有付費能力。
在BYSEC發現一些交易所的重大漏洞后,劉澤坤帶著這些漏洞去聯系交易所,希望安全服務能得到適當回報。
但對方給出的答復卻經常是,「你們的這個服務的確很好,我們也很需要,但老實說我們的收入都沒這么多,實在是付不起。」「活都活不下去了,還講什么安全。就好像我都吃泡面了,你還跟我說泡面不健康。」
轉型謀生存
進入安全行業的錢變少了。一面沒了新的客戶、新的投入,一面是存量客戶已被瓜分殆盡。
安全團隊處境維艱。
慢霧安全團隊在此前的采訪時表示,蓬勃發展后,會進入類似紅海的階段,需要大家進行差異化競爭。比如現在經常有客戶問我們:你們和別人有什么不一樣?
大家需要進行差異化競爭才能活下來,BYSEC也認同這個觀點,并且正在考慮轉型。劉澤坤透露,團隊打算利用在安全行業的積累做一款數字貨幣的支付網關SAAS,面向數字貨幣的商家和C端用戶。
從服務對象和應用場景看,這似乎已和安全行業脫鉤了。但行業沒有生意,像BYSEC這樣的平臺并沒有什么好的辦法。
唯一值得欣慰的或許是,以技術見長的白帽子,如果要回到互聯網或是在其他領域做安全,轉換的成本不算太高。
本文來源于非小號媒體平臺:
Odaily星球日報
現已在非小號資訊平臺發布1篇作品,
非小號開放平臺歡迎幣圈作者入駐
入駐指南:
/apply_guide/
本文網址:
/news/3627120.html
區塊鏈
免責聲明:
1.資訊內容不構成投資建議,投資者應獨立決策并自行承擔風險
2.本文版權歸屬原作所有,僅代表作者本人觀點,不代表非小號的觀點或立場
下一篇:
BHB到底是什么「暗黑」項目?又為何讓30000人趨之若鶩?
JeremyAllaire該創業公司的聯合創始人兼首席執行官在一條推文中寫道“Circle仍然強大而健康,我們將繼續推動全球新產品創新和增長,與提供有關數字資產業務的前瞻性政策的司法管轄區合作.
1900/1/1 0:00:00據PeckShield數據顯示,近兩天來,曾于1月份盜取新西蘭交易所Cryptopia的黑客開始了密集的洗錢行動,截至目前,黑客共計將4,787個ETH轉入了火幣交易所.
1900/1/1 0:00:00荷蘭金融情報和調查服務局(FIOD)已經關閉了cryptomixing的網站Bestmixer.io.
1900/1/1 0:00:00比特幣開發者JimmySong近日對VitalikButerin的說法提出了質疑。VitalikButerin表示,為了推出與以太坊2.0相關的一系列升級,該項目取得了必要的“研究突破”.
1900/1/1 0:00:00北京時間5月21日凌晨,趣頭條今日發布了截至3月31日的2019財年第一財季財報。報告顯示,趣頭條第一財季凈虧損為人民幣6.882億元,相比之下上年同期的凈虧損為人民幣3.026億元,虧損額同比.
1900/1/1 0:00:00本文觀點僅代表個人,僅限交流學習,所有內容不構成任何投資建議。想及時了解更多行情信息,請添加官方微信進群:jiamibaoluo.
1900/1/1 0:00:00