首發 | 區塊鏈保險項目Nexus Mutual攻擊事件解析_區塊鏈

本文由CertiK供稿，授權金色財經首發。

北京時間12月14日晚5點40分，CertiK Skynet天網監控發現一筆來自Nexus Mutual創始者Hugh Karp賬戶的巨額交易，該交易轉移共37萬NXM代幣到不明賬戶中。

CertiK安全驗證團隊迅速展開調查分析，認為該次交易是針對Hugh Karp賬戶的黑客攻擊。

順便給大家計算了一下

37萬NXM=833萬美金。

事件經過

整個攻擊流程如下：

攻擊者賬戶地址為：

0x09923e35f19687a524bbca7d42b92b6748534f25

首發 | 火幣集團全球業務副總裁：監管將決定區塊鏈技術和加密貨幣的落地速度:1月21日，火幣集團全球業務副總裁Ciara Sun在達沃斯世界經濟論壇上表示，對區塊鏈和數字貨幣的監管態度，2019年是重要的一年。在美國，到2019年底，針對加密貨幣和區塊鏈政策有21項法案，這些法案包括稅收問題，監管結構，跟蹤功能和ETF批準，哪些聯邦機構監管數字資產等。歐盟（EU）在2020年1月10日實施了一項新法律，要求加密貨幣平臺采取更嚴格的反洗錢做法。瑞士，日本，立陶宛，馬耳他和墨西哥通過法律，要求交易所必須根據KYC和AML準則獲得許可。中國，土耳其，泰國等國家正在計劃自己的中央銀行數字貨幣（CBDC）。而監管將決定區塊鏈技術和加密貨幣的落地速度。[2020/1/22]

部分攻擊獲得代幣已經通過交易

首發 | 劉堯：百度區塊鏈推出天鏈平臺賦能鏈上業務:12月20日，由CSDN主辦的“2019中國區塊鏈開發者大會”12月20日在北京舉行。百度智能云區塊鏈產品負責人劉堯以《企業區塊鏈賦能產業創新落地》為主題進行了演講，他指出：2020年將是區塊鏈企業落地的元年，為了支持中國區塊鏈的產業落地，百度將區塊鏈進行平臺化戰略升級，依托百度智能云推出天鏈平臺，就是要賦能360行的鏈上業務創新落地。[2019/12/20]

0xfe2910c24e7bab5c96015fb1090aa52b4c0f80c5b5c685e4da1b85c5f648558a

在1inch.exchange進行交易。

首發 | 此前18000枚BTC轉賬是交易所Bithumb內部整理:北京鏈安鏈上監測系統發現，北京時間10月24日，17:07分發生了一筆18000枚BTC的轉賬，經分析，這實際上是交易所Bithumb的內部整理工作，將大量100到200枚BTC為單位的UTXO打包成了18筆1000枚BTC的UTXO后轉入其內部地址。通常，對各種“面值”的UTXO進行整數級別的整理，屬于交易所的規律性操作。[2019/10/24]

攻擊交易地址：

0x4ddcc21c6de13b3cf472c8d4cdafd80593e0fc286c67ea144a76dbeddb7f3629

首發 | DVP: Bitstamp交易所存在漏洞 可導致大量KYC等信息被泄露:金色財經訊，近日，DVP收到安全人員提交的全球知名交易所Bitstamp的漏洞，攻擊者可以利用該漏洞查看大量用戶ID、銀行卡等敏感信息，嚴重威脅用戶信息安全。為避免發生KYC泄露的惡性事件，DVP安全團隊在收到該漏洞后，第一時間通知該平臺進行修復，但未收到回應。DVP提醒相關用戶關注個人信息安全，以免造成損失。[2019/8/13]

圖一：攻擊交易細節截圖

根據官方披露細節, 攻擊者通過獲得Hugh Karp個人計算機的遠程控制后，對計算機上使用的Metamask插件進行修改, 并誤導其簽署圖一中的交易——這筆交易最終將巨額代幣轉移到攻擊者的賬戶中。

CertiK團隊根據目前已有信息，推測Hugh在日常使用Metamask時，被攻擊者修改后的插件生成了這筆巨額代幣的轉賬請求，隨后Hugh使用他的硬件錢包簽名了這筆交易。

作為一個應用，瀏覽器插件和普通網站的前端組成是相似的，它們都由HTML和JavsScript搭建而成。瀏覽器插件的代碼會存在用戶的電腦中。

關于黑客是如何修改的Metamask插件的，CertiK團隊做出以下猜測:

1. 黑客在獲得了在Hugh Karp的個人電腦的控制權后，通過遠程桌面打開瀏覽器，直接安裝了修改過后的Metamask插件。

2. 黑客在Hugh Karp的個人電腦上找到了Metamask插件的安裝路徑, 對其中代碼進行了修改, 在修改完成后，將修改后的插件加載到瀏覽器中。

3. 黑客利用瀏覽器自帶的的命令行工具, 修改瀏覽器安裝的插件。

官方披露的細節中提到了Hugh Karp使用的是硬件錢包, 但并未說明是哪款硬件錢包。

應是Trezor或者Ledger之一，因為Metamask只支持以上兩個硬件錢包。

在使用硬件錢包的情況下，Metamask中的交易需要在硬件錢包中進行確認并使用存在硬件錢包中的私鑰簽名。

目前上面兩款硬件錢包在硬件的確認交易時，硬件屏幕上都會顯示轉賬接受地址，以供使用者進行最終確認。

此次攻擊中，黑客應該無法修改硬件屏幕中交易確認界面顯示的地址，由此推測Hugh Karp在硬件錢包上進行最終確認時，并未留意到交易的對象是黑客的地址。

圖二：Ledger確認交易時的屏幕顯示

來源: https://www.youtube.com/watch?v=9_rHPBQdQCw

區塊鏈保險平臺創始人賬號被攻擊，更是說明了保險的重要性。

高密度爆發的黑客事件是一個警示。

在區塊鏈的網絡世界中無論你是什么人，擁有怎樣的角色身份，黑客不會因為你的僥幸心理就繞過你，安全事故造成的損失可能會發生在每個人身上。

而且就算使用硬件錢包，人也不可能一輩子百分之一百不犯錯誤。

CertiK安全驗證團隊根據此次攻擊，提出如下安全建議：

1. 任何安全系統和操作環境不僅需要程序安全驗證，更加需要專業的滲透測試來對整體產品安全進行驗證。

2. 為了確保數字資產不因任何非技術原因遭受損失，項目方應及時為項目產品購買保險，增加項目方和投資者的安全保障方案，確保其因受到攻擊所造成的損失可以被及時補償。

Tags：區塊鏈TAMHUGASK有人靠區塊鏈4天就掙了30萬tamadoge幣漲到多少HUGOmetamask官方下載手機版

XLM