咖說 | 2020年度區塊鏈/密碼學貨幣行業主要安全事故回顧
2021-07-26 20:51:26 次浏览
火幣網(huobi.com)最新可用網址（點擊下圖直達註冊！）
火必交易所，曾经的火币交易所！
欧易OKX三大交易所，稳定好用！
币安全球第一大交易所！安全！
收集一眾行業大咖觀點，探索區塊鏈商業及應用。百傢爭鳴、百花齊放，說理、解密、預測和八卦，瞭解行業內幕，看咖說就夠瞭！
投稿請聯系 ：tougao@conflux-chain.org
本文轉
自“以太坊愛好者”，
作者：Harry，翻譯：曾汨 & 阿劍。
在經歷瞭動蕩的 2019 年之後，2020 年情況如何？一起來回顧一下。
要瞭解我們的寫作思路，請查看我們之前寫的 2019 年度回顧。
如果 2019 年可以概括為一次狂野之旅，那麼 2020 年則完全是不按常理出牌。
在這一年裡，我們發表瞭許多文章，聊到瞭從釣魚者那裡追回資產的白帽、推動惡意瀏覽器插件擴散的大型活動、防止密碼貨幣資產丟失的十大行動指南，以及 Risky Business：DeFi。我們發表的每篇文章都提到瞭用戶在使用密碼學貨幣時應當註意的各種威脅要素，並附有現實生活中的實例。這些文章所分享的信息不僅適用於 MyCrypto 和以太坊用戶 —— 這些經驗教訓可以被應用到整個行業，無論你喜歡哪條鏈、交易所或者錢包。
讓我們再深入地回顧一下這些事故，看看發生瞭什麼，以及我們作為一個行業可以從中學到什麼教訓。
以下清單列出瞭 2020 年發生的主要安全事故。然而，我們不會把所有事故都一一列出來，因為數量實在太多瞭……
2020 年第一季度開始時有一些好消息和一些壞消息（除去全球傳染病大流行及隨後的封鎖）。我們揪出瞭一些壞蛋，也研究瞭攻擊硬件錢包的方法，但黑客攻擊和金錢損失也有所增加。
故事：密碼學貨幣交易所 Poloniex 發出密碼重置警告
概要：Poloniex 在 2019 年 12 月末的電子郵件中發佈瞭一份 PSA，宣佈一些用戶必須重置密碼，因為推特上泄漏瞭一份包含郵件地址和密碼的列表。
故事：YouTube 賬號被劫持用於密碼學貨幣詐騙
概要：盡管這算不上新的詐騙手段，但這種作案手法正變得越來越流行。騙子們事先錄制好有名人參與的密碼學貨幣大會的視頻片段，然後劫持 Youtube 賬號來廣播虛假的贈送密碼學貨幣的視頻。
故事：Upbit 在遭到 5 千萬美金的攻擊後升級 ETH 錢包的安全措施
概要：一傢韓國交易所公開表示他們的熱錢包在 2019 年 11 月被盜，損失瞭 342,000 ETH（價值大約 5 千萬美金）。
故事：少年通過 SIM 卡交換騙取區塊鏈專傢超 5 千萬美金
概要：SIM 卡交換（SIM-Swapping）在行業中是一個毒瘤。許多人認為在他們的賬戶上使用短信來做 2FA 認證會更安全。一位少年利用瞭這一點，從多個受害對象處獲利超過 5 千萬美金。這名 18 歲的少年已經被逮捕，並面臨多項刑事指控。
故事：Kraken 發現 Trezor 硬件錢包中的關鍵缺陷
概要：Kraken 交易所（安全實驗室）發現並披露瞭一種物理攻擊方法，可以從 Trezor 的大部分產品中提取出助記詞。
故事：密碼學貨幣 IOTA 在官方錢包軟件被黑後關停瞭整個網絡
概要：由於黑客利用瞭官方 IOTA 錢包（Trinity）中的一個漏洞來竊取用戶資金，IOTA 在相當長的一段時間內關停瞭他們的網絡。
故事：Risky Business：DeFi，以太坊還要繼續成長
概要：MyCrypto 的創始人 Taylor Monahan 整理瞭她在 ETHDenver 2020 上關於 DeFi 及其風險的演講。Taylor 討論瞭潛在的陷阱和此前的攻擊，我們從過去的錯誤中學到瞭什麼和沒學到什麼，以及我們在該領域該如何改進。
故事：BZx 閃電貸攻擊是否意味著 DeFi 的終結？
概要：一個熱門 DeFi 協議在短時間內遭到瞭兩次閃電貸攻擊。第一次攻擊損失瞭 1,193 ETH，第二次攻擊結束時又損失瞭 2,378 ETH。
故事：騙子繼續在英國利用 Covid-19 混亂詐騙比特幣
概要：伴隨著由冠狀病毒（COVID-19）導致全球大流行的新聞，一些不法分子通過偽裝成來自 CDC 的研究組織來請求比特幣捐款，大發恐慌之財。
盡管這是故技重施，但黑客在幾天時間內利用閃電貸對 BZx 協議發動瞭第二次攻擊。
twitter.com/dsearch3r/status/1228657292792549383
在第二季度，我們看到更多的智能合約漏洞被利用，以及一個惡意瀏覽器擴展程序的大規模擴散活動引發瞭人們的關註，該惡意擴展模仿業內知名品牌以獲取用戶的密鑰。
故事：黑客利用去中心化比特幣交易所 Bisq 的漏洞竊取瞭 25 萬美金
概要：在發現攻擊者利用軟件盜取用戶資金後，Bisq 采取瞭 “前所未有” 的應對措施並停止瞭交易。據報道，攻擊者盜走瞭 3BTC 和 4000XMR。
故事：發現針對 Ledger、Trezor、MEW、Metamask 等目標用戶的假冒瀏覽器擴展
概要：MyCrypto 和 PhishFort 發表瞭一篇研究報告，關於利用谷歌廣告來推送的、模仿知名品牌的惡意瀏覽器擴展，如何狩獵密碼學貨幣用戶。
故事：Etherscan 啟動 “ETH Protect” 來識別和標記受污染的 ETH 地址
概要：最常用的區塊鏈瀏覽器之一 —— Etherscan 推出瞭一款產品，為用戶提供關於一個地址的更多信息（污染分析），並快速顯示它們是否從一個已知的不良地址收到過密碼學貨幣。
故事：dForce 因 DeFi 智能合約漏洞損失 2500 萬美金
概要：借貸協議 dForce 據稱是修改瞭 Compound 代碼的一個分叉，遭到瞭類似於 Uniswap 流動池的攻擊。該攻擊利用瞭 imBTC 合約所用的一個標準（譯者註：指 ERC-777）。
故事：“邪惡天才少年” 被指控竊取瞭價值數百萬的密碼學貨幣
概要：Michael Terpin 提交的一份備受矚目的 SIM 卡交換控告的信息已經公佈。在攻擊發生時，主要的不法分子之一隻有 15 歲。據稱他通過交換多人的 SIM 卡竊取瞭超過 2300 萬美金。
故事：歐洲各地多臺超級計算機被入侵用於密碼學貨幣挖礦
概要：英國、德國和瑞士的多臺超級計算機感染瞭密碼學貨幣惡意挖礦軟件，通過破解的 SSH 登陸來挖取門羅 —— 一種偏重隱私保護的密碼學貨幣。
Lendf 的黑客很有趣，因為被用於實施重入攻擊的 ERC777 標準幾天前剛剛在 Uniswap 的 imBTC 流動池中被爆破。但是 dForce 沒有審計他們的系統，盡管他們也支持 imBTC。一條來自 defiprime 的長推特很好地點評瞭此事 —— 有證據表明這些代碼是從 Compound Finance 分叉而來的，即便在開源世界裡，這也是另一個棘手的問題。
故事：從釣魚事件中攔截並保衛價值 5000 美金的密碼學貨幣
概要：當我們（MyCrypto）掃描網絡釣魚工具時，我們發現瞭一個活躍行動的公開端口（open door），我們也監控瞭它們以防止用戶的私鑰被泄露。在極少數情況下，我們成功攔截瞭從受害者那裡竊取的密碼學貨幣資產。我們搶在不法分子之前清理瞭這些資產，並歸還給瞭經過驗證的所有者。
概要：2020 年 7 月 15日，Twitter 平臺上發生瞭一場大規模的賬號接管活動，其中包括利用經過驗證的政治賬號來傳銷 “信用交易”/預付費的比特幣騙局。總體而言，“僅” 有 15 萬美金被盜，相較於不法分子從他們接管的賬號中所獲得的廣泛曝光而言，這個數字有點微不足道。
故事：與幣安合作將 1 萬美金的被盜密碼學貨幣返還給受害者
概要：我們（MyCrypto）研究瞭更多的網絡釣魚活動，然後發現另一個通往不法分子所用服務器的公開端口。我們再一次混入他們的釣魚前端和不法分子的通信渠道之間，來清理那些被釣魚的資產使其不落入壞人的口袋。
概要：MyCrypto 發表瞭一篇簡短的最佳實踐十步法，其中包含瞭如何保護您的密碼學貨幣資產和關聯賬戶的明確行動指南。我們利用自己在密碼學貨幣被盜方面的豐富知識，編寫瞭一份可操作的行動清單。
故事：黑客利比特幣錢包漏洞盜走 1600 萬美金的比特幣
概要：一名用戶沒有為他的 Electrum 錢包安裝關鍵的安全更新，然後成為瞭一個（舊的）攻擊方法的受害者，導致 1,400 BTC 被盜。這名用戶被欺騙連接到一個惡意的 Electrum 服務器，該服務器允許在其錯誤彈出窗口中顯示富文本。返回的錯誤提示用戶更新他們的 Electrum軟件，但卻鏈接到瞭惡意軟件的下載地址。
概要：Samczsun（及其同伴）在一次白帽活動中成功地從一個有漏洞的合約裡拯救瞭 960 萬美金。這個故事很有意思，因為 Samczsun 解釋瞭他們是如何擊敗搶跑機器人的。他們私底下將已簽名的交易直接發給瞭礦工，而不是廣播到交易池。
概要：頗受歡迎的一傢亞洲交易所 KuCoin 熱錢包被盜，並接連收到大量比特幣和以太坊被提走的警報。KuCoin 正在與國際執法部門進行調查，並承諾使用他們的保險基金彌補客戶資金的全部損失。
Ledger 是行業領先的硬件錢包之一，在這個領域積累瞭非常多的客戶。2020 年 7 月，他們發表瞭一份聲明，稱其電子商務平臺和營銷平臺的數據遭到瞭泄漏。2020 年 7 月 14 日，他們收到瞭來自其賞金計劃的潛在數據泄漏的警報。經過內部調查， Ledger 發現此次數據泄漏發生在 2020 年 6 月 25 日，其部分客戶受到影響。2020 年 5 月，推特用戶 UnderTheBreach 發瞭一條關於潛在數據泄漏的推特。
KuCoin 存在的一個安全漏洞致使其私鑰被盜。總價值 281,000,000 美金的資產被盜。值得註意的是，在這次攻擊中多個項目協助瞭找回資金的行動，其中包括 Ocean 協議，它們分叉瞭自己的合約，移除瞭攻擊者盜走的代幣。
概要：Liquid 確認其域名和電子郵件賬戶已遭到入侵。該交易所認為，黑客可能已經獲得瞭包括郵箱地址、姓名、配送地址和加密口令在內的用戶個人信息。
故事：黑客利用 GoDaddy 雇員來攻擊密碼學貨幣網站：Liquid 和 NiceHash
概要：一份公開的報告指出，有確鑿的數據表明 NiceHash 和 Liquid 遭到瞭其服務商 GoDaddy 的侵害。
概要：一個流動性挖礦協議（Harvest 和 YearnFinance 的翻版）的智能合約存在一個隱藏的後門，允許開發者直接提走該合約內的 wBTC、ETH、DAI 。
故事：被黑後，Ledger 增加瞭比特幣賞金和新的數據安全措施
概要：Ledger 聲稱最近發生的客戶數據泄漏源於一傢流氓代理商 Shopify。Ledger 新任的首席信息安全官 Matt Johnson 建立瞭新的程序和政策，來防止未來發生數據泄漏，並宣佈懸賞 10BTC 來獲取任何可以助其逮捕黑客的信息。
故事：密碼學貨幣交易所 EXMO 聲稱總資產的 5% 被盜
概要：EXMO 在其熱錢包中檢測到可疑行為，並暫停提款以進行調查。結果是他們的冷錢包未受影響，但 5% 的熱錢包被盜瞭。
如果比較一下我們在 19 年的觀察結果，你會這個行業有很大進步空間。100% 的安全當然是不存在的，但那句話怎麼說來著，歷史也會押韻。
即使你將資產存儲在一個 “合法” 的交易所中，你仍然面臨風險。
像往常一樣，今年也充斥著對持有用戶資產的密碼學貨幣交易所的攻擊。我們看到越來越多的交易所使用保險基金來彌補損失，盡管這對於那些使用交易所的人而言最終結果是好的，但這並不值得依賴。
雖然去中心化產品（錢包，DEX 等）可能遭受得攻擊各不相同，且損失引發的關註遠遠小於大交易所受到的攻擊，但攻擊者仍有多種詭計從你的手中騙走數字資產。網絡釣魚活動，尤其是那些鼓勵用戶在網站上輸入私鑰的玩意兒，日益猖獗。隨著去中心化交易所（DEX）的崛起，用戶在 “登入”後資產被席卷一空的情況愈發普遍。
即便信任這個領域最知名的一些品牌來使用你的個人信息（包括你的收件地址），也是靠不住的。這些數據可以通過流氓雇員或軟件漏洞獲取，然後在地下市場出售。雖然利用這些個人信息的大多數威脅幾乎不會采取任何行動，但切不可掉以輕心，尤其是那些已知有大量持倉的人。你最好的方式是設置一個帶有假名的郵政信箱，用來收取現實世界中的密碼學貨幣相關物品 —— 理想情況下，你也不會希望你的傢庭地址和密碼學貨幣聯系到一起。
我們在 2021 年的目標和 2020 年相同：讓我們做得更好。
作者：，來源：Conflux中文社區
