CertiK:Github用户1400枚比特币被盗事件分析_CTR:LEC

有天,你在支付宝操作转账时,弹窗提示你因版本过低而导致转账失败。

如果弹窗内不仅仅提示你交易失败,还附上支付宝更新链接,大部分人可能都会顺手点击链接进行更新。如果这个链接是个钓鱼链接,直接获取了你的转账权限,那么代表你账户内的钱也会被无情转移。这次,就有一个用户遭遇了类似的情况。

Balancer生态收益治理平台Aura Finance将于6月9日开启LBP和上线:金色财经消息,SushiSwap联合创始人0xMaki将要推出的Balancer生态收益治理平台Aura Finance发推称,将于6月10日2:00进行为期5天的LBP,同时Aura合约和网站也将上线。在前两周,AURA总供应量的2%将分配给auraBAL质押者(包括选择锁定空投的用户)。Aura Finance将在6月16日开启aura BAL存款和加速流动性激励,同时开始向Balancer、Convex Finance和lobsterdao社区发放空投,不想锁定AURA的用户将需要为其空投认领支付30%的罚款,这些空投罚款将在协议启动一个月后累积并自动分配给vlAURA持有者。6月23日,vlAURA持有者将能够投票决定Aura的veBAL投票权应投向何处。[2022/6/5 4:02:59]

CertiK:Diaos项目发生Rug Pull:金色财经报道,北京时间5月11日凌晨2点,CertiK安全团队发现Diaos项目价格暴跌,其代币所有者利用mint()函数向所有者地址铸造了100万枚Diaos代币。该所有者将所有100万枚代币发送到了另一个账户(地址为0xC265191e1F5fC5a95F8E1d58f366c4b05011A6EE),随后该账户立即开始向其他地址分发代币并通过Pancake Swap出售代币。经多方验证,该项目属于Rug Pull跑路项目,CertiK在此提醒大家甄别风险,谨慎投资![2022/5/11 3:05:45]

北京时间8月31日,CertiK天网系统(Skynet)检测到,Github用户“1400BitcoinStolen”1400枚比特币被盗事件的代币,已开始被输送到多个不同的地址当中。受害者在electrum的Githubissue中讲述了自己丢失了1400个比特币并贴出了自己的比特币钱包地址.

萨尔瓦多驻美大使:更多比特币投资者将来到萨尔瓦多:金色财经报道,据Bitcoin Magazine消息,萨尔瓦多驻美国大使表示,更多比特币投资者将来到经济自由之地萨尔瓦多。[2023/1/2 22:20:06]

在区块链浏览器(参考链接3)中可以看到8月30日一共1404枚BTC从他的钱包中被取出,存入了黑客的钱包中。

Bybit 宣布设立 1 亿美元基金以支持机构客户:11月24日消息,Bybit 宣布设立 1 亿美元基金以支持机构客户,将向其平台上的现有和新做市商以及专业客户经理提供最高 1000 万美元的资金支持。[2022/11/24 8:04:29]

事件还原与分析

该用户使用的是Electrum比特币钱包,上次使用是在2017年。此后Electrum已经发布了安全更新,但该用户一直没有安装。用户在使用Electrum进行交易时,钱包会向服务器广播一笔交易,如果这笔交易出现了问题,服务器将返回错误信息并以弹窗的形式展现给用户。3.3.2版本之前的Electrum钱包不会对服务器返回的错误信息进行验证,甚至还会对返回的信息进行html渲染。值得一提的是,任何人都可以去搭建一个Electrum节点服务器。如果一个用户连接到了攻击者的服务器并发起了一笔交易,服务器可以返回任何设计好的错误信息。比如返回一个让用户去更新Electrum钱包的错误信息,如下图所示。

然而,图中的链接指向了攻击者自己写的恶意软件,一旦用户下载安装该软件并把自己的钱包导入其中,钱包里所有的比特币就会被攻击者转走。这其实本质上是一种钓鱼攻击,但由于攻击者发出的钓鱼信息是通过Electrum官方钱包展示出来的,很多人都会信以为真。在本次事件中,受害者的钱包连接上了攻击者所控制的服务器,导致其收到了服务器发出的钓鱼信息,进而被攻击者转走了自己的所有比特币。Electrum钱包存在的该问题早在2018年底就引起了广泛讨论(参考链接4)。Electrum官方在2019年,钱包版本3.3.4中对该问题进行了修复,后续版本的Electrum钱包不再会将服务器返回的内容直接展示给用户,也不会对其进行html渲染。此外,由于旧版本的钱包仍然存在这个问题,因此所有的正常的服务器会对3.3版本之前的钱包进行拒绝服务攻击,以强制用户进行更新。CertiK安全团队建议

用户在使用钱包进行交易的时候,需确保钱包为最新版本,已防旧版本的钱包可能存在可被黑客利用的漏洞。用户在下载钱包更新的时候要注意验证下载URL是否与官方一致,在下载完成后要对钱包的签名进行验证。对于钱包开发团队,需要寻找专业团队做好测试工作,以免项目出现漏洞给用户带来损失。参考链接:1.https://github.com/spesmilo/electrum/issues/50722.https://zhuanlan.zhihu.com/p/539206883.https://www.blockchain.com/4.https://github.com/spesmilo/electrum/issues/49685.http://twitter.com/electrumwallet/status/1106479573917724672

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

[0:15ms0-6:895ms