數字貨幣:假期安全提醒：捂好錢包，黑客也要回家過年

近期，CertiK?發布了《2022?年Web3.0??行業安全報告》，在報告中我們可以看到?2022?年對于整個數字資產行業來說是艱難的一年。

2022?年惡意行為者從Web3.0?協議中盜取了價值超過?37?億美元的資產，這個數字比?2021?年的?13?億美元損失增加了?189%?。

這些資產被盜的原因大部分是由于網絡釣魚攻擊中的私鑰泄露或智能合約中的漏洞，但也有相當數量的資金是被盜于數字貨幣錢包。

這些錢包事件既影響了個人用戶，如?FenbushiCapital?的?BoShen：?4200?萬美元的數字貨幣資產被盜；也影響了大批用戶群體，如?Slope?及?Bitkeep?錢包事件，影響了超過?9000?個用戶賬戶。

然而這些事件中的一部分原本是可以避免的——因為這些漏洞可以在錢包安全評估中被發現。

CertiK?在過去幾年中已經保障了數百個錢包應用的安全。

在本文中，我們將重新審視?2022?年發生的與數字貨幣錢包相關的主要安全事件，并探討其技術細節。

此外，我們將對我們在為客戶的錢包應用程序進行研究和安全評估時發現的常見安全漏洞進行總結。文末我們將列出一些可供錢包用戶參考的安全建議，以降低被黑風險。

IMF：全球對CBDC表現出前所未有的興趣:金色財經報道，國際貨幣基金組織（IMF）副總裁李波將央行數字貨幣（CBDC）的興趣水平描述為“前所未有”。已有 40 個國家向 IMF 尋求援助，IMF 已與近 30 個國家進行了接觸。關鍵要點之一是 CBDC 興趣的各種動機，其中加密資產位居榜首。對于發達經濟體，驅動因素包括維持中央銀行對數字支付系統的參與、加強支付競爭以及支持代幣化。相比之下，新興和發展中經濟體將普惠金融視為一個主要因素。

國際貨幣基金組織希望繼續與其他國際機構合作。盡管國際清算銀行在 CBDC 方面被認為是全球主要參與者，但國際貨幣基金組織指出，國際清算銀行并不直接為大多數 EMDE（發展中經濟體）服務。[2023/4/13 14:02:13]

Slope?錢包

2022?年最著名、影響最大的加密貨幣錢包安全事件源于Slope?錢包對私鑰的不當處理。

Slope?錢包是一個非托管的數字貨幣錢包，適用于?iOS?和?Android、Chrome?瀏覽器的擴展。

它支持多個區塊鏈，但主要活躍于?Solana?區塊鏈。

2022?年?8?月?2?日晚，價值約?410?萬美元的資產在大約四個小時的時間里被從?9231?名用戶的錢包地址中盜取。

Baby Apes Society項目Discord服務器遭到攻擊:金色財經報道，據CertiK監測，Baby Apes Society項目Discord服務器遭到攻擊。請社區用戶在服務器修復之前不要點擊其發布的任何鏈接。[2022/12/12 21:38:34]

在事件發生的前幾個小時，當根本原因不明時，用戶就已出現了恐慌，Solana?區塊鏈被黑的謠言也開始不脛而走。

在攻擊發生的幾小時后，一名推特用戶發布了一張截圖，顯示了來自?Slope?移動錢包的?HTTP?流量。CertiK?發現在導入錢包賬戶時，用戶的助記詞將被發送到?Slope?的?Sentry?日志服務器，任何有權訪問日志的人都可以接管該賬戶并從該地址轉移所有資產。

該攻擊事件發生兩周后，Slope?錢包發布了“取證和事件響應報告”。

從報告中我們可以得知，?2022?年?7?月?28?日起，用戶私鑰就已經會被記錄于數據庫中，然而這一漏洞風險在經過安全審計或是內部審查后其實非常容易被發現。

發布報告后至今，Slope?錢包團隊未于社交媒體上再發表任何回應。

Profanity

Profanity?是一個基于?GPU?的?Vanity?地址生成工具，允許用戶生成自己喜歡的?Vanity?自定義外部賬戶和智能合約地址。

Smart Token Labs的TokenScript以2億美元估值完成600萬美元融資:金色財經報道，開源軟件公司 Smart Token Labs 在億萬富翁復星國際聯合創始人梁新軍領投的 TokenScript 項目中籌集了 600 萬美元，HashGlobal、Bodl 和分布式資本等投資者參與本輪融資。 該公司現已將 TokenScript 的估值從 5000 萬美元翻了兩倍至 2 億美元。Smart Token Labs 通過一項簡單的未來代幣協議（SAFT）籌集了資金。它將利用這些資金進一步開發 TokenScript，這是一個旨在改進代幣功能的框架。?[2022/9/27 22:34:23]

Profanity?使用一個隨機的種子數來將其擴展為初始私鑰，并通過?GPU?根據初始私鑰計算數百萬個帳戶，以此暴力創建滿足用戶要求的地址。

從技術上講，Profity?并不是一個錢包應用程序，但它確實有一個與幾乎所有數字貨幣錢包通用的功能：生成錢包賬戶。

這就是由風險賬戶導致了惡劣后果的完美案例。

2022?年?9?月?15?日，1Inch團隊發表了一篇文章《以太坊?vanity?地址工具?Profanity?中披露的一個漏洞》，講述?Profanity?工具使用不安全的種子，該工具生成賬戶的私鑰可以被輕易破解。此后該漏洞首次引起了人們的注意。

比特幣核心開發人員Pieter Wuille放棄其維護權限，但仍會參與項目的審計和代碼貢獻:7月8日消息，比特幣核心（Bitcoin Core）開發人員Pieter Wuille放棄其維護權限，他通過比特幣GitHub請求從可信密鑰集中刪除他的密鑰，但他明確不會停止對參與項目的審計和代碼貢獻。自2011年以來，Wuille為比特幣核心做出了數千項貢獻，包括比特幣改進提案（BIP）32，它引入了用于更輕松地存儲和恢復私鑰的助記詞；隔離見證（SegWit），它提供了一種新的、有效的數據塊存儲方式等。

Pieter Wuille離開后，Wladimir J. van der Laan、Marco Falke、Michael Ford 和 Hennadii Stepanov四位開發人員擁有比特幣核心提交訪問權限。[2022/7/8 1:59:57]

五天后，即?9?月?20?日，最大數字資產做市商之一的Wintermute的一個錢包賬戶被黑，攻擊者利用該賬戶從一個智能合約中提取了約?1.625?億美元。

10?月?11?日，Qanx?Bridge?的部署者賬戶被黑，攻擊者利用該賬戶從?Bridge?上提取$Qanx?并出售。多個攻擊者同時也在區塊鏈上積極尋找有漏洞的賬戶并竊取資金。

前Messari分析師Mason Nystrom宣布加入Variant Fund任投資合伙人:7月1日消息，前Messari分析師Mason Nystrom在其社交網站宣布加入Variant Fund任投資合伙人，將負責投資初創加密協議和專注于消費者的公司。其主要關注領域為NFT金融化、Web3市場中獨特的加密經濟機制和激勵措施以及獨創性的NFT應用程序和平臺。[2022/7/1 1:44:48]

這類問題的根本原因在于，種子總數也許只有?2?^?32?。不安全的種子和可逆的暴力過程使恢復使用該工具生成賬戶的私鑰成為可能。CertiK?成功開發了一個概念驗證程序，并能夠恢復?Wintermute?和?Qanx?部署者賬戶的私鑰。

這樣的事件并非獨例。

2013?年，Android?系統的隨機數生成器中，一個類似的漏洞被發現，影響了比特幣錢包的創建。

密碼學是一個復雜的領域，因此很容易犯下損害安全的錯誤。一條金科玉律就是“don'trollyourowncrypto”。

幸運的是，大多數數字貨幣錢包在處理創建錢包賬戶時，都會使用如"bip?39"這樣的既定的庫。

MetaMask?的?iCloud?備份

4?月?17?日，被?3000?多萬人用來存儲和管理數字資產的主流加數字幣錢包?MetaMask?警告其?iOS?用戶，在?AppleiCloud?中存儲錢包秘密存在潛在風險。

如助記詞這樣的錢包敏感信息在上傳到?iCloud?時是加密的，但如果其所有者的?Apple?賬戶被泄露，且使用了低強度的密碼，那他們的數字資產很可能會面臨風險。

這一警告是由一次代價高昂的釣魚攻擊換來的。

在這次攻擊中，推特賬號為@revive_dom?的用戶?DomenicIacovone?損失了大量的數字貨幣和非同質化?token，總計價值約?65?萬美金。

騙子假裝是?Apple?公司的支持人員，借此獲得了?Iacovone?的?iCloud?賬戶的訪問權，并使用存儲的?MetaMask?憑證耗盡了他的錢包，讓他成為了這場社會工程攻擊的受害者。錢包應將包含助記詞的保管庫存儲于不會被?iCloud?備份的位置，如果這一點無法實現，應用程序也應警告用戶：在創建賬戶時禁用?iCloud?備份以確保錢包安全。

SeaFlower

一個安全研究小組發現，有一個組織?SeaFlower?正在傳播合法數字貨幣錢包的惡意版本，會導致用戶的助記詞被通過后門竊取。這些修改過的錢包會按照預期運行，但允許攻擊者通過使用竊取的助記詞來獲取用戶的數字貨幣。

SeaFlower?向盡可能多的用戶傳播數字貨幣錢包應用程序的木馬版本是通過包括創建山寨網站和攻擊搜索引擎優化等各類方式實現的，或是通過社交媒體渠道、論壇和通過惡意廣告推廣這些應用程序，但其主要傳播渠道是通過搜索服務。

研究人員發現，百度引擎的搜索結果尤其會受到?SeaFlower?的影響，將大量流量引向惡意網站。

在?iOS?設備上，攻擊者可以通過濫用配置文件繞過安全保護以對惡意應用進行?side-load——這些配置文件可將開發人員和設備鏈接到授權的開發團隊，并允許設備用于測試應用程序代碼，因此攻擊者可以利用它們向設備添加惡意應用程序。

數字貨幣錢包應用的常見安全問題

錢包敏感信息被上傳到服務器，或在服務器端生成錢包

最關鍵的風險之一是將錢包敏感信息上傳到服務器或在服務器端生成錢包。對于非托管錢包，錢包敏感信息應存儲于用戶的設備中——即使它們是以加密的形式存在，這種高度敏感的數據仍可能會在傳輸過程中被截獲，或者被泄露給能夠訪問服務器的數據庫或日志的人。

不安全的存儲

當敏感信息以純文本或在設備上的不安全位置存儲時，就會出現安全風險。

這種情況包括?Android?上的外部存儲或?iOS?上的“UserDefaults”。

當使用不安全的密鑰派生函數來生成加密密鑰時，或者當使用不安全的加密算法來保護數據時，也可能發生這種情況。

缺少對操作和運行環境的安全檢查

除了安全地存儲數據外，錢包應用程序還應該確保其運行的安全和底層運行環境的安全。這一類的一些常見問題包括缺乏?root?和越獄檢測，無法阻止用戶對錢包敏感信息進行截圖、應用程序在后臺運行時未能隱藏敏感信息，以及允許在敏感輸入字段使用自定義鍵盤。

擴展錢包中缺乏對惡意網站的防范

大多數?DApp?都是?Web?應用程序，使用瀏覽器擴展錢包是最常見的交互方式。

然而，擴展錢包的一個共同問題是缺乏對惡意網站的防范。例如，一個不安全的錢包可能允許惡意網站獲取用戶的錢包賬戶信息，或在用戶同意將其錢包連接到該網站之前接受交易簽名請求；當從惡意網站接收惡意數據時，錢包可能會出現故障。

對錢包用戶的建議

采取預防措施以保護你的數字資產并確保錢包使用安全非常重要。數字貨幣領域充滿了黑客及欺詐者帶來的風險。

下文是一份用戶可以參考或遵循的建議清單，以減少被黑客攻擊的可能性。

①?選擇符合安全標準的錢包。一些錢包可能存在漏洞，容易受到黑客攻擊或其他安全漏洞的影響。請只使用經過安全公司安全測試、徹底檢查潛在的漏洞且認為符合安全標準的錢包。

②從官方的?iOS?商店和?GooglePlay?商店下載應用程序有助于確保你獲取該應用程序的合法版本。

③?保持設備更新十分重要，因為軟件更新通常包括對已發現的漏洞的安全修復。④使用專門的手機或個人電腦來安裝錢包應用程序，請勿使用日常工作的設備，這有助于降低被意外安裝的惡意應用程序破壞的風險。⑤如果你持有大量的數字貨幣，并希望確保其盡可能安全，可以考慮使用硬件錢包。

寫在最后

新?Layer1??和?Layer2??區塊鏈正在持續發展，鑒于許多現有的錢包與這些新的區塊鏈并不兼容，市場上將會推出更多的數字貨幣錢包。

盡可能地降低錢包的安全風險需要用戶和錢包開發者共同的努力：用戶需要遵循最佳實踐并保持警惕以防止被黑客入侵；開發團隊則需要編寫安全的代碼，并對其錢包應用進行安全審計。

Tags：數字貨幣KENTOKETOKEN國內數字貨幣交易合法嗎WeShow TokenbimintokenTOS Token

BNB價格