BIT:金色觀察丨盜取45億美元女黑客的社會學工程課

近日驚爆加密貨幣圈的大新聞就是美國司法部成功追蹤并逮捕了2016年盜取bitfinex近12萬枚比特幣的黑客HeatherMorgan和IIyaLichtenstein。加密圈這兩天一直在猜測黑客是如何入侵bitfinex的，加密貨幣KOLEricWall2年前曾在紐約聽過女黑客的社會工程學演講，他發長推講述了對女黑客演講的觀感和見聞。

我從HeaterReyhan處得到的主要收獲是在@tarunchitra的紐約沙龍的演講“如何將社會工程運用到任何事物”。

Heather解釋了社會工程如何利用人們的認知偏見：“觸發人們做他們已經編程好要做的事情”。

給出“白/灰帽黑客”的例子，例如AirBnB創始人在冷電子郵件/打電話預訂時假裝是自己的經紀人。

Heather顯然不是一個笨蛋。這顯然是一個聰明人給出的演講。

她說話的方式和關于她專業領域的推理表明，她有相當體面的社交技能、幽默感和謙遜感。

金色財經挖礦數據播報：ETH今日全網算力上漲2.90%:金色財經報道，據蜘蛛礦池數據顯示：

BTC全網算力161.830 EH/s，挖礦難度25.05T，目前區塊高度684142，理論收益0.00000556/T/天。

ETH全網算力632.220TH/s，挖礦難度8234.67T，目前區塊高度12462156，理論收益0.00354173/100MH/天。

BSV全網算力1.066EH/s，挖礦難度0.15T，目前區塊高度687857，理論收益0.00084430/T/天。

BCH全網算力3.830EH/s，挖礦難度0.54T，目前區塊高度688580，理論收益0.00023495/T/天。[2021/5/19 22:18:09]

如果你無法將此與她的超現實主義說唱身份“Razzlekhan”相吻合，請閱讀她《福布斯》專欄中的以下段落。

在過去的幾天里，我從加密推特中看不明白的是，為什么都說“Razzlekhan”明顯不勝任她的能力。愚蠢=經常有智慧的強烈跡象

她毫不掩飾自己在生活中使用社會工程的事實。舉例說明她滲透到的地方。

金色晚報 | 11月26日晚間重要動態一覽:12:00-21:00關鍵詞：Compound、Sygnum、DeFi協議、Dex、爆倉

1. 俄羅斯總理：將引導加密市場向“文明”方向發展。

2. 瑞士加密銀行Sygnum推出基于區塊鏈的股票上市替代方案。

3. 24小時合約市場爆倉超13.73億美元BTC合約爆倉7.67億美元。

4. 分析：Compound 巨額清算的原因或為 Coinbase 上的 DAI 價格異常。

5. 數據：近24小時以太坊上Dex交易量環比上升106%。

6. Compound疑似遭預言機攻擊，9000萬美金資產遭清算。

7. 曾發行數字貨幣的D站創始人溫博特因侵犯著作權罪獲刑三年三個月。

8. 財經網站Forexlive分析師ustin Low：比特幣價格暴跌或受FOMO情緒影響。

9. 價值10億美金BTC期權將于11月27日到期，最大痛點為16000美元。

10. 韋氏評級：DeFi使ETH成為機構投資者投資組合中重要的部分。[2020/11/26 22:16:09]

她提到在埃及爬籬笆，使保安讓她和朋友參觀受限的宮殿，而不是把她趕出去。

金色財經行情播報 | BTC快速上漲，多頭仍有發力空間:據火幣行情顯示，今日BTC行情整體保持震蕩，15時快速上漲，最高觸及9358USDT，隨后開始震蕩。日線圖大幅拉升突破整理平臺，并且突破均線MA30以及幾個9250USDT等重要阻力位，多頭顯強；4小時圖上漲后量能未持續，并形成較大乖離值，局部有回調需求；1小時圖上漲后蓄勢整理，多頭仍有發力空間。截至18:30，主流幣的具體表現如下：[2020/7/21]

我不知道Heather和Ilya是否是黑客，誰都想知道。他們完全控制私鑰的事實當然意味著一些參與。

但他們也可以從真正的黑客那里偷走/找回它，也可以直接參與了黑客攻擊。

以下是昨晚一些有趣的聊天

MikeBelshe-BitGo聯合創始人兼首席執行官

Ben·Davenport-BitGo聯合創始人兼首席技術官

ZaneTacket-?社區主任@bitfinex，Zane是黑客攻擊期間處理所有公共通信的人

金色相對論丨CyberMiles首席科學家：以太坊2.0是一個PoS的跨鏈生態:在今日舉行的金色相對論中，針對“以太坊目前采用的無狀態以太坊、多客戶端、信標鏈staking、rollup等技術，給各位印象最深刻、認為最有應用價值的是哪一個？”的提問，CyberMiles首席科學家MichaelYuan發言指出：以太坊2.0是一個PoS的跨鏈生態。與其它PoS系統相比，它的重大創新在于它的信標鏈至少要支持上萬個驗證人節點。系統會隨機選擇組合驗證人形成應用子鏈。

以太坊2.0一定要有足夠的人去stake才能成功（標準是32個ETH，現在是早期參與的好機會）。因為驗證人數量一定要很多，才能安全地隨機選擇驗證人驗證子鏈的數據。

盡管都是跨鏈的思路，但是采用大量節點與大量驗證人的，目前只有以太坊一家，Polkadot與Cosmos都不是這種方法。所以以太坊用來管理驗證人的技術是創新的，也應該不會用在其他鏈上。其他的鏈遠遠沒有這個規模。但是隨著開發進度的推進，比如EWASM虛擬機與Solidity智能合約這些技術能夠被其他加密網絡廣泛應用。畢竟縱觀整個區塊鏈世界，應用開發的模式都是按照以太坊思路來的。[2020/6/18]

金色相對論 | 劉昌用：中國不可能出現Libra這樣的私人（企業）信用貨幣:在今日舉行的金色相對論中，關于“央行數字貨幣與Libra相比有何不同，未來會推出“中國版Libra”的問題，密碼經濟倡導者，北京大學經濟學博士劉昌用表示，央行數字貨幣是政府行為，Facebook推出來的Libra是企業行為，性質完全不同。因為是政府行為，央行數字貨幣不需要考慮被監管的問題，他就是監管方。而Libra目前面臨的最大問題就是監管問題。中美在貨幣政策上的差別非常大。從憲法層面看，人民幣是中國唯一的法定貨幣，而美國則有長期的私人貨幣歷史，現在也仍然合法存在。我們還有一系列具體的法律法規對貨幣做出非常嚴格的限制。因此，中國不可能出現Libra這樣的私人（企業）信用貨幣。即使在美國Libra也很難推進，因為它不是簡單的私人貨幣，它的體量太大，并且超主權，錨定一籃子法幣，抵押一籃子資產，帶來的國際金融影響和金融風險，進一步的國際經濟和影響都非常復雜。在對金融領域有嚴格監管的發達國家，監管壓力是非常大的，Libra的成功之路非常難。[2019/8/15]

上一張截圖很有趣。@mikebelshe提到，是@bitfinex的系統被破壞了，而不是@BitGo，但@tackettzane似乎暗示BitGo至少也是有錯的。

好奇從未寫過尸檢。也許里面有隱情......尷尬嗎？

加密推特上的人們似乎已經認定，黑客攻擊是以非常復雜的技術方式發生的，但沒有證據表明這一點。

如果你狡猾，人們似乎也忘記了社交工程有多強大。大量重大黑客通過社會工程發生......

事實上，我認為@mikebelshe幾乎揭示了當他說“andpeople”時，黑客攻擊涉及重要的人的因素，BitGo沒有被黑客入侵。

聽起來有人耍了手腕......而不是這里大多數人似乎想象的“緩沖溢出有效載荷黑客”

通常，當涉及0day漏洞等的黑客*技術上非常復雜時，目標會分享盡可能多的細節。

如果他們不分享細節，更有可能以他們不引以為豪的方式發生。

回到談話中。

Heather提到她通過社交工程認識的人。有照片拼貼畫。我們可以看到JohnMcAfee第一排，第三列。

她還提到了與這樣的人快速建立融洽關系的技巧。

她列舉了一些如何影響他人的例子。

-?奉承

-對他們有用

-?賄賂

-?恐懼

出于某種原因，她強調了最后一個。她說，讓別人處于報警的風險下，但如果你巧妙地這樣做，它可以很好地工作......

她談到首先在網上對目標進行盡可能多的研究。比如目標地區地圖。公司組織結構圖看起來像什么。跟蹤人們的社交媒體。找出他們的喜好/厭惡。

Bitfinex首席技術官PaoloArdoino正在閱讀此長帖，并剛剛補充說，黑客是如何攻擊成功的，可能值得寫一本書。

我希望人們停止問這個問題。*沒有*證據表明私鑰在云存儲中未加密。我已經發了這條推文。

一些進一步的解釋，因為人們似乎可以放棄任何設法黑客入侵Bitfinex的人一定是超級人的想法

你不能接受黑客不完美嗎？老實說，一個真正有才華的人不需要犯下冒險罪行就能實現他們的目標......

此外，在云存儲中保留包含私鑰的加密文件并不愚蠢！當然，這增加了一定程度的風險，但如果加密良好，它不一定會導致黑客攻擊......

聯邦調查局首先通過區塊鏈追蹤他們，發現他們使用@bitrefill等服務與他們的*個人電子郵件*，將東西訂購到他們的*家庭地址*。這，如果有的話，比上面要笨得多。聯邦調查局知道他們是誰。

在聯邦調查局知道他們是誰后，他們沒收了所有設備。分析設備。也許他們發現某個地方不小心記錄了部分密碼，并強硬地執行其余密碼。也許他們找到了完整的密碼。無論如何，錯誤已鑄成，*沒有*在云上擁有加密

或者也許演出結束后，他們甚至故意放棄了密碼？正如@udiWertheimer所說，聯邦調查局已經抓住了他們，并有證據表明是他們。同樣，錯誤被抓住了。

無論如何，回到Heather。她提到了如何使用研究中的信息建立融洽關系的示例。也許你碰巧站在你研究過的一些他們喜歡的食物等。

我的解釋：基本上是巴尼·斯丁森風格的追求目標。

TomTrevethan說bitfinex被攻擊是因為有bitfinex員工并打開收到自己寵物狗被撞傷的郵件導致的，這是我個人之前從未聽說過的事情

這些是非常常見的社會工程技術。

比如，你可以穿上雜工的衣服，走進一家繁忙的商店，看起來像你屬于這幾位商店，然后開始把昂貴的衣服從大樓里搬出來，說你在修理什么東西什么的。

她提到，她個人最喜歡的衣服之一是分層衣服，因為你可以邊走邊改變外觀，并提到你可以用圍巾做些事情來瘋狂地改變自己。

她講述了搞砸的個人故事，比如試圖通過閱讀門衛保存的名單來進入某個地方，并意外+無意中試圖冒充一個大個子男人。

聽起來她對此非常熱情，并在野外嘗試了很多

這張PPT笑死我了。

它現在分為練習，這些練習將基于Heather實際經歷的現實生活中略微調整的隱私情況。

有人問她為什么要這樣做，她回應“挑戰它”。

演講結束她講述了一些故事，還提到了她的朋友做了什么，以及她的朋友是如何相互扮演的——例如，如果一個人被抓住了，他們就變回真的自己。

這很有趣，因為聽起Heathe可能是某種黑客/社交工程師集體娛樂的一部分，這表明她可能不是單獨攻擊bitfinex，而是這樣做的團隊的一員。

最后，她被問及道德問題。她講道，對她來說，“目的證明手段的合理的性”，并以“我想說我有自己的道德規范”結尾。

當年演講視頻地址：Youtu.be/JmahJCWJ8iM

Tags：BITINEFINNEXbitkeep錢包警察能查到嗎crazyminerINFINITY價格DigiFinex交易所要繳稅才能提現

火必