首发 | Github用户1400枚比特币被盗事件分析

有天,你在支付宝操作转账时,弹窗提示你因版本过低而导致转账失败。

如果弹窗内不仅仅提示你交易失败,还附上支付宝更新链接,大部分人可能都会顺手点击链接进行更新。

如果这个链接是个钓鱼链接,直接获取了你的转账权限,那么代表你账户内的钱也会被无情转移。

这次,就有一个用户遭遇了类似的情况。

北京时间8月31日,CertiK天网系统 (Skynet) 检测到,Github用户“1400BitcoinStolen”1400枚比特币被盗事件的代币,已开始被输送到多个不同的地址当中。

受害者在electrum的Github issue中讲述了自己丢失了1400个比特币并贴出了自己的比特币钱包地址.

数据:以太坊桥TVL达到238.5亿美元:金色财经报道,Dune Analytics数据显示,以太坊桥当前TVL达到238.5亿美元。其中锁仓量最高的5个桥分别是Ronin Bridge(61.24亿美元)、Avalanche Bridge(60.75亿美元)、Polygon Bridges(59.58亿美元)、Arbitrum Bridges(24.07亿美元)、Fantom Anyswap Bridge(13.96亿美元)。[2021/12/22 7:56:53]

在区块链浏览器(参考链接3)中可以看到8月30日一共1404枚BTC(价值1670万美元)从他的钱包中被取出,存入了黑客的钱包中。

该用户使用的是Electrum比特币钱包,上次使用是在2017年。此后Electrum已经发布了安全更新,但该用户一直没有安装。

隐私计算网络 Oasis 推出官方钱包 Oasis Wallet:11月8日消息,区块链隐私计算网络 Oasis 推出官方钱包 Oasis Wallet,Oasis 钱包具有 Web 端、Chrome 拓展程序两种版本,满足不同用户使用偏好需求。由于助记词兼容性,网站和浏览器扩展程序之间可以进行切换。用户可以使用 Oasis 钱包进行发送、接收、质押或取消质押 ROSE 等操作,包括管理 Ledger 钱包中的 Oasis 网络生态代币 ROSE 资产、通过私钥导入 ROSE 账户、查看交易记录等。[2021/11/8 6:38:23]

用户在使用Electrum进行交易时,钱包会向服务器广播一笔交易,如果这笔交易出现了问题,服务器将返回错误信息并以弹窗的形式展现给用户。

3.3.2版本之前的Electrum钱包不会对服务器返回的错误信息进行验证,甚至还会对返回的信息进行html渲染(参考链接4)。

值得一提的是,任何人都可以去搭建一个Electrum节点服务器。如果一个用户连接到了攻击者的服务器并发起了一笔交易,服务器可以返回任何设计好的错误信息。比如返回一个让用户去更新Electrum钱包的错误信息,如下图所示。

然而,图中的链接指向了攻击者自己写的恶意软件,一旦用户下载安装该软件并把自己的钱包导入其中,钱包里所有的比特币就会被攻击者转走。

这其实本质上是一种钓鱼攻击,但由于攻击者发出的钓鱼信息是通过Electrum官方钱包展示出来的,很多人都会信以为真。

在本次事件中,受害者的钱包连接上了攻击者所控制的服务器,导致其收到了服务器发出的钓鱼信息,进而被攻击者转走了自己的所有比特币。

Electrum钱包存在的该问题早在2018年底就引起了广泛讨论(参考链接4)。

Electrum官方在2019年,钱包版本3.3.4中对该问题进行了修复,后续版本的Electrum钱包不再会将服务器返回的内容直接展示给用户,也不会对其进行html渲染。

此外,由于旧版本的钱包仍然存在这个问题,因此所有的正常的服务器会对3.3版本之前的钱包进行拒绝服务(DoS)攻击,以强制用户进行更新(参考链接5)。

用户在使用钱包进行交易的时候,需确保钱包为最新版本,已防旧版本的钱包可能存在可被黑客利用的漏洞。

用户在下载钱包更新的时候要注意验证下载URL是否与官方一致,在下载完成后要对钱包的签名进行验证。

对于钱包开发团队,需要寻找专业团队做好测试工作,以免项目出现漏洞给用户带来损失。

参考链接:

1. https://github.com/spesmilo/electrum/issues/5072

2. https://zhuanlan.zhihu.com/p/53920688

3. https://www.blockchain.com/btc/tx/2db616f5b4545805dc1de59bc65b21b548c0d553ab187fa1625ef73c727f1e54

4. https://github.com/spesmilo/electrum/issues/4968

5. http://twitter.com/electrumwallet/status/110647957391772467

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

比特币最新价格整合各国金融股票市场:QCG的区块链版图

过去一年,美联储三次降息,带动全球30多个国家的中央银行跟进降息,最终货币市场利率降至数十年来的最低水平,并向全球市场注入了超过20万亿美元的流动性。 动态审视,影响未来一年国际金融市场的主要因子除了供求关系外,还有来自四个方面的关键力量,即经济增长、货币政策、财政政策与地缘,多元因素的共振与联动最终造就出市场的基本生态与总体走向。

USDC谷燕西:从DeFi看银行业务与证券业务的融合趋势

自6月份以来,DeFi中的两个最有代表性的应用的Compound和Uniswap中锁定的数字资产出现了快速的增长。这两个DeFi应用最近受到市场如此高度的欢迎,它对我们有什么样的启示呢? Compound是一个抵押贷款应用。任何有闲置的数字资产的用户都可以将其闲置资产放到Compound的池中供别的用户借贷。

SHIB火币晚报:瑞士楚格州将允许公民使用比特币和以太坊交税

BTC日间持续下行,市场成交冷淡 根据火币交易平台数据显示,比特币今日上冲无力,自早间起一路下行,相继跌破11850和11500支撑位,现在仍在持续下跌中,已完全反包昨日涨幅。但目前来看成交量并没有放大,多头处于非常不积极的状态,不能对价格形成有力的托底支撑。

DYDX给通知书盖上“信任戳” 蚂蚁链联合EMS溯源高校录取通知书

开学在即,各大高校的录取通知书已经陆续投递到考生手中。为了避免录取通知书造假或者冒名顶替等问题发生,中国邮政EMS开始尝试用区块链的新技术解决信任难题。 记者今日从蚂蚁集团了解到,与往年不同的是,今年的录取通知书被盖上了“信任戳”,全程通过蚂蚁链进行链上存证,以实现录取通知书从高校到EMS到考生寄递全流程的透明化,确保跟踪信息的高可信度及可追溯性。

[0:15ms0-3:38ms