一、Cashaa被盜幣事件簡述
Coin Crunch在2020年7月10日收到一封投訴信,受害者稱自己在1:23分登錄并進行兩筆交易后,自己的1.06005561 BTC被盜。被盜BTC轉進了地址14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek。投訴憑證如下所示:(根據官方描述,為保護投訴人隱私,僅截取憑證第一頁)
LBank藍貝殼于4月9日16:50首發 BOSON:據官方公告,4月9日16:50,LBank藍貝殼首發BOSON(Boson Protocol),開放USDT交易,4月9日16:00開放充值,4月12日16:00開放提現。上線同一時間開啟充值交易BOSON瓜分10,000 USDT。
LBank藍貝殼于4月9日16:50開啟充值交易BOSON瓜分10,000 USDT。用戶凈充值數量不少于1枚BOSON ,可按凈充值量獲得等值1%的BOSON的USDT空投獎勵;交易賽將根據用戶的BOSON交易量進行排名,前30名可按個人交易量占比瓜分USDT。詳情請點擊官方公告。[2021/4/9 20:02:26]
圖一
首發 | 劉堯:百度區塊鏈推出天鏈平臺賦能鏈上業務:12月20日,由CSDN主辦的“2019中國區塊鏈開發者大會”12月20日在北京舉行。百度智能云區塊鏈產品負責人劉堯以《企業區塊鏈賦能產業創新落地》為主題進行了演講,他指出:2020年將是區塊鏈企業落地的元年,為了支持中國區塊鏈的產業落地,百度將區塊鏈進行平臺化戰略升級,依托百度智能云推出天鏈平臺,就是要賦能360行的鏈上業務創新落地。[2019/12/20]
而后不久,Cashaa公司涉及的總計8個比特幣錢包,共計335.91312085個比特幣(約310萬美金)被攻擊者通過同樣的手段轉移到同一個地址14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek。
IMEOS首發 EOS Go公布新增兩條復選條件 :據金色財經合作伙伴IMEOS報道:今日,EOS Go在 steemit上公布新增的兩條復選條件為:
1. 保證安全的計劃:候選節點是否在steemit上發布文章介紹該節點的安全方法和計劃,“安全方法”標準是向EOS選民展示安全最佳實踐知識和組織實施計劃的機會;
2. 立場:描述該節點分享通脹獎勵和/或向EOS代幣持有人派發股息的立場(候選節點在steemit發布)。主要闡述以下兩個問題:
該組織是否會出于任何原因向EOS令牌選民提供支付,包括BP選舉和社區建議?
該組織是否有書面的無票付款政策?如果是這樣,請提供一個鏈接。[2018/4/27]
事件發生后,Cashaa 的CEO Kumar Gaurav對此次事件做出了回應,聲稱此次事件只是個例,Cashaa其余賬戶的余額仍是安全的。并呼吁各大交易所禁止此次事件的相關地址提現,否則就是『助紂為虐』,幾乎所有的交易所都積極響應了Cashaa的呼吁。
IMEOS首發 BM表示EOS合約具有整數溢出保護:據金色財經合作媒體IMEOS報道:近日ETH出現多個ERC20智能合約的處理溢出錯誤,BM在推特上發表評論:新的ETH契約Bug可能會破壞整個Token的供應,讓持有者留下無價值Token.這就算為什么代碼不能成為法律,隨即表示EOS erc合約不容易受到這種攻擊。而EOS官方群也有人表示擔憂EOS是否具有整數溢出保護?BM回應:有很多C ++模板類可以封裝類型并檢查溢出。[2018/4/25]
根據Cashaa給出的解釋,本次事件是因為一個雇員使用了自己的私人電腦造成的,黑客通過瀏覽器session控制了雇員的電腦,但具體攻擊方式還在調查中。Cashaa公司此前并不允許使用個人電腦,此次員工使用個人電腦是因為雇員設備故障,Cashaa公司考慮到『客戶體驗』于8號為其臨時開通權限。雇員在10號使用電腦操作后,不久336BTC便被盜走。根據線上地址來看,被盜的BTC在轉移過程中還進行了混幣。
二、事件分析
成都鏈安-安全實驗室針對此次事件進行分析,本次涉及BTC是在雇員操作后很短的時間內被盜的,且轉移過程中流入混幣,這說明黑客對區塊鏈技術早有積累,很有可能是相關從業人員或黑產成員。
根據Cashaa給出的信息,雇員在8號獲得許可,在10號就遭受攻擊,這太過于巧合,我們相信Cashaa公司在對員工電腦進行臨時授權前,應當是會對員工電腦進行過安全檢查的。這里我們推測這是一起有極高針對性的攻擊,黑客極有可能瞄準Cashaa已久,對公司內部成員和動向都非常了解,才能在這么短的時間內,控制雇員的電腦。但也不排除內部人員配合作案的可能性。
針對于目前掌握到的信息,我們推測有兩種可能性:
攻擊者是專業從事相關黑產的團伙,其瞄準cashaa已久,掌握著公司相關人員信息和網絡管理制度,通過傳統攻擊手段持續性的對公司人員的信息設備進行攻擊,或已掌握部分系統的權限,此次攻擊是建立在前期攻擊基礎上進行的。
公司內部有相關人員配合作案,將公司信息泄露給了攻擊實施者,再針對性的配合社工手段進行攻擊,拿到雇員電腦權限。
三、安全建議
針對此次事件,成都鏈安呼吁各大交易所和錢包服務商,『千里之堤 毀于蟻穴』。網絡安全建設是一個面,任何薄弱點都能可能成為擊垮堤壩的『蟻穴』。
1、從交易所出發:服務器層、網絡層、終端層、智能合約層、業務層、安全管理制度等各個層面的安全都不可或缺。一旦出現短板,即使其他方面做的再好,也無濟于事。
2、 『安全』永遠是一個博弈的過程,沒有攻不破的系統。隨著技術的不斷發展,原先所謂『安全』的系統也會變得不安全,因此與第三方安全公司建立持續的合作關系也是不可或缺的。
3、對于安全體系來講,人往往是最薄弱的環境,隨時存在『違規操作』的可能性,加強員工的信息安全意識,切實實施良好的安全管理制度可以規避很大的風險。
4、『亡羊補牢,為時不晚』。在遭受黑客攻擊后,交易所應第一時間向專業的安全公司尋求幫助,追蹤資金動向,盡可能將公司的損失降到最低。
2020年加密貨幣衍生品市場的增長自身就是一個故事,主要由在芝加哥商品交易所(CME)、Deribit、OKEx、幣安和火幣等交易所交易的比特幣(BTC)和以太坊(ETH)期權所推動.
1900/1/1 0:00:00中國人民銀行發行的法定數字貨幣,是現金貨幣的數字化,需要能夠進行離線支付。但對于一個數字系統來說,離線支付是一個不小的難題。央行所設計的DCEP,可以巧妙地通過利用密碼學技術解決離線支付問題.
1900/1/1 0:00:00波卡本周進展 6月29日,Web3 基金會發布新的學習視頻,分享了三個不同的區塊鏈是如何使用同一套源代碼運行的,Polkadot、Kusama 和 Westend 都共享相同的二進制文件.
1900/1/1 0:00:00比特幣六月的活躍地址數為2540.85萬,較五月下降了4.42%。不斷收窄的波動區間似乎在蠶食存量市場上投資者們的耐心.
1900/1/1 0:00:00分析公司Digital Assets Data的最新發現表明,礦工們仍在持有比特幣(BTC)。Digital Assets Data 首席執行官和聯合創始人Mike Alfred在6月.
1900/1/1 0:00:00上圖為BTC 2010-2020年至今的長期走勢,通過研究可以發現,以三次產量減半為時間分割點,從之前每一輪熊市的最低點一直延伸至各自周期內的產量減半時間點這一段時間周期.
1900/1/1 0:00:00