标签: 币安

详解币安 API 钓鱼事件:黑客何以一夜撬走近亿美元?

7月4日凌晨五时许,币安交易所出现超大额提现,2小时内,超过7000枚比特币转入同一地址,何一对此表示,这只是一个看上去比较异常的正常转账,并非网传被盗。然而,同日上午八时,币安暂停交易与提现,进行临时维护。 既然是“正常转账”,何来停机维护呢? 在巨额比特币流转的背后,一个名为Syscoin的小币种,在4日四时许价格迅速拉升了320万倍,一枚SYS价格达到了96BTC——SYS的日常均价一直是0.00003BTC左右。随着SYS价格被拉爆,黑客再通过其他交易所出货,至少能获利8000万。 币安官方公告指出,这是一次“部分API用户的钓鱼事件”,何为API钓鱼事件?又是如何获利的呢? 金色财经邀请KEX交易所的CTO刘宏斐对事件进行技术解读。API钓鱼事件,可理解为通过常规的钓鱼手段,包括并不限于假冒网上银行、垃圾邮件、虚假电商广告等不法手段,来获取收集用户的账号信息,并由此获得API接口权限,并通过大量的API接口操作来影响交易市场。刘宏斐表示,由于API权限位于用户权限下,因此只要得到了平台的用户权限即可控制其API权限。如果黑客能够从一个或者几个平台获取大量的API控制权,即大量的用户账号登录信息,就可以左右市场行情。 发动攻击的人掌控足够的API之后,足以操控某个币种的市场涨跌,只要涉及的资金量和某项目的资金盘达到一定比例,就能引发巨额涨跌,因此交易量小和单价低的小币种容易成为攻击对象。当瞬间拉高小币种的价格之后,再通过卖出提前低价埋伏在其他交易平台的该币种即可获利。 这样的事件过后往往跟随比特币的下跌,3月7日,币安也发生了性质极为相似的黑客攻击时间,那一次买入的小币种是VIA,攻击发生后两天,比特币暴跌近1000美元。这一次,攻击发生后30分钟,比特币跌去130美元。黑客通过提前做好的空单,可二次获利。 针对这次异常事件,币安提出了四点处理方案,包括删除全部API记录、回滚异常交易账户记录、返还手续费、以及成立币安投资者保护基金等。 那么删除API记录的做法能够在多大程度上弥补损失呢?刘宏斐指出,从技术角度看,“如果是单纯删除API记录,其实作用不大,只能防止攻击者在短时间内不能进行再次攻击。真正有效的方式是,修复生成API过程可以绕过二次验证(GOOGLE验证等)的漏洞,防止在用户未知的情况下生成API”。 交易所阻止黑客控制API有若干种办法,首先就是要尽可能保障用户账号的安全,通过短信验证码、GOOGLE验证码等安全手段(此次攻击中,生成API流程的2FA被绕开)增加账号的安全机制;另外,在生成API的过程中加入人工审核的互动过程,确认此操作为用户的本意操作。据刘宏斐介绍,KEX交易所目前采用的也是这种安全措施。 对于回滚交易的操作,刘宏斐认为,这仅能恢复事故之前的账户情况,对用户的利益做到一定程度的弥补,但对于“追回”黑客已经获取的利润则没有意义。 因为此种攻击黑客并没有直接通过被盗账号来直接获取利益,而是通过大量被盗账号的买卖行为影响市场,并且在其他平台上已经交易提现。 对于普通交易所用户来说,虽然账户记录已经回滚,但潜在地,会有相当一部分加密货币交易者对币安甚至所有的交易所安全性产生质疑与恐慌,甚至引发踩踏性跟风抛盘,这对于整个加密货币行业和区块链产业都会产生冲击。 刘宏斐建议,普通用户为了保护自己在这样的事件内免受损失,需要做到两点。首先最好将平台内提供的安全防护手段,例如,短信验证、邮箱验证、谷歌验证码等安全机制尽可能的打开,这样虽然增加了登陆的复杂度,但其实这也是保证平台数字资产的最基本手段;其次就是安全保密数据的保存方式。例如,密码采用专业的密码管理工具,存放数字资产的移动设备不随意安装未知APP,不随意扫描二维码等,不在未知陌生的站点泄露用户信息。 随着信息化不断深入到我们生活中的每个角落,我们的资产由传统的有形资产在不断转化为数字资产。金色财经认为,数字资产不同于有形资产,在保存方式上需要我们重新树立新的信息化安全防范意识,交易所等金融敏感的平台不应单纯的只强调“用户体验”、“易用性”,而忘记了信息安全的重要性。 稿源:金色财经,封面源自网络;

币安网发全球通缉令,25 万美元等值赏金追缉黑客

2018 年 3 月 7 日深夜,币安网发生的黑客攻击事件,想必大家都历历在目。大量账户比特币被换成垃圾币,神秘 VIA 币价格暴涨,而比特币等主流货币一夜之间均大幅下跌(虽不一定这件事为主因),这场蓄谋已久的黑客行动引发了不少人的担忧。 于是,2018 年 3 月 11 日晚,币安网正式下发通缉令,25 万美元等值赏金全球追缉黑客。、 币安网黑客通缉令全文如下: 为确保建立一个安全稳定的数字货币社区,除了建立严格的风控系统外,我们还需要积极的预防任何黑客事件的发生,并在事件发生后进行追查。在 3 月 7 日的事件中虽然黑客对 Binance 的攻击并没有成功,但很明显这是一次大规模并且有组织的行动。 如果您能将 2018 年 3 月 7 日企图攻击 Binance 的黑客绳之以法,并提供对应的法律证据,我们将奖励 25 万美元的等值赏金作为感谢。 1. 第一个报警并让黑客在任何国家被合法逮捕的重要信息的人经确认后,将获得 25 万美元等值的 BNB,汇率按转账时市场价。 2.请您将详细信息和证据提交到 bounty@binance.com 及您当地的执法机构(警察部门),黑客被逮捕后,我们将尽快为您转入赏金,如果您当地的法律允许,您可以使用匿名。 3. 如果黑客最终的法律制裁源于多方信息,则赏金将会被平分;Binance 将对赏金的分配保留所有权,分配方式由平台综合判断决定。 此外,Binance 决定拿出 1000 万美元等值的数字货币作为未来的悬赏储备金,抵制对B inance 的任何非法黑客攻击。我们也邀请了其他数字货币交易平台和公司加入我们的联盟。 保护您的资金安全是我们的最重要的任务! 值得关注的是,除了针对此次黑客攻击事件,币安网拿出地 25 万美元等值币安币赏金之外,还有 1000 万美元等值数字货币作为未来的悬赏储备金。 经历这次事件之后,币安网以及其他数字货币交易所显然会更加注重安全建设,同时也针对黑客采取一定的威胁震慑手段。 币安黑客事件历史报道: 比特币遭遇跳崖式暴跌,来看黑客导演的这场烧脑大片 稿源:freebuf,封面源自网络;