APP:区块链安全月报 | 11月共发生安全事件16起,损失近5,600万美元_imtoken钱包app下载网址

来源:PeckShield

DApp?生态

11月份共发生5起DApp安全事件,其中EOS生态发生3起,ETH和TRON生态各发生1起。

1)EOSDApp

EOS生态发生的3起安全事件都跟EIDOS挖矿有关,具体而言,受EIDOS挖矿热潮的影响,EOSIO主网的CPU资源消耗进入了高度饱和状态,普通用户根本无法正常使用网络。

一些黑客也开始尝试从DApp中偷取CPU资源进行挖矿。

11月06日,BigGame成为了首个被攻击的DApp,它是一款为玩家代付CPU资源的DApp,黑客劫持了用户和BigGame间的交易信息,在转账通知中嵌入了非法操作,故而成功窃取BigGame代付给用户的免费CPU资源,直到它的CPU资源被耗尽为止。

阿里公益基金会秘书长:年内平台所有公益项目上区块链:9月29日消息,阿里公益基金会秘书长王瑞合近日在接受采访时表示,年内平台将实现所有公益项目上区块链。(中国慈善家杂志)[2020/9/29]

11月07日凌晨3时,另一款DApp游戏BetHash也遭到了同样的攻击。对于多数类游戏,玩家投注完,都会接收到DApp的游戏通知,此时,黑客就可以控制恶意程序劫持该通知嵌入内联操作,进而实施攻击行为。不仅BetHash,一些其他的类游戏包括?EOSBet、EOSMMM,Trust-Dice,WinPlay?等等也被相继攻击了。

问题貌似愈演愈烈,11月11日凌晨3时,攻击开始延伸至EOSIO系统的bidname?短账号竞拍上,甚至可以无限制的使用EOS系统的CPU资源。如果你想竞拍一个短账号,例如:baaa,你开始从0.0001个EOS起竞拍,当某人出价高出了10%的话,你的出价就会被返还。黑客在EOSIO系统返还的过程中劫持转账通知实施攻击。由于EOSIO系统拥有无限量的CPU资源,黑客就可以持续通过攻击获得CPU资源。

动态 | 国网电动汽车将与京东通过区块链等构建新能源电动车供应链及服务数字化网络:据中国新闻网报道,1月3日,国网电动汽车与京东正式达成战略合作协议。根据协议,双方将围绕商用新能源汽车业务达成全面战略合作,双方通过数据共享、区块链技术及智能采购等构建新能源电动车供应链及服务数字化网络,同时,京东还联合国网在全渠道资源共享,金融支付、信息平台互联互通及联合营销等领域深化合作,共同探索新能源汽车与互联网融合新思路。[2019/1/4]

据DAppTotal数据显示,近7天EOSCPU拥堵指数都为100%。

2)ETHDApp

金色财经现场报道 胡智威: 现有的区块链技术有三大瓶颈:金色财经现场报道,在2018首届区块链技术应用高峰论坛上,火币研究院首席分析师胡智威表示,现有的区块链技术有三大瓶颈。第一个瓶颈是可扩展性,交易验证很慢,交易处理能力弱。第二个瓶颈是隐私性,区块链上的数据是透明、可追踪的,很难解决隐私性的问题。第三个瓶颈是是互通性,公链间无法高效率交互,存在信息孤岛,token无法互转,存在价值孤岛。[2018/6/14]

ETH生态发生的1起安全事件跟DeFi市场AugurDApp有关。具体而言:Augur是构建于以太坊网络上的预测市场协议,链下Oracle会爬取多处的信息再提交到链上。恶意攻击者通过在Twitter等社交媒体故意发布虚假信息,从而影响Oracle数据源,操纵预测结果。

3)TRONDApp

招商银行:每年用1%的收入投入区块链等建设:招商银行太原分行副行长李平透露,招商银行每年用收入的1%鼓励创新和金融科技,重点建设移动互联、大数据云计算、人工智能、区块链等,为企业提供全面金融服务。[2018/5/13]

TRON生态发生的1起安全事件是常见的交易回滚攻击。PeckShield安全人员发现TGiN78地址开头的黑客通过自主创建的合约对波场TR66FA地址开头的合约发起交易回滚攻击,共计获利18,808TRX。

PeckShield点评:以上DApp生态安全事件基本都是由合约玩家导致的,DApp在接收玩家代币或者发送通知之前应检查目标账户是否为智能合约。

交易所安全

11月份共发生3起交易所安全事件,其中两起和黑客攻击有关。

1)韩国交易所Upbit34.2万枚ETH被盗,总价值约5,000万美元;

2)越南交易所VinDAX被黑客入侵,损失了至少500万美元的加密货币;

3)BitMEX交易所发生大量邮箱地址泄露事件。

北京时间11月27日12时04分,PeckShield旗下数字资产可视化资产追踪平台CoinHolmes监控到Upbit交易所地址向未知钱包和Bittrex交易所连续进行大额转账,其中有一笔涉及34.2万枚ETH的交易较为异常,可能遭到了黑客攻击。之后Upbit交易所发出公告,承认自己的以太坊热钱包被盗了34.2万个ETH,当他们发现被盗后,很快将热钱包中其他资产转移到了冷钱包。

11月28日15点08分,CoinHolmes监控到韩国Upbit交易所被盗ETH资产首次出现异动,0xa09871ae开头的黑客地址向多个地址转移盗取的ETH,同时发送了极少量ETH至Huobi,币安等交易所地址。

一图概览Upbit交易所被盗资?流向图:

PeckShield点评:今年以来,黑客已经盗取了多家交易所价值数亿美金的代币,例如此前发生的Cryptopia、币安、DragonEx、Bitrue等交易所被盗事件。PeckShield建议交易所使用更加安全的防范系统,保管好自己的私钥,采用多签等机制防范。

勒索相关

11月份共发生5起勒索有关的安全事件,其中出现了几种新型的勒索软件,例如NextCry勒索软件会利用PHP-fpm远程代码执行漏洞针对Linux服务器发起攻击尝试入侵。

PeckShield点评:对于一些可疑的网站和邮件,用户需要谨慎访问,同时要及时安装操作系统发布的漏洞补丁。即使电脑已受到勒索软件感染,也要向专业的安全人员寻求帮助,而不是给勒索软件付费。

钓鱼攻击等其他安全事件

除上述之外,11月份还有一些安全事件同样值得警惕:

1)加密钱包GateHub的140万个用户账户信息被盗,包括密码、密钥和助记词等;

2)门罗?CLI?二进制文件遭破坏,用户下载文件后需要及时检查文件完整性。

PeckShield点评:因用户安全意识欠缺且操作规范性造成的各类安全隐患一直层出不穷,钓鱼攻击、等各类事件就是典型。在此提醒,用户应谨慎保管各类私密信息,任何小的疏忽都可能造成不可挽回的损失。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

区块博客

[0:0ms0-12:208ms