推荐信息:
理财
频道
您的位置:首页 > 理财 > 理财资讯 > 正文

“币安惊魂夜”:赵长鹏半月前已收到警报 火币bigone仍有漏洞

2018-03-13 17:07:31 来源:网络 浏览: 评论: [ ]

  3月7日,知名数字货币交易平台币安遭到黑客攻击,此次攻击造成全球数字币价格大跌huijindi.com

  根据币安交易所的公告,有31个账户遭到黑客的钓鱼入侵,黑客在掌握用户的账户权限之后,使用机器挂单,进行程序化高频交易,给用户带来巨大损失。

  这几天关于此事的新闻很多,但绝大多数都是从事件本身出发,对数字货币的影响、对交易平台的影响等。

  最关键的一点没人提及:到底钓鱼事件是怎么发生的,作为币安的普通用户,我们应该如何防御此类攻击?

  (1)一年前,华裔学生报告unicode钓鱼漏洞

  在币安交易所发布的公告中指出,本次攻击,黑客使用了“unicode钓鱼手法”,这个是什么鬼?估计99%的记者没看懂。

  2017年4月14日,在约翰霍普金斯大学研究数学的学生xudong zheng发表了一篇论文,题目是《Phishing with Unicode Domains》,中文大意为“用unicode网址钓鱼”。文章中给出了一种钓鱼的方法,多语言字符混合来骗过用户的眼睛。

  安全专家向黑奇士表示,咱们使用的浏览器,是以英文为基础的,包括网址在开始也是仅能解析英文,所谓的unicode编码。

  为了让浏览器支持多语言,有人开发了punycode编码,这套编码可以让世界上其他的语言可以被浏览器“理解”,比如中文、俄文、韩语。

  例如,你要访问苹果网站,在最早你必须输入英文的apple.com;后来中国的cnnic、3721等公司,相继开发了自己的插件,让浏览器支持“新浪。com”、“”百度。com这样的域名。Punycode就相当于一款语言插件(编码标准),被内置在了主流浏览器当中h+u+i+j+i+n+d+i+c+o+m

  但使用puycode编码的网址会有一个问题,比如中文拼音的 ü,跟英文单词的u,看起来非常像(一个头上有两点,一个没有),但这套编码会识别成两个字母。

  这就带来一种攻击:有人把各种语言的相似字母组合在一起,冒充知名网址。

  本次币安的钓鱼攻击,就是有人把西里尔语字母,跟英文字母结合,冒充币安的网址。

  黑奇士采访的资深白帽子M表示,即使是专业安全人士,如果对web安全不熟,面对这种钓鱼也很有可能上当。

  (看到n下面那两点了吗,那不是英文字母)

  (2)半月前赵长鹏已收到警报,但未做处理

  所谓的钓鱼攻击,本质上就是用户在一个“仿冒网站”上输入了自己的账号密码。

  这个仿冒网站,要想针对性的投放到币安用户群中,黑客会使用一些精准化的投放手法,例如搜索引擎的广告投放、向币安用户发送钓鱼邮件、在电报群中点对点发送网址链接等。

  这些动作不能在短期内起效,如果交易所在安全监控上投入精力,是有可能早期发现、早期处理类似事件的。

  (赵长鹏凭借币安累积的巨额财富,登上了福布斯封面)

  可惜的,币安交易所并未做到。

  有微信截图显示,早在2月20日,有人向币安交易所创始人赵某发布了钓鱼警告,他表示问题已得到处理。从币安的后续措施来看,他并未把这个警告当真,至少没有向存在的用户发布警告,以求尽力挽回损失。

  白帽子M先生表示,针对此类unicode钓鱼,主流浏览器已经能够防御原文huijindi.com。在PC端,只要把浏览器升级到最新版本,就能解决一大部分威胁;在手机上,安装杀毒软件也能解决很多问题。如果是苹果手机,安装腾讯手机管家,iOS系统会调用其SDK,也能对钓鱼网址进行拦截。

  黑奇士查看币安网站,截至发稿,网站首页没有任何安全提醒。

  (3)普通用户应该如何防范此类钓鱼攻击?

  黑奇士提醒普通用户,可以采取如下措施,降低数字币交易的安全风险:

  1、无论手机端还是PC端,都必须安装杀毒软件,而且要安装套装。单纯“杀毒”,是无法解决钓鱼这样问题的,黑奇士推荐卡巴斯基的杀毒套装(付费版),国内的话,可以尝试腾讯安全管家或火绒杀毒软件(两者均为免费软件)。

  2、浏览器必须保持实时升级,事实上,uniode钓鱼过去已经一年,主流浏览器都应该打了补丁,对近似字符区别性显示。但国内有些换壳的浏览器,升级不如原版浏览器,这些可能存在安全问题。例如360浏览器、搜狗浏览器、猎豹浏览器,都可能存在此类问题。

  黑奇士推荐安装在线安装chrome浏览器。国内网站下载的full版chrome浏览器,升级功能受到限制,可能导致安全性能受损。

  3、对于普通小白用户,推荐使用密码管理器,软件会自动识别网址,在仿冒的网址上不会自动填入密码h~u~i~j~i~n~d~i~c~o~m。但需要指出的是,这类密码管理器一旦被人入侵,所有密码都会被窃取。如何权衡风险和便利,还需要用户自己把握尺度。

  4、手机端下载交易所软件时,不要怕麻烦,一定要从官网下载,不要从国内的手机软件商店下载,那些软件可能存在仿冒、换皮等问题。

  (4)多个大交易所仍有漏洞

  3月10日,有安全研究者在知乎表示,除了用户账户被窃之外,交易所的风控逻辑存在漏洞,也是这次攻击成功的关键。

  知乎网友“二子乘舟”在文章中推测,币安交易所并未采取真正的OTP(One-time Password)逻辑。

  有币安受害者在国外网站表示,自己开启了币安最高等级的2FA认证。所谓2FA,就是在登陆账户的时候,除了账号名、密码需要正确之外,网站还会向你发送一个手机验证短信,验证成功才允许登陆,这个在业内叫二次验证。

  币安的逻辑漏洞在于,手机验证短信在30秒有效期内可以被二次使用:用户首先在币安使用,然后黑客再利用这条短信再次登陆,验证码仍然有效。

  而实际上,真正的OTP只允许一次登陆,即使在有效期之内,只要有人使用过一次,就会及时作废,防止黑客和用户同时异地登陆。

  根据“二子乘舟”的检验,包括火币、Bigone等著名交易所仍然存在OTP验证漏洞,可能会被黑客攻击。

推荐阅读:姑娘 你有一笔10万元的年收入被你遗忘了!

  (来源:知乎网友,二子乘舟)

  (5)安全厂商发布首个区块链安全整体解决方案

  3月12日,知名安全厂商顶象科技发布了区块链安全整体解决方案lFV。在这个方案中,像币安钓鱼的这种案例,被归为“盗号非法登陆”。

  顶象高级安全专家朱烨表示,如果了顶象的方案,当黑客窃取了用户的密码,试图登陆币安网站或app时,可以对其进行设备指纹、常用登陆IP、交易行为等多维度的风险模型识别,一旦发现异常即可阻止。

  而且,根据币安的公告,黑客使用了化高频交易程序,控制被窃账户频繁交易。像这种行为,在拥有丰富传统金融安全经验的安全模型来说,对其进行防御轻而易举,有多种安全策略可以奏效。

  据介绍,顶象方案从以下三个方面来保护区块链安全:

  第一、防控各类外部入侵和漏洞利用:通过区块链业务安全方案能够快速发现攻击者针对账户的撞库和漏洞入侵尝试,对AppH5进行整体保护,防止攻击者的破解入侵和终端密钥盗取;及时拦截各类风险访问和操作;同时针对钓鱼场景可识别被钓鱼账户等;

  第二、防控各类非法登录和高危恶意操作:通过区块链业务安全方案可以有效辨别账号登录者的真伪,阻止被盗号、遭冒用、非法登录,并对登录IP、终端关键信息等进行画像分析,以便于追溯和再次防范;同时,还能够发现非授权的资产的转移、提现、盗取信息等恶意操作,并联动阻断拦截;

  第三、保护隐私信息和关键数据:通过区块链业务安全方案,实现对使用者身份的核验、分布式的密钥管理、高强度的加密等,保障链上数据细粒度授权访问,保障关键数据和信息的安全。

(6)安全路正长,诸君当努力

  在黑奇士看来,现在无论什么,对于业务安全的需求都是有增无减。

  以区块链相关为例,币安交易所对应了传统的沪深交易所,从收入水平、业务上都几乎可以与其匹敌。但每年沪深交易所的安全投入都是以数十亿计,币安投入了多少,对安全能说足够重视吗?

  昨天,币安发布公告,悬赏25万美元捉拿黑客。

  我想说,这种作秀有意思吗,你把这25万美元放到安全防御上行不行?

  再次一点,你如果舍得丢脸,在2月20号收到警告的时候,官方发个安全公告,提醒用户小心钓鱼攻击,还会有后来的3.7惊魂吗?

  一声叹息。

  安全路正长,从业诸君当努力啊!

推荐信息:
>>> 中红医疗IPO:逾九成产品销往境外 曾因违规信披遭股转处罚
>>> 互金协会闭门会议部署专项整治 平台转型去P2P化
>>> 日本人口以最快速度递减 危机警报再度拉响
>>> 北向资金提升A股筑底预期 高成长股票更受青睐
>>> 一个月内持仓量翻番达314万手 期市游资对峙螺纹钢

通过键盘前后键←→可实现翻页阅读
0% (0)
0% (0)
文章来源网络,版权归属原作者,未注明作者均因传阅太多无从查证。本站为公益性非盈利网站,在本网转载其他媒体稿件是为传播更多的信息,此类稿件不代表本网观点。如果本网转载的稿件涉及您的版权、名益权等问题,请尽快与我们联系,我们将第一时间处理!

我要评论

评论 ( 0 条评论)
网友评论仅供其表达个人看法,并不表明汇金网立场。
最新评论

还没有评论,快来做评论第一人吧!

热门标签最新更新随机推荐

理财达人秀理财案例房产置业家居装修银行理财保险理财

  • 亏掉5千万却换来900亿 他说人生永远不要放弃!

    他没有抱怨,没有沉沦,而是卧薪尝胆,终于在78岁携900亿市值卷土重来。他44岁刚刚当上肉联厂的厂长,却在61岁赔光了全部身家。他没有抱怨,没有沉沦,而是卧薪尝胆,终于在78岁携900亿市值卷土重来,他就是双汇集团的掌门人万隆。机会垂青于有准备之人万隆是苦孩子出身,父亲在他2岁那年撒手人寰。可以说,整个少年时代,万隆没有吃过一顿饱饭,直到1960年参军。在部队,万隆当的是铁道兵,打了6年隧道,工作

  • 女性成家庭“首席财务官” 不同年龄段应有不同配置

    “既要貌美如花,又要赚钱养家”这是不少新时代女性常挂在嘴边的一句话。对于女性而言,经济独立的最大意义在于活得体面,人生可以有更多的选择权。在现实生活中,如今,许多家庭都是由女性掌管财务大权的。她们俨然是家庭的“首席财务官”,从小到柴米油盐醋,大到孩子教育规划,再到父母养老,从家庭理财投资到安全保障等。当然,随着生命周期的变化,女性理财的关键和要点,在不同的年龄阶段应有相应的理财之道。●在校求学合理

  • 独立理财师尚晓飞:国泰民安 有财可理

    尚晓飞是一位从业将近15年的独立理财师。曾在保险机构、外资银行工作过的他,因为看好这个行业,逐渐走上独立理财师的道路。独立理财师(IndependentFinan-cialAdvisors,简称IFA),又称独立理财顾问,是独立于金融机构而向客户提供全方位理财服务的第三方专业人员。独立理财顾问会向客户了解其财务状况和投资目标,为客户进行财务评估,然后为客户提供客观的理财意见。尚晓飞对美好生活的愿望

  • 揭秘贾乃亮和李小璐夫妇的商业版图:入股多家企业 踩雷乐视

    法制晚报·看法新闻消息,李小璐疑似与人气说唱歌手PGONE的“出轨门”事件成为娱乐圈近期绝对的热点新闻。东北爷们儿贾乃亮一改此前霸气护妻的忠犬模样,发了一条颇为暧昧不清的回应。尽管一再表现出对李小璐的信任,但对众人关注的焦点问题却是完美避开。贾乃亮的这一回应,很容易让吃瓜群众联想起面对文章出轨时,其妻马伊俐的金句——恋爱虽易,婚姻不易,且行且珍惜。自己还在家给粉丝做直播,妻子深夜出门去“做头发”,

  • 这里有个90后不靠工资也能养活自己

    现在有许多90后,他们比大多数同龄人对赚钱这件事更有研究,比如通过工作之余理财、投资房产、做兼职、搞副业来增加收入。总的来说,就是这批90后已经完全不是在靠工资来养活自己了。毕业五年的小雪,今年在北京买上了一个小两居。刚出社会时她在一家金融公司做销售人员,底薪3500,每月总工资加上提成及奖金能达到2万元。那一年,小雪全心放在客户身上,几乎没有时间花钱,年底拿到年终奖,一看自己银行卡,发现竟有了2

  • 你那么喜欢花钱 一定很不靠谱吧

    2017年即将过去一半,不知大家有没有发现,房价涨了,看病贵了,油价升了……唯一不变的就是工资。每个月工资一到手,花着花着就没了。下半年你还打算继续过着买买买的日子么?今天她姐将和大家分享财蜜@小丸子ariel消费观的转变,希望能给大家提供借鉴。这些年消费观的转变—月光女神的逆袭之路by她理财财蜜@小丸子ariel谈到消费观,曾经的自己也是月光族一枚,甚至负债。这么多年过去了,因为工作技能积累,收

  • 又一个“国民老公”登上舞台 27岁当董事年薪120万老爸身家95亿

    王思聪作为中国最有名的“富二代”,在微博上拥有超2200万粉丝,也因为微博上每天都会有大量的男性和女性粉丝留言称他为“老公”,被很多网友调侃为“国民老公”。昨日(5月25日)晚间,随着融创中国发布的一则人事任免公告,一位与王思聪年龄相仿,同样有海外留学经历、资本市场运作经验,老爸也是地产大佬的“国民老公”登上舞台。孙宏斌之子加入融创董事会,年薪120万25日晚间,融创中国发布公告称,孙喆一自5月2

  • 穷怕了的人只有奋斗 月薪三千依然实现买房梦!

    穷是一种怎样的体验?许多人所谓的贫穷,无非就是不能买喜欢的衣服,不能换最新的手机。如果只是因为这些表现,就觉得自己穷,大可不必。每一件衣服都会贬值,每一款手机都会过时。穷本身不可怕,可怕的是穷的人是你,而你却还不肯去改变。今天和大家分享财蜜@女王妖娆的奋斗故事。一个穷怕了的人,只有奋斗by她理财财蜜@女王妖娆我生于农村,长于农村,虽然物质生活比较匮乏,但因为父母的呵护,我一直过得很幸福,无忧无虑。

  • 马云和他的“信仰”之路:为何手腕上总戴一串佛珠?

    马云,这个最不像富豪的富豪。一身麻布褂子、一双开胶掉线的黑布鞋,如果不是因为我们足够认识他,怕也只会在日常生活中与他擦肩而过,然后相忘于江湖。唯一令人瞩目的便是,在常人用手表来装饰的手腕上,他却选择了一串小叶紫檀佛珠。其实,早在2013年时,马云便在中国传媒大学举办的一场“巅峰对话”中,手持佛珠与周星驰进行了一场“天马行空”的对话。那是公开资料中,马云与他的佛珠第一次一起亮相。没有人知道马云是什么

  • 重点大学毕业从事程序开发 年入20万如何买房?

    小周是国内一所重点大学的计算机本科生。毕业后,小周直接来到上海发展,从事程序开发工作。目前,小周的税后薪资一个月1万多。小周家庭背景条件一般,父母都在农村。如果小周想在上海发展,那么他起码一个月有2万以上的收入。为在上海定居,努力的小周平时也接一些兼职的活来补充收入。去年兼职,他赚了4、5万。工作几年,小周终于积累了40多万。现在,小周还没有对象,结婚的事未成,因此他还没买房计划。他打算先做一些投