如何提高交易所和數(shù)字資產(chǎn)服務(wù)的安全性

2019年，區(qū)塊鏈因加密犯罪損失了至少45億美元。網(wǎng)絡(luò)犯罪分子正在進化，他們的戰(zhàn)術(shù)也變得更加復(fù)雜。另一方面，交易所、錢包和數(shù)字資產(chǎn)服務(wù)正在增強它們的防御能力。這場競賽是緊張的，雙方都在創(chuàng)新，努力超越當前區(qū)塊鏈安全的狀態(tài)。

加密持有者認為Trezor是世界上最安全的錢包之一。最近，Kraken發(fā)現(xiàn)了Trezor錢包上的一個嚴重漏洞。黑客在不到15分鐘的時間內(nèi)竊取了錢包用戶的私鑰。有趣的是，這個問題是不可能糾正的。

Kraken安全實驗室發(fā)現(xiàn)了黑客可以用來竊取比特幣的有效方法。該交易所網(wǎng)絡(luò)安全部門的研究人員在兩分鐘內(nèi)成功破解了一個錢包的加密。最糟糕的是，Trezor知道這個問題，卻沒有對用戶發(fā)出警告。

大部分的攻擊都是通過釣魚式的SIM交換和URL劫持來入侵管理員帳戶。Atherton Technology首席分析師Jean Su表示，這些姿態(tài)大部分是在內(nèi)部人士的協(xié)助下完成的。由于終端用戶和交易所/錢包支持無法進行通信，SIM交換已經(jīng)成為一種非常致命的手段。

這是因為一旦黑客更換了手機號碼，交易所就無法接收到手機上的語音提醒、電子郵件或短信。直到犯罪分子拿走了資產(chǎn)后，后勤人員才會發(fā)現(xiàn)。

另一種流行的區(qū)塊鏈攻擊是DNS緩存中毒攻擊。網(wǎng)絡(luò)犯罪分子會滲透并劫持任意域，然后從受害者那里轉(zhuǎn)移流量。事實證明，為了反制攻擊，需要領(lǐng)先的軟件供應(yīng)商來協(xié)調(diào)修復(fù)。

我們面臨的挑戰(zhàn)是如何防止惡意威脅行為者成為有道德的黑客。盡管有點復(fù)雜，但DNS緩存中毒類似于web欺騙。

早在2017年， 山寨幣服務(wù)公司EtherDelta在黑客創(chuàng)建一個惡搞網(wǎng)站的事件發(fā)生后暫停了運營。[Web spoofing是創(chuàng)建一個欺騙網(wǎng)站來欺騙流量]EtherDelta警告客戶不要訪問該網(wǎng)站，因為犯罪分子很容易就會掏空他們的數(shù)字錢包。

然而，網(wǎng)絡(luò)攻擊造成的盜竊并不是唯一的手段。目前正在消失的出口詐騙也讓犯罪分子凈賺了數(shù)百萬美元。僅2019年第二季度，出口詐騙罪犯就獲得了約31億美元。在ICO熱潮期間，出口騙局非常普遍；騙局投資者通常承諾推出一款有前景的數(shù)字貨幣。

在“白皮書”中詳細闡述這一概念，然后通過ICO吸引投資者籌集資金。一旦籌到資金，犯罪分子就會攜款潛逃。在大多數(shù)區(qū)塊鏈攻擊的情況下，目標是終端用戶。這種信念背后的概念是：區(qū)塊鏈實施加密以防止隱私泄露。由于區(qū)塊鏈數(shù)據(jù)是不可變的（不能改變），加密算法中的一個缺陷或計算能力的增加，會導(dǎo)致私有細節(jié)的解密。

因此，區(qū)塊鏈依賴終端用戶來保護他們的數(shù)據(jù)。因此，黑客總是會把目標對準終端用戶的設(shè)備，以竊取數(shù)據(jù)并侵入他們的錢包。

Kraken的安全研究人員建議Trezor錢包的用戶存好一個并不存儲在錢包中的密碼。

“這個密碼在實踐中使用起來有點笨，但它并不存儲在設(shè)備上，因此可以防止這種攻擊?！?br /> 責任編輯；zl