比特币价格·比特币行情
Ctrl+D收藏简单区块链

首发 | 区块链保险项目Nexus Mutual攻击事件解析

作者:

时间:2020/12/15 11:13:44

本文由CertiK供稿,授权金色财经首发。

北京时间12月14日晚5点40分,CertiK Skynet天网监控发现一笔来自Nexus Mutual创始者Hugh Karp账户的巨额交易,该交易转移共37万NXM代币到不明账户中。

CertiK安全验证团队迅速展开调查分析,认为该次交易是针对Hugh Karp账户的黑客攻击。

顺便给大家计算了一下

37万NXM=833万美金

整个攻击流程如下:

攻击者账户地址为:

0x09923e35f19687a524bbca7d42b92b6748534f25

部分攻击获得代币已经通过交易

0xfe2910c24e7bab5c96015fb1090aa52b4c0f80c5b5c685e4da1b85c5f648558a

在1inch.exchange进行交易。

攻击交易地址:

0x4ddcc21c6de13b3cf472c8d4cdafd80593e0fc286c67ea144a76dbeddb7f3629

图一:攻击交易细节截图

根据官方披露细节, 攻击者通过获得Hugh Karp个人计算机的远程控制后,对计算机上使用的Metamask插件进行修改, 并误导其签署图一中的交易——这笔交易最终将巨额代币转移到攻击者的账户中。

CertiK团队根据目前已有信息,推测Hugh在日常使用Metamask时,被攻击者修改后的插件生成了这笔巨额代币的转账请求,随后Hugh使用他的硬件钱包签名了这笔交易。

作为一个应用,浏览器插件和普通网站的前端组成是相似的,它们都由HTML和JavsScript搭建而成。浏览器插件的代码会存在用户的电脑中。

关于黑客是如何修改的Metamask插件的,CertiK团队做出以下猜测:

1. 黑客在获得了在Hugh Karp的个人电脑的控制权后,通过远程桌面打开浏览器,直接安装了修改过后的Metamask插件。

2. 黑客在Hugh Karp的个人电脑上找到了Metamask插件的安装路径, 对其中代码进行了修改, 在修改完成后,将修改后的插件加载到浏览器中。

3. 黑客利用浏览器自带的的命令行工具, 修改浏览器安装的插件。

官方披露的细节中提到了Hugh Karp使用的是硬件钱包, 但并未说明是哪款硬件钱包。

应是Trezor或者Ledger之一,因为Metamask只支持以上两个硬件钱包。

在使用硬件钱包的情况下,Metamask中的交易需要在硬件钱包中进行确认并使用存在硬件钱包中的私钥签名。

目前上面两款硬件钱包在硬件的确认交易时,硬件屏幕上都会显示转账接受地址,以供使用者进行最终确认。

此次攻击中,黑客应该无法修改硬件屏幕中交易确认界面显示的地址,由此推测Hugh Karp在硬件钱包上进行最终确认时,并未留意到交易的对象是黑客的地址。

图二:Ledger确认交易时的屏幕显示

来源: https://www.youtube.com/watch?v=9_rHPBQdQCw

区块链保险平台创始人账号被攻击,更是说明了保险的重要性。

高密度爆发的黑客事件是一个警示。

在区块链的网络世界中无论你是什么人,拥有怎样的角色身份,黑客不会因为你的侥幸心理就绕过你,安全事故造成的损失可能会发生在每个人身上。

而且就算使用硬件钱包,人也不可能一辈子百分之一百不犯错误。

CertiK安全验证团队根据此次攻击,提出如下安全建议:

1. 任何安全系统和操作环境不仅需要程序安全验证,更加需要专业的渗透测试来对整体产品安全进行验证。

2. 为了确保数字资产不因任何非技术原因遭受损失,项目方应及时为项目产品购买保险,增加项目方和投资者的安全保障方案,确保其因受到攻击所造成的损失可以被及时补偿。

来源: https://www.youtube.com/watch?v=9_rHPBQdQCw

首发 | 嘉楠耘智宣布与Northern Data在AI、区块链等高性能计算领域达成战略合作:据官方消息,2020年2月17日,嘉楠耘智宣布与区块链解决方案及数据中心服务提供商Northern Data AG达成战略合作。本次合作的内容涵盖AI、区块链及数据中心运维等高性能计算领域。 \n嘉楠耘智拥有丰富的高性能计算专用ASIC芯片研发经验。Northern Data AG则专注于区块链和数据中心等高性能计算基础设施的建设。通过本次战略合作,双方将在AI、区块链等新兴领域进一步释放增长潜能。[2020/2/19]

首发 | 蚂蚁矿机S17性能曝光 采用全新散热技术及全局优化定制方案:金色财经讯,日前,比特大陆即将发布的蚂蚁矿机S17性能曝光。据蚂蚁矿机S17产品经理朋友圈称,新品将采用新一代散热技术及全局优化定制方案。据了解,该散热技术可能是指芯片的封装技术,也有可能是机器的散热结构设计。至于S17产品“全局优化定制”方案未有细节透露。有声音评价,这或许是为决战丰水期做出的准备。[2019/3/22]

IMEOS首发 BM表示EOS合约具有整数溢出保护:据金色财经合作媒体IMEOS报道:近日ETH出现多个ERC20智能合约的处理溢出错误,BM在推特上发表评论:新的ETH契约Bug可能会破坏整个Token的供应,让持有者留下无价值Token.这就算为什么代码不能成为法律,随即表示EOS erc合约不容易受到这种攻击。而EOS官方群也有人表示担忧EOS是否具有整数溢出保护?BM回应:有很多C ++模板类可以封装类型并检查溢出。[2018/4/25]

标签:

区块链热门资讯
行情分析丨比特币的共识越来越强, “极客玩具”已成为精英必备

简单盘点一下消息面: 雄安新区区块链底层系统(1.0)今日在雄安区块链论坛上发布。这标志着国内首个城市级区块链底层操作系统开发完成投入使用。技术水平国际领先。 富达资本正在努力将传统世界与数字货币连接起来,公司希望借助BTC的托管业务取得前所未有的成功。

2020/12/15 12:07:38
比特币抵达P站 每日1亿人看的网站

很多年之前,我还在北京创业,曾受邀去深圳做一场演讲,受众是券商、银行、保险等传统金融从业人员,演讲的主题是比特币。在会上,听众都西装革履,正襟危坐,我则一身上下迪卡侬,刚下机场,飞奔而来,鲜衣怒马,花枝招展,甚至还有些香汗淋漓,好似令狐冲在三宝殿给少林方丈们讲酒吧蹦迪的姿势。

2020/12/15 12:02:04
首发 | OKEx Insights:支付巨头PayPal进军加密货币市场 下一站是否会发币?

根据灰度投资最新发布的《比特币投资者研究报告》显示,投资者对比特币的兴趣正在上升,超过一半的美国投资者有兴趣在2020年投资比特币,而在参与投资比特币的受访者群体中,有83%的人在过去一年中进行了加密货币投资。随着数字货币的盛行,支付巨头Paypal在近期上线了加密货币交易。 Paypal上线加密货币究竟是为何? 笔者在近期的年报中找到了答案。

2020/12/15 11:45:52
ETH2.0存款合约突破130万个ETH,主流交易所纷纷推出持币生息产品

2020年对于加密货币圈来说是一个不同寻常的一年,热点项目此起彼伏,波卡,DeFi,ETH2.0,Filecoin……频频上线的项目刺激着币圈用户的神经,其中ETH2.0的上线之路堪称为崎岖。

2020/12/15 11:02:49
Tezos的“Delphi”升级将 Gas 成本降低了 75%

Tezos 上新升级的“Delphi”大大提升了其区块链对 DeFi 应用程序的吸引力。 概要 Tezos 区块链成功实现“Delphi”升级; 升级后,Gas 消耗降低了约 75% ; 开发者可以部署更复杂的智能合约和应用程序,例如 DeFi 。 11 月 12 日,Tezos 区块链成功实现了名为“Delphi”的新升级。

2020/12/15 10:57:17
ETH2.0存款合约突破130万个ETH 四大交易所纷纷推出持币生息产品

2020年对于加密货币圈来说是一个不同寻常的一年,热点项目此起彼伏,波卡,DeFi,ETH2.0,Filecoin……频频上线的项目刺激着币圈用户的神经,其中ETH2.0的上线之路堪称为崎岖。

2020/12/15 10:51:43