Autor |

En la tarde del 3 de mayo, hora de Beijing, cierta ballena transfirió accidentalmente 1.155 BTC a una dirección de billetera de phishing, cuyo valor era de aproximadamente 71 millones de dólares según el precio actual de la moneda. Una cantidad tan grande de financiación se evaporó casi instantáneamente, lo que dio una gran lección a la industria.

Qué pasó

Primero veamos cómo se desarrollaron las cosas (3 de mayo, la siguiente es la hora de Beijing):

17:14:47, 0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5 la dirección de billetera (ballena) transfiere 0.5 ETH a la dirección 0xd9A1b0B1e1aE382DbDc898Ea68012FfcB2853a91 y crea la dirección;

17:17:59, 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 dirección de billetera (hacker) transfirió 0 ETH a 0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5 dirección de billetera

18: 31: 35, 0x1E227979F0B5BC691A70DEAED2E0F39A6F538FD5 (ballena gigante) Escriba el contrato WBTC en 0xd9A1C378881257612E2581A6EA0ADA244853A91 WBTC;

El 4 de mayo a las 10:51:11, la dirección 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 (hacker) transfirió todos los WBTC a la nueva dirección: 0xfB5bcA56A3824E58A2c77217fb667AE67000b7A6

Puede que no entiendas lo que está pasando aquí, así que expliquemoslo desde la perspectiva de un hacker:

El hacker continuó monitoreando las actividades de la ballena en la cadena; al anochecer del 3 de mayo se descubrió que la ballena había creado una nueva dirección. Los piratas informáticos entraron en acción;

Mediante fuerza bruta y generación aleatoria de claves y direcciones privadas, podemos obtener una dirección similar a la dirección recién generada de la ballena gigante (los lectores deben verificar cuidadosamente las partes rojas de las dos direcciones en los pasos 1 y 2 anteriores, son exactamente las mismas). igual, pero diferente en otros lugares). Y transferir 0 ETH a la ballena a través de la dirección generada, con el propósito de generar un historial de transacciones en la billetera de la ballena, que contiene la dirección de phishing 0xd9A1C3788D81257612E2581A6ea0aDa244853a91;

Después de que la ballena confirmó que su dirección había recibido 0,5 ETH, comenzó a transferir WBTC a la nueva dirección. En ese momento, ocurrió un error fatal. La ballena gigante encontró una dirección en el historial de transferencias que tenía el mismo número de dirección que su dirección de destino, la copió y pegó e ingresó la dirección de phishing por error;

El hacker rastreó su dirección de phishing y se sorprendió al encontrar una "gran cosecha": 1155 BTC. Probablemente saldré a celebrar de inmediato, tomaré una cerveza, dormiré un poco y luego transferiré WBTC a otra dirección nueva.

Iluminación

¿Ha notado algún problema? Eche un vistazo a la línea de tiempo. Después de que la ballena generó una nueva dirección, el pirata informático preparó la dirección de phishing y completó la transferencia a la ballena en aproximadamente 3 minutos. Esto ilustra varios puntos:

a. Los piratas informáticos han estado preparados durante mucho tiempo, comprenden claramente todo el proceso, los scripts están listos y todo el proceso está automatizado;

b. Los piratas informáticos tienen mayor potencia informática. La dirección generada aquí incluye los 5 bytes específicos que son exactamente iguales (los dos bytes iniciales y los últimos tres bytes), que son casi 2 ^ 40 operaciones. Definitivamente se necesitan GPU, y en grandes cantidades;

c. Por lo tanto, probablemente no se trate de un comportamiento individual, sino de un comportamiento organizado.

Blockchain trae descentralización, elimina intermediarios, controla su propia riqueza y los individuos pueden controlar sus propios datos. Sin embargo, esto también requiere que usted tome el control de su propia seguridad. Los requisitos en materia de concienciación y conocimientos de seguridad personal son muy altos.

Esta ballena gigante tiene un fuerte sentido de seguridad, que se refleja en: 1) Cambia de dirección de vez en cuando 2) Prueba y confirma antes de transferir grandes cantidades; Sin embargo, copiar y pegar destruye todo.

Algunos conocimientos de seguridad sobre transferencias.

A través de esta lección de más de 70 millones de dólares estadounidenses, todo poseedor de activos digitales debe estar alerta de que los piratas informáticos y el phishing están en todas partes y que usted es la primera y única persona responsable de su propiedad. Se debe dominar algo de sentido común en materia de seguridad. Aquí hay algunas opciones de seguridad de billetera para activos más grandes para su referencia:

·La clave privada y la frase mnemotécnica deben generarse sin conexión y guardarse sin conexión.

—La mayoría de las billeteras ahora tienen capacidades de firma fuera de línea;

—También puedes usar una billetera de hardware, pero cuando la uses, también debes hacer una copia de seguridad de la clave privada.

·Una vez que sospeche que la clave privada o la frase mnemotécnica puede estar expuesta, reemplácela lo antes posible y transfiera los activos.

·La dirección de transferencia debe almacenarse en la libreta de direcciones y tomar notas. No copie la dirección temporalmente.

·Para transferir dinero, seleccione una dirección de la libreta de direcciones y asegúrese de realizar una transferencia de prueba y luego confirme el éxito con el destinatario antes de realizar la transferencia.

·Las transferencias grandes se pueden realizar en múltiples cuotas

·No haga clic directamente en el enlace de transferencia enviado por la otra parte para transferir dinero o realizar transacciones en línea

—El phishing a menudo se lleva a cabo falsificando enlaces o direcciones similares

·Se recomienda gestionar mayores cantidades de fondos mediante firma múltiple

—Esto es adecuado para la gestión del dinero de una empresa u organización.

—Los activos personales también se pueden procesar de esta manera. Por ejemplo, puede dominar personalmente varias claves privadas y otorgar derechos de firma a amigos que no se conocen para evitar la pérdida de sus claves privadas personales y la irrecuperabilidad de sus activos.

·Las direcciones de los sitios web de CEX y DEX deben obtenerse a través de canales formales, las direcciones de depósito deben confirmarse repetidamente y las transferencias de prueba también son pasos necesarios.