Les incidents de sécurité ne sont pas rares dans la finance traditionnelle, et ils sont encore plus fréquents dans le cercle des devises anonymes, semblable à une forêt sombre.
Les données montrent qu'au cours du seul mois de mai dernier, 37 incidents de sécurité typiques se sont produits dans le cercle du chiffrement, la perte totale causée par les attaques de piratage, les escroqueries par phishing et Rug Pull atteignant 154 millions de dollars, soit une augmentation d'environ 52,5 % par rapport à avril.
Le 3 juin seulement, deux incidents de sécurité se sont produits à nouveau. Légèrement différents des autres incidents, les deux incidents étaient liés à des échanges importants et le processus était assez bizarre. Cependant, à la fin de l'histoire, certaines personnes étaient heureuses et d'autres inquiètes.
Le 3 juin, un long article publié par un utilisateur nommé Nakamao sur l'auto-récit de Daolai, les vols de pirates informatiques ont commencé les uns après les autres.
On dit que le 24 mai, Nakamao était toujours en route pour son travail et que tous les équipements de communication étaient toujours avec lui. Cependant, dans ce contexte apparemment infaillible, les pirates n'ont pas obtenu le mot de passe du compte Binance ni les instructions de vérification secondaire (2FA). , tous les fonds de son compte ont été volés grâce à des transactions indirectes.
En bref, le trading en paires effectue des transactions de gros montants sur des paires avec une liquidité limitée et utilise des achats à grande échelle par la partie commerciale pour reprendre la vente de comptes de pirates informatiques. Enfin, l'autre partie obtient des fonds réels ou des fonds dans un certain domaine. altcoin. stablecoin, tandis que l’acheteur reprend l’altcoin du vendeur. Ce type de vol n'est pas rare dans les échanges. En 2022, FTX a subi un vol pouvant atteindre 6 millions de dollars américains en raison de la fuite de la clé API 3commas. À cette époque, la SBF a utilisé ses capacités de billets de banque pour régler l'affaire. Depuis lors, des échanges compensés à grande échelle ont également eu lieu sur Binance. Mais le caractère pervers de ce modèle réside dans le fait que pour les bourses avec un mauvais contrôle des risques, il s'agit simplement d'un comportement commercial ordinaire et il n'y a pas de vol anormal.
Dans ce cas, QTUM/BTC, DASH/BTC, PYR/BTC, ENA/USDC et NEO/USDC ont été sélectionnés, utilisant les fonds importants des utilisateurs pour acheter une augmentation de plus de 20 %. Les utilisateurs n'étaient pas au courant de toutes les opérations du pirate informatique. Ce n'est qu'après avoir vérifié les informations de leur compte plus d'une heure plus tard qu'ils ont découvert l'anomalie.
Selon la réponse de la société de sécurité, les pirates manipulent les comptes des utilisateurs en détournant les cookies Web. En termes simples, ils utilisent les données du terminal enregistrées sur la page Web. Pour donner un exemple typique, lorsque nous entrons dans une certaine interface sur Internet, nous n'avons pas besoin d'un compte ni d'un mot de passe pour nous connecter, car l'historique des accès et les enregistrements par défaut ont été laissés auparavant.
Ce qui est arrivé à cela peut avoir été causé par la propre négligence de l'utilisateur. Cependant, les choses sont devenues encore plus étranges par la suite. Après le vol, Nakamao a immédiatement contacté le client et cofondateur de Binance, He Yi, et a remis l'UID à l'équipe de sécurité, dans l'espoir de geler les fonds du pirate informatique dans un court laps de temps. Cependant, le personnel de Binance a mis jusqu'à une journée pour informer Kucoin et Gate. Sans surprise, les fonds du pirate informatique avaient disparu depuis longtemps. De plus, le pirate informatique n'a utilisé qu'un seul compte et n'a pas dispersé le compte avant de tout retirer de Binance en toute sécurité. fonds. Pendant tout le processus, non seulement l'utilisateur n'a reçu aucun rappel de sécurité, mais ce qui est encore plus ironique, c'est qu'en raison de la transaction importante, Binance a en fait envoyé un e-mail d'invitation au teneur de marché au comptant le deuxième jour.
Lors de l'examen qui a suivi, un plug-in Chrome médiocre, Aggr, est de nouveau entré dans le champ de vision de Nakamao. Ce plug-in est utilisé pour consulter les sites Web de données de marché. Selon la description de la personne volée, elle a vu que plusieurs KOL étrangers en faisaient la promotion pendant plusieurs mois, elle l'a donc téléchargé pour ses propres besoins.
Voici une simple vulgarisation scientifique. Le plug-in peut en réalité effectuer plusieurs opérations. En théorie, il peut non seulement se connecter au compte de trading via des extensions malveillantes, accéder aux informations du compte de l'utilisateur pour les transactions, mais également retirer des fonds et modifier les paramètres du compte. Le noyau La raison en est que le plug-in lui-même a plusieurs fonctions telles qu'un accès étendu aux autorisations, l'exploitation des requêtes réseau, l'accès au stockage du navigateur et l'utilisation du presse-papiers.
Après avoir découvert qu'il y avait un problème avec le plug-in, Nakamao s'est immédiatement rendu auprès du KOL pour s'enquérir et a averti le KOL d'informer les utilisateurs de désactiver le plug-in. Cependant, de manière inattendue, le boomerang a été inséré dans Binance à ce moment-là. Selon la déclaration initiale de Nakamao, Binance avait déjà été au courant du problème avec le plug-in, et un cas similaire s'est produit en mars de cette année, Binance a également suivi le pirate informatique par la suite, ou pour éviter d'alerter le serpent, il n'a pas notifié la suspension. du produit à temps, et The KOL a également été autorisé à continuer à maintenir le contact avec les pirates, et à ce stade, Nakamao est devenu la prochaine victime.
Pouvoir se connecter et effectuer des transactions en utilisant uniquement des cookies, il doit y avoir certains problèmes avec le mécanisme Binance, mais l'incident lui-même a en réalité été causé par la propre négligence de l'utilisateur, ce qui rend la responsabilité un problème difficile.
Comme prévu, la réponse de Binance a ensuite provoqué un tollé sur le marché. En plus de l'examen du compte officiel indiquant que la cause était une attaque de pirate informatique, Binance n'a pas remarqué les informations pertinentes sur le plug-in AGGR. Dans un groupe WeChat, He Yi a également commenté l'incident : « Le propre ordinateur de l'utilisateur a été piraté. . Dieu." C'est difficile à sauver, et Binance n'a aucun moyen de dédommager les utilisateurs pour la compromission de leurs propres appareils. "
Nakamao ne peut évidemment pas accepter l'opération de Binance et estime que Binance n'a rien fait en termes de contrôle des risques. De plus, le KOL a clairement confirmé avoir mentionné le plug-in à l'équipe Binance, et Binance est également soupçonné de ne pas avoir signalé l'affaire. . Alors que l'opinion publique continue de fermenter, Binance a une fois de plus répondu qu'elle demanderait une récompense en guise de retour pour que les utilisateurs signalent les plug-ins malveillants.
Je pensais que l'affaire était terminée ici, mais il est intéressant de noter que le 5 juin, l'incident a pris une autre tournure. Nakamao a de nouveau présenté des excuses publiques à Binance le 12 mai, ce n'était pas le mois de mars comme mentionné précédemment. De plus, KOL n'est pas un agent infiltré de Binance. La communication entre KOL et Binance se concentre sur les problèmes de compte et non sur les problèmes de plug-in.
Que ces remarques soient vraies ou fausses, mais l'attitude a changé à 180 degrés, passant de l'expression de la déception aux excuses publiques, on peut voir que Binance a dû l'indemniser, et le montant précis de l'indemnisation est inconnu.
D'un autre côté, par coïncidence, le 3 juin, outre Binance, OKX a également été touché. Un utilisateur d'OKX a affirmé dans la communauté que son compte avait été volé par un changement de visage par l'IA et que 2 millions de dollars américains sur son compte avaient été transférés. L'incident s'est produit début mai. Selon la description de l'utilisateur, la raison du vol de son compte n'avait rien à voir avec une fuite personnelle. Au lieu de cela, le pirate s'est connecté à son adresse e-mail et a cliqué sur le mot de passe oublié, tout en créant un compte. une fausse carte d'identité et une vidéo IA qui change le visage pour contourner la situation. Il a ouvert le pare-feu, a ensuite modifié son numéro de téléphone portable, son adresse e-mail et son authentificateur Google, puis a volé tous les actifs de son compte dans les 24 heures.
Bien que la vidéo n'ait pas été vue, d'après la déclaration de l'utilisateur, on peut savoir avec une forte probabilité que la vidéo synthétisée par l'IA est très mauvaise, mais malgré cela, elle casse toujours le système de contrôle des risques OKX. Par conséquent, l'utilisateur estime que. OKX est également responsable et espère qu'OKX pourra pleinement verser le montant de l'indemnisation à ses fonds. Mais en fait, s'il est analysé attentivement, l'auteur doit être quelqu'un qui connaît l'utilisateur et connaît ses habitudes et le montant de son compte. On peut déterminer que le crime a été commis par une connaissance. L'utilisateur lui-même a également mentionné cela dans la lettre. il a un ami qui est inséparable de lui. Dans des circonstances normales, OKX ne compensera pas cela. Actuellement, cet utilisateur a appelé la police et envisage de demander réparation auprès de la police.
En réponse à ces deux incidents, la communauté du chiffrement en a également longuement discuté. Bien sûr, du point de vue de la sécurité, même si de nombreuses personnes soulignent que l'auto-garde des portefeuilles donne un contrôle absolu sur les actifs, nous devons admettre que par rapport au contrôle personnel, les échanges sont encore plus sûrs. L'échange est au moins un tiers direct qui peut être connecté et contacté, quel que soit le résultat, il interviendra au moins dans l'enquête si la communication est correcte, il est cependant possible d'obtenir une indemnisation. , si le portefeuille auto-hébergé est volé, il n'y aura presque aucune indemnisation par aucune institution pouvant fournir une couverture.
Cependant, il est également urgent d’améliorer la sécurité des échanges actuels. Les grandes plateformes de trading contrôlent les actifs de la plupart des utilisateurs, et les actifs cryptés sont difficiles à récupérer, la sécurité doit donc faire l'objet d'une plus grande attention. Dans l'utilisation de la finance traditionnelle, presque chaque fois que vous vous déconnectez, vous devez saisir à nouveau votre mot de passe pour empêcher le contrôle du compte. Des méthodes de vérification supplémentaires sont généralement requises lors du transfert d'argent. Par conséquent, la communauté suggère que la plateforme de trading ajoute une fonction de verrouillage par mot de passe, ajoute une vérification 2FA avant les transactions et ressaisit la vérification après un changement d'adresse IP, ou adopte une vérification MPC sécurisée multipartite pour décentraliser les mots de passe et améliorer la sécurité en sacrifiant l'expérience utilisateur. . Cependant, certains utilisateurs estiment que la vérification répétée est trop triviale pour les transactions à haute fréquence et difficilement réalisable.
He Yi a également répondu à cela en disant : « Actuellement, des alarmes Big Data et des doubles confirmations manuelles se sont superposées aux fluctuations soudaines des prix, et des rappels seront également ajoutés aux utilisateurs ; la fréquence de vérification sera augmentée pour le fonctionnement du plug-in et l'autorisation des cookies. Dans ce scénario, les mots de passe de transaction ne sont pas applicables, mais Binance ajoutera des liens de vérification de sécurité en fonction des différences des utilisateurs.
De retour au point de départ, à en juger par les deux incidents, les utilisateurs doivent également y prêter une grande attention, renforcer leur propre conscience de la sécurité et essayer d'utiliser des équipements totalement indépendants pour les opérations sur la base d'un placement décentralisé des actifs. utilisez l'authentification décentralisée et ne faites pas de la commodité une priorité, évitez de configurer une authentification en direct et sans mot de passe, utilisez les plug-ins avec prudence et utilisez des portefeuilles matériels pour le stockage de grandes quantités d'actifs.
Après tout, les actifs cryptographiques sont différents des actifs physiques. Cependant, en raison des restrictions réglementaires, il est presque difficile d’obtenir une indemnisation ultérieure pour le vol d’actifs cryptographiques, et il est même difficile de déposer une plainte. .
De tels cas ne sont pas rares non plus. Un exemple typique est apparu dans le récent rapport GoldenEye de 1818. La victime, M. Zhu, a découvert « Cheng Qiqi », un patron de Zhihu qui prétendait avoir gagné des dizaines de millions de dollars grâce à la spéculation monétaire, et espérait le suivre pour gagner de l'argent grâce à la spéculation monétaire. Après que les deux parties ont négocié, elles ont signé un contrat pour réaliser une coopération de partage des bénéfices. Il était clair que 70 % des bénéfices appartenaient à Cheng Qiqi et que 30 % étaient conservés par M. Zhu. S'il y avait une perte, les deux parties le feraient chacune. supporter 50%. Pendant la transaction, M. Zhu uniquement Pour les opérations de suivi, tous les droits de propriété du compte sont entre vos mains.
Une part des bénéfices aussi élevée, un contrat apparemment digne de confiance, n'apporte pas de résultats dignes de confiance. Après avoir initialement réalisé un petit bénéfice, la victime a augmenté son investissement dans les puces. Suivant le slogan de Cheng Qiqi de « compensation complète pour la liquidation », il a utilisé un capital emprunté de 600 000 pour vendre à découvert des ETH avec un effet de levier de 100 fois. en ETH, la victime a perdu tout son argent.
Il est évidemment difficile de déposer une plainte dans cette affaire car toutes les opérations ont été effectuées par des individus et il n'y a eu aucune fraude ni comportement forcé. Au final, la police et les journalistes n'ont pu que souligner que, conformément aux lois et réglementations de notre pays, les transactions en monnaie virtuelle ne sont pas exemptées de protection, de risque élevé, de vigilance accrue, etc.
En fin de compte, M. Zhu a réalisé une fin ridicule avec une expression innocente et le cœur brisé.
Quoi qu'il en soit, je voudrais rappeler une fois de plus aux spectateurs qui participent à la transaction que dans n'importe quel domaine financier, même dans le cercle du cryptage, ce secteur qui sacrifie à l'origine une certaine sécurité pour obtenir des profits élevés et la liberté est bien plus sûr que l'efficacité ou la rentabilité. est plus important, ce qui peut être l'une des raisons pour lesquelles il est difficile pour le monde du chiffrement dit décentralisé de quitter la centralisation.
Après tout, c’est ça la nature humaine. Tout le monde veut que quelqu'un dise la vérité, et peu importe combien d'argent ils gagnent, ils ne sont pas disposés à confectionner des vêtements de mariage pour les autres.