Pada malam tanggal 3 Mei, waktu Beijing, seekor paus tertentu secara tidak sengaja mentransfer 1,155 BTC ke alamat dompet phishing, yang bernilai sekitar US$71 juta berdasarkan harga mata uang saat ini. Dana sebesar itu langsung menguap dan memberikan pelajaran besar bagi industri ini.
Apa yang telah terjadi
Mari kita lihat dulu perkembangannya (3 Mei, berikut ini waktu Beijing):
17:14:47, alamat dompet 0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5 (paus) mentransfer 0,5 ETH ke alamat 0xd9A1b0B1e1aE382DbDc898Ea68012FfcB2853a91 dan membuat alamat;
17:17:59, 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 alamat dompet (peretas) ditransfer 0 ETH ke alamat dompet 0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5
18: 31: 35, 0x1E227979F0B5BC691A70DEAED2E0F39A6F538FD5 (paus raksasa) Dengan menghubungi kontrak WBTC ke 0xd9A1C3788D81257612E2581A6EA0ADA244853A91, 1155.288027677777 WBTC;
Pada tanggal 4 Mei pukul 10:51:11, alamat 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 (peretas) mentransfer semua WBTC ke alamat baru: 0xfB5bcA56A3824E58A2c77217fb667AE67000b7A6
Anda mungkin tidak memahami apa yang terjadi di sini, jadi mari kita jelaskan dari sudut pandang peretas:
Peretas terus memantau aktivitas paus di rantai tersebut pada senja hari tanggal 3 Mei, dan ditemukan bahwa paus tersebut telah membuat alamat baru. Para peretas langsung bertindak;
Dengan pembangkitan kunci dan alamat pribadi secara brute force dan acak, kita dapat memperoleh alamat yang mirip dengan alamat paus raksasa yang baru dibuat (pembaca harap hati-hati memeriksa bagian merah dari kedua alamat pada langkah 1 dan 2 di atas, keduanya persis sama. sama, namun berbeda di tempat lain). Dan transfer 0 ETH ke paus melalui alamat yang dihasilkan, dengan tujuan menghasilkan riwayat transaksi di dompet paus, yang berisi alamat phishing 0xd9A1C3788D81257612E2581A6ea0aDa244853a91;
Setelah paus mengonfirmasi bahwa alamatnya telah menerima 0,5 ETH, ia mulai mentransfer WBTC ke alamat baru. Saat ini, terjadi kesalahan fatal. Paus raksasa menemukan alamat dalam riwayat transfer yang memiliki nomor alamat yang sama dengan alamat targetnya, menyalin dan menempelkannya, dan memasukkan alamat phishing secara tidak sengaja;
Peretas memantau alamat phishingnya dan terkejut menemukan "panen besar" - 1.155 BTC. Saya mungkin akan segera keluar untuk merayakannya, minum bir, tidur, lalu mentransfer WBTC ke alamat baru lainnya.
Pencerahan
Pernahkah Anda melihat ada masalah? Lihatlah timeline. Setelah paus membuat alamat baru, peretas menyiapkan alamat phishing dan menyelesaikan transfer ke paus dalam waktu sekitar 3 menit. Hal ini menggambarkan beberapa hal:
a. Peretas telah dipersiapkan sejak lama, mereka memahami keseluruhan proses dengan jelas, skrip sudah siap, dan seluruh proses otomatis;
b. Peretas memiliki daya komputasi yang lebih besar. Alamat yang dihasilkan di sini mencakup 5 byte spesifik yang persis sama (dua byte terdepan dan tiga byte terakhir), yang hampir 2^40 operasi. GPU pasti dibutuhkan, dan dalam jumlah banyak;
c. Oleh karena itu, ini mungkin bukan perilaku individu, tetapi perilaku terorganisir
Blockchain menghadirkan desentralisasi, menghilangkan perantara, mengontrol kekayaan Anda sendiri, dan individu dapat mengontrol data mereka sendiri. Namun, ini juga mengharuskan Anda mengendalikan keselamatan Anda sendiri. Persyaratan untuk kesadaran keselamatan pribadi dan pengetahuan keselamatan sangat tinggi.
Paus raksasa ini memiliki rasa aman yang kuat, yang tercermin dari: 1) Ia sesekali berpindah alamat 2) Menguji dan mengonfirmasi sebelum mentransfer dalam jumlah besar; Namun, satu salin dan tempel menghancurkan segalanya.
Beberapa pengetahuan keamanan tentang transfer
Melalui pembelajaran senilai lebih dari 70 juta dolar AS ini, setiap pemegang aset digital harus waspada bahwa peretas dan phishing ada di mana-mana, dan Anda adalah orang pertama dan satu-satunya yang bertanggung jawab atas properti Anda. Beberapa akal sehat keselamatan harus dikuasai. Berikut beberapa opsi keamanan dompet untuk aset yang lebih besar untuk referensi Anda:
·Kunci pribadi dan frase mnemonik harus dibuat secara offline dan disimpan secara offline.
—Sebagian besar dompet sekarang memiliki kemampuan penandatanganan offline;
—Anda juga dapat menggunakan dompet perangkat keras, namun saat menggunakan dompet perangkat keras, Anda juga harus mencadangkan kunci pribadi.
·Jika Anda mencurigai bahwa kunci pribadi atau frasa mnemonik mungkin terekspos, gantilah sesegera mungkin dan transfer aset
·Alamat transfer harus disimpan di buku alamat dan dibuat catatannya.
·Untuk mentransfer uang, pilih alamat dari buku alamat, dan pastikan untuk melakukan tes transfer, lalu konfirmasi keberhasilan dengan penerima sebelum mentransfer.
·Transfer dalam jumlah besar dapat dilakukan dalam beberapa kali angsuran
·Jangan langsung mengklik link transfer yang dikirimkan pihak lain untuk mentransfer uang atau melakukan transaksi online
—Phishing sering kali dilakukan dengan memalsukan tautan atau alamat serupa
·Direkomendasikan untuk mengelola dana dalam jumlah besar melalui multi-signature
—Ini cocok untuk pengelolaan uang perusahaan atau organisasi
—Aset pribadi juga dapat diproses dengan cara ini. Misalnya, Anda dapat menguasai beberapa kunci pribadi dan memberikan hak penandatanganan kepada teman yang tidak mengenal satu sama lain untuk mencegah hilangnya kunci pribadi pribadi Anda dan aset Anda tidak dapat dipulihkan.
·Alamat situs web CEX dan DEX harus diperoleh melalui jalur formal, alamat setoran harus dikonfirmasi berulang kali, dan transfer uji juga merupakan langkah yang diperlukan.
Pasar bullish saat ini sedang bergejolak, dan kami memiliki peluang untuk membagikan kata sandi setiap hari.
Sekali lagi, saya tidak tahu apa yang harus dilakukan di pasar bullish. Klik avatar saya, ikuti, perencanaan pasar bull, kata sandi kontrak, dan berbagi gratis.
Saya butuh penggemar, Anda butuh referensi. Lebih baik memperhatikan daripada menebak.