Wieczorem 3 maja czasu pekińskiego pewien wieloryb przypadkowo przesłał 1155 BTC na adres portfela phishingowego, który według aktualnej ceny waluty był wart około 71 milionów dolarów. Tak duża ilość finansów wyparowała niemal natychmiast, co było dla branży ważną lekcją.
Co się stało
Przyjrzyjmy się najpierw rozwojowi sytuacji (3 maja, według czasu pekińskiego):
17:14:47, 0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5 adres portfela (wieloryb) przekazuje 0,5 ETH na adres 0xd9A1b0B1e1aE382DbDc898Ea68012FfcB2853a91 i tworzy adres;
17:17:59, 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 adres portfela (haker) przeniesiony 0 ETH na adres portfela 0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5
18:31:35, 0x1E227979F0B5BC691A70DEAED2E0F39A6F538FD5 (wieloryb olbrzymi) Wpisz kontrakt WBTC na 0xd9A1C378881257612E2581A6EA0ADA244853A91 WBTC;
W dniu 4 maja o godzinie 10:51:11 adres 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 (haker) przeniósł wszystkie WBTC na nowy adres: 0xfB5bcA56A3824E58A2c77217fb667AE67000b7A6
Możesz nie rozumieć, co się tutaj dzieje, więc wyjaśnijmy to z perspektywy hakera:
Haker w dalszym ciągu monitorował działania wieloryba w łańcuchu; 3 maja o zmierzchu odkryto, że wieloryb utworzył nowy adres. Hakerzy wkroczyli do akcji;
Poprzez brutalną siłę i losowe generowanie kluczy prywatnych i adresów możemy uzyskać adres podobny do nowo wygenerowanego adresu wieloryba (czytelnicy proszę dokładnie sprawdzić czerwone części obu adresów w krokach 1 i 2 powyżej, są one dokładnie takie same , ale inaczej w innych miejscach). I przekaż 0 ETH wielorybowi poprzez wygenerowany adres, w celu wygenerowania historii transakcji w portfelu wieloryba, która zawiera adres phishingowy 0xd9A1C3788D81257612E2581A6ea0aDa244853a91;
Gdy wieloryb potwierdził, że na jego adres otrzymał 0,5 ETH, zaczął przesyłać WBTC na nowy adres. W tym momencie wystąpił krytyczny błąd. Gigant wieloryb znalazł w historii transferów adres, który miał ten sam numer adresu co adres docelowy, skopiował go i wkleił, a następnie przez pomyłkę wprowadził adres phishingowy;
Haker monitorował swój adres phishingowy i ze zdziwieniem odkrył „ogromny zbiór” – 1155 BTC. Prawdopodobnie od razu wyjdę świętować, napiję się piwa, prześpię się, a potem przeniosę WBTC pod inny nowy adres.
Oświecenie
Czy zauważyłeś problem? Spójrz na oś czasu. Po wygenerowaniu przez wieloryba nowego adresu haker przygotował adres phishingowy i w ciągu około 3 minut zakończył transfer do wieloryba. Ilustruje to kilka punktów:
a. Hakerzy są przygotowani od dawna, jasno rozumieją cały proces, skrypty są gotowe, a cały proces jest zautomatyzowany;
b. Hakerzy mają większą moc obliczeniową. Wygenerowany tutaj adres zawiera dokładnie takie same 5 bajtów (dwa początkowe bajty i trzy ostatnie bajty), co daje prawie 2^40 operacji. Zdecydowanie potrzebne są procesory graficzne i to w dużych ilościach;
c. Dlatego prawdopodobnie nie jest to zachowanie indywidualne, ale zachowanie zorganizowane
Blockchain przynosi decentralizację, eliminuje pośredników, kontroluje własne bogactwo, a jednostki mogą kontrolować własne dane. Wymaga to jednak również przejęcia kontroli nad własnym bezpieczeństwem. Wymagania dotyczące świadomości bezpieczeństwa osobistego i wiedzy na temat bezpieczeństwa są bardzo wysokie.
Ten gigantyczny wieloryb ma silne poczucie bezpieczeństwa, które przejawia się w: 1) Co jakiś czas zmienia adresy 2) Testuje i potwierdza przed przekazaniem dużych kwot; Jednak jedna kopia i wklejenie niszczy wszystko.
Pewna wiedza na temat bezpieczeństwa transferów
Dzięki tej lekcji o wartości ponad 70 milionów dolarów każdy posiadacz zasobów cyfrowych powinien mieć świadomość, że hakerzy i phishing są wszędzie, a Ty jesteś pierwszą i jedyną osobą odpowiedzialną za swoją własność. Należy opanować zdrowy rozsądek dotyczący bezpieczeństwa. Oto kilka opcji zabezpieczeń portfela dla większych aktywów w celach informacyjnych:
·Klucz prywatny i fraza mnemoniczna muszą zostać wygenerowane w trybie offline i zapisane w trybie offline.
—Większość portfeli ma teraz możliwość podpisywania w trybie offline;
— Możesz także użyć portfela sprzętowego, ale korzystając z portfela sprzętowego, musisz także wykonać kopię zapasową klucza prywatnego.
· Gdy podejrzewasz, że klucz prywatny lub fraza mnemoniczna może zostać ujawniona, wymień go tak szybko, jak to możliwe i przekaż zasoby
·Adres do przelewu należy zapisać w książce adresowej i sporządzić notatki. Nie kopiuj adresu tymczasowo.
·Aby przelać pieniądze, wybierz adres z książki adresowej i pamiętaj o wykonaniu przelewu testowego, a następnie przed przelewem potwierdź powodzenie u odbiorcy.
·Duże przelewy można dokonać w kilku ratach
·Nie klikaj bezpośrednio linku do przelewu przesłanego przez drugą stronę w celu przekazania pieniędzy lub przeprowadzenia transakcji online
— Wyłudzanie informacji często odbywa się poprzez fałszowanie podobnych linków lub podobnych adresów
·Zaleca się zarządzanie większymi kwotami środków poprzez multipodpis
—Jest to odpowiednie do zarządzania pieniędzmi firmy lub organizacji
— W ten sposób można również przetwarzać aktywa osobiste. Można na przykład osobiście opanować wiele kluczy prywatnych i przyznać uprawnienia do podpisu znajomym, którzy się nie znają, aby zapobiec utracie osobistych kluczy prywatnych i niemożności odzyskania aktywów.
·Adresy stron internetowych CEX i DEX należy pozyskać formalnymi kanałami, adresy wpłat należy wielokrotnie potwierdzać, niezbędnymi krokami są także przelewy testowe.
Obecna hossa jest burzliwa i codziennie mamy możliwość dzielenia się hasłami.
Powtórzę: nie wiem, co robić na hossie. Kliknij mój awatar, śledź, planowanie spotów na hossie, hasło do kontraktu i bezpłatne udostępnianie.
Ja potrzebuję fanów, Ty potrzebujesz referencji. Lepiej zwrócić uwagę niż zgadywać.