Napisał: Gyro Finance
Incydenty związane z bezpieczeństwem nie są rzadkością w tradycyjnych finansach, a są jeszcze częstsze w przypominającym ciemny las anonimowym kręgu walutowym.
Dane pokazują, że tylko w maju ubiegłego roku w kręgu szyfrowania miało miejsce 37 typowych incydentów związanych z bezpieczeństwem, a łączne straty spowodowane atakami hakerskimi, oszustwami typu phishing i Rug Pulls osiągnęły kwotę 154 mln USD, co stanowi wzrost o około 52,5% w porównaniu z kwietniem.
Właśnie 3 czerwca ponownie miały miejsce dwa incydenty związane z bezpieczeństwem, nieco różniące się od innych, oba incydenty były związane z dużymi wymianami, a proces był dość dziwny. Jednak pod koniec historii niektórzy ludzie byli szczęśliwi, a niektórzy zaniepokojeni .
3 czerwca w długim artykule opublikowanym przez użytkownika o imieniu Nakamao na temat autonarracji Daolai rozpoczęły się kradzieże hakerów jedna po drugiej.
Mówi się, że 24 maja Nakamao był jeszcze w drodze do pracy, a cały sprzęt komunikacyjny wciąż był przy nim. Jednak na tym pozornie niezawodnym tle hakerzy nie uzyskali hasła do konta Binance i polecenia weryfikacji drugiego etapu. (2FA) wszystkie środki na jego koncie zostały skradzione w drodze transakcji typu domina.
Krótko mówiąc, handel parami polega na przeprowadzaniu transakcji na duże kwoty w parach handlowych o ograniczonej płynności i wykorzystuje kupowanie na dużą skalę przez stronę zawierającą transakcje, aby złapać sprzedaż konta hakera. Wreszcie druga strona uzyskuje rzeczywiste środki lub środki w określonym przypadku altcoin, stablecoin, podczas gdy kupujący przejmuje altcoin od sprzedawcy. Tego typu kradzieże nie są rzadkością na giełdach. W 2022 r. w firmie FTX doszło do kontrkradzieży na kwotę do 6 mln USD w wyniku wycieku klucza API 3commas. W tym czasie SBF wykorzystał swoje możliwości w zakresie banknotów, aby rozwiązać tę sprawę. Od tego czasu Binance przeprowadził również transakcje typu domina na dużą skalę. Jednak złośliwość tego modelu polega na tym, że w przypadku giełd o słabej kontroli ryzyka jest to po prostu zwyczajne zachowanie handlowe i nie ma w nim żadnej nietypowej kradzieży.
W tym przypadku wybrano QTUM/BTC, DASH/BTC, PYR/BTC, ENA/USDC i NEO/USDC, aby wykorzystać duże środki użytkowników do zakupu cen, które wzrosły o ponad 20%. Użytkownik nie wykrył żadnej operacji hakera, dopóki ponad godzinę później nie sprawdził informacji o koncie i nie odkrył anomalii.
Z odpowiedzi firmy zajmującej się bezpieczeństwem wynika, że hakerzy manipulują kontami użytkowników, przejmując internetowe pliki cookie. Mówiąc najprościej, wykorzystują dane terminala zapisane na stronie internetowej. Dla typowego przykładu, gdy wchodzimy do określonego interfejsu w Internecie, nie potrzebujemy konta i hasła, aby się zalogować, ponieważ wcześniej zostały pozostawione historyczne zapisy dostępu i domyślne.
Przyczyną tego mogło być własne zaniedbanie użytkownika. Jednak później sytuacja stała się jeszcze dziwniejsza. Po kradzieży Nakamao natychmiast skontaktował się z klientem i współzałożycielem Binance, He Yi, i przekazał UID zespołowi bezpieczeństwa, mając nadzieję na zamrożenie środków hakera w krótkim czasie. Jednak pracownikom Binance zajęło aż 1 dzień, aby powiadomić Kucoin i Gate. Bez żadnego zaskoczenia środki hakera zniknęły już dawno temu. Co więcej, haker użył tylko jednego konta i nie rozproszył konta przed bezpiecznym wycofaniem się z Binance fundusze. Podczas całego procesu użytkownik nie tylko nie otrzymał żadnych przypomnień dotyczących bezpieczeństwa, ale co jeszcze bardziej ironiczne, w związku z dużą transakcją Binance faktycznie wysłało e-mail z zaproszeniem do animatora rynku kasowego już drugiego dnia.
W późniejszej recenzji w polu widzenia Nakamao ponownie pojawiła się przeciętna wtyczka do Chrome Aggr. Wtyczka ta służy do przeglądania witryn zawierających dane rynkowe. Według opisu skradzionej osoby, widział on, że od kilku miesięcy promowało ją wielu zagranicznych KOL-ów, więc pobrał ją na własne potrzeby.
Oto prosta popularyzacja nauki. Wtyczka może w rzeczywistości wykonywać wiele operacji. Teoretycznie może nie tylko zalogować się na konto handlowe za pośrednictwem złośliwych rozszerzeń, uzyskać dostęp do informacji o koncie użytkownika w celu przeprowadzenia transakcji, ale także wypłacić środki i zmodyfikować ustawienia konta. Rdzeń Powodem jest to, że sama wtyczka ma wiele funkcji, takich jak szeroki dostęp do uprawnień, obsługa żądań sieciowych, dostęp do pamięci przeglądarki i obsługa schowka.
Po odkryciu, że wystąpił problem z wtyczką, Nakamao natychmiast udał się do KOL z zapytaniem i ostrzegł KOL, aby powiadomił użytkowników o konieczności dezaktywacji wtyczki. Jednak nieoczekiwanie w tym momencie bumerang został dodany do Binance. Według wstępnego oświadczenia Nakamao, Binance było świadome problemu z wtyczką już wcześniej, a podobny przypadek miał miejsce w marcu tego roku. Binance również później wyśledziło hakera lub nie powiadomiło na czas o zawieszeniu produktu, aby tego uniknąć zaalarmowanie węża, a także umożliwiło KOL dalsze utrzymywanie kontaktu z hakerami i na tym etapie Nakamao stał się kolejną ofiarą.
Będąc w stanie zalogować się i przeprowadzić transakcje przy użyciu wyłącznie plików cookie, musiały wystąpić pewne problemy z mechanizmem Binance, ale sam incydent był w rzeczywistości spowodowany własnym zaniedbaniem użytkownika, co utrudnia odpowiedzialność.
Zgodnie z oczekiwaniami, późniejsza reakcja Binance wywołała zamieszanie na rynku. Oprócz oficjalnej oceny konta, w której stwierdzono, że przyczyną był atak hakerski, Binance nie zauważyło istotnej informacji na temat wtyczki AGGR. W grupie WeChat He Yi również skomentował incydent: „Włamano się do komputera użytkownika . Boże.” Trudno to uratować, a Binance nie ma możliwości zrekompensowania użytkownikom, których urządzenia zostały przejęte.”
Nakamao oczywiście nie może zaakceptować działania Binance i uważa, że Binance nie zrobiło nic w zakresie kontroli ryzyka. Co więcej, KOL wyraźnie potwierdził, że wspomniał o wtyczce zespołowi Binance, a Binance również jest podejrzany o niezgłoszenie tej sprawy. Ponieważ opinia publiczna w dalszym ciągu fermentuje, Binance po raz kolejny odpowiedziało, że będzie ubiegać się o nagrodę w ramach informacji zwrotnej dla użytkowników zgłaszających złośliwe wtyczki.
Myślałem, że na tym sprawa się zakończyła, ale co ciekawe, 5 czerwca wydarzenia przyjęły inny obrót. Nakamao po raz kolejny przeprosił Binance publicznie 12 maja, a nie w marcu, jak wspomniano wcześniej. Ponadto KOL nie jest tajnym agentem Binance. Komunikacja pomiędzy KOL i Binance koncentruje się na problemach z kontem, a nie na problemach z wtyczkami.
Niezależnie od tego, czy uwagi te są prawdziwe, czy fałszywe, ale nastawienie zmieniło się o 180 stopni, od wyrażenia rozczarowania do publicznych przeprosin, widać, że Binance musiało to zrekompensować, a konkretna wysokość rekompensaty nie jest znana.
Z drugiej strony przypadkowo 3 czerwca oprócz Binance dotknięte zostało także OKX. Użytkownik OKX powiedział w społeczności, że jego konto zostało skradzione w wyniku zmiany twarzy AI, a 2 miliony dolarów amerykańskich z konta zostało przelane. Do zdarzenia doszło na początku maja. Według opisu użytkownika przyczyną kradzieży jego konta nie był wyciek danych osobistych. Zamiast tego haker kliknął zapomniane hasło logując się na adres e-mail i jednocześnie utworzył plik fałszywy dowód osobisty i film zmieniający twarz sztucznej inteligencji, aby obejść sytuację. Otworzył zaporę sieciową, następnie zmienił numer telefonu komórkowego, adres e-mail i moduł uwierzytelniający Google, a następnie w ciągu 24 godzin ukradł wszystkie zasoby konta.
Chociaż wideo nie zostało obejrzane, z oświadczenia użytkownika można z dużym prawdopodobieństwem stwierdzić, że wideo syntetyzowane przez sztuczną inteligencję jest bardzo słabe, ale mimo to narusza system kontroli ryzyka OKX. Dlatego użytkownik tak uważa OKX również ponosi odpowiedzialność i ma nadzieję, że OKX będzie w stanie w pełni wypłacić kwotę odszkodowania na swoje fundusze. Ale tak naprawdę, jeśli dokładnie przeanalizujemy, sprawcą musi być ktoś, kto zna użytkownika i zna jego zwyczaje oraz kwotę konta. Można ustalić, że przestępstwa dokonał znajomy, o którym sam użytkownik wspomniał w piśmie ma przyjaciela, który jest z nim nierozłączny. Z reguły OKX nie zrekompensuje Ci tego. Obecnie ten użytkownik wezwał policję i planuje dochodzić odszkodowania za pośrednictwem policji.
W odpowiedzi na te dwa incydenty społeczność zajmująca się szyfrowaniem również szeroko je omówiła. Oczywiście z punktu widzenia bezpieczeństwa, chociaż wiele osób podkreśla, że samodzielna opieka nad portfelami zapewnia absolutną kontrolę nad aktywami, musimy przyznać, że w porównaniu z kontrolą osobistą, wymiany są nadal bezpieczniejsze. Podstawą jest ulepszenie metody komunikacji. Giełda to przynajmniej bezpośrednia strona trzecia, z którą można się połączyć i z którą można się skontaktować. Niezależnie od wyniku, przynajmniej zainterweniuje w dochodzeniu. Jeśli komunikacja będzie prawidłowa, może również otrzymać odszkodowanie, tak jak wspomniana powyżej ofiara. w przypadku kradzieży portfela hostowanego na własnym serwerze żadna instytucja, która może zapewnić ochronę, nie otrzyma prawie żadnej rekompensaty.
Pilne są jednak również zmiany w zakresie bezpieczeństwa bieżących giełd. Duże platformy transakcyjne kontrolują aktywa większości użytkowników, a zaszyfrowane aktywa są trudne do odzyskania, dlatego należy zwrócić większą uwagę na bezpieczeństwo. W przypadku tradycyjnych finansów niemal przy każdym wylogowaniu konieczne jest ponowne wpisanie hasła, aby zapobiec kontroli konta. Przy przesyłaniu pieniędzy wymagane są zazwyczaj dodatkowe metody weryfikacji. Dlatego społeczność sugeruje, że platforma transakcyjna powinna dodać funkcję blokady hasła, dodać weryfikację 2FA przed transakcjami i ponownie wprowadzić weryfikację po zmianie adresu IP lub przyjąć wielostronną bezpieczną weryfikację MPC w celu zdecentralizowania haseł i poprawy bezpieczeństwa poprzez poświęcenie doświadczenia użytkownika . Niektórzy użytkownicy uważają jednak, że wielokrotna weryfikacja jest zbyt trywialna w przypadku transakcji o dużej częstotliwości i trudna do wykonania.
He Yi również na to odpowiedział, mówiąc: „Obecnie na nagłe wahania cen nakładają się alarmy oparte na dużych zbiorach danych i ręczne podwójne potwierdzenia, a dla użytkowników będą także dodawane przypomnienia; zwiększona zostanie częstotliwość weryfikacji w przypadku obsługi wtyczek i autoryzacji plików cookie W tym scenariuszu hasła transakcyjne nie mają zastosowania, ale Binance doda kroki weryfikacji bezpieczeństwa w oparciu o różnice między użytkownikami.
Wracając do punktu wyjścia, sądząc po tych dwóch incydentach, użytkownicy również muszą zwrócić na to szczególną uwagę, zwiększyć swoją świadomość bezpieczeństwa i spróbować używać całkowicie niezależnego sprzętu do operacji w oparciu o zdecentralizowane rozmieszczenie zasobów korzystaj ze zdecentralizowanego uwierzytelniania i nie traktuj wygody jako priorytetu. Zasadniczo unikaj konfigurowania uwierzytelniania bez hasła i na żywo, używaj wtyczek ostrożnie i używaj portfeli sprzętowych do przechowywania dużych ilości zasobów.
W końcu aktywa kryptograficzne różnią się od aktywów fizycznych. Podmioty mogą je przynajmniej śledzić, jednak ze względu na ograniczenia regulacyjne, uzyskanie późniejszego odszkodowania za kradzież aktywów kryptograficznych jest prawie trudne, a nawet wniesienie sprawy jest trudne. .
Takie przypadki też nie są rzadkością. Typowy przykład pojawił się w niedawnym raporcie Złotego Oka z 1818 roku. Ofiara, pan Zhu, odkryła „Cheng Qiqi”, szefa Zhihu, który twierdził, że zarobił dziesiątki milionów dolarów na spekulacjach walutowych, i miał nadzieję podążać za nim, aby zarabiać pieniądze na spekulacjach walutowych. Po negocjacjach podpisali umowę o współpracy polegającej na podziale zysków. Było jasne, że 70% zysku należało do Cheng Qiqi, a 30% zatrzymywał pan Zhu. W przypadku straty poniosłyby ją obie strony ponosisz 50% Podczas transakcji tylko pan Zhu. W przypadku dalszych operacji wszystkie prawa własności konta są w twoich rękach.
Tak wysoki udział w zyskach, pozornie godny zaufania kontrakt, nie przynosi wiarygodnych rezultatów. Po osiągnięciu początkowo niewielkiego zysku ofiara zwiększyła swoją inwestycję w żetony Zgodnie ze sloganem Cheng Qiqi dotyczącym „pełnej rekompensaty za likwidację”, wykorzystał pożyczony kapitał w wysokości 600 000 do krótkiej pozycji na ETH ze 100-krotną dźwignią. Wreszcie należne do wzrostu ETH, ofiara straciła wszystkie swoje pieniądze.
Oczywiście trudno jest wnieść sprawę w tej sprawie, ponieważ wszystkie czynności zostały wykonane przez osoby fizyczne i nie doszło do oszustwa ani wymuszonego zachowania. Na zakończenie policja i reporterzy mogli jedynie podkreślić, że zgodnie z przepisami i regulacjami obowiązującymi w naszym kraju, transakcje w walucie wirtualnej nie są wyłączone z Ochrony, istnieje wysoki poziom ryzyka, zwiększona czujność itp.
Na koniec pan Zhu wykonał absurdalne zakończenie ze złamanym i niewinnym wyrazem twarzy.
W każdym razie chciałbym ponownie przypomnieć widzom biorącym udział w transakcji, że w każdej dziedzinie finansów, nawet w kręgu szyfrowania, ten sektor, który pierwotnie poświęca pewne bezpieczeństwo w celu uzyskania wysokich zysków i wolności, jest o wiele bezpieczniejszy niż wydajność lub rentowność ważniejsze, co może być jednym z powodów, dla których tak zwany zdecentralizowany świat szyfrowania ma trudności z wyjściem z centralizacji.
W końcu taka jest natura człowieka. Każdy chce, żeby ktoś powiedział prawdę i niezależnie od tego, ile zarabia, nie chce szyć ubrań ślubnych dla innych.
