Autor |

În seara zilei de 3 mai, ora Beijingului, o anumită balenă a transferat accidental 1.155 BTC la o adresă de portofel de phishing, care valorează aproximativ 71 de milioane de dolari SUA pe baza prețului actual al monedei. O sumă atât de mare de finanțare s-a evaporat aproape instantaneu, ceea ce a dat industriei o lecție mare.

Ce s-a întâmplat

Să ne uităm mai întâi la cum s-au dezvoltat lucrurile (3 mai, următoarea este ora Beijingului):

17:14:47, 0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5 adresa portofel (balenă) transferă 0,5 ETH la 0xd9A1b0B1e1aE382DbDc898Ea681;

17:17:59, 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 adresa portofel (hacker) transferat 0 ETH la 0x1E227979f0b5BC691a70DEAed2e5F0F38F38F

18: 31: 35, 0x1E227979F0B5BC691A70DEAED2E0F39A6F538FD5 (balena uriașă) Introduceți contractul WBTC la 0xd9A1C378881257612E2581A6BTCADA94 WBTC;

Pe 4 mai, la ora 10:51:11, adresa 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 (hacker) a transferat toate WBTC la noua adresă: 0xfB5bcA56A3824E570A76707670A7676760

Este posibil să nu înțelegi ce se întâmplă aici, așa că hai să explicăm din perspectiva unui hacker:

Hackerul a continuat să monitorizeze activitățile balenei pe lanț, la amurg pe 3 mai, s-a descoperit că balena și-a creat o nouă adresă. Hackerii au intrat în acțiune;

Prin forța brută și generarea aleatorie de chei private și adrese, putem obține o adresă similară cu adresa nou generată a balenei uriașe (cititorii vă rugăm să verificați cu atenție părțile roșii ale celor două adrese la pașii 1 și 2 de mai sus, acestea sunt exact cele la fel, dar diferit în alte locuri). Și transferați 0 ETH balenei prin adresa generată, cu scopul de a genera un istoric al tranzacțiilor în portofelul balenei, care conține adresa de phishing 0xd9A1C3788D81257612E2581A6ea0aDa244853a91;

După ce balena a confirmat că adresa sa a primit 0,5 ETH, a început să transfere WBTC la noua adresă. În acest moment, a apărut o eroare fatală. Balena uriașă a găsit o adresă în istoricul transferurilor care avea același număr de adresă ca și adresa țintă, a copiat-o și a lipit-o și a introdus din greșeală adresa de phishing;

Hackerul și-a monitorizat adresa de phishing și a fost surprins să găsească o „recoltă uriașă” - 1.155 BTC. Probabil că voi ieși să sărbătoresc imediat, voi bea o bere, voi dormi puțin și apoi voi transfera WBTC la o altă adresă nouă.

Iluminarea

Ați observat o problemă? Uitați-vă la cronologie După ce balena a generat o nouă adresă, hackerul a pregătit adresa de phishing și a finalizat transferul către balenă. Aceasta ilustrează mai multe puncte:

a. Hackerii sunt pregătiți de mult timp, înțeleg întregul proces, scripturile sunt gata și întregul proces este automat;

b. Hackerii au o putere de calcul mai mare Adresa generată aici include cei 5 octeți care sunt exact aceiași (primii doi octeți și ultimii trei octeți), adică aproape 2^40 de operații. Cu siguranță sunt necesare GPU-uri și în cantități mari;

c. Prin urmare, acesta nu este probabil un comportament individual, ci un comportament organizat

Blockchain aduce descentralizare, elimină intermediarii, vă controlează propria avere, iar indivizii își pot controla propriile date. Cu toate acestea, acest lucru necesită și să preia controlul asupra propriei siguranțe. Cerințele privind conștientizarea siguranței personale și cunoștințele privind siguranța sunt foarte ridicate.

Această balenă uriașă are un puternic sentiment de securitate, care se reflectă în: 1) Își schimbă adresele din când în când 2) Testează și confirmă înainte de a transfera cantități mari; Cu toate acestea, un copy and paste distruge totul.

Câteva cunoștințe de securitate despre transferuri

Prin această lecție de peste 70 de milioane de dolari SUA, fiecare deținător de active digitale ar trebui să fie atent că hackerii și phishingul sunt peste tot, iar tu ești prima și singura persoană responsabilă pentru proprietatea ta. Un oarecare simț de siguranță trebuie stăpânit. Iată câteva opțiuni de securitate pentru portofel pentru active mai mari pentru referință:

· Cheia privată și expresia mnemonică trebuie să fie generate offline și salvate offline.

— Majoritatea portofelelor au acum capabilități de semnare offline;

—Puteți folosi și un portofel hardware, dar atunci când utilizați un portofel hardware, trebuie să faceți și o copie de rezervă a cheii private.

·Odată ce bănuiți că cheia privată sau expresia mnemotică poate fi expusă, înlocuiți-o cât mai curând posibil și transferați active

·Adresa de transfer trebuie să fie stocată în agenda de adrese și să fie făcute note. Nu copiați adresa temporar.

·Pentru a transfera bani, selectați o adresă din agendă și asigurați-vă că faceți un transfer de test, apoi confirmați succesul cu destinatarul înainte de transfer.

· Transferurile mari se pot face în mai multe rate

·Nu faceți clic direct pe linkul de transfer trimis de cealaltă parte pentru a transfera bani sau a efectua tranzacții online

— Phishing-ul este adesea efectuat prin falsificarea de link-uri similare sau adrese similare

·Se recomandă gestionarea unor sume mai mari de fonduri prin multi-semnătură

—Acest lucru este potrivit pentru gestionarea banilor unei companii sau organizații

— Activele personale pot fi, de asemenea, procesate în acest mod. De exemplu, puteți stăpâni personal mai multe chei private și puteți acorda drepturi de semnare prietenilor care nu se cunosc pentru a preveni pierderea cheilor private și irecuperarea activelor dvs.

· Adresele site-urilor web CEX și DEX trebuie obținute prin canale formale, adresele de depozit trebuie confirmate în mod repetat, iar transferurile de testare sunt, de asemenea, pași necesari.