黑客濫用API密鑰竊取大量加密貨幣，總價值高達數百萬美元_API

CyberNews研究人員發現，網絡犯罪分子能夠濫用加密貨幣交換API密鑰并且在沒有被授予提款權利的情況下從受害者的帳戶中竊取加密貨幣。與此同時，超過1000000美元的加密貨幣被存放在API密鑰暴露在公共代碼存儲庫中的賬戶中。

在過去幾年中，隨著加密貨幣市場的爆炸式增長，各大公司開始提供應用程序和服務來幫助交易者簡化交易流程。

要使用這些服務，交易者可以通過API密鑰在加密貨幣交易中授予第三方程序訪問其個人帳戶的權限，API密鑰允許這些程序代表他們執行操作，包括在不登錄交易所的情況下打開和執行自動交易訂單。

每組API密鑰都包含兩個重要元素：公共密鑰和私有密鑰，通常稱為公鑰和私鑰。第三方應用程序使用該密鑰來簽署操作請求，并告知加密貨幣交換該應用程序有權訪問交易者的帳戶并執行API密鑰支持的操作。

一旦您的API密鑰被網絡犯罪分子泄露或竊取將會導致災難性的后果。不過，話雖如此，即使其他人竊取了您的API秘密密鑰，他們也不能簡單地將您的加密貨幣余額轉移到自己的錢包中，因為默認情況下，加密貨幣交易所會禁用API提取權限。

Flashbots產品負責人Bert Miller：“0xbaDc0dE”開頭地址在單筆交易中賺了 800 ETH，但一小時后被黑客盜走損失1,100 ETH:金色財經報道，據研究機構 Flashbots 產品負責人 Bert Miller 在社交媒體發文稱，一個“0xbaDc0dE”開頭地址的 MEV Bot 機器人操作員在單筆交易中賺了 800 ETH，但一小時后損失了高達 1,100 ETH，該地址在過去幾個月中執行了 220,000 筆交易。Bert Miller 解釋說，“0xbaDc0dE” 利用了一位試圖在 Uniswap v2 上出售價值 180 萬美元 cUSDC 的用戶，通過將交易與涉及許多不同 DeFi dApp 精心套利交易賺了 800 ETH（102 萬美元），而那位不幸的賣家從該交易中只收到了 500 美元。但僅僅一個小時后，“0xbaDc0dE” 所有 ETH 都被盜了，一名黑客從該錢包中獲取 1,101 ETH（約合 140 萬美元），區塊鏈安全公司 PeckShield 也發現了這筆交易并發布了與黑客相關的鏈上信息。[2022/9/29 22:38:56]

但是，在進行威脅情報操作時，我們的研究人員發現，最近幾周，在整個黑客論壇中，被盜的加密貨幣交換API密鑰的交易要約似乎一直在穩定增長。

Crypto.com CEO 承認 400 多個客戶賬戶遭遇黑客攻擊，受損賬戶已得到賠償:1月20日消息，美國加密貨幣交易所Crypto.com的CEO Kris Marszalek在接受彭博社電視采訪時承認，其交易所內400多個客戶的交易賬戶受到了黑客攻擊。其稱，該交易所在攻擊事件發生后“大約 13-14 小時”重新上線，受影響的賬戶均已獲得賠償。

Marszalek表示，事件原因仍在調查過程中，未來幾天內將在公司博客公開調查結果。（Techcrunch）[2022/1/20 9:00:54]

顯然，這是一種新興的犯罪商業模式，“經驗豐富的交易者”團隊提供了通過利用被盜的API密鑰來“清空”加密貨幣交易帳戶的功能。

毫無疑問，這一現象引起了我們的注意。為了幫助加密貨幣交易用戶保護其辛苦賺來的硬幣，我們決定對這一新興趨勢展開，并盡可能多地了解威脅參與者如何利用這些API密鑰。

我們的發現令人難以置信：犯罪分子似乎正在使用加密貨幣交易應用程序的被盜API密鑰輕松地在所有主要的加密貨幣交易所上清空受害者的帳戶。

更糟糕的是，犯罪分子可以輕易繞過API密鑰上的“僅交易”設置，即使沒有獲得他們的帳戶憑據或提款權，也可以從交易者的賬戶中竊取資金。

網絡罪犯如何濫用被盜的API密鑰

動態 | 法院文件：Uber曾向黑客支付10萬美元的比特幣以防公開披露漏洞:此前泄露的一些早期法庭文件證實，Uber曾向黑客支付比特幣贖金以防止泄露敏感數據，并阻止黑客披露其安全漏洞。隨著兩名男子認罪，法官進一步發現這兩人還曾參與Uber和領英旗下培訓網站Lynda.com數據泄露犯罪事件。據悉，他們竊取了這兩家公司員工的AWS登陸信息來訪問服務器，從而獲取客戶數據，并嘗試勒索價值數百萬美元比特幣。最終，Uber同意支付價值10萬美元的比特幣贖金，但要求黑客簽署一份保密協議，以防止他們使用數據并公開披露安全漏洞。法官隨后發現，這兩名罪犯就是2016年Uber數據泄露事件的始作俑者。注：在此次事件中，有5700萬用戶的個人隱私數據（姓名、電子郵件地址和手機號碼）被盜取，美國大約60萬名司機的姓名和駕照號碼被泄露。除此之外，最令人不安的是，Uber直到一年后才公布了此事件。根據彭博社發布的一份報告，黑客很輕松地從Uber開發團隊使用的私有GitHub站點獲得憑證。黑客還試圖敲詐Uber，要求該公司提供10萬美元贖金，以換取黑客對此次數據泄露事件保持沉默。（TNW）[2019/11/3]

通常，加密貨幣交易所向交易者提供三種類型的API權限：

·數據權限，允許API可以讀取您的exchange帳戶數據，包括未結訂單，余額和交易歷史記錄，而無需對帳戶進行任何更改。

聲音 | 白帽黑客：幣安熱錢包私鑰暫告安全 不排除有二次影響:今天下午2時許，某不愿透露姓名的“白帽黑客”就幣安被盜事件表示：1、攻擊手法來看一定是高級黑客的入侵手法，入侵已經進入系統內部，但最終沒拿到私鑰，也就是說目前來看熱錢包的私鑰是安全的。2、高級黑客懂得潛伏，并在合適時機發起特殊轉賬到攻擊者控制的一批比特幣地址，這筆轉賬沒觸發常規風控，但還是被及時發現，并被及時止損。3、由于是高級黑客入侵（也就是業內經常提的APT），幣安除了查出被盜幣的最核心問題之外，其他相關的都會立即進行全面的安全排查，包括用戶API密鑰、2FA代碼的修改，但這次被黑的根本原因不是這個，不排除之后會因為這些受到二次影響。（鏈得得）[2019/5/8]

·交易權限，允許API代表您執行交易，下達未結訂單和已結束訂單。

·提款許可，允許API從您的交換帳戶中提取加密貨幣并將其轉移到另一個位置。啟用此權限后，應用程序可以將您的資金轉移到另一個錢包，而無需您的許可。

出于安全原因，默認情況下，加密貨幣交易所禁用取款權限。話雖如此，在網絡犯罪論壇上發布的大多數廣告都聲稱，其所有者最多可以提取受害者的加密貨幣余額的80%，然后將其與被盜的API密鑰的所有者進行分割。

(黑客論壇上API密鑰攻擊服務廣告的一個例子：“有經驗的交易者”根據交易所的不同，可以從被盜用的交易帳戶中提取多達80%的資金。)

動態 | 黑客通過郵件勒索活動獲利價值30余萬美元的BTC:據thenextweb報道，在一次郵件勒索活動中，黑客收獲了價值超過30萬美元的比特幣。英國公司Digital Shadows跟蹤了792000封電子郵件的樣本顯示，黑客從超過3100個獨特的發件人中獲得了大約價值33.2萬美元的比特幣。受害者的服務器遍布五大洲，從發件人IP位置信息顯示，數量最多的來自越南（8.5%）、巴西（5.3%）和印度（4.7%）。[2019/2/23]

這會讓您認為，這些廣告背后的犯罪服務提供商將需要已被授予撤回權限的被盜API密鑰。但是，在進行了一系列測試之后，我們甚至找不到一個啟用了撤回權的待售的被盜API密鑰。

犯罪分子能夠在沒有提款權的情況下提款嗎?

不幸的是，為了從交易賬戶中竊取資金，威脅行為者甚至不需要直接提取資金：通過在適當權限下代表受害者進行交易，他們只需通過與罪犯自己建立的機器人進行無利可圖的交易，就可以將余額賣掉。

在對網絡犯罪分子使用的被盜交易所API密鑰濫用技術進行調查期間，我們了解到，威脅行為者主要采用兩種API密鑰利用方法從交易商那里竊取資金：“sellwalls”買斷和提價。

注意：我們已經在Binance加密貨幣交易所上的自己的帳戶上成功地測試了這些方法，似乎所有流行的加密貨幣交易所上的帳戶都可能以這種方式被利用。

購買“sellwalls”

“sellwalls”是在股票和加密貨幣市場中都采用的一種常見的市場操縱技術。在加密貨幣世界中，這些是市場操縱者人為創造的大規模市場賣出指令，目的是降低加密貨幣價格或將其保持在最大閾值以下以便宜的價格購買大量硬幣。

在許多情況下，這些巨大的訂單一次只會出現幾分鐘甚至幾秒鐘，然后被完全刪除。

我們的調查發現，網絡犯罪分子使用相似的“sellwalls”技術，但也略微有所不同。在這種情況下，“sellwalls”是由威脅參與者使用泄露的交易者帳戶創建的，這些帳戶是使用他們竊取的API密鑰設置的。

根據CyberNews研究人員MartynasVareikis的說法，為了引發價格波動，犯罪分子設置了交易機器人，以開立許多低于市場價值的小型賣出訂單，如果受害者的賬戶余額足夠大，則開立一個大型賣出訂單。與此同時，同一機器人就為受害者被迫“出售”的硬幣打開了自動購買訂單。

“這在加密貨幣交易所的買/賣定單圖表中創建了一個可見的'sellwall'，合法交易機器人通常只能在交易余額耗盡之前買入約20%的'sellwall'，剩下的80%則留給犯罪分子設立的交易機器人。”Vareikis說。

在以令人難以置信的低價完成一個銷售訂單后，另一個訂單立即被設置為銷售更多硬幣，這將給受害者造成更大的損失。這個過程不斷的重復，最終將受害者的全部賬戶余額以壓低的價格逐步出售給威脅參與者的交易機器人。

這樣，受害人的資金可以在幾毫秒內完全蒸發，這是執行這種自動交易訂單所需要的全部時間。

提價

價格上漲是罪犯分子常用的第二種利用被盜API密鑰的技術。這種方法涉及購買交易量非常少的廉價硬幣，短暫地提高其價格，然后以勒索的價格將其賣回給受害者。

犯罪分子在利用受害者的帳戶之前，先在自己的中間人帳戶中存儲一種非常便宜、不怎么流行的加密貨幣，以此展開他們的行動。

受害者的帳戶中約有80%錢用于針對同一加密貨幣發起大筆購買訂單。低交易量使網絡犯罪分子可以通過發起大量購買訂單來大幅提高貨幣的價格。

同時，犯罪分子利用中間人賬戶以較高的價格向受害者出售價格膨脹的硬幣。訂單執行后，交易量和價格恢復正常，給受害者留下了一堆幾乎一文不值的硬幣，而這些都是他們被迫以離譜的價格從威脅行為者那里購買的。

網絡罪犯如何獲取被盜的API密鑰

網絡犯罪分子可以通過多種方式獲取他人的API密鑰，而無需在其設備上安裝惡意軟件或間諜軟件。這包括掃描可公開訪問的Web應用程序環境文件和公共代碼存儲庫以查找泄漏的私鑰。

大多數Web應用程序都使用環境(ENV)文件來存儲框架設置，這些設置對于應用程序的工作是至關重要的，并且在某些情況下可能包含API密鑰。在大多數情況下，這些文件是被加密的。但是，有時它們不受保護，這意味著包括網絡犯罪分子在內的任何人都可以訪問其內容并提取其中發現的任何有用信息。

與ENV文件類似，存儲在公共代碼存儲庫中的文件可能包含公開的身份驗證token。諸如GitHub之類的公共存儲庫因其成為網絡犯罪分子的金礦而臭名昭著，其中一些存儲了成千上萬個泄漏的憑證文件以及API密鑰。

UniversityofAdvancedTechnology的首席網絡講師AaronJones說，API密鑰很有價值，這使它們備受網絡犯罪分子的追捧。“永遠不要將API密鑰推送到Github或Gitlab之類的網站上，您應該將它從您的應用程序中抽象出來，放在一個已添加到gitignore文件中的文件中，”Jones補充說。

“犯罪分子通常會以一種簡單的方式來獲取API密鑰，比如通過易受攻擊的S3Bucket，硬編碼到github發布的源代碼，甚至是網絡釣魚。你會驚訝地發現這種事情經常發生。根據定義，API訪問是一個網絡事件。記錄并分析您的活動。”onShoreSecurity的創始人兼首席執行官StelValavani說，“對于API密鑰之類的頂級產品來說尤其如此。”

我們在調查期間進行的測試表明，平均而言，在公共存儲庫中找到的交易API密鑰屬于持有價值約5,000美元加密貨幣的帳戶，其中最高的帳戶余額為154,000美元，它啟用了交易權。

在公共代碼存儲庫中公開了API密鑰的交易賬戶的總凈資產超過1,000,000美元的加密貨幣。

(加密貨幣交易機器人公開提交的源代碼示例，每個人都可以看到二進制API密鑰)

盡管我們在調查中沒有發現暴露的API密鑰啟用了提款權，但仍有超過90%的用戶授予了交易權限，這將使網絡犯罪分子可以輕松清空受害者的交易帳戶。

如何保護您的API密鑰

如果您是加密貨幣交易者，則可以采取一些簡單的步驟來保護自己的API密鑰，以免被那些在黑客論壇上宣傳其服務的“經驗豐富的交易者”濫用：

為您的IP地址列出白名單。主要的加密貨幣交易所允許將IP地址列入白名單以用于API密鑰使用。啟用此功能將阻止大多數犯罪分子利用您的余額進行交易，只要他們無法訪問您的交易機器人控制面板即可。

將您的API密鑰視為加密貨幣錢包的私鑰。即，不要將它們存儲在硬盤上，也不要將其透露給任何人。如果您的API密鑰掌握在別人的手中，您的錢就等于被偷了。

Cyberlands的總經理AlexBodryk補充說，每季度輪換您的API密鑰和密碼將有助于防止利用原先的數據泄漏來訪問您的交換帳戶的網絡犯罪分子。“保持警惕，不要回復來自加密交易的任何通信。相反，您可以通過官方渠道與他們聯系。安裝和更新知名供應商的防病軟件。使用密碼管理器來保護您的秘密。切勿以明文形式存儲任何API密鑰或密碼。”Brodyk說。

根據TroyGill、GPEN、threathunter和Zix安全研究經理的說法，由于通過API進行交易具有風險性，因此最好使用專用于此目的的專用個人計算機。“避免連接到任何公共網絡，請勿使用該機器進行瀏覽、發送電子郵件或其他與網絡相關的活動。如果您懷疑自己可能已經暴露了API數據，請立即在交易所中刪除密鑰。”Gill總結道。

Tags：API加密貨幣ENVAPI價格API幣加密貨幣是什么意思啊加密貨幣市場還有未來嗎知乎全球十大加密貨幣ENV幣ENV價格

USDT