首發 | 區塊鏈領域攻擊頻發細數7月以來發生的區塊鏈相關攻擊事件_區塊鏈

事件

黑客勒索及其他攻擊

傳統的勒索軟件攻擊以及通過系統漏洞遠程控制受害者系統的攻擊，是7月至今發生的黑客勒索攻擊事件中的主要攻擊方式。

此類攻擊行為，攻擊者不需要了解熟悉區塊鏈的知識和技術細節就可以完成攻擊，尤其是twitter攻擊（利用了社會工程的方法），其攻擊者是三名青少年，其中最大年齡僅有22歲，這起事件在7月以來的安全事件中較典型的一例，產生的影響范圍極廣。

①

7月2日，MongoDB遭受到攻擊，約22900個數據庫被清空，攻擊者要求以BTC作為贖金贖回被清空數據庫的備份。

②

首發 | 區塊鏈技術及軟件安全實戰基地正式成立:金色財經報道，今日，中軟協區塊鏈分會、人民大學、菏澤市局相關部門聯合共建的區塊鏈技術及軟件安全實戰基地正式成立。同時聘任中軟協區塊鏈分會副秘書長宋愛陸為區塊鏈技術及軟件安全實戰基地特別專家。

區塊鏈技術及軟件安全實戰基地主要涉及領域為：非法數字貨幣交易與洗錢、區塊鏈傳銷與電信詐騙、網絡賭博、四方支付、冒用商標注冊等，聯合社會治理、城市安全、前沿技術領域的行業專家，進行警協合作。

據公開報道，近期菏澤市下屬機關剛破獲一起特大電信網絡詐騙案，打掉多個涉嫌以網貸和投資“比特幣”為名的詐騙團伙，抓獲犯罪嫌疑人83名，扣押凍結涉案資金2700萬元。[2020/7/21]

7月11日， Cashaa交易所發生交易異常，攻擊者通過控制受害者電腦，操作受害者在Blockchain.info上的比特幣錢包，向攻擊者賬戶轉移約合9800美元的BTC。

首發 | 此前18000枚BTC轉賬是交易所Bithumb內部整理:北京鏈安鏈上監測系統發現，北京時間10月24日，17:07分發生了一筆18000枚BTC的轉賬，經分析，這實際上是交易所Bithumb的內部整理工作，將大量100到200枚BTC為單位的UTXO打包成了18筆1000枚BTC的UTXO后轉入其內部地址。通常，對各種“面值”的UTXO進行整數級別的整理，屬于交易所的規律性操作。[2019/10/24]

③

7月15日， twitter遭受社會工程攻擊，員工管理賬號被盜，造成多個組織和個人的推特上發布欺詐信息，誘使受害者向攻擊者比特幣賬戶轉賬。

④

首發 | 螞蟻礦機S17真機圖首次曝光 采用雙筒風扇及一體機設計 ?:繼正式宣布在4月9日現貨銷售后，比特大陸即將發布的新品螞蟻礦機S17又有了新動態。據悉，螞蟻礦機S17真機圖今天在網上首次曝光。

從曝光的圖片來看，螞蟻礦機S17延續上一代產品S15的雙筒風扇設計，且采用一體機的機身設計。有業內人士認為，采用雙筒設計可有效縮短風程，礦機出入風口的溫差變小，機器性能將得到很大改善。

此前比特大陸產品負責人在接受媒體采訪時表示，新品S17較上一代產品相比，無論是在能效比還是單位體積的算力等方面，均有較大提升。[2019/4/3]

7月22日，約克大學信息被盜取，攻擊者要求約合114萬美金的BTC作為贖金。

首發 | 螞蟻礦機S17性能曝光 采用全新散熱技術及全局優化定制方案:金色財經訊，日前，比特大陸即將發布的螞蟻礦機S17性能曝光。據螞蟻礦機S17產品經理朋友圈稱，新品將采用新一代散熱技術及全局優化定制方案。據了解，該散熱技術可能是指芯片的封裝技術，也有可能是機器的散熱結構設計。至于S17產品“全局優化定制”方案未有細節透露。有聲音評價，這或許是為決戰豐水期做出的準備。[2019/3/22]

⑤

7月23日，英國足球聯盟信息被盜取，攻擊者要求BTC作為贖金。

⑥

7月25日，西班牙鐵路基礎建設管理局約800gb信息被盜，攻擊者要求BTC作為贖金。

⑦

7月30日，佳能遭受到黑客攻擊，約10tb照片和其他類型數據被盜，用戶要求以數字貨幣作為贖金。

⑧

7月31日，數字貨幣交易所2gether遭受到黑客攻擊，約139萬美金的BTC被盜。

代碼漏洞攻擊

對于代碼漏洞攻擊相關事件，攻擊者則必須要理解區塊鏈51%攻擊并且能夠找到可以利用的條件（租用龐大的算力）來完成攻擊，并且需要對智能合約的技術有深刻的了解，找到其中的邏輯漏洞并加以利用。

⑨

8月4日，DeFi項目Opyn被攻擊者通過代碼漏洞，獲得數目等于存入數目兩倍的代幣，最終造成了約37萬美金的損失。

攻擊類型及危險

攻擊事件類型及危險程序：

勒索及其他攻擊——攻擊的方法和媒介如下：

代碼漏洞攻擊：——攻擊的方法和媒介如下：

因勒索攻擊門檻低，攻擊方式大同小異，因此可供分析程度有限，下文將為大家具體分析第9號代碼漏洞攻擊事件。

代碼漏洞攻擊事件分析

第9號事件

此次事件發生于DeFi項目Opyn中，攻擊產生的原因是Opyn在智能合約oToken中的exercise函數出現漏洞。

攻擊者在向智能合約中發送某一數量的ETH時候，智能合約僅僅檢查了該ETH的數量是否與完成該次期貨買賣需要的數量一致，并沒有動態的檢查攻擊者發送的ETH數量是否在每一次交易之后，仍舊等于完成該次期貨買賣所需要的數量。

也就是說，攻擊者可以用一筆ETH進行抵押，并再贖回兩次交易，最終獲得自身發送數量兩倍的ETH。

CertiK安全研究團隊認為，Opyn沒有對其更新完成后的智能合約再次進行嚴謹的安全審計驗證就直接進行部署運行，從而造成了其智能合約中的程序代碼漏洞沒有被及時發現，是此次事件發生的主要原因。

總結

在此，CertiK安全團隊建議如下：

做好區塊鏈項目運行的硬件以及平臺軟件的安全漏洞篩查，在日常工作中關注培養員工對于黑客攻擊常見手段的認識和防御意識。

做好對區塊鏈運營中可能出現的某方占有超過全區塊鏈一半總算力的“支配”情況，對于特定區塊鏈項目中的防護，可以考慮采用提高交易確認必須次數或者優化共識算法。

做好對區塊鏈項目中鏈代碼和智能合約代碼的驗證審計工作，邀請多個獨立的外部安全審計服務來審計代碼，并在每次更新代碼后進行重新審計。

我們絕不僅僅是尋找漏洞，而是要消除哪怕只有0.00000001%被攻擊的可能性

Tags：區塊鏈BTCETHOpyn區塊鏈包括哪些方面btc錢包地址怎樣獲取密鑰ethw幣最新價格行情Opyn Squeeth

MATIC