搜索

[13189] 2018-09-15_数字货币交易平台面临着哪些安全威胁？

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-09-15_数字货币交易平台面临着哪些安全威胁？ 数 字 货 币 交 易 平 台 面 临 着 哪 些 安 全 威 胁 ？ 猎 豹 区 块 链 安 全   F r e e B u f   2 0 1 8 - 0 9 - 1 5 一 、 部 分 与 数 字 货 币 交 易 平 台 相 关 的 安 全 事 件 一 、 部 分 与 数 字 货 币 交 易 平 台 相 关 的 安 全 事 件 近 期 ， 数 字 货 币 交 易 所 安 全 事 件 频 发 。 近 期 ， 数 字 货 币 交 易 所 安 全 事 件 频 发 。 2 0 1 8 年 年 0 1 月 日 本 月 日 本 C o i n c h e c k 交 易 所 受 到 黑 客 攻 击 被 盗 取 交 易 所 受 到 黑 客 攻 击 被 盗 取 N E M 新 经 币 损 失 新 经 币 损 失 约 约 5 . 3 4 亿 美 元 ； 亿 美 元 ； 2 0 1 8 年 年 0 2 月 基 于 以 太 坊 的 月 基 于 以 太 坊 的 X M R G 代 币 的 交 易 价 格 上 涨 代 币 的 交 易 价 格 上 涨 7 8 7 % 后 迅 速 暴 跌 归 零 ， 造 成 大 量 用 户 经 后 迅 速 暴 跌 归 零 ， 造 成 大 量 用 户 经 济 损 失 ， 背 后 原 因 在 于 其 智 能 合 约 代 码 存 在 整 数 溢 出 漏 洞 ， 超 额 铸 币 后 抛 售 造 成 恶 性 通 胀 ； 济 损 失 ， 背 后 原 因 在 于 其 智 能 合 约 代 码 存 在 整 数 溢 出 漏 洞 ， 超 额 铸 币 后 抛 售 造 成 恶 性 通 胀 ； 2 0 1 8 年 年 0 3 月 月 B i n a n c e 交 易 所 ， 黑 客 利 用 盗 取 的 用 户 信 息 进 行 大 量 交 易 操 纵 市 场 行 情 获 利 超 过 交 易 所 ， 黑 客 利 用 盗 取 的 用 户 信 息 进 行 大 量 交 易 操 纵 市 场 行 情 获 利 超 过 1 亿 美 元 。 亿 美 元 。 2 0 1 8 年 年 0 4 月 基 于 以 太 月 基 于 以 太 坊 的 坊 的 B E C 代 币 和 代 币 和 S M T 代 币 先 后 因 智 能 合 约 存 在 溢 出 漏 洞 造 成 天 量 代 币 转 出 ， 引 发 恐 慌 抛 售 ， 导 致 市 值 几 近 归 代 币 先 后 因 智 能 合 约 存 在 溢 出 漏 洞 造 成 天 量 代 币 转 出 ， 引 发 恐 慌 抛 售 ， 导 致 市 值 几 近 归 零 零 … … 这 样 的 案 例 数 不 胜 数 。 这 样 的 案 例 数 不 胜 数 。 笔 者 通 过 这 些 观 察 ， 发 现 两 个 现 象 ： 一 是 事 件 发 生 的 频 率 很 频 繁 一 是 事 件 发 生 的 频 率 很 频 繁 ， 要 知 道 这 只 是 列 举 近 期 部 分 影 响 比 较 大 的 事 件 ， 如 果 把 时 间 范 围 扩 大 ， 或 者 算 上 可 能 存 在 的 影 响 较 小 的 以 及 被 掩 盖 的 事 件 的 话 ， 数 量 会 比 这 个 更 多 ； 二 是 平 台 或 用 户 二 是 平 台 或 用 户 的 损 失 数 额 巨 大 的 损 失 数 额 巨 大 ， 动 辄 数 千 万 甚 至 数 亿 美 元 。 实 际 上 ， 通 过 这 些 事 件 记 录 ， 还 可 以 得 到 更 多 信 息 ， 接 下 来 展 开 分 析 一 下 。 2 0 1 8 年 3 月 初 ， 著 名 的 数 字 货 币 交 易 平 台 币 安 出 现 大 量 账 户 异 常 交 易 ， 继 而 影 响 了 整 个 数 字 货 币 市 场 的 交 易 行 情 。 这 个 事 件 的 操 作 手 法 很 有 趣 ， 后 文 会 再 提 起 。 这 里 要 说 的 是 ， 事 件 发 生 之 后 ， 有 人 发 文 指 责 事 件 是 币 安 官 方 自 导 自 演 的 ， 币 安 联 合 创 始 人 何 一 后 续 发 文 回 应 ， 反 驳 这 一 指 责 。 事 件 真 相 究 竟 如 何 笔 者 不 打 算 在 此 讨 论 ， 这 里 是 想 要 援 引 何 一 回 文 中 的 一 句 话 ： “ 出 现 这 种 安 全 问 题 是 几 乎 不 可 避 免 的 ， 任 何 种 类 的 交 易 所 每 天 都 遭 受 攻 击 ， 一 方 面 政 策 空 间 狭 出 现 这 种 安 全 问 题 是 几 乎 不 可 避 免 的 ， 任 何 种 类 的 交 易 所 每 天 都 遭 受 攻 击 ， 一 方 面 政 策 空 间 狭 窄 ， 导 致 币 圈 不 太 可 能 照 搬 传 统 交 易 所 体 系 ， 另 一 方 面 虚 拟 货 币 交 易 所 面 世 才 几 年 ， 不 管 是 风 控 还 是 技 术 积 累 窄 ， 导 致 币 圈 不 太 可 能 照 搬 传 统 交 易 所 体 系 ， 另 一 方 面 虚 拟 货 币 交 易 所 面 世 才 几 年 ， 不 管 是 风 控 还 是 技 术 积 累 都 需 要 一 个 成 长 过 程 。 都 需 要 一 个 成 长 过 程 。 ” 是 否 认 同 这 个 说 法 ， 是 个 仁 者 见 仁 的 问 题 ， 笔 者 所 关 注 的 主 要 是 它 的 思 路 。 这 个 说 法 当 中 ， 把 数 字 货 币 交 易 平 台 同 传 统 金 融 交 易 平 台 做 了 对 比 ， 本 文 接 下 来 也 会 使 用 同 样 的 思 路 来 阐 述 。 二 、 黑 客 为 何 攻 击 数 字 货 币 交 易 所 ？ 二 、 黑 客 为 何 攻 击 数 字 货 币 交 易 所 ？ 从 逻 辑 上 说 ， 任 何 主 观 行 为 都 是 有 目 的 的 ， 黑 客 攻 击 行 为 的 目 的 ， 不 乏 有 为 了 炫 耀 技 术 或 者 表 达 政 治 诉 求 之 类 的 情 况 ， 但 是 占 比 最 大 的 还 是 为 了 获 得 经 济 回 报 。 现 实 生 活 中 ， 是 存 在 攻 击 传 统 金 融 机 构 例 如 银 行 或 者 证 券 交 易 所 系 统 的 情 况 的 ， 但 是 这 方 面 的 记 录 相 对 上 文 而 言 少 很 多 ， 下 面 分 析 一 下 原 因 。 笔 者 认 为 ， 主 要 存 在 两 方 面 的 原 因 ， 一 方 面 ， 传 统 金 融 机 构 所 保 有 的 资 产 ， 无 论 是 数 字 化 的 （ 相 对 于 实 体 化 的 纸 币 和 硬 币 ） 法 定 货 币 ， 还 是 证 券 凭 证 ， 普 遍 都 是 记 名 的 ， 其 流 转 过 程 有 迹 可 循 ， 并 且 接 受 监 管 ， 要 实 现 难 以 追 踪 的 转 移 效 果 ， 成 本 高 难 度 大 。 另 一 方 面 ， 传 统 金 融 行 业 的 数 字 化 历 史 已 经 很 久 ， 无 论 是 人 才 储 备 ， 技 术 积 累 ， 制 度 规 范 都 已 经 很 成 熟 ， 单 就 信 息 安 全 方 面 的 建 设 水 平 也 相 对 很 高 了 ， 要 从 技 术 上 实 现 成 功 侵 入 盗 走 资 产 并 逃 脱 追 捕 这 一 系 列 步 骤 难 度 非 常 大 。 反 观 数 字 货 币 交 易 所 ， 一 方 面 ， 数 字 货 币 的 匿 名 性 ， 不 可 篡 改 性 以 及 无 监 管 特 性 ， 导 致 了 资 产 转 移 便 捷 ， 溯 源 找 一 方 面 ， 数 字 货 币 的 匿 名 性 ， 不 可 篡 改 性 以 及 无 监 管 特 性 ， 导 致 了 资 产 转 移 便 捷 ， 溯 源 找 回 难 度 大 。 另 一 方 面 ， 数 字 货 币 交 易 行 业 出 现 时 间 短 ， 发 展 又 非 常 快 ， 利 润 高 ， 导 致 本 来 技 术 积 累 就 不 足 的 情 回 难 度 大 。 另 一 方 面 ， 数 字 货 币 交 易 行 业 出 现 时 间 短 ， 发 展 又 非 常 快 ， 利 润 高 ， 导 致 本 来 技 术 积 累 就 不 足 的 情 况 下 ， 仍 然 忽 视 信 息 安 全 方 面 的 建 设 ， 隐 藏 的 安 全 漏 洞 多 ， 攻 击 起 来 相 对 容 易 。 况 下 ， 仍 然 忽 视 信 息 安 全 方 面 的 建 设 ， 隐 藏 的 安 全 漏 洞 多 ， 攻 击 起 来 相 对 容 易 。 三 、 数 字 货 币 交 易 所 在 技 术 方 面 面 临 的 安 全 威 胁 三 、 数 字 货 币 交 易 所 在 技 术 方 面 面 临 的 安 全 威 胁
目 前 数 字 货 币 交 易 所 在 技 术 方 面 面 临 的 安 全 威 胁 ， 笔 者 分 析 主 要 分 为 两 大 部 分 。 1 . 传 统 信 息 系 统 安 全 漏 洞 传 统 信 息 系 统 安 全 漏 洞 这 一 部 分 来 说 ， 数 字 货 币 交 易 所 ， 和 传 统 金 融 机 构 差 别 不 大 ， 其 整 个 信 息 系 统 ， 由 W e b 服 务 器 ， 后 端 数 据 库 等 元 素 构 成 ， 用 户 通 过 浏 览 器 ， 移 动 端 A p p 以 及 交 易 所 提 供 的 A P I 等 多 种 方 式 作 为 客 户 端 访 问 服 务 器 。 结 合 本 文 第 一 部 分 的 事 件 记 录 ， 可 以 看 出 ， 这 部 分 面 临 的 安 全 威 胁 主 要 包 括 ， 服 务 器 软 件 漏 洞 ， 配 置 不 当 ， D D o S 攻 击 ， 服 务 端 W e b 程 序 漏 洞 （ 包 括 技 术 性 漏 洞 和 业 务 逻 辑 缺 陷 ） ， 办 公 电 脑 安 全 问 题 ， 内 部 人 员 攻 击 等 。 对 于 规 模 较 大 ， 用 户 较 多 的 交 易 所 ， 还 会 面 临 用 户 被 攻 击 者 利 用 仿 冒 的 钓 鱼 网 站 骗 取 认 证 信 息 的 问 题 。 上 文 中 提 到 的 币 安 交 易 所 的 异 常 交 易 事 件 ， 据 官 方 的 说 法 ， 是 攻 击 者 利 用 钓 鱼 欺 骗 的 方 式 骗 取 了 部 分 用 户 的 认 证 凭 证 ， 继 而 利 用 A P I 发 起 大 量 交 易 ， 将 用 户 账 户 内 的 其 他 币 种 交 易 成 比 特 币 ， 币 安 及 时 发 现 异 常 ， 冻 结 了 提 币 功 能 。 有 趣 的 是 ， 攻 击 者 虽 然 不 能 提 币 ， 但 是 想 到 了 另 一 个 巧 妙 的 获 利 方 式 ， 即 利 用 其 控 制 的 大 量 场 内 比 特 币 操 纵 市 场 ， 影 响 其 他 币 种 的 价 格 ， 再 在 另 外 的 数 字 货 币 期 货 交 易 所 进 行 做 空 操 作 ， 最 终 在 无 法 提 币 的 情 况 下 获 利 超 过 1 亿 美 元 。 在 这 个 事 件 中 ， 攻 击 者 利 用 了 币 安 平 台 对 市 场 的 巨 大 影 响 力 ， 理 论 上 来 说 ， 并 没 有 盗 取 谁 的 数 字 货 币 ， 只 是 “ 换 了 换 币 种 ” ， 因 大 量 的 做 空 订 单 分 散 在 成 百 上 千 的 其 他 交 易 所 ， 导 致 根 源 也 无 从 查 起 。 下 图 是 “ 去 中 心 化 漏 洞 平 台 ” D V P 的 漏 洞 统 计 。 该 平 台 收 录 的 最 早 的 漏 洞 信 息 在 2 0 1 8 年 0 7 月 1 2 日 ， 截 止 到 撰 写 本 文 时 ， 在 不 到 两 个 月 的 时 间 里 已 经 收 录 了 超 过 1 8 0 0 个 漏 洞 ， 并 且 仍 在 以 每 天 数 十 个 的 速 度 增 长 。
上 个 月 ， 某 安 全 团 队 称 捕 获 到 了 一 个 0 d a y 漏 洞 ， 是 某 个 数 字 货 币 交 易 所 整 站 程 序 的 逻 辑 漏 洞 ， 有 上 百 个 中 小 交 易 所 在 使 用 该 程 序 ， 虽 然 大 众 普 遍 认 为 ， 国 内 外 的 规 模 较 大 的 交 易 所 不 会 购 买 使 用 这 种 第 三 方 开 发 的 整 站 程 序 ， 但 是 现 在 数 字 货 币 交 易 行 业 利 润 高 ， 发 展 迅 猛 ， 后 期 可 能 会 有 很 多 人 想 要 快 速 进 入 这 个 市 场 ， 在 搜 索 引 擎 中 搜 索 “ 数 字 货 币   交 易 平 台   开 发 ” 等 关 键 字 即 可 发 现 这 一 块 的 需 求 量 应 该 还 是 很 大 的 。 其 实 在 初 期 使 用 第 三 方 外 包 开 发 的 方 式 本 来 未 尝 不 可 ， 就 传 统 的 银 行 领 域 来 说 ， 大 量 的 中 小 规 模 银 行 的 信 息 系 统 也 会 使 用 第 三 方 公 司 的 产 品 来 定 制 ， 因 为 政 府 层 面 的 严 格 监 管 以 及 这 一 类 开 发 公 司 长 久 的 技 术 积 累 ， 银 行 使 用 的 类 似 系 统 通 常 安 全 性 是 有 足 够 保 证 的 。 但 是 在 数 字 货 币 行 业 则 不 同 ， 部 分 从 事 这 一 类 开 发 的 个 人 和 团 队 对 于 产 品 质 量 的 保 障 能 力 很 有 限 ， 导 致 通 用 型 漏 洞 频 发 也 就 不 奇 怪 了 。 对 于 这 一 部 分 安 全 威 胁 的 解 决 方 法 来 说 ， 通 过 渗 透 测 试 ， 代 码 审 计 等 安 全 服 务 ， 挖 掘 并 修 复 系 统 存 在 的 安 全 漏 洞 ， 可 以 参 考 传 统 金 融 行 业 的 安 全 规 范 和 最 佳 实 践 结 合 自 身 情 况 完 善 安 全 体 系 的 建 设 。 2 . 智 能 合 约 安 全 漏 洞 智 能 合 约 安 全 漏 洞 以 太 坊 被 称 为 “ 区 块 链 2 . 0 ” 技 术 的 代 表 ， 因 为 它 支 持 智 能 合 约 的 运 行 。 可 以 这 么 来 理 解 ， 比 特 币 系 统 就 是 在 底 层 区 块 链 技 术 的 基 础 之 上 ， 加 上 一 个 定 义 了 奖 励 分 发 规 则 的 “ 合 约 ” 所 构 成 的 。 而 以 太 坊 的 出 现 ， 提 供 了 现 成 的 底 层 区 块 链 网 络 ， 开 发 者 可 以 在 这 个 基 础 之 上 ， 使 用 S o l i d i t y 等 程 序 开 发 语 言 ， 开 发 部 署 自 己 的 智 能 合 约 ， 包 括 模 拟 一 个 类 似 比 特 币 一 样 的 产 品 。 因 为 S o l i d i t y 是 图 灵 完 备 的 程 序 开 发 语 言 ， 因 此 理 论 上 ， 可 以 用 来 实 现 各 类 分 布 式 应 用 。 开 发 者 编 写 好 智 能 合 约 代 码 之 后 ， 将 代 码 部 署 到 区 块 链 上 ， 程 序 在 以 太 坊 节 点 的 E V M 虚 拟 机 上 执 行 。 代 码 上 链 之 后 ， 各 节 点 执 行 相 同 的 操 作 ， 同 步 数 据 状 态 。 和 传 统 的 程 序 一 样 ， 智 能 合 约 也 不 可 避 免 的 会 存 在 安 全 漏 洞 ， 不 同 的 是 ， 由 于 区 块 链 技 术 的 不 可 篡 改 特 性 ， 一 旦 合 约 部 署 好 之 后 ， 就 很 难 再 修 复 其 中 的 问 题 。 一 些 存 在 例 如 整 型 溢 出 等 漏 洞 的 代 币 分 发 合 约 部 署 之 后 ， 代 币 上 线 交 易 所 交 易 ， 接 着 漏 洞 被 触 发 利 用 ， 短 时 间 内 超 发 大 量 代 币 影 响 市 值 ， 对 交 易 所 和 用 户 来 说 都 会 造 成 巨 大 的 经 济 损 失 。 这 部 分 安 全 威 胁 ， 就 与 传 统 的 信 息 安 全 漏 洞 大 不 一 样 了 。 在 传 统 金 融 市 场 中 ， 也 存 在 类 似 的 攻 击 ， 例 如 2 0 世 纪 末 期 亚 洲 金 融 危 机 时 ， 索 罗 斯 对 港 元 的 操 作 。 不 同 的 是 ， 在 传 统 金 融 市 场 要 发 动 这 样 的 攻 击 需 要 巨 量 的 资 金 支 持 才 能 实 现 。 而 在 数 字 货 币 领 域 ， 拥 有 挖 掘 合 约 漏 洞 能 力 的 人 理 论 上 都 有 可 能 实 现 这 样 的 攻 击 。 下 图 是 部 分 基 于 以 太 坊 E R C - 2 0 智 能 合 约 标 准 开 发 的 代 币 合 约 的 漏 洞 信 息 ：
  实 际 的 威 胁 情 况 可 能 比 这 还 要 严 重 得 多 。 我 们 说 智 能 合 约 之 所 以 “ 智 能 ” ， 是 因 为 一 旦 部 署 上 链 之 后 ， 它 的 执 行 过 程 透 明 可 见 ， 不 可 篡 改 ， 无 需 人 工 干 预 ， 自 然 解 决 了 执 行 过 程 中 的 信 任 问 题 ， 这 也 是 区 块 链 技 术 出 现 时 所 想 要 解 决 的 根 本 问 题 。 然 而 虽 然 解 决 了 程 序 “ 运 行 ” 阶 段 的 问 题 ， 但 是 如 果 合 约 代 码 存 在 漏 洞 ， 开 始 执 行 之 后 被 利 用 ， 背 离 了 原 本 的 涉 及 初 衷 ， 那 区 块 链 技 术 的 这 些 优 秀 特 性 反 而 会 成 为 挽 救 损 失 的 障 碍 。 应 对 这 部 分 安 全 威 胁 ， 需 要 交 易 所 在 上 线 新 的 代 币 之 前 ， 先 经 过 完 善 的 合 约 代 码 安 全 审 计 工 作 ， 防 患 于 未 然 ， 将 可 能 的 攻 击 威 胁 降 到 最 低 。 * 本 文 作 者 ： 猎 豹 区 块 链 安 全 ， 转 载 请 注 明 来 自 本 文 作 者 ： 猎 豹 区 块 链 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理