搜索

[9090] 2015-07-02_揭秘比特币赌博网站如何被黑客坑走100万美元

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-17
2015-07-02_揭秘比特币赌博网站如何被黑客坑走100万美元 揭 秘 比 特 币 赌 博 网 站 如 何 被 黑 客 坑 走 1 0 0 万 美 元 F r e e B u f   2 0 1 5 - 0 7 - 0 2 微 信 号 ： 微 信 号 ： f r e e b u f 张 爱 玲 说 ： 出 名 要 趁 早 。 而 比 特 币 这 个 年 轻 人 却 时 刻 在 提 示 我 们 ： 树 大 招 风 ， 高 处 不 胜 寒 。 一 个 神 秘 创 始 人 ， 一 群 狂 热 支 持 者 ， 比 特 币 在 倍 受 赞 誉 的 同 时 饱 受 攻 击 与 追 杀 。 黑 客 利 用 比 特 币 赌 博 网 站 黑 客 利 用 比 特 币 赌 博 网 站 P r i m e d i c e 网 上 赌 场 的 网 上 赌 场 的 R N G 系 统 漏 洞 ， 导 致 赌 场 损 失 价 值 系 统 漏 洞 ， 导 致 赌 场 损 失 价 值 1 0 0 万 美 金 的 比 特 币 万 美 金 的 比 特 币 — — 此 事 虽 然 是 此 事 虽 然 是 去 年 发 生 的 ， 然 而 最 近 去 年 发 生 的 ， 然 而 最 近 P r i m e d i c e 主 动 站 出 来 公 开 分 享 了 这 段 主 动 站 出 来 公 开 分 享 了 这 段 “ 惨 痛 惨 痛 ” 经 历 ， 希 望 同 行 们 引 以 为 戒 。 经 历 ， 希 望 同 行 们 引 以 为 戒 。 这 是 悲 伤 的 故 事 ， 请 大 家 自 备 纸 巾 … … 2 0 1 4 年 年 8 月 月 在 P r i m e d i c e 第 三 版 发 布 不 久 后 ， 我 们 的 团 队 遇 到 威 胁 着 我 们 网 站 生 存 的 竞 争 对 手 。 尽 管 我 个 人 只 有 非 常 有 限 的 编 程 经 验 ， 但 是 我 们 团 队 具 有 接 近 两 年 的 比 特 币 赌 博 网 站 建 立 经 验 。 巨 大 的 压 力 之 下 同 时 也 为 了 避 免 进 一 步 的 延 误 ， 我 们 经 过 短 短 一 周 的 内 测 b e t a 之 后 就 发 布 了 新 版 。 这 场 “ 抢 劫 ” 是 从 两 个 不 寻 常 的 账 户 开 始 的 ， N a p p a 和 K a n e 。 我 们 发 现 在 这 两 个 账 户 发 现 了 一 些 不 正 常 的 赌 博 模 式 。 K a n e 自 动 套 现 ， 我 们 重 新 观 察 了 N a p p a 的 赌 注 ， 发 现 他 们 极 其 可 疑 却 又 无 法 找 出 问 题 出 在 哪 里 ， 于 是 在 稍 微 延 迟 了 其 兑 现 之 后 进 行 了 简 单 的 电 子 邮 件 交 流 。 2 0 1 4 年 年 9 月 月 在 被 我 们 延 迟 支 付 了 之 后 ， 这 名 “ 开 发 者 ” 似 乎 受 到 一 丝 惊 吓 ， 于 是 他 在 几 周 之 后 创 建 了 一 个 名 为 “ H u f f l e p u f f ” 的 新 账 户 。 H u f f l e p u f f 是 在 P r i m e d i c e 上 出 现 过 的 最 大 的 赌 徒 ， 他 经 常 连 续 每 秒 赌 注 在 价 值 8 0 0 0 美 元 比 特 币 以 上 ， 并 持 续 数 小 时 。 我 们 整 个 团 队 都 非 常 震 惊 H u f f l e p u f f 持 续 地 打 败 庄 家 （ 正 常 情 况 概 率 很 低 1 % ） ， 随 时 间 的 他 推 移 获 得 越 来 越 多 的 收 益 。 我 们 高 度 怀 疑 他 奖 金 收 益 的 来 路 ， 并 一 次 又 一 次 地 限 制 他 的 账 户 以 进 行 调 查 ， 然 而 每 次 我 们 的 开 发 者 都 没 有 发 现 任 何 违 规 操 作 。 我 们 没 有 证 据 证 明 他 是 作 弊 ， 因 此 无 法 以 适 当 的 理 由 长 时 间 延 迟 他 的 提 款 要 求 。 另 一 方 面 ， 出 于 驱 使 他 继 续 玩 下 去 的 强 烈 动 机 ， 我 们 立 即 便 将 奖 金 支 付 给 他 。 我 们 对 每 一 种 可 能 性 进 行 了 大 量 的 研 究 ， 运 行 模 拟 程 序 … … 但 最 终 我 们 得 出 的 结 论 是 ： 他 只 是 难 以 置 信 的 幸 运 。
惊 人 发 现 惊 人 发 现 在 H u f f l e p u f f 提 光 了 账 户 中 超 过 2 0 3 7 比 特 币 奖 金 大 约 两 天 之 后 ， 我 们 的 主 要 开 发 人 员 发 现 有 少 数 账 户 共 享 同 一 台 服 务 器 上 的 种 子 ， 由 此 发 现 了 H u f f l e p u f f 的 攻 击 利 用 程 序 e x p 。 要 了 解 H u f f l e p u f f 是 如 何 打 败 我 们 的 系 统 前 ， 首 先 需 要 了 解 一 下 公 平 系 统 （ R N G ） 是 如 何 运 作 的 ： 一 个 用 户 在 下 注 前 得 到 一 串 加 密 随 机 值 （ 服 务 器 种 子 ） ， 同 时 必 须 提 交 自 己 的 随 机 值 （ 客 户 端 种 子 ） 。 这 两 个 随 机 值 结 合 ， 用 于 确 定 最 终 输 赢 。 然 后 用 于 赌 局 的 随 机 加 密 的 随 机 值 将 在 下 注 后 交 给 用 户 ， 以 保 证 他 们 的 赌 局 是 不 受 操 纵 的 。 我 们 网 站 的 部 分 功 能 是 发 放 解 密 服 务 器 种 子 （ 以 向 用 户 保 证 没 有 赌 局 的 情 况 发 生 ） ， 放 置 一 个 新 的 随 机 种 子 同 时 丢 弃 旧 的 种 子 。 H u f f l e p u f f 发 现 了 一 个 可 以 “ 混 淆 ” 我 们 服 务 器 的 方 式 ， 使 其 发 放 一 个 同 样 活 跃 的 解 密 服 务 器 种 子 。 这 个 方 式 就 是 通 过 发 送 大 量 无 法 在 短 时 间 内 处 理 完 成 的 请 求 ， 而 每 分 钟 数 百 个 请 求 即 可 。 H u f f l e p u f f 便 可 知 晓 他 究 竟 是 否 会 赢 ， 从 而 决 定 要 不 要 参 与 。 在 疯 狂 地 检 查 我 们 的 服 务 器 之 后 ， E U R E K A ！ ！ ！ 我 们 发 现 了 这 一 问 题 。 我 们 怀 疑 可 能 存 在 一 些 问 题 ， 而 最 终 发 现 了 上 面 描 述 中 时 间 攻 击 的 可 能 性 。 我 们 的 数 据 库 中 的 种 子 都 不 活 跃 ， 同 时 都 连 到 了 H u f f l e p u f f 账 户 。 由 于 这 些 “ 薛 定 谔 ” 种 子 ， 看 起 来 或 许 无 用 的 种 子 都 连 接 到 同 一 个 账 户 ， 表 示 着 有 需 要 获 得 种 子 的 海 量 请 求 。 似 曾 相 识 似 曾 相 识   D é j à   v u 不 幸 的 是 ， 我 们 在 H u f f l e p u f f 提 现 2 4 0 0 + 比 特 币 （ 那 时 大 约 可 兑 换 1 0 0 万 美 元 ） 后 发 现 这 个 e x p 的 。 鉴 于 比 特 币 的 特 性 （ 被 指 “ 世 界 最 危 险 货 币 ” ） 我 们 除 了 认 输 别 无 他 法 。 我 们 通 过 H u f f l e p u f f 的 比 特 币 论 坛 账 户 与 其 进 行 沟 通 ， 要 求 其 返 还 奖 金 ， 然 而 这 样 的 回 击 适 得 其 反 。 事 实 表 明 ， 我 们 开 发 人 员 对 故 障 的 补 丁 并 不 恰 当 。 为 了 回 复 我 们 的 要 求 ， H u f f l e p u f f 创 建 了 一 个 新 账 户 名 为 R o b b i n h o o d ， 然 后 迅 速 绕 过 补 丁 又 多 赢 了 2 0 0 0 + 的 比 特 币 。 然 而 这 次 他 无 法 提 现 超 过 5 0 或 者 6 0 比 特 币 ， 因 为 我 们 已 经 没 有 更 多 的 金 币 了 。 不 久 之 后 他 私 下 向 我 们 发 信 息 ： “ 你 提 出 的 交 易 被 我 拒 绝 了 。 你 的 要 求 显 然 是 可 笑 的 。 我 很 高 兴 离 开 你 ， 但 如 果 你 打 算 继 续 ， 我 愿 奉 陪 到 底 。 我 想 你 并 不 愿 意 继 续 下 去 的 ， 对 吧 。 我 真 的 很 享 受 这 X X （ 不 和 谐 ） 。 你 的 举 动 。 哦 ， 顺 便 提 示 一 下 ， 还 有 一 些 没 发 放 的 提 款 你 需 要 去 处 理 一 下 。 ” 这 一 天 赌 场 没 有 赢 . . . . . . 透 明 度 证 明 及 调 查 目 的 透 明 度 证 明 及 调 查 目 的 值 得 注 意 的 是 ， 在 这 件 事 彰 显 了 我 们 的 完 整 性 及 可 查 验 的 公 平 系 统 。 如 果 我 们 尝 试 操 纵 任 何 H u f f l e p u f f 参 与 的 赌 局 ， 可 以 轻 松 发 现 他 在 作 弊 而 我 们 也 不 会 损 失 2 4 0 0 + 甚 至 更 多 的 比 特 币 。 然 而 ， 我 们 并 没 有 那 么 做 。 在 我 们 腰 斩 了 最 大 赌 注 后 ， H u f f l e p u f f 只 是 休 息 了 片 刻 ， 我 相 信 他 认 为 我 们 并 没 有 发 现 正 在 发 生 的 事 情 。 我 们 投 资 了 自 己 的 资 金 ， 因 此 没 有 用 户 在 这 件 事 中 受 到 负 面 影 响 。 最 后 抱 歉 ， 这 故 事 讲 了 这 么 久 . . . . . . * 参 考 来 源 ： m e d i u m ， 作 者 S t u n n a （ P r i m e d i c e ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理