2023-03-21 14:55
區(qū)塊鏈積分系統(tǒng) 攻擊
區(qū)塊鏈?zhǔn)且粋€(gè)分布式賬本數(shù)據(jù)庫(kù)，具有不可篡改、可追溯等特性，但其信任機(jī)制依賴(lài)于密碼學(xué)算法，這也導(dǎo)致其容易遭受惡意攻擊。區(qū)塊鏈的積分系統(tǒng)就是典型的例子。 積分系統(tǒng)是一種激勵(lì)機(jī)制，可以通過(guò)加密貨幣或者以其他形式支付給用戶(hù)。 一般情況下，積分系統(tǒng)的支付方式分為兩種：直接購(gòu)買(mǎi)和參與活動(dòng)獲得。 但是，由于其存在的安全漏洞，一些惡意攻擊者可以通過(guò)積分系統(tǒng)的漏洞，用惡意手段進(jìn)行購(gòu)買(mǎi)、兌換和贈(zèng)送等操作，然后再將這些積分通過(guò)偽造的方式賣(mài)給用戶(hù)。這不僅嚴(yán)重危害用戶(hù)的財(cái)產(chǎn)安全，還可能導(dǎo)致系統(tǒng)癱瘓或者被攻破。 例如：2021年5月3日凌晨3點(diǎn)，兩名黑客在 Github上創(chuàng)建了一個(gè)名為“Chainsummer”的項(xiàng)目，并使用了多個(gè) Token在 Github上注冊(cè)了賬戶(hù)。隨后他們?cè)?Github上發(fā)布了一個(gè)積分系統(tǒng)（Pancakes）。
一、攻擊事件
這個(gè)積分系統(tǒng)是一個(gè)可兌換的積分系統(tǒng)，用戶(hù)可以通過(guò)參加各種活動(dòng)來(lái)獲得相應(yīng)的積分。但是，其存在一個(gè)安全漏洞。由于攻擊者用惡意手段注冊(cè)了多個(gè)賬戶(hù)，導(dǎo)致一些用戶(hù)的賬戶(hù)中出現(xiàn)了大量的偽造積分。 由于這次攻擊造成了大量的用戶(hù)損失，因此 Github官方在5月4日凌晨發(fā)布了一條公告： 公告中指出， Github已經(jīng)在5月3日凌晨5點(diǎn)左右發(fā)現(xiàn)了這個(gè)問(wèn)題，并表示會(huì)盡快修復(fù)，同時(shí)會(huì)加強(qiáng)對(duì)該漏洞的安全監(jiān)測(cè)。
二、攻擊原因
通過(guò)分析發(fā)現(xiàn)，攻擊者可能通過(guò)兩種方式獲取積分： 1.偽造錢(qián)包地址，使用別人的錢(qián)包地址進(jìn)行支付，這樣就可以直接購(gòu)買(mǎi)積分； 2.利用 Token的“雙花”機(jī)制，將一個(gè) Token兌換成多個(gè) Token，這樣就可以用多個(gè) Token同時(shí)購(gòu)買(mǎi)和贈(zèng)送積分。 這兩種攻擊方式都是通過(guò)使用智能合約實(shí)現(xiàn)的，而智能合約又是開(kāi)源的。黑客使用智能合約來(lái)完成這兩種攻擊，從而使攻擊者能夠輕而易舉地將用戶(hù)的錢(qián)包地址偽造成自己的錢(qián)包地址來(lái)進(jìn)行交易和兌換積分。在這樣的情況下，黑客就可以通過(guò)偽造 Token或購(gòu)買(mǎi)、贈(zèng)送等方式將這些積分買(mǎi)走。
三、攻擊過(guò)程
1.攻擊者先收集一些目標(biāo)用戶(hù)的個(gè)人信息，如：手機(jī)號(hào)、郵箱等。 2.通過(guò)這些信息，黑客可以獲取到用戶(hù)的銀行賬戶(hù)，并使用這些賬戶(hù)登錄到目標(biāo)用戶(hù)的智能合約（AoC）中。 3.然后黑客會(huì)創(chuàng)建一個(gè)新合約，并將其部署到目標(biāo)用戶(hù)的智能合約中，該新合約就是惡意積分系統(tǒng)的基礎(chǔ)。 4.在攻擊過(guò)程中，黑客可以修改智能合約中的一些參數(shù)值。 5.攻擊成功后，惡意攻擊者就可以將該積分系統(tǒng)出售給其他人，并獲得一定數(shù)量的 Token。
四、對(duì)策及建議
1.及時(shí)修復(fù)漏洞，防范風(fēng)險(xiǎn)。積分系統(tǒng)的支付方式一般有直接購(gòu)買(mǎi)和參與活動(dòng)獲得兩種，一旦發(fā)現(xiàn)漏洞，需要及時(shí)修復(fù)。 2.完善系統(tǒng)漏洞響應(yīng)機(jī)制。針對(duì)攻擊事件，積分系統(tǒng)的管理部門(mén)應(yīng)該及時(shí)開(kāi)展安全檢測(cè)和修復(fù)工作，比如： 1)結(jié)合積分系統(tǒng)的類(lèi)型、用戶(hù)的規(guī)模以及攻擊的手段等，建立完善的安全監(jiān)測(cè)和響應(yīng)機(jī)制，對(duì)網(wǎng)絡(luò)中存在的潛在安全威脅進(jìn)行檢測(cè)和識(shí)別； 2)對(duì)于已知漏洞，建立相應(yīng)的安全保護(hù)措施。例如：對(duì)積分系統(tǒng)中存在的漏洞進(jìn)行修復(fù)；在系統(tǒng)中加入防篡改機(jī)制；開(kāi)發(fā)檢測(cè)和響應(yīng)工具等。 3.加強(qiáng)區(qū)塊鏈安全意識(shí)宣傳。
推薦使用智悠量化機(jī)器人，智悠量化機(jī)器人是一款專(zhuān)為虛擬貨幣用戶(hù)[binance]提供量化交易的工具。智悠量化在云服務(wù)器上365*24小時(shí)運(yùn)行，不斷電不斷網(wǎng)。通過(guò)手APP初始化設(shè)置參數(shù)之后，機(jī)器人將按照策略進(jìn)行自動(dòng)交易。 達(dá)到設(shè)定條件自動(dòng)買(mǎi)入或者賣(mài)出，無(wú)須長(zhǎng)時(shí)間盯盤(pán)。助用戶(hù)克服人性弱點(diǎn)，成為理性投資者。
官方微信1：dbcj2020
官方微信2：dbcj2020
備用微信：qihezhiyou
官網(wǎng)地址：http://www.quanteraglobal.cn
聯(lián)系電話(huà)：18071320873
智悠量化、自動(dòng)炒幣機(jī)器人、合約量化機(jī)器人、現(xiàn)貨量化機(jī)器人、量化套利 合約量化軟件 合約量化交易機(jī)器人 量化合約機(jī)器人 合約網(wǎng)格量化交易策略 合約量化交易策略 量化合約系統(tǒng)開(kāi)發(fā) 合約量化機(jī)器人 合約量化 合約量化交易 量化合約 合約量化交易軟件 數(shù)字貨幣量化交易機(jī)器人 量化交易機(jī)器人哪個(gè)好 自動(dòng)量化機(jī)器人 量化機(jī)器人靠譜嗎 量化套利策略 量化套利什么意思 高頻量化交易套利 量化套利 什么叫量化交易套利 數(shù)字貨幣量化交易機(jī)器人 智悠量化交易靠譜嗎 量化軟件有哪些 量化軟件下載