BASE:2020年度回顾：区块链/密码学货币行业主要安全事故_russellcoin

编者按：本文来自以太坊爱好者，作者：Harry，翻译&校对：曾汨&阿剑，Odaily星球日报经授权转载。在经历了动荡的2019年之后，2020年情况如何？一起来回顾一下。要了解我们的写作思路，请查看我们之前写的2019年度回顾。如果2019年可以概括为一次狂野之旅，那么2020年则完全是不按常理出牌。

在这一年里，我们发表了许多文章，聊到了从钓鱼者那里追回资产的白帽、推动恶意浏览器插件扩散的大型活动、防止密码货币资产丢失的十大行动指南，以及RiskyBusiness：DeFi。我们发表的每篇文章都提到了用户在使用密码学货币时应当注意的各种威胁要素，并附有现实生活中的实例。这些文章所分享的信息不仅适用于MyCrypto和以太坊用户——这些经验教训可以被应用到整个行业，无论你喜欢哪条链、交易所或者钱包。让我们再深入地回顾一下这些事故，看看发生了什么，以及我们作为一个行业可以从中学到什么教训。以下清单列出了2020年发生的主要安全事故。然而，我们不会把所有事故都一一列出来，因为数量实在太多了……

2020年第一季度开始时有一些好消息和一些坏消息。我们揪出了一些坏蛋，也研究了攻击硬件钱包的方法，但黑客攻击和金钱损失也有所增加。故事：密码学货币交易所Poloniex发出密码重置警告

Tether：我们与Terra完全不同，且拥有足够的储备维持USDT稳定:5月23日消息，Tether官方发文表示，稳定币维持稳定的前提是每一个稳定币均可以固定的价值赎回。而USDT和Terra的设计、机制和抵押品完全不同。Terra是算法稳定币，具有旨在实现稳定的机制，但是最终失败了。相对而言，USDT完全由抵押品支持，每一个USDT均可兑换为1美元。

当交易所的USDT的价格不等于1美元时，只能表明用户对流动性的需求超过了该交易所的订单簿，并不意味着USDT脱锚。Tether拥有超过700亿美元的抵押品，以用于这赎回USDT，满足用户的流动性需求。且可以在几天内完成用户超出流通USDT 10%的赎回请求。

此外，Tether宣布USDT的储备中超过55%是美国国债，商业票据的占比不到29%。[2022/5/24 3:36:53]

概要：Poloniex在2019年12月末的电子邮件中发布了一份PSA，宣布一些用户必须重置密码，因为推特上泄漏了一份包含邮件地址和密码的列表。故事：YouTube账号被劫持用于密码学货币

概要：尽管这算不上新的手段，但这种作案手法正变得越来越流行。子们事先录制好有名人参与的密码学货币大会的视频片段，然后劫持Youtube账号来广播虚假的赠送密码学货币的视频。故事：Upbit在遭到5千万美金的攻击后升级ETH钱包的安全措施

概要：一家韩国交易所公开表示他们的热钱包在2019年11月被盗，损失了342,000ETH。故事：少年通过SIM卡交换取区块链专家超5千万美金

KuCoin首席执行官：我们正在经历加密货币的复兴:9月5日消息，KuCoin首席执行官Johnny Lyu表示，我们正在经历加密货币的复兴。关于过去两年的加密货币发展情况，Lyu表示，“我想每个人都会同意这是一段美好的时光。我们看到DeFi和NFT的全盛时期、元宇宙的出现、市场的增长，以及许多加密货币刷新价格历史新高，机构投资加密货币等。但最重要的是，这一时期的所谓‘加密货币复兴’仍在获得势头。我认为没有理由屈服于任何悲观的预测。”

Lyu支持，“涉及加密货币和区块链技术全面普及的事件与过去的事件形成鲜明对比。我指的是2013/14年的Mt.Gox和丝绸之路，17/18年的ICO崩盘，以及导致2018年和2019年停滞期的所有其他事件。在我看来，与John McAfee一起，一个完整的时代已经过去了。今天，我们正在经历一场复兴。那个时代已经被另一个时代所取代，在这个时代，大公司以数十亿美元购买加密货币，像埃隆·马斯克这样的人被提升到最杰出影响者的水平。2020/21年加密货币市场上发生的一切，从‘降落伞’货币到随后Coinbase IPO中存款数量的增加，再到比特币价格增至2019年的20倍，所有这些事件都启动了一个对市场非常重要的过程。这是导致市场参与者数量增长的进步。市场将会增长和发展。我对此毫不怀疑。”（Beincrypto）[2021/9/6 23:02:08]

概要：SIM卡交换在行业中是一个瘤。许多人认为在他们的账户上使用短信来做2FA认证会更安全。一位少年利用了这一点，从多个受害对象处获利超过5千万美金。这名18岁的少年已经被逮捕，并面临多项刑事指控。故事：Kraken发现Trezor硬件钱包中的关键缺陷

声音 | BM：实质上我们并不拥有任何东西，所有的软件使用都要得到权力者的许可:BM昨晚发推表示：是时候重新开始购买实体书籍了，在数字世界中，刻录书籍太容易了。你们应该假设自己不拥有/控制手机上的任何东西。我们越来越处于所有软件都要得到权力者“许可”的道路上。他还表示：今天发生的是YouTube审查加密内容，明天可能是亚马逊审查书籍。在还没禁止之前，赶紧获取你想要的书籍吧. 随后 BM 在推特发布其 2020 年推荐阅读书单。[2019/12/28]

概要：Kraken交易所发现并披露了一种物理攻击方法，可以从Trezor的大部分产品中提取出助记词。故事：密码学货币IOTA在官方钱包软件被黑后关停了整个网络

概要：由于黑客利用了官方IOTA钱包中的一个漏洞来窃取用户资金，IOTA在相当长的一段时间内关停了他们的网络。故事：RiskyBusiness：DeFi，以太坊还要继续成长

概要：MyCrypto的创始人TaylorMonahan整理了她在ETHDenver2020上关于DeFi及其风险的演讲。Taylor讨论了潜在的陷阱和此前的攻击，我们从过去的错误中学到了什么和没学到什么，以及我们在该领域该如何改进。故事：BZx闪电贷攻击是否意味着DeFi的终结？

概要：一个热门DeFi协议在短时间内遭到了两次闪电贷攻击。第一次攻击损失了1,193ETH，第二次攻击结束时又损失了2,378ETH。故事：子继续在英国利用Covid-19混乱比特币

概要：伴随着由冠状病导致全球大流行的新闻，一些不法分子通过伪装成来自CDC的研究组织来请求比特币捐款，大发恐慌之财。BZx再一次遭受攻击

声音 | 任贤良：通过区块链技术等加密还有很多需要我们研究的内容:据新京报报道，十三届全国人大常委会第十一次会议首次审议的密码法草案规定：密码分为核心密码、普通密码和商用密码，实行分类管理。全国人大社会建设委员会副主任委员任贤良提出，密码法应把握和处理好核心密码、普通密码和商用密码的关系和转化，“核心密码和普通密码是涉及国家秘密的，商业密码涉及公众利益，核心密码的最高级就是绝密，普通密码是机密。我们的绝密、机密涉及到国家秘密，有一些国家秘密随着时间的推移和形势的发展会解密，不可能老放在绝密和秘密。什么时候解密，也要及时向社会公布，便于大家分享共享。比如区块链技术和量子加密技术，怎样通过这些新技术来加密，适应信息社会的发展需要，便于大家既加了密又有利于了解和使用，这里还有很多需要我们研究的内容”。[2019/6/30]

尽管这是故技重施，但黑客在几天时间内利用闪电贷对BZx协议发动了第二次攻击。https://twitter.com/dsearch3r/status/1228657292792549383

在第二季度，我们看到更多的智能合约漏洞被利用，以及一个恶意浏览器扩展程序的大规模扩散活动引发了人们的关注，该恶意扩展模仿业内知名品牌以获取用户的密钥。故事：黑客利用去中心化比特币交易所Bisq的漏洞窃取了25万美金

概要：在发现攻击者利用软件盗取用户资金后，Bisq采取了“前所未有”的应对措施并停止了交易。据报道，攻击者盗走了3BTC和4000XMR。故事：发现针对Ledger、Trezor、MEW、Metamask等目标用户的假冒浏览器扩展

华尔街财富管理研究院合伙人蔡宇：我们处在区块链深度泡沫中:金色财经现场报道，在2018世界制造业大会区块链技术与产业融合应用论坛上，华尔街财富管理研究院合伙人蔡宇表示，泡沫是丰富营养的，对于区块链泡沫大家非常淡定，我们处在深度泡沫中，而且我们希望泡沫越来越大。目前全球有20亿游戏玩家，区块链用户只占2000万不到。[2018/5/26]

概要：MyCrypto和PhishFort发表了一篇研究报告，关于利用谷歌广告来推送的、模仿知名品牌的恶意浏览器扩展，如何狩猎密码学货币用户。故事：Etherscan启动“ETHProtect”来识别和标记受污染的ETH地址

概要：最常用的区块链浏览器之一——Etherscan推出了一款产品，为用户提供关于一个地址的更多信息，并快速显示它们是否从一个已知的不良地址收到过密码学货币。故事：dForce因DeFi智能合约漏洞损失2500万美金

概要：借贷协议dForce据称是修改了Compound代码的一个分叉，遭到了类似于Uniswap流动池的攻击。该攻击利用了imBTC合约所用的一个标准。故事：“邪恶天才少年”被指控窃取了价值数百万的密码学货币

概要：MichaelTerpin提交的一份备受瞩目的SIM卡交换控告的信息已经公布。在攻击发生时，主要的不法分子之一只有15岁。据称他通过交换多人的SIM卡窃取了超过2300万美金。故事：欧洲各地多台超级计算机被入侵用于密码学货币挖矿

概要：英国、德国和瑞士的多台超级计算机感染了密码学货币恶意挖矿软件，通过破解的SSH登陆来挖取门罗——一种偏重隐私保护的密码学货币。dForce/Lendf

Lendf的黑客很有趣，因为被用于实施重入攻击的ERC777标准几天前刚刚在Uniswap的imBTC流动池中被爆破。但是dForce没有审计他们的系统，尽管他们也支持imBTC。一条来自defiprime的长推特很好地点评了此事——有证据表明这些代码是从CompoundFinance分叉而来的，即便在开源世界里，这也是另一个棘手的问题。

故事：从钓鱼事件中拦截并保卫价值5000美金的密码学货币

概要：当我们扫描网络钓鱼工具时，我们发现了一个活跃行动的公开端口，我们也监控了它们以防止用户的私钥被泄露。在极少数情况下，我们成功拦截了从受害者那里窃取的密码学货币资产。我们抢在不法分子之前清理了这些资产，并归还给了经过验证的所有者。故事：推特攻击事后回顾

概要：2020年7月15日，Twitter平台上发生了一场大规模的账号接管活动，其中包括利用经过验证的账号来“信用交易”/预付费的比特币局。总体而言，“仅”有15万美金被盗，相较于不法分子从他们接管的账号中所获得的广泛曝光而言，这个数字有点微不足道。故事：与币安合作将1万美金的被盗密码学货币返还给受害者

概要：我们研究了更多的网络钓鱼活动，然后发现另一个通往不法分子所用服务器的公开端口。我们再一次混入他们的钓鱼前端和不法分子的通信渠道之间，来清理那些被钓鱼的资产使其不落入坏人的口袋。故事：做好这10件事，和丢币说再见

概要：MyCrypto发表了一篇简短的最佳实践十步法，其中包含了如何保护您的密码学货币资产和关联账户的明确行动指南。我们利用自己在密码学货币被盗方面的丰富知识，编写了一份可操作的行动清单。故事：黑客利比特币钱包漏洞盗走1600万美金的比特币

概要：一名用户没有为他的Electrum钱包安装关键的安全更新，然后成为了一个攻击方法的受害者，导致1,400BTC被盗。这名用户被连接到一个恶意的Electrum服务器，该服务器允许在其错误弹出窗口中显示富文本。返回的错误提示用户更新他们的Electrum软件，但却链接到了恶意软件的下载地址。故事：逃离黑暗森林

概要：Samczsun在一次白帽活动中成功地从一个有漏洞的合约里拯救了960万美金。这个故事很有意思，因为Samczsun解释了他们是如何击败抢跑机器人的。他们私底下将已签名的交易直接发给了矿工，而不是广播到交易池。故事：KuCoin交易所被盗2.8亿美金

概要：颇受欢迎的一家亚洲交易所KuCoin热钱包被盗，并接连收到大量比特币和以太坊被提走的警报。KuCoin正在与国际执法部门进行调查，并承诺使用他们的保险基金弥补客户资金的全部损失。Ledger的数据泄漏

Ledger是行业领先的硬件钱包之一，在这个领域积累了非常多的客户。2020年7月，他们发表了一份声明，称其电子商务平台和营销平台的数据遭到了泄漏。2020年7月14日，他们收到了来自其赏金计划的潜在数据泄漏的警报。经过内部调查，Ledger发现此次数据泄漏发生在2020年6月25日，其部分客户受到影响。2020年5月，推特用户UnderTheBreach发了一条关于潜在数据泄漏的推特。KuCoin

KuCoin存在的一个安全漏洞致使其私钥被盗。总价值281,000,000美金的资产被盗。值得注意的是，在这次攻击中多个项目协助了找回资金的行动，其中包括Ocean协议，它们分叉了自己的合约，移除了攻击者盗走的代币。

故事：密码学货币交易所Liquid确认被黑

概要：Liquid确认其域名和电子邮件账户已遭到入侵。该交易所认为，黑客可能已经获得了包括邮箱地址、姓名、配送地址和加密口令在内的用户个人信息。故事：黑客利用GoDaddy雇员来攻击密码学货币网站：Liquid和NiceHash

概要：一份公开的报告指出，有确凿的数据表明NiceHash和Liquid遭到了其服务商GoDaddy的侵害。故事：土狗智能合约抽走1080万美金

概要：一个流动性挖矿协议的智能合约存在一个隐藏的后门，允许开发者直接提走该合约内的wBTC、ETH、DAI。故事：被黑后，Ledger增加了比特币赏金和新的数据安全措施

概要：Ledger声称最近发生的客户数据泄漏源于一家流氓代理商Shopify。Ledger新任的首席信息安全官MattJohnson建立了新的程序和政策，来防止未来发生数据泄漏，并宣布悬赏10BTC来获取任何可以助其逮捕黑客的信息。故事：密码学货币交易所EXMO声称总资产的5%被盗

概要：EXMO在其热钱包中检测到可疑行为，并暂停提款以进行调查。结果是他们的冷钱包未受影响，但5%的热钱包被盗了。我们的观察

如果比较一下我们在19年的观察结果，你会这个行业有很大进步空间。100%的安全当然是不存在的，但那句话怎么说来着，历史也会押韵。即使你将资产存储在一个“合法”的交易所中，你仍然面临风险。

像往常一样，今年也充斥着对持有用户资产的密码学货币交易所的攻击。我们看到越来越多的交易所使用保险基金来弥补损失，尽管这对于那些使用交易所的人而言最终结果是好的，但这并不值得依赖。去中心化和安全并不划等号

虽然去中心化产品可能遭受得攻击各不相同，且损失引发的关注远远小于大交易所受到的攻击，但攻击者仍有多种诡计从你的手中走数字资产。网络钓鱼活动，尤其是那些鼓励用户在网站上输入私钥的玩意儿，日益猖獗。随着去中心化交易所的崛起，用户在“登入”后资产被席卷一空的情况愈发普遍。信任第三方来使用你的个人信息并不安全

即便信任这个领域最知名的一些品牌来使用你的个人信息，也是靠不住的。这些数据可以通过流氓雇员或软件漏洞获取，然后在地下市场出售。虽然利用这些个人信息的大多数威胁几乎不会采取任何行动，但切不可掉以轻心，尤其是那些已知有大量持仓的人。你最好的方式是设置一个带有假名的邮政信箱，用来收取现实世界中的密码学货币相关物品——理想情况下，你也不会希望你的家庭地址和密码学货币联系到一起。我们在2021年的目标和2020年相同：让我们做得更好。

标签：COINOINBASESDTrussellcoincoinw币赢官网BASED币泰达币usdtapp下载

KuCoin热门资讯