区块见闻 区块见闻
Ctrl+D收藏区块见闻
首页 > 瑞波币 > 正文

金色观察丨盗取45亿美元女黑客的社会学工程课

作者:

时间:

近日惊爆加密货币圈的大新闻就是美国司法部成功追踪并逮捕了2016年盗取bitfinex近12万枚比特币(目前市值约45亿美元)的黑客Heather Morgan和IIya Lichtenstein。加密圈这两天一直在猜测黑客是如何入侵bitfinex的,加密货币KOL Eric Wall 2年前曾在纽约听过女黑客的社会工程学演讲,他发长推讲述了对女黑客演讲的观感和见闻。

我从HeaterReyhan处得到的主要收获是在@tarunchitra的纽约沙龙的演讲“如何将社会工程运用到任何事物”。

Heather解释了社会工程如何利用人们的认知偏见:“触发人们做他们已经编程好要做的事情”。

给出“白/灰帽黑客”的例子,例如AirBnB创始人在冷电子邮件/打电话预订时假装是自己的经纪人。

Heather显然不是一个笨蛋。这显然是一个聪明人给出的演讲。

她说话的方式和关于她专业领域的推理表明,她有相当体面的社交技能、幽默感和谦逊感。

如果你无法将此与她的超现实主义说唱身份“Razzlekhan”相吻合,请阅读她《福布斯》专栏中的以下段落。

在过去的几天里,我从加密推特中看不明白的是,为什么都说“Razzlekhan”明显不胜任她的能力。愚蠢=经常有智慧的强烈迹象

她毫不掩饰自己在生活中使用社会工程的事实。举例说明她渗透到的地方。

她提到在埃及爬篱笆,使保安让她和朋友参观受限的宫殿,而不是把她赶出去。

我不知道Heather和Ilya是否是黑客,谁都想知道(fwiw)。他们完全控制私钥的事实当然意味着一些参与。

但他们也可以从真正的黑客那里偷走/找回它,也可以直接参与了黑客攻击。

以下是昨晚一些有趣的聊天

Mike Belshe - BitGo联合创始人兼首席执行官

Ben·Davenport - BitGo联合创始人兼首席技术官(在黑客攻击时)

MXC抹茶10月10日19:00上线HT、ATOM、BTM永续合约:据官方公告,MXC抹茶10月10日19:00上线HTUSDT、ATOMUSDT、BTMUSDT永续合约,支持1-50倍杠杆自由调节,可选择全仓或逐仓模式进行开仓。

MXC抹茶新版合约对盘口价差、买一卖一厚度进行了优化,除主流币外,现已涵盖UNI、SUSHI、DOT、YFI、YFII、HNT、FLM等DeFi、波卡概念币种。[2020/10/10]

Zane Tacket -?社区主任@bitfinex(当时),Zane是黑客攻击期间处理所有公共通信的人

上一张截图很有趣。@mikebelshe提到,是@bitfinex的系统被破坏了,而不是@BitGo,但@tackettzane似乎暗示BitGo至少也是有错的。

好奇从未写过尸检。也许里面有隐情......尴尬吗?

加密推特上的人们似乎已经认定,黑客攻击是以非常复杂的技术方式发生的,但没有证据表明这一点。

如果你狡猾,人们似乎也忘记了社交工程有多强大。大量重大黑客通过社会工程发生......

事实上,我认为@mikebelshe几乎揭示了当他说“and people”时,黑客攻击涉及重要的人的因素,BitGo没有被黑客入侵。

听起来有人耍了手腕......而不是这里大多数人似乎想象的“缓冲溢出有效载荷黑客”

通常,当涉及0day漏洞等的黑客*技术上非常复杂时,目标会分享尽可能多的细节(以免除内部人士的怀疑等)。

如果他们不分享细节,更有可能以他们不引以为豪的方式发生。

回到谈话中。

Heather提到她通过社交工程认识的人。有照片拼贴画。我们可以看到John McAfee第一排,第三列。

她还提到了与这样的人快速建立融洽关系的技巧。

她列举了一些如何影响他人的例子。

-?奉承

-对他们有用

-?贿赂

-?恐惧

出于某种原因,她强调了最后一个。她说,让别人处于报警的风险下,但如果你巧妙地这样做,它可以很好地工作......

她谈到首先在网上对目标进行尽可能多的研究。比如目标地区地图。公司组织结构图看起来像什么。跟踪人们的社交媒体。找出他们的喜好/厌恶。

Bitfinex首席技术官Paolo Ardoino正在阅读此长帖,并刚刚补充说,黑客是如何攻击成功的,可能值得写一本书。

我希望人们停止问这个问题。*没有*证据表明私钥在云存储中未加密。我已经发了这条推文。

一些进一步的解释,因为人们似乎可以放弃任何设法黑客入侵Bitfinex的人一定是超级人的想法

你不能接受黑客不完美吗?老实说,一个真正有才华的人不需要犯下冒险罪行就能实现他们的目标......

此外,在云存储中保留包含私钥的加密文件并不愚蠢!当然,这增加了一定程度的风险,但如果加密良好,它不一定会导致黑客攻击......

联邦调查局首先通过区块链追踪他们,发现他们使用@bitrefill等服务与他们的*个人电子邮件*,将东西订购到他们的*家庭地址*。这,如果有的话,比上面要笨得多。联邦调查局知道他们是谁。

在联邦调查局知道他们是谁后,他们没收了所有设备。分析设备。也许他们发现某个地方不小心记录了部分密码,并强硬地执行其余密码。也许他们找到了完整的密码。无论如何,错误已铸成,*没有*在云上拥有加密

或者也许演出结束后,他们甚至故意放弃了密码?正如@udiWertheimer所说,联邦调查局已经抓住了他们,并有证据表明是他们。同样,错误被抓住了。

无论如何,回到Heather。她提到了如何使用研究中的信息建立融洽关系的示例。也许你碰巧站在你研究过的一些他们喜欢的食物等。

我的解释:基本上是巴尼·斯丁森风格的追求目标。

Tom Trevethan说bitfinex被攻击是因为有bitfinex员工并打开收到自己宠物狗被撞伤的邮件导致的,这是我个人之前从未听说过的事情

这些是非常常见的社会工程技术(关于“达成一片”的主题)。

比如,你可以穿上杂工的衣服,走进一家繁忙的商店,看起来像你属于这几位商店,然后开始把昂贵的衣服从大楼里搬出来,说你在修理什么东西什么的。

她提到,她个人最喜欢的衣服之一是分层衣服,因为你可以边走边改变外观(脱下层/衣服=>新外观),并提到你可以用围巾做些事情来疯狂地改变自己(例如,必要时把它变成头巾)。

她讲述了搞砸的个人故事,比如试图通过阅读门卫保存的名单来进入某个地方,并意外+无意中试图冒充一个大个子男人。

听起来她对此非常热情,并在野外尝试了很多

这张PPT笑死我了。

它现在分为练习,这些练习将基于Heather实际经历的现实生活中略微调整的隐私情况。

有人问她为什么要这样做,她回应“挑战它”。

演讲结束她讲述了一些故事,还提到了她的朋友做了什么(例如,一个闯入Y Combinator活动并从Paul Graham那里获得资金的朋友),以及她的朋友是如何相互扮演的——例如,如果一个人被抓住了,他们就变回真的自己。

这很有趣,因为听起Heathe可能是某种黑客/社交工程师集体娱乐的一部分(如果这是她的爱好,这并不奇怪),这表明她可能不是单独攻击bitfinex,而是这样做的团队的一员。

最后,她被问及道德问题。她讲道,对她来说,“目的证明手段的合理的性”,并以“我想说我有自己的道德规范”结尾。

当年演讲视频地址:Youtu.be/JmahJCWJ8iM

标签:WEB3比特币INEFINALFweb3Project比特币2013年1000元多少个Global Business HubMofi Finance

瑞波币热门资讯
比特币两周内反弹30%让比特币鲸鱼重回增持模式

2022-02-12T01:40:48.000+0000 持有至少 1,000 个比特币地址,即所谓的鲸鱼,在最近的市场复苏期间已经开始增持更多的代币。根据 Coin Metrics的数据,截至 2 月 10 日,这些地址的总供应量为 809.6 万 个BTC,而 1 月 24 日为 795 万。

技术周刊|Polygon正在计划改进及删除多重签名

本周技术周刊包含以太坊、Polygon、Poly?Network、Optimism、zksync、Astar、Chainlink等7个网络的技术类消息。

Web3将如何改变人来的未来?

今年 Web3 是一个非常流行的术语,尤其是被另类金融卡通人物和科技届逻辑缜密的推文串作者频繁提及。 在 2021 年,如果你想筹集第一笔资金,并且躲过投资人的批判性思维,那么可以使用两个"作弊代码",一个是"Web3",另一个是"元宇宙"。如果你学会了这些时髦的词语,那么恭喜,你现在有 10 亿美元可以支配,并且还拥有了好的起点,祝你好运,玩得开心。

上市数字人民币技术服务商发展报告

随着北京冬奥会的开幕,数字人民币也进入了新的发展阶段,试点场景进一步拓展,试点规模进一步扩大。作为数字经济时代的金融基础设施,数字人民币的推进为产业链上的商业银行、支付机构、场景方以及技术服务商等带来了新的发展机遇。

加息对加密圈影响几何?

全球鹰派央行加息在即,比特币后市是釜底抽薪,还是逆势上扬?这是全球投资者最关心的问题。在这种不确定性影响下,2022年2月的第一周并不平静。 2月4日,欧洲央行行长拉加德不再排除今年加息的可能性,向全球央行的政策紧缩立场靠拢。官员们私下预期最早可能下月就会调整政策指引。

被盗约1700万美元 DeFi 世界的乐高Dego Finance就这样“塌了”吗?

2月10日,成都链安链必应-区块链安全态势感知平台舆情监测显示,DeFi应用Dego Finance遭到黑客攻击,UniSwap 和 PancakeSwap 上的 DEGO 流动性已被耗尽。关于本次攻击,成都链安技术团队第一时间进行了资金流向分析。