位置: 主页 > 陕西钓鱼 > 休闲钓鱼 > 正文

回望“币安惊魂夜”:垂钓鱼方法钓事件如何发生,用户又该如何防御?

作者:admin 来源:陕西钓鱼网 关注: 时间:2018-03-14 01:42

币安网创始人赵长鹏

币安网创始人赵长鹏

3月7日,知名数字货币交易平台币安遭到黑客攻击,此次攻击造成全球数字币价格大跌。

根据币安交易所的公告,有31个账户遭到黑客的垂钓入侵,黑客在掌握用户的账户权限之后,使用机器挂单,进行程序化高频交易,给用户带来巨大损失。

这几天关于此事的新闻很多,但绝大多数都是从事件本身出发,对数字货币的影响、对交易平台的影响等。

最关键的一点没人提及:到底垂钓事件是怎么发生的,作为币安的普通用户,我们应该如何防御此类攻击?

一年前,华裔学生报告unicode垂钓漏洞

在币安交易所发布的公告中指出,本次攻击,黑客使用了“unicode垂钓手法”,这个是什么鬼?估计99%的记者没看懂。

2017年4月14日,在约翰霍普金斯大学研究数学的学生xudong zheng发表了一篇论文,题目是《Phishing with Unicode Domains》,中文大意为“用unicode网址垂钓”。文章中给出了一种垂钓的方法,多语言字符混合来骗过用户的眼睛。

安全专家向黑奇士表示,咱们使用的浏览器,是以英文为基础的,包括网址在开始也是仅能解析英文,所谓的unicode编码。

为了让浏览器支持多语言,有人开发了punycode编码,这套编码可以让世界上其他的语言可以被浏览器“理解”,比如中文、俄文、韩语。

例如,你要访问苹果网站,在最早你必须输入英文的apple.com;后来中国的cnnic、3721等公司,相继开发了自己的插件,让浏览器支持“新浪.com”、”“百度.com”这样的域名。Punycode就相当于一款语言插件(编码漂准),被内置在了主流浏览器当中。

但使用puycode编码的网址会有一个问题,比如中文拼音的 ü,跟英文单词的u,看起来非常像(一个头上有两点,一个没有),但这套编码会识别成两个字母。

这就带来一种攻击:有人把各种语言的相似字母组合在一起,冒充知名网址。

本次币安的垂钓攻击,就是有人把西里尔语字母,跟英文字母结合,冒充币安的网址。

黑奇士采访的资深白帽子M表示,即使是专业安全人士,如果对web安全不熟,面对这种垂钓也很有可能上当。

回望“币安惊魂夜”:垂垂钓方法钓事件如何发生,用户又该如何防御?

(看到n下面那两点了吗,那不是英文字母)

半月前赵长鹏已收到警报,但未做处理

所谓的垂钓攻击,本质上就是用户在一个“仿冒网站”上输入了自己的账号密码。

这个仿冒网站,要想针对性的投放到币安用户群中,黑客会使用一些精准化的投放手法,例如搜索引擎的广告投放、向币安用户发送垂钓邮件、在电报群中点对点发送网址链接等。

这些动作不能在短期内起效,如果交易所在安全监控上投入精力,是有可能早期发现、早期处理类似事件的。

可惜的,币安交易所并未做到。

有微信截图显示,早在2月20日,有人向币安交易所创始人赵某发布了垂钓警告,他表示问题已得到处理。从币安的后续措施来看,他并未把这个警告当真,至少没有向存在风险的用户发布警告,以求尽力挽回损失。

回望“币安惊魂夜”:垂垂钓方法钓事件如何发生,用户又该如何防御?

白帽子M先生表示,针对此类unicode垂钓,主流浏览器已经能够防御。在PC端,只要把浏览器升级到最新版本,就能解决一大部分威胁;在手机上,安装杀毒软件也能解决很多问题。如果是苹果手机,安装腾讯手机管家,iOS系统会调用其SDK,也能对垂钓网址进行拦截。

黑奇士查看币安网站,截至发稿,网站首页没有任何安全提醒。

普通用户应该如何防范此类垂钓攻击?

黑奇士提醒普通用户,可以采取如下措施,降低数字币交易的安全风险:

1、无论手机端还是PC端,都必须安装杀毒软件,而且要安装套装。单纯“杀毒”,是无法解决垂钓这样问题的,黑奇士推荐卡巴斯基的杀毒套装(付费版),国内的话,可以尝试腾讯安全管家或火绒杀毒软件(两者均为免费软件)。

2、浏览器必须保持实时升级,事实上,uniode垂钓过去已经一年,主流浏览器都应该打了补丁,对近似字符区别性显示。但国内有些换壳的浏览器,核心升级不如原版浏览器,这些可能存在安全问题。例如360浏览器、搜狗浏览器、猎豹浏览器,都可能存在此类问题。

黑奇士推荐安装在线安装chrome浏览器。国内网站下载的full版chrome浏览器,升级功能受到限制,可能导致安全性能受损。

3、对于普通小白用户,推荐使用密码管理器,软件会自动识别网址,在仿冒的网址上不会自动填入密码。但需要指出的是,这类密码管理器一旦被人入侵,所有密码都会被窃取。如何权衡风险和便利,还需要用户自己把握尺度。

4、手机端下载交易所软件时,不要怕麻烦,一定要从官网下载,不要从国内的手机软件商店下载,那些软件可能存在仿冒、换皮等问题。

多个大交易所仍有漏洞

3月10日,有安全研究者在知乎表示,除了用户账户被窃之外,交易所的风控逻辑存在漏洞,也是这次攻击成功的关键。

知乎网友“二子乘舟”在文章中推测,币安交易所并未采取真正的OTP(One-time Password)逻辑。

有币安受害者在国外网站表示,自己开启了币安最高等级的2FA认证。所谓2FA,就是在登陆账户的时候,除了账号名、密码需要正确之外,网站还会向你发送一个手机验证短信,验证成功才允许登陆,这个在业内叫二次验证。

币安的逻辑漏洞在于,手机验证短信在30秒有效期内可以被二次使用:用户首先在币安使用,然后黑客再利用这条短信再次登陆,验证码仍然有效。

而实际上,真正的OTP只允许一次登陆,即使在有效期之内,只要有人使用过一次,就会及时作废,防止黑客和用户同时异地登陆。

根据“二子乘舟”的检验,包括火币、Bigone等著名交易所仍然存在OTP验证漏洞,可能会被黑客攻击。

回望“币安惊魂夜”:垂垂钓方法钓事件如何发生,用户又该如何防御?

打印此文】 【关闭窗口】【返回顶部】 [
相关文章
推荐文章
最新图文


站长电话13892935508 网站备案号:苏ICP备14029811号-1"
站长QQ23002703欢迎各站长添加友情链接