|
请谨记，无论向谁都不能透露自己的钱包私钥，做不到这点，你的资产就不在安全掌控之下。 11日，全球最大以太坊钱包imToken披露其遭遇的一次黑客攻击事件，所幸没有资产损失。 据ImToken公告，黑客虽然无法直接盗取用户资产，但是有可能拿到了部分参与imToken公测的用户邮箱地址，给用户发“钓鱼邮件”。imToken还表示，其系统一直在遭受各种攻击，如钓鱼、嗅探、CC攻击、DDOS...... 如同《三体》的“黑暗森林法则”，在数字货币的世界里穿行，每一步都要小心翼翼...... 超300亿资产遭威胁 imToken是一款移动端轻钱包A，目前支持ETH以及以太坊ERC2.0标准的代币（比如EOS、DGD、SNT、QTUM），是目前最主流的以太坊系列数字货币钱包，全球有数百亿的数字资产存储在这个钱包产品里。 正因为如此，他们被黑客盯上，这也是他们遭受的首次黑客入侵事件。 事情是这样的，imToken 即将上线2.0国际版，目前处于测试阶段，蠢蠢欲动的黑客则抓住了其中一个对外服务的运营邮箱漏洞，利用邮箱重置密码，获得了2.0国际版测试服务器的AWS网站登录权限。 所幸的是，imToken团队已经重置了服务密码和权限，联合第三方安全团队调查评估。根据imToken安全合作方的威胁情报反馈，这类攻击事件疑似地下产业链针对生态有针对性的攻击。持币者必须提高警惕，不要在“钓鱼网站”输入私钥，也不能泄露个人的钱包私钥。 imToken创始人何斌近日在接受采访时称，目前已有价值350亿的数字资产储存在imToken钱包上，其中Coinbase交易所的客户资金就超过了200亿美元，树大招风，价值不菲的数字资产被黑客盯上了。 钱包与虎视眈眈者 imToken创始人兼CEO何斌是连续区块链创业者，2013年开始接触，曾参与数字货币交易所、数据存证、数字票据等项目，在2016年5月创建了imToken，6月获得天使湾等天使轮融资。 随后，imToken发展十分迅速，两年时间，一跃成为全球领先的数字钱包。据了解，imToken日均转账量占据以太坊生态的10%，最高单日增长超过10万用户，截止到5月31日，imToken的月活用户超过400万，imToken的高净值用户主要来自美国，中国，东南亚，非洲和韩国等国家和地区。 imToken基于现有的钱包存储、转账功能，即将上线的2.0国际版本还将拓展到去中心化币币兑换业务、DAPP移动端去中心化应用浏览器业务，并进一步推出支持多链的钱包，包括比特币、以太坊、EOS等。 作为数字钱包领域的新贵，imToken存储着大量持币者的资产，为用户带来数字资产管理便捷的同时，这也让数字钱包成了交易所之后，黑客们又一收益可观的攻击对象。 如同劫匪窥视着银行一样，对于黑客而言，一直对imToken里巨额的数字资产虎视眈眈，这是最大的一块肥肉。 如何保护钱包？ 在国内ICO禁止，交易平台关停的背景下，数字货币钱包就成了多数热衷于持币的首选工具，对投资者而言，有种落袋为安的感觉。 而黑客们，却无时无刻不在想着拦路抢劫。 比如，加拿大创业公司开发的知名钱包应用Jaxx，是目前支持区块链资产品种最多的，但也免不了被盗的命运。 去年6月份，Jaxx由于存在一个允许黑客从用户账户中盗取数字货币的漏洞，用户钱包被盗取了近40万美元。猎豹移动区块链实验室在研究Jaxx的数据备份机制后发现，Jaxx存在重大漏洞，黑客很轻易就能盗取钱包中的私钥，破解其私钥数据文件，称要想盗取存储在Jaxx钱包里的数字资产只需要简单的两步： 1. 获取私钥数据文件；2. 解密私钥数据文件。 更过分的是，黑客可以“非常简单”地盗取数字货币。今年年初，思科子公司Talos发布报告显示，乌克兰黑客组织Coinhoarder从知名数字货币钱包Blockchain.info窃取了价值超过5000万美元的加密货币。英国数字钱包服务商Blockchain是一款在线钱包，全球用户量最多，下载量最大。 而黑客的手法也非常高明。 首先他们购买谷歌搜索引擎中与加密货币相关的关键词广告，让真实网站在谷歌搜索引擎结果排序中比恶意链接低。当人们在谷歌上搜索“区块链”或“比特币钱包”等关键词时，会看到伪装成合法网站的恶意“钓鱼”网站链接。受骗的用户则误认为登录了真实网站，并在其中输入私密信息，如钱包私钥。 随后，黑客就可以利用这些信息进入用户的数字货币钱包，盗走他们的数字货币。 报告称：“黑客只需要购买谷歌Ad Words广告，受害者就会源源不断地到来。”Blockchain CEO皮特·史密斯表示，Blockchain正与谷歌合作，打击钓鱼广告。去年双方共删除了近1万个这样的恶意网站，而今年1月又删除了3000个。 前不久，以太坊钱包服务商MEW也曾遭到黑客攻击，造成了用户资产损失。MEW官方推特今年4月25日表示，其谷歌域名服务器遭到黑客攻击，用户会被引至钓鱼网站，一些对亚马逊域名服务器的恶意攻击也波及到了MEW。 在大概两个半小时里，黑客窃取了多个用户MEW钱包约215个以太币，价值超15万美元。 其实钱包一般最视为最后的保障，而在其他层面上，黑客更是层出不穷。 比如最新的信息，韩国交易所Coinrail宣布，在6月10日遭遇了严重的黑客袭击。 虽然交易所的保管人员成功将大部分客户的资产转移到冷冻钱包，但是交易所仍然丢了30%左右的财产.大概估计，交易所遭遇了3500万美元的损失。可以确认的被盗货币有Fundus X （NPXS）， Aston （ATX）， and Enper （NPER）。 我们看到，持币者钱包被盗的事件频发，较为常见的还是利用“钓鱼陷阱”引诱人们输入私密信息。无论是钱包服务商、还是个人，都应该将资产安全摆在第一位。尤其是持币者，更应该选择那些将安全视为重中之重的钱包服务商，同时谨慎保管好个人私钥和文件，时刻留意“钓鱼”陷阱。 数字资产的世界，就是一座黑暗森林，每个黑客都是带枪的猎人，像幽灵般潜行于林间......如果他发现了别的漏洞，能做的只有一件事：发动攻击。 而我们能做的，只能是永远控制风险，小心翼翼...... |
