区块链安全新手笔记（五） | 慢雾科学

imToken 是一款全球领先的区块链数字资产管理工具[ZB]，帮助你安全管理BTC, ETH, ATOM, EOS, TRX, CKB, BCH, LTC, DOT, KSM, FIL, XTZ 资产，同时支持去中心化币币兑换功能 ...

虽然参与区块链行业的人越来越多，但很多人之前从未接触过区块链，没有相关的安全知识，安全意识薄弱，很容易被攻击者有机可乘。面对区块链的诸多安全问题，慢雾推出了一系列区块链安全入门笔记，为大家介绍区块链安全相关名词imToken钱包，让新手们更快适应区块链凶险的安全攻防世界。同时，欢迎大家添加文末二维码催更！

系列回顾：

外星人来袭

外星人攻击其实是所有公链都可能面临的问题，又称地址池污染，是指诱导同链节点互相入侵、污染的一种攻击手段，造成该漏洞的主要原因是同链系统在通讯协议上没有识别不同链的节点。

这种攻击在一些参考以太坊通讯协议的公链上被复现：同类型的以太坊链由于使用了兼容的握手协议，无法区分节点是否属于同一条链。攻击者利用这一点，先收集以太坊节点地址并进行恶意握手操作，通过与节点握手达到污染地址池的目的，使得不同链的节点相互握手并将各自地址池中的已知节点推送给对方，导致更多节点相互污染，最终蔓延至全网。遭受外来攻击的节点通常通讯性能下降，最终导致节点阻塞、主网异常。相关公链需要注意持续监控主网的健康状况，避免发生影响主网稳定性的攻击。

详情请参考慢雾安全团队技术论文：

网络钓鱼攻击

所谓“钓鱼攻击”是指攻击者伪装成可信任的人或组织，通过电子邮件、通讯软件、社交媒体等方式获取收件人的用户名、密码、私钥等隐私信息。随着技术的发展，钓鱼攻击不仅能够承载各种恶意软件和勒索软件攻击，更糟糕的是，这类攻击有日益增多的趋势。

2018年2月19日，某乌克兰黑客组织通过在谷歌搜索引擎购买加密货币相关关键词广告，并将恶意网站链接伪装成合法网站，从知名加密货币钱包窃取了价值超过5000万美元的数字加密货币。除了上述域名钓鱼攻击（即使用类似官网的URL），其他钓鱼攻击类型还包括邮件钓鱼攻击、1换10（支付0.5-10ETH，获得5倍返利）、假APP、假员工等。2019年6月，攻击者向多家交易所发送勒索信息，通过电子邮件钓鱼攻击获取超过40万美元收益。

慢雾安全团队建议用户保持警惕，谨慎对待通过即时通讯应用、短信或电子邮件获取的每一条信息。不要在通过点击链接到达的网站上输入凭证或私钥。交易时尽可能使用硬件钱包和双因素身份验证（2FA）。生态系统中的项目方在攻击者告知其漏洞细节之前，不要将资金转给攻击者。如果项目方无法做出准确判断并独自处理，可以联系安全公司寻求帮助。

木马攻击

木马攻击（Horse）是指攻击者在正常的程序中隐藏具有特殊功能的恶意代码im钱包怎么隐藏转账记录，如具有破坏删除文件、发送密码、记录键盘和DDoS攻击等特殊功能的后门程序以及寄生在被控制的计算机系统中的控制程序，从内到外操控被感染木马病毒的计算机。它可以用来窃取用户个人信息，甚至可以通过加壳的方式远程控制对方计算机，然后通过各种手段进行传播或者欺骗目标用户执行程序，以达到窃取密码等数据的目的。

在区块链领域，勒索木马和恶意挖矿木马一直是业界头疼的问题。据报道，随着比特币的暴涨，整个数字加密货币的价格回升，与币市密切相关的挖矿木马开始了新一轮的活跃。仅2019年上半年，平均每天新增6万个挖矿木马样本。通过分析发现，在快速持续的版本更新中，出现了一些新的挖矿木马家族，其功能设计越来越复杂，隐藏方式和攻击手段不断创新，与杀毒厂商的技术对抗不断加剧。

供应链攻击

链

供应链攻击是一种非常可怕的攻击方式，很难完美避免。由于现在的软件工程，各种包/模块的依赖关系非常频繁和常见，开发者很难一一检查，默认过于信任市面上流通的包管理器，这就导致供应链攻击几乎成为必打的攻击之一。这种攻击之所以被称为供应链攻击，就是为了说明这种攻击是一种依赖关系，是一个链条，任何一个环节被感染，都会导致链条之后的所有环节都出现问题。

供应链攻击形式多样，可能发生在任何阶段。2018 年 11 月，NPM Inc. 的子公司 Copay 遭受供应链攻击，攻击者的攻击行为隐匿了两个月之久。攻击者通过污染（NPM 包）并在后门为 Copay 留下相关变量值，对 Copay 发起针对性攻击，以窃取用户私钥信息。2019 年 6 月 4 日，NPM Inc 安全团队刚刚联手成功挫败了一次典型的供应链攻击，保护了超过 1300 万美元的数字加密货币资产。攻击者将恶意包放入 Agama 的构建链中，并通过此方法窃取钱包私钥以及钱包应用程序中使用的其他登录密码。

供应链攻击难以防范，代价不菲。慢雾安全团队建议所有数字加密货币相关项目（如交易所、钱包、DApp 等）应强制安排至少一名核心技术人员全面审查所有第三方模块，查看是否存在可疑代码。也可以通过抓包的方式检查是否有可疑请求。