EOS:黑客：沒有內疚，這是“倒霉鬼”應得的

丟幣一直是加密世界中老生常談的話題，無論是個人用戶還是交易所都曾因為數字資產被盜而麻煩上身。

作為罪魁禍首的黑客，早已成為個人用戶的眼中釘、交易所的肉中刺。他們總是與加密貨幣形影不離，即使行情再不好，也總能撈到油水。令人不可思議的是，這次撈油水的還出來大放厥詞。

01

近日，一位名為“Daniel”的黑客向一家加密媒體承認，他利用“SIM卡交換詐騙”繞過雙重身份驗證盜竊了總共價值50萬美元的加密貨幣。

1.黑客給電信公司打電話，哭訴自己的SIM卡丟失了；

3.通過攔截雙重身份驗證文本或竊取存儲在電子郵件賬戶中的密碼。

據Micky.com報道，使用這種方法，每年都有數千萬美元的加密資產被盜。盡管電信供應商聲稱他們有標準的協議來防止這種行為，但Daniel透露，總有辦法說服他們的客戶服務人員。

加州大學向黑客支付百萬美元加密贖金:加州大學舊金山醫學院向使用勒索軟件對其進行攻擊的黑客支付了114萬美元的加密貨幣贖金。此前勒索軟件團伙NetWalker發起的攻擊影響了“醫學院有限數量的服務器”。盡管大學的專家將這些區域與內部網絡隔離，但黑客仍部署了勒索軟件。（Cointelegraph）[2020/6/30]

他說：“例如，你打電話假裝在瑞典電信公司Tele2工作，請他們幫你轉接一個號碼。”。一旦號碼被重定向，他就會使用Gmail或Outlook中的“忘記密碼”選項來獲取賬戶憑據。

Daniel承認，他沒有任何罪惡感，因為他從來沒有見過那些被他稱為“倒霉鬼”的受害者，事實上，他還把責任歸咎于“倒霉鬼”沒有使用更好的安全措施。

根據分析公司CipherTrace的一份報告，SIM卡交換已成為一種越來越流行的詐騙技術。

動態 | PeckShield安全播報: EOS競猜游戲EOSDice再遭黑客攻擊 損失4,633個EOS:據PeckShield態勢感知平臺數據顯示：今天上午11:19-11:34之間，黑客coinbasewa11向EOSDice游戲合約（eosbocai2222）發起95次攻擊，共計獲利4,633.4827個EOS。PeckShield安全人員跟蹤數據發現，該黑客賬戶coinbasewa11在攻擊得手后，先將資金轉移至另一賬號coinbasewall，隨后又將所得資金轉向Bitfinex 交易所賬號（bitfinexdep1)。根據當前EOS市場價格37元估算，黑客此次攻擊獲利超17萬元。值得注意的是，此次EOSDice遭攻擊原因同樣是由于隨機數問題被攻破。在經社區玩家提醒察覺到被攻擊后，游戲合約（eosbocai2222）于11:34向另一安全賬戶（eosbocaidevv）轉移700個EOS及時止損，同時EOSDice社區也發出公告暫停游戲。PeckShield安全人員表示，此次開源游戲EOSDice再次被攻擊，已經是EOS DApp本月第三次遭黑客攻擊。[2018/11/10]

02

動態 | 加密黑客攻擊已成嚴重威脅:據nulltx報道，加密黑客攻擊越來越成為一個嚴重的威脅，大約每月有超過10億用戶訪問加密網站；在移動設備中，訪問來源不明的Apple設備或“未知來源”的Android設備是加密黑客攻擊的主要目標；全球有近30萬臺路由器目前運行加密劫持惡意軟件。[2018/9/13]

公開資料顯示，今年年初，一個名叫JoelOritz的20歲美國加州男子成為第一個因劫持SIM卡而入獄的人。

本月早些時候，也有來自美國密歇根州的9個人被指控密謀通過劫持SIM卡竊取價值約240萬美元的數字貨幣。黑客團伙遍布美國和愛爾蘭，自稱為"TheCommunity"。

1.不使用手機號碼進行雙重身份認證，而是使用Google或Authy代替；

黑客盜幣使出的手段五花八門，除了SIM卡交換詐騙外，利用“假充值”漏洞的黑客也相當猖獗。

美國音樂會票務巨頭Ticketfly遭黑客攻擊勒索比特幣 暫時關閉所有系統:美國票務網站Ticketfly發布聲明稱，遭受了一名黑客的攻擊，為保護客戶、網站和相關數據，決定暫時將所有系統關閉。據Billboard，黑客稱自己是IsHaKdZ，用Guy Fawkes的照片取代了Ticketfly的網站，聲稱可以訪問Ticketfly的后臺數據庫。而Ticketfly與黑客進行了電子郵件交談，黑客要求提供一個比特幣來交換Ticketfly漏洞的詳細信息。[2018/6/2]

03

5月2日，臺灣交易所BitoPro的XRP遭遇攻擊，導致價格出現崩盤現象，損失約700萬個XRP。據慢霧安全團隊的溯源分析，這起攻擊的本質原是BitoPro對接XRP時，充值校驗不嚴謹，出現假充值漏洞。

前幾日，降維安全實驗室也發消息稱，關注到不少項目方/交易所在確認客戶交易時，只檢測了是否存在交易哈希(txhash)，并未檢測交易狀態(txstatus)。這樣容易遭受“假充值(FakeCharge)”攻擊。惡意用戶只需要發起延遲交易，并在隨后的實際延遲交易中造成硬失敗(hard_fail)，就可以不使用任何EOS，完成充值/押注等操作。

業內人士表示，“假充值”本質其實就是一種“空手套白狼”的行為，黑客利用交易所充值漏洞把錢包中并不存在的加密貨幣存入交易所賬號，再通過交易套現或者套成其它幣種并將其轉走。部分交易所可能存在僅根據交易回執狀態和鏈上確認次數對交易結果作判斷，忽略了對賬戶實際狀態的檢查。

但事實上，這里的交易回執狀態顯示成功僅僅表明上鏈成功，并不代表完成了實際轉賬，如果交易所據此承認該筆轉賬就會產生虛假轉賬問題。除此之外，還有些交易所的充值校驗代碼并不嚴謹，黑客只需在客戶端代碼上稍動手腳就可以使無效交易變得有效。

據加密貨幣數據公司Chainalysis的研究資料顯示，從2009年誕生到今年3月初，比特幣已經有287-379萬枚永久丟失，丟失的數量占到比特幣總量的17%-23%，價值超過150億美元。

而截至目前，全球數字貨幣交易所因安全問題損失金額已超29億美金，假充值攻擊作為一種頻現的攻擊方式，可以讓攻擊者輕易獲取目標交易所資產，造成巨額損失。

04

資產安全一直是數字世界的重中之重，而黑客卻成了安全的克星。但是，正如世界上的人千差萬別一樣，黑客也極富個人特色。

五一假期的最后一天，程序員的大本營被黑客攻擊了。黑客放言“不交比特幣贖金，就公開用戶私有代碼”，并給了十天限期。受到攻擊的不僅僅是GitHub的私有庫，其他代碼托管網站GitLab、Bitbucket也同樣受到了攻擊。

這是司空見慣的勒索事件。慢霧科技創始人余弦表示，GitHub成為供應鏈攻擊的重災區，開發者活躍的地方，不僅存在后門倉庫，還可能因為自己賬號被黑，進而導致自己的倉庫被偷偷植入后門。在區塊鏈領域，歷史上已經有幾起被披露的供應鏈攻擊事件，現在、未來還會有，開發者應該安全加固好自己的賬號，包括：密碼、雙因素、私鑰等，雖然這是個很簡單的事，但總有人就是懶或無知或缺乏敬畏。

2014年8月15日，黑客從比特兒盜走了5000萬個NXT幣，價值約為1000萬人民幣。原因是比特兒平臺將所謂的冷錢包私鑰放在了服務器上，使得NXT并沒有實現冷存儲，于是獲得錢包私鑰的黑客將幣取走。

有意思的是，當時平臺和黑客談判，愿意支付110個比特幣作為贖金以贖回丟失的平臺幣，但最終結果是黑客拿走了比特幣，也未歸還NXT。比特兒也因為這個事件成為當時圈內的大笑話。

2014年12月，白帽黑客Johoe從某錢包里“盜取”了300枚BTC。原因是在錢包軟件升級過程中產生了技術問題，導致臨時性安全漏洞出現，這個安全漏洞僅僅存在了2個多小時，但還是給了Joheo機會。有趣的是，事后，Johoe如數歸還了盜取的比特幣。

今年3月份，日本媒體宣布，Monacoin被盜案終于水落石出，這名盜取了1500萬日元的黑客是個“愛玩”的未成年。當警察問他盜幣原因時，他回答說：“我發現了別人不知道的作弊漏洞，就想當個電子游戲玩一玩。”

然而，“利”字邊上一把刀，有道是：君子愛財，取之有道。

Tags：EOS比特幣ICKKETEOS Se7ens比特幣最直白的解釋MyBricksrattlesnaketoken

比特幣交易