編者按:LUNA、3AC、FTX此前的加密巨人都相繼倒下,與之相關的參與各方都損失慘重。無數案例都在告訴我們:Web3存在黑暗森林,始終有人會作惡。此時的我們,等不到監管的明確,更不能指望陌生人的善意,唯一可行的辦法是提升自身認知,進行自救。本文為舊文重發,是慢霧創始人余弦編撰的《區塊鏈黑暗森林自救手冊》導讀部分。
前言
區塊鏈是個偉大的發明,它帶來了某些生產關系的變革,讓「信任」這種寶貴的東西得以部分解決。但,現實是殘酷的,人們對區塊鏈的理解會存在許多誤區。這些誤區導致了壞人輕易鉆了空子,頻繁將黑手伸進了人們的錢包,造成了大量的資金損失。這早已是黑暗森林。
基于此,慢霧科技創始人余弦傾力輸出——區塊鏈黑暗森林自救手冊。
本手冊大概3萬7千字,由于篇幅限制,這里僅羅列手冊中的關鍵目錄結構,也算是一種導讀。完整內容可見:
https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook
我們選擇GitHub平臺作為本手冊的首要發布位置是因為:方便協同及看到歷史更新記錄。你可以Watch、Fork及Star,當然我們更希望你能參與貢獻。
好,導讀開始...
引子
如果你持有加密貨幣或對這個世界有興趣,未來可能會持有加密貨幣,那么這本手冊值得你反復閱讀并謹慎實踐。本手冊的閱讀需要一定的知識背景,希望初學者不必恐懼這些知識壁壘,因為其中大量是可以“玩”出來的。
慢霧:跨鏈互操作協議Poly Network遭受攻擊并非由于網傳的keeper私鑰泄漏:對于跨鏈互操作協議Poly Network遭受攻擊事件,慢霧安全團隊分析指出:本次攻擊主要在于EthCrossChainData合約的keeper可由EthCrossChainManager合約進行修改,而EthCrossChainManager合約的verifyHeaderAndExecuteTx函數又可以通過_executeCrossChainTx函數執行用戶傳入的數據。因此攻擊者通過此函數傳入精心構造的數據修改了EthCrossChainData合約的keeper為攻擊者指定的地址,并非網傳的是由于keeper私鑰泄漏導致這一事件的發生。[2021/8/11 1:47:48]
在區塊鏈黑暗森林世界里,首先牢記下面這兩大安全法則:
零信任:簡單來說就是保持懷疑,而且是始終保持懷疑。
持續驗證:你要相信,你就必須有能力去驗證你懷疑的點,并把這種能力養成習慣。
關鍵內容
一、創建錢包
Download
1.找到正確的官網
a.Google
b.行業知名收錄,如CoinMarketCap
動態 | 慢霧:Electrum“更新釣魚”盜幣攻擊補充預警:Electrum 是全球知名的比特幣輕錢包,支持多簽,歷史悠久,具有非常廣泛的用戶群體,許多用戶喜歡用 Electrum 做比特幣甚至 USDT(Omni) 的冷錢包或多簽錢包。基于這種使用場景,Electrum 在用戶電腦上使用頻率會比較低。Electrum 當前最新版本是 3.3.8,而已知的 3.3.4 之前的版本都存在“消息缺陷”,這個缺陷允許攻擊者通過惡意的 ElectrumX 服務器發送“更新提示”。這個“更新提示”對于用戶來說非常具有迷惑性,如果按提示下載所謂的新版本 Electrum,就可能中招。據用戶反饋,因為這種攻擊,被盜的比特幣在四位數以上。本次捕獲的盜幣攻擊不是盜取私鑰(一般來說 Electrum 的私鑰都是雙因素加密存儲的),而是在用戶發起轉賬時,替換了轉賬目標地址。在此我們提醒用戶,轉賬時,需要特別注意目標地址是否被替換,這是近期非常流行的盜幣方式。并建議用戶使用 Ledger 等硬件錢包,如果搭配 Electrum,雖然私鑰不會有什么安全問題,但同樣需要警惕目標地址被替換的情況。[2020/1/19]
c.多問一些比較信任的人
2.下載安裝應用
a.PC錢包:建議做下是否篡改的校驗工作
b.瀏覽器擴展錢包:注意目標擴展下載頁面里的用戶數及評分情況
c.移動端錢包:判斷方式類似擴展錢包
d.硬件錢包:從官網源頭的引導下購買,留意是否存在被異動手腳的情況
動態 | 慢霧提醒:檢測到 Upbit 交易所頻繁出現代幣轉賬情況:據慢霧情報消息,今日下午 12 點 06 分,巨鯨警報檢測到 Upbit 交易所頻繁出現代幣轉賬情況,其中包含:342,000 個 ETH 從 Upbit 錢包轉至未知錢包地址,11 億個TRX、 863 萬個 EOS、872 萬個 XLM 等加密貨幣從 Upbit 錢包轉至其他錢包地址,總計價值超 1 億美元!
隨后 Upbit 發出服務器檢查公告。
慢霧提醒廣大交易所、錢包以及個人注意資產安全、市場波動,注意避險![2019/11/27]
e.網頁錢包:不建議使用這種在線的錢包
MnemonicPhrase
創建錢包時,助記詞的出現是非常敏感的,請留意你身邊沒有人、攝像頭等一切可以導致偷窺發生的情況。同時留意下助記詞是不是足夠隨機出現
Keyless
1.Keyless兩大場景
a.Custody,即托管方式。比如中心化交易所、錢包,用戶只需注冊賬號,并不擁有私鑰,安全完全依托于這些中心化平臺
b.Non-Custodial,即非托管方式。用戶唯一掌握類似私鑰的權力,但卻不是直接的加密貨幣私鑰
2.MPC為主的Keyless方案的優缺點
二、備份錢包
助記詞/私鑰類型
1.明文:12個英文單詞為主
2.帶密碼:助記詞帶上密碼后會得到不一樣的種子,這個種子就是之后拿來派生出一系列私鑰、公鑰及對應地址
分析 | 慢霧科技:錢包被注入惡意代碼 可能是網站管理員沒有維護好代碼權限:針對“網頁加密貨幣錢包Safuwallet被黑與幣安服務器出現問題是否存在關聯”一事,慢霧科技在接受金色財經采訪時分析指出:“錢包被注入惡意代碼,有可能是網站的管理員沒有維護好代碼的權限。導致網頁代碼被攻擊者加入了惡意代碼。惡意代碼會竊取助記詞、私鑰等等的東西發送到攻擊者自己的服務器上面,就像一個后門一樣。類似的事件,以前也發生過不少,主要還是錢包的問題,從用戶角度來看, 盡量不要用這種網頁錢包。”[2019/10/12]
3.多簽:可以理解為目標資金需要多個人簽名授權才可以使用,多簽很靈活,可以設置審批策略
4.Shamir'sSecretSharing:Shamir秘密共享方案,作用就是將種子分割為多個分片,恢復錢包時,需要使用指定數量的分片才能恢復
Encryption
1.多處備份
a.Cloud:Google/Apple/微軟,結合GPG/1Password等
b.Paper:將助記詞抄寫在紙卡片上
c.Device:電腦/iPad/iPhone/移動硬盤/U盤等
d.Brain:注意腦記風險
2.加密
a.一定要做到定期不定期地驗證
b.采用部分驗證也可以
c.注意驗證過程的機密性及安全性
現場 | 慢霧安全負責人:好的公鏈需要滿足安全穩定運行最基本的要求:金色財經11月9日現場報道,今日,由imondo和鏈人聯合主辦的“DAPP開發者大會”在北京舉行。慢霧安全負責人海賊王做了以“DApp安全現狀深度分析”為主題的演講。他表示,現在的公鏈如以太坊、EOS,都有自己的優勢,應保持開放的心態去看待公鏈。好的公鏈應該滿足一些基本要求,即公鏈需穩定運行,官方錢包要安全可靠,區塊鏈瀏覽器要安全可用。[2018/11/9]
三、使用錢包
AML
1.鏈上凍結
2.選擇口碑好的平臺、個人等作為你的交易對手
ColdWallet
1.冷錢包使用方法
a.接收加密貨幣:配合觀察錢包,如imToken、TrustWallet等
b.發送加密貨幣:QRCode/USB/Bluetooth
2.冷錢包風險點
a.所見即所簽這種用戶交互安全機制缺失
b.用戶的有關知識背景缺失
HotWallet
1.與DApp交互
2.惡意代碼或后門作惡方式
a.錢包運行時,惡意代碼將相關助記詞直接打包上傳到黑客控制的服務端里
b.錢包運行時,當用戶發起轉賬,在錢包后臺偷偷替換目標地址及金額等信息,此時用戶很難察覺
c.破壞助記詞生成有關的隨機數熵值,讓這些助記詞比較容易被破解
DeFi安全到底是什么
1.智能合約安全
a.權限過大:增加時間鎖/將admin多簽等
b.逐步學會閱讀安全審計報告
2.區塊鏈基礎安全:共識賬本安全/虛擬機安全等
3.前端安全
a.內部作惡:前端頁面里的目標智能合約地址被替換/植入授權釣魚腳本
b.第三方作惡:供應鏈作惡/前端頁面引入的第三方遠程JavaScript文件作惡或被黑
4.通信安全
a.HTTPS安全
b.舉例:MyEtherWallet安全事件
c.安全解決方案:HSTS
5.人性安全:如項目方內部作惡
6.金融安全:幣價、年化收益等
7.合規安全
a.AML/KYC/制裁地區限制/證券風險有關的內容等
b.AOPP
NFT安全
1.Metadata安全
2.簽名安全
小心簽名/反常識簽名
1.所見即所簽
2.OpenSea數起知名NFT被盜事件
a.用戶在OpenSea授權了NFT
b.黑客釣魚拿到用戶的相關簽名
3.取消授權
a.TokenApprovals
b.Revoke.cash
c.APPROVED.zone
d.Rabby擴展錢包
4.反常識真實案例
一些高級攻擊方式
1.針對性釣魚
2.廣撒網釣魚
3.結合XSS、CSRF、ReverseProxy等技巧
四、傳統隱私保護
操作系統
1.重視系統安全更新,有安全更新就立即行動
2.不亂下程序
3.設置好磁盤加密保護
手機
1.重視系統的安全更新及下載
2.不要越獄、Root破解,除非你玩安全研究,否則沒必要
3.不要從非官方市場下載App
4.官方的云同步使用的前提:賬號安全方面你確信沒問題
網絡
1.網絡方面,盡量選擇安全的,比如不亂連陌生Wi-Fi
2.選擇口碑好的路由器、運營商,切勿貪圖小便宜,并祈禱路由器、運營商層面不會有高級作惡行為出現
瀏覽器
1.及時更新
2.擴展如無必要就不安裝
3.瀏覽器可以多個共存
4.使用隱私保護的知名擴展
密碼管理器
1.別忘記你的主密碼
2.確保你的郵箱安全
3.1Password/Bitwarden等
雙因素認證
GoogleAuthenticator/MicrosoftAuthenticator等
科學上網
科學上網、安全上網
郵箱
1.安全且知名:Gmail/Outlook/QQ郵箱等
2.隱私性:ProtonMail/Tutanota
SIM卡
1.SIM卡攻擊
2.防御建議
a.啟用知名的2FA工具
b.設置PIN碼
GPG
1.區分
a.PGP是PrettyGoodPrivacy的縮寫,是商用加密軟件,發布30多年了,現在在賽門鐵克麾下
b.OpenPGP是一種加密標準,衍生自PGP
c.GPG,全稱GnuPG,基于OpenPGP標準的開源加密軟件
隔離環境
1.具備零信任安全法則思維
2.良好的隔離習慣
3.隱私不是拿來保護的,隱私是拿來控制的
五、人性安全
Telegram
Discord
來自“官方”的釣魚
Web3隱私問題
六、區塊鏈作惡方式
盜幣、惡意挖礦、勒索病、暗網交易、木馬的C2中轉、洗錢、資金盤、等
SlowMistHacked區塊鏈被黑檔案庫
七、被盜了怎么辦
止損第一
保護好現場
分析原因
追蹤溯源
結案
八、誤區
CodeIsLaw
NotYourKeys,NotYourCoins
InBlockchainWeTrust
密碼學安全就是安全
被黑很丟人
立即更新
總結
當你閱讀完本手冊后,一定需要實踐起來、熟練起來、舉一反三。如果之后你有自己的發現或經驗,希望你也能貢獻出來。如果你覺得敏感,可以適當脫敏,匿名也行。其次,致謝安全與隱私有關的立法與執法在全球范圍內的成熟;各代當之無愧的密碼學家、工程師、正義黑客及一切參與創造讓這個世界更好的人們的努力,其中一位是中本聰。最后,感謝貢獻者們,這個列表會持續更新,有任何的想法,希望你聯系我們。
GenesisGlobalTrading臨時首席執行官DerarIslim周三在電話會議上告訴客戶,其貸款部門在FTX崩潰后暫時暫停贖回和新貸款發放.
1900/1/1 0:00:00編者按:僅僅幾天時間,FTX?創始人?SamBankman-Fried就從加密英雄變成了惡棍:估值百億美元的FTX限制用戶提幣,并在美國申請破產重組,SBF也辭去CEO一職.
1900/1/1 0:00:00原文來源:DeBoxInstitute在鏈上的生態其實有一個不可能的三角——去中心化,擴展性,經濟性,現階段SocialFi的存儲賽道也是有這三個維度.
1900/1/1 0:00:00FTX的危機,不僅讓客戶「陷入困境」,投資人也遭受重創,FTX最高估值為320億美元,累計融資達到18億美元,其中不乏國際頂尖風投機構,其中誰是主要的「冤大頭」?福布斯握有一份FTX股東名單.
1900/1/1 0:00:00在最近的FTX崩盤事件當中,整個幣圈都因為FTX的死亡螺旋和擠兌而震蕩。在關注FTX及其相關方的財務狀況的同時,部分律師正在關注FTX崩盤的法律影響.
1900/1/1 0:00:00"大部分項目方都解釋不清楚Web3是啥,就不要互相為難了",近日某知名加密投資人在朋友圈發表了對尋求投資的Web3項目方進行吐槽.
1900/1/1 0:00:00