以太坊價格 以太坊價格
Ctrl+D 以太坊價格
ads

ELE:慢霧余弦撰文:區塊鏈黑暗森林自救手冊

Author:

Time:1900/1/1 0:00:00

編者按:LUNA、3AC、FTX此前的加密巨人都相繼倒下,與之相關的參與各方都損失慘重。無數案例都在告訴我們:Web3存在黑暗森林,始終有人會作惡。此時的我們,等不到監管的明確,更不能指望陌生人的善意,唯一可行的辦法是提升自身認知,進行自救。本文為舊文重發,是慢霧創始人余弦編撰的《區塊鏈黑暗森林自救手冊》導讀部分。

前言

區塊鏈是個偉大的發明,它帶來了某些生產關系的變革,讓「信任」這種寶貴的東西得以部分解決。但,現實是殘酷的,人們對區塊鏈的理解會存在許多誤區。這些誤區導致了壞人輕易鉆了空子,頻繁將黑手伸進了人們的錢包,造成了大量的資金損失。這早已是黑暗森林。

基于此,慢霧科技創始人余弦傾力輸出——區塊鏈黑暗森林自救手冊。

本手冊大概3萬7千字,由于篇幅限制,這里僅羅列手冊中的關鍵目錄結構,也算是一種導讀。完整內容可見:

https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook

我們選擇GitHub平臺作為本手冊的首要發布位置是因為:方便協同及看到歷史更新記錄。你可以Watch、Fork及Star,當然我們更希望你能參與貢獻。

好,導讀開始...

引子

如果你持有加密貨幣或對這個世界有興趣,未來可能會持有加密貨幣,那么這本手冊值得你反復閱讀并謹慎實踐。本手冊的閱讀需要一定的知識背景,希望初學者不必恐懼這些知識壁壘,因為其中大量是可以“玩”出來的。

慢霧:跨鏈互操作協議Poly Network遭受攻擊并非由于網傳的keeper私鑰泄漏:對于跨鏈互操作協議Poly Network遭受攻擊事件,慢霧安全團隊分析指出:本次攻擊主要在于EthCrossChainData合約的keeper可由EthCrossChainManager合約進行修改,而EthCrossChainManager合約的verifyHeaderAndExecuteTx函數又可以通過_executeCrossChainTx函數執行用戶傳入的數據。因此攻擊者通過此函數傳入精心構造的數據修改了EthCrossChainData合約的keeper為攻擊者指定的地址,并非網傳的是由于keeper私鑰泄漏導致這一事件的發生。[2021/8/11 1:47:48]

在區塊鏈黑暗森林世界里,首先牢記下面這兩大安全法則:

零信任:簡單來說就是保持懷疑,而且是始終保持懷疑。

持續驗證:你要相信,你就必須有能力去驗證你懷疑的點,并把這種能力養成習慣。

關鍵內容

一、創建錢包

Download

1.找到正確的官網

a.Google

b.行業知名收錄,如CoinMarketCap

動態 | 慢霧:Electrum“更新釣魚”盜幣攻擊補充預警:Electrum 是全球知名的比特幣輕錢包,支持多簽,歷史悠久,具有非常廣泛的用戶群體,許多用戶喜歡用 Electrum 做比特幣甚至 USDT(Omni) 的冷錢包或多簽錢包。基于這種使用場景,Electrum 在用戶電腦上使用頻率會比較低。Electrum 當前最新版本是 3.3.8,而已知的 3.3.4 之前的版本都存在“消息缺陷”,這個缺陷允許攻擊者通過惡意的 ElectrumX 服務器發送“更新提示”。這個“更新提示”對于用戶來說非常具有迷惑性,如果按提示下載所謂的新版本 Electrum,就可能中招。據用戶反饋,因為這種攻擊,被盜的比特幣在四位數以上。本次捕獲的盜幣攻擊不是盜取私鑰(一般來說 Electrum 的私鑰都是雙因素加密存儲的),而是在用戶發起轉賬時,替換了轉賬目標地址。在此我們提醒用戶,轉賬時,需要特別注意目標地址是否被替換,這是近期非常流行的盜幣方式。并建議用戶使用 Ledger 等硬件錢包,如果搭配 Electrum,雖然私鑰不會有什么安全問題,但同樣需要警惕目標地址被替換的情況。[2020/1/19]

c.多問一些比較信任的人

2.下載安裝應用

a.PC錢包:建議做下是否篡改的校驗工作

b.瀏覽器擴展錢包:注意目標擴展下載頁面里的用戶數及評分情況

c.移動端錢包:判斷方式類似擴展錢包

d.硬件錢包:從官網源頭的引導下購買,留意是否存在被異動手腳的情況

動態 | 慢霧提醒:檢測到 Upbit 交易所頻繁出現代幣轉賬情況:據慢霧情報消息,今日下午 12 點 06 分,巨鯨警報檢測到 Upbit 交易所頻繁出現代幣轉賬情況,其中包含:342,000 個 ETH 從 Upbit 錢包轉至未知錢包地址,11 億個TRX、 863 萬個 EOS、872 萬個 XLM 等加密貨幣從 Upbit 錢包轉至其他錢包地址,總計價值超 1 億美元!

隨后 Upbit 發出服務器檢查公告。

慢霧提醒廣大交易所、錢包以及個人注意資產安全、市場波動,注意避險![2019/11/27]

e.網頁錢包:不建議使用這種在線的錢包

MnemonicPhrase

創建錢包時,助記詞的出現是非常敏感的,請留意你身邊沒有人、攝像頭等一切可以導致偷窺發生的情況。同時留意下助記詞是不是足夠隨機出現

Keyless

1.Keyless兩大場景

a.Custody,即托管方式。比如中心化交易所、錢包,用戶只需注冊賬號,并不擁有私鑰,安全完全依托于這些中心化平臺

b.Non-Custodial,即非托管方式。用戶唯一掌握類似私鑰的權力,但卻不是直接的加密貨幣私鑰

2.MPC為主的Keyless方案的優缺點

二、備份錢包

助記詞/私鑰類型

1.明文:12個英文單詞為主

2.帶密碼:助記詞帶上密碼后會得到不一樣的種子,這個種子就是之后拿來派生出一系列私鑰、公鑰及對應地址

分析 | 慢霧科技:錢包被注入惡意代碼 可能是網站管理員沒有維護好代碼權限:針對“網頁加密貨幣錢包Safuwallet被黑與幣安服務器出現問題是否存在關聯”一事,慢霧科技在接受金色財經采訪時分析指出:“錢包被注入惡意代碼,有可能是網站的管理員沒有維護好代碼的權限。導致網頁代碼被攻擊者加入了惡意代碼。惡意代碼會竊取助記詞、私鑰等等的東西發送到攻擊者自己的服務器上面,就像一個后門一樣。類似的事件,以前也發生過不少,主要還是錢包的問題,從用戶角度來看, 盡量不要用這種網頁錢包。”[2019/10/12]

3.多簽:可以理解為目標資金需要多個人簽名授權才可以使用,多簽很靈活,可以設置審批策略

4.Shamir'sSecretSharing:Shamir秘密共享方案,作用就是將種子分割為多個分片,恢復錢包時,需要使用指定數量的分片才能恢復

Encryption

1.多處備份

a.Cloud:Google/Apple/微軟,結合GPG/1Password等

b.Paper:將助記詞抄寫在紙卡片上

c.Device:電腦/iPad/iPhone/移動硬盤/U盤等

d.Brain:注意腦記風險

2.加密

a.一定要做到定期不定期地驗證

b.采用部分驗證也可以

c.注意驗證過程的機密性及安全性

現場 | 慢霧安全負責人:好的公鏈需要滿足安全穩定運行最基本的要求:金色財經11月9日現場報道,今日,由imondo和鏈人聯合主辦的“DAPP開發者大會”在北京舉行。慢霧安全負責人海賊王做了以“DApp安全現狀深度分析”為主題的演講。他表示,現在的公鏈如以太坊、EOS,都有自己的優勢,應保持開放的心態去看待公鏈。好的公鏈應該滿足一些基本要求,即公鏈需穩定運行,官方錢包要安全可靠,區塊鏈瀏覽器要安全可用。[2018/11/9]

三、使用錢包

AML

1.鏈上凍結

2.選擇口碑好的平臺、個人等作為你的交易對手

ColdWallet

1.冷錢包使用方法

a.接收加密貨幣:配合觀察錢包,如imToken、TrustWallet等

b.發送加密貨幣:QRCode/USB/Bluetooth

2.冷錢包風險點

a.所見即所簽這種用戶交互安全機制缺失

b.用戶的有關知識背景缺失

HotWallet

1.與DApp交互

2.惡意代碼或后門作惡方式

a.錢包運行時,惡意代碼將相關助記詞直接打包上傳到黑客控制的服務端里

b.錢包運行時,當用戶發起轉賬,在錢包后臺偷偷替換目標地址及金額等信息,此時用戶很難察覺

c.破壞助記詞生成有關的隨機數熵值,讓這些助記詞比較容易被破解

DeFi安全到底是什么

1.智能合約安全

a.權限過大:增加時間鎖/將admin多簽等

b.逐步學會閱讀安全審計報告

2.區塊鏈基礎安全:共識賬本安全/虛擬機安全等

3.前端安全

a.內部作惡:前端頁面里的目標智能合約地址被替換/植入授權釣魚腳本

b.第三方作惡:供應鏈作惡/前端頁面引入的第三方遠程JavaScript文件作惡或被黑

4.通信安全

a.HTTPS安全

b.舉例:MyEtherWallet安全事件

c.安全解決方案:HSTS

5.人性安全:如項目方內部作惡

6.金融安全:幣價、年化收益等

7.合規安全

a.AML/KYC/制裁地區限制/證券風險有關的內容等

b.AOPP

NFT安全

1.Metadata安全

2.簽名安全

小心簽名/反常識簽名

1.所見即所簽

2.OpenSea數起知名NFT被盜事件

a.用戶在OpenSea授權了NFT

b.黑客釣魚拿到用戶的相關簽名

3.取消授權

a.TokenApprovals

b.Revoke.cash

c.APPROVED.zone

d.Rabby擴展錢包

4.反常識真實案例

一些高級攻擊方式

1.針對性釣魚

2.廣撒網釣魚

3.結合XSS、CSRF、ReverseProxy等技巧

四、傳統隱私保護

操作系統

1.重視系統安全更新,有安全更新就立即行動

2.不亂下程序

3.設置好磁盤加密保護

手機

1.重視系統的安全更新及下載

2.不要越獄、Root破解,除非你玩安全研究,否則沒必要

3.不要從非官方市場下載App

4.官方的云同步使用的前提:賬號安全方面你確信沒問題

網絡

1.網絡方面,盡量選擇安全的,比如不亂連陌生Wi-Fi

2.選擇口碑好的路由器、運營商,切勿貪圖小便宜,并祈禱路由器、運營商層面不會有高級作惡行為出現

瀏覽器

1.及時更新

2.擴展如無必要就不安裝

3.瀏覽器可以多個共存

4.使用隱私保護的知名擴展

密碼管理器

1.別忘記你的主密碼

2.確保你的郵箱安全

3.1Password/Bitwarden等

雙因素認證

GoogleAuthenticator/MicrosoftAuthenticator等

科學上網

科學上網、安全上網

郵箱

1.安全且知名:Gmail/Outlook/QQ郵箱等

2.隱私性:ProtonMail/Tutanota

SIM卡

1.SIM卡攻擊

2.防御建議

a.啟用知名的2FA工具

b.設置PIN碼

GPG

1.區分

a.PGP是PrettyGoodPrivacy的縮寫,是商用加密軟件,發布30多年了,現在在賽門鐵克麾下

b.OpenPGP是一種加密標準,衍生自PGP

c.GPG,全稱GnuPG,基于OpenPGP標準的開源加密軟件

隔離環境

1.具備零信任安全法則思維

2.良好的隔離習慣

3.隱私不是拿來保護的,隱私是拿來控制的

五、人性安全

Telegram

Discord

來自“官方”的釣魚

Web3隱私問題

六、區塊鏈作惡方式

盜幣、惡意挖礦、勒索病、暗網交易、木馬的C2中轉、洗錢、資金盤、等

SlowMistHacked區塊鏈被黑檔案庫

七、被盜了怎么辦

止損第一

保護好現場

分析原因

追蹤溯源

結案

八、誤區

CodeIsLaw

NotYourKeys,NotYourCoins

InBlockchainWeTrust

密碼學安全就是安全

被黑很丟人

立即更新

總結

當你閱讀完本手冊后,一定需要實踐起來、熟練起來、舉一反三。如果之后你有自己的發現或經驗,希望你也能貢獻出來。如果你覺得敏感,可以適當脫敏,匿名也行。其次,致謝安全與隱私有關的立法與執法在全球范圍內的成熟;各代當之無愧的密碼學家、工程師、正義黑客及一切參與創造讓這個世界更好的人們的努力,其中一位是中本聰。最后,感謝貢獻者們,這個列表會持續更新,有任何的想法,希望你聯系我們。

Tags:TRUELEELECRUMTrueCNHLELEElectronic USDArbitrum

pepe最新價格
BTC:全球第一大加密貨幣借貸商 Genesis 為何走向崩潰?(更新中)

GenesisGlobalTrading臨時首席執行官DerarIslim周三在電話會議上告訴客戶,其貸款部門在FTX崩潰后暫時暫停贖回和新貸款發放.

1900/1/1 0:00:00
SBF:SBF小傳:從少年天才到一夜跌落神壇

編者按:僅僅幾天時間,FTX?創始人?SamBankman-Fried就從加密英雄變成了惡棍:估值百億美元的FTX限制用戶提幣,并在美國申請破產重組,SBF也辭去CEO一職.

1900/1/1 0:00:00
ALF:從存儲問題看SocialFi賽道

原文來源:DeBoxInstitute在鏈上的生態其實有一個不可能的三角——去中心化,擴展性,經濟性,現階段SocialFi的存儲賽道也是有這三個維度.

1900/1/1 0:00:00
COI:淡馬錫、Paradigm等頂級風投基金在FTX中損失了多少錢

FTX的危機,不僅讓客戶「陷入困境」,投資人也遭受重創,FTX最高估值為320億美元,累計融資達到18億美元,其中不乏國際頂尖風投機構,其中誰是主要的「冤大頭」?福布斯握有一份FTX股東名單.

1900/1/1 0:00:00
FTX:挪用用戶資金涉嫌違法 SBF可能被起訴

在最近的FTX崩盤事件當中,整個幣圈都因為FTX的死亡螺旋和擠兌而震蕩。在關注FTX及其相關方的財務狀況的同時,部分律師正在關注FTX崩盤的法律影響.

1900/1/1 0:00:00
WEB:下一代互聯網 到底是Web3還是元宇宙?

"大部分項目方都解釋不清楚Web3是啥,就不要互相為難了",近日某知名加密投資人在朋友圈發表了對尋求投資的Web3項目方進行吐槽.

1900/1/1 0:00:00
ads