编者按：今天凌晨1点，交易所币安遭到黑客攻击，损失7000个比特币，详情请点击《币安被盗7000个比特币》。本文来自成都链安科技安全团队，Odaily星球日报经授权转载。知名加密货币交易所币安受到黑客攻击，目前已经有7074.18个比特币被窃。根据币安首席执行官赵长鹏对外披露的信息，该交易所在5月7日发现了“大规模的安全漏洞”，该漏洞导致黑客能够访问用户应用程序接口密钥、双因素身份验证码、以及其他信息。按照安全通知中公布的一笔交易，黑客从币安交易所中取走了价值大约4100万美元的比特币。对此次攻击，Beosin成都链安科技安全团队进行了深度分析：交易详情如下，发生在575013块，总损失最高可达7074个BTC详细提币地址截至目前，币安热钱包被盗约7000枚BTC.现在币安的热钱包余额3,612.69114593个BTC,说明币安热钱包的私钥安全，经过团队分析，在05月08日01：17：18，通过API接口在同一时间发起提币操作。币安交易所的API申请后会生成APIkey和Secretkey，如下图：API接口有限定用户开放IP限制和开放提现功能。开放提现就是直接利用APIkey和Secretkey直接提现，不需要收集验证码、短信、谷歌验证码。如下图：API部分官方调用代码demo如下：我们初步分析认为是用户的APIkey和Secretkey信息泄露导致的此次攻击。如果用户没有限制ip并配置了开放提现功能，任意攻击者在获取了APIkey和Secretkey信息后便可以实现攻击。用户的信息泄露途径可能有：普通用户一般不会使用apikey，一般是高级用户用于代码中实现自动化交易，可能是用户源码泄露导致apiSecretkey泄露用户被钓鱼攻击，输入了APIkey和Secretkey被黑客截取。用户的APIkey和Secretkey保存的电脑被攻击窃取。币安交易所系统原因导致用户APIkey和Secretkey泄露，其中只有71个用户开放了提现功能，被盗币。被黑客盗取的7074枚BTC的主要20个地址如下：bc1qp6k6tux6g3gr3sxw94g9tx4l0cjtu2pt65r6xp555.997BTCbc1qqp8pwq277d30cy7fjpvhcvhgztvs7v0nudgul5463.9975BTCbc1qld27dqu6wrl4tmjdr8tl55qavmghwrr4ldh7qn473.9975BTCbc1q8m9h3atn4cqeqhu3ekswdqxchp3g7d4v3qv3wm567.997BTCbc1q7p6edvd4zvtya8uj366c23dan8pvlp503spucu468.9975BTCbc1ql0wlnu80l8kctjzkzlzd72sdjqwuvruvgepceq383.998BTCbc1q3ldtrr6xtpx8jam5gw68aaexz2wtluj0qullvr189.999BTCbc1qyv4zv0wjn299kx4yz6g7v6g6400wqgzcqgw9vx383.998BTCbc1q6fejm4r866tmt8ptf42juedv5gevlv2qt72agq371.998BTCbc1qvstwzsrfml43jrclsp68220l4lx5lw3kwf7dp0193.999BTCbc1qecs672j9dpvwr56zeldgf3swtlv3dad52wzuta463.9975BTCbc1qshkncv7tkpye7z0z4a3k9yw2e73whha9gjs88z97.9995BTCbc1qhlhx6lrnr0jf4zpvm788j7yeezau6s8q557p2z279.9985BTCbc1qesy52g7ndy652qudr2awuk57mcaxgmn9qsmpzk469.9975BTCbc1q9svj9wp68zftgejjgk6f96ukuyx8c5urkqsv69193.999BTCbc1qanrl8n3flz4jftkscljx2hwuc3h50f9ynp2nyn89.9995BTCbc1qtpdptcf4ngfkwq6dr36kqaeh2n5h00rx5unkgc670.9965BTCbc1qvr2jxlmvckap7cg2l6mdgh5fa8glkhe4s88sax377.998BTCbc1qhqap39mpkldjzvqdf3204p732krtnf56mm9aj3370.998BTC3KBsR6Ld255Tw5hNR4S6KaX5SXxvRF6jv31.29968018BTC
成都链安：hackerDao项目遭受价格操控攻击，获利资金已转至Tornado.cash:金色财经消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，hackerDao项目遭受价格操控攻击。成都链安安全团队第一时间进行分析，发现攻击者先从先闪电贷借出2500WBNB，拿出部分WBNB兑换出大量hackerDao，然后将这笔hackerDao发送WBNB/hackerDao；并调用该交易对合约的skim函数将多余代币领取至BUSD/hackerDao。由于hackerDao代币在转账时，如果转账接收地址是BUSD/hackerDao时，会同步减少发送者的代币余额以收取手续费，因此,WBNB/hackerDao交易对中的hackeDao数量被异常减少，从而影响该交易对的代币价格，使得攻击者最终利用WBNB/hackerDao兑换出WBNB时，获取额外的收益。目前攻击者实施了两次攻击，总计获利约200BNB，已经转至Tornado.cash 。[2022/5/24 3:38:37]
成都链安：WienerDogeToken遭遇闪电贷攻击事件分析:据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，WienerDogeToken遭受闪电贷攻击。成都链安安全团队对此事件进行了简要分析，分析结果如下：攻击者通过闪电贷借贷了2900个BNB，从WDOGE和BNB的交易对交换了5,974,259,851,654个WDOGE代币，然后将4,979,446,261,701个代币重新转入了交易对。这时攻击者再调用skim函数，将交易对中多余的WDOGE代币重新提取出来，由于代币的通缩性质，在交易对向攻击地址转账的过程中同时burn掉了199,177,850,468个代币。这时交易对的k值已经被破坏，攻击者利用剩下WDOGE代币将交易对内的2,978个BNB成功swap出来，并且将获利的78个BNB转到了获利地址。
这次攻击事件中，攻击者利用了代币的通缩性质，让交易对在skim的过程中burn掉了一部分交易对代币，破坏了k值的计算。成都链安安全团队建议项目上线前最好进行安全审计，通缩代币在与交易对的交互时尽量将交易对加入手续费例外。[2022/4/26 5:11:33]
成都链安：InuSaitama疑似遭遇套利攻击，损失约430个ETH:3月27日消息，据成都链安技术团队分析，InuSaitama疑似遭遇套利攻击，攻击者（0xAd0C834315Abfa7A800bBBB5d776A0B07b672614）在 Saitamask（0x00480b0abBd14F2d61Aa2E801d483132e917C18B）中通过swap交换出了几乎10倍价值的SAITAMA Token，之后再通过uniswap交换回ETH，将其转移到0x63493e679155c2f0aAd5Bf96d65725AD6427faC4，共获利约430个ETH。[2022/3/27 14:19:43]
OneSwap智能合约代码通过慢雾、成都链安、PeckShield安全审计:据海外媒体消息，OneSwap已9月6日顺利通过智能合约代码安全审计，此次审计工作由三家业内知名的安全公司慢雾科技，派盾PeckShield，成都链安完成。在审计过程中，三家独立的审计团队采取自身独特的策略对OneSwap智能合约代码进行全方位开展代码审计工作，以最大程度确保及时发现漏洞。
审计团队分别从攻击漏洞测试、合约复杂度分析、代码通用性、链上数据安全、代码逻辑等方面对OneSwap智能合约代码进行全方位的测试分析。OneSwap智能合约代码均符合三家安全公司的安全审核标准，审计中发现的问题目前都已解决或正在解决中。
OneSwap是一个基于智能合约的完全去中心化的交易协议，在CFMM模型的基础之上引入链上订单簿来改善AMM用户的交易体验。上币无需许可，可支持自动化做市、支持挂单挖矿、流动性挖矿和交易挖矿。据官方消息，Oneswap将在2020年9月7日正式上线并开启公测。[2020/9/7]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。