比特幣:知道創宇安全顧問張亮：交易所安全大起底

文章來源|100BLOCK文章作者?|?張阿梅

張亮，擁有多年信息安全領域從業經驗，專注網絡安全、互聯網安全、云安全、區塊鏈安全領域，深挖各行業的安全場景，致力于提供最優的解決方案幫助用戶解決嚴峻的安全隱患。曾為國家開發投資集團有限公司、中國科協、教育部、文化部、北京比特大陸科技有限公司、北京火幣天下網絡技術有限公司等各行業客戶提供安全解決方案，具備豐富的項目實戰經驗。

問題一：開門見山，請問張總交易所常見的安全風險都有哪些？

張亮：第一類風險為可用性風險。攻擊者通過DDoS攻擊、CC攻擊、跨站腳本攻擊等方式，降低數字貨幣交易平臺的可用性，使平臺在一定時間內無法向用戶提供數字貨幣交易服務，從而影響數字貨幣交易平臺的正常運營。

其次為黑客入侵風險：攻擊者通過漏洞利用、端口掃描等手段，探測平臺安全隱患，尋找入侵機會，竊取賬戶信息、數字貨幣等，直接造成用戶利益受損。

智能合約風險：智能合約一經發布，所有人可見，并且無法修改，所以已發布的智能合約一旦發現了重大安全漏洞，將嚴重影響整個項目，甚至導致項目失敗。

Steve Hanke：我們知道比特幣的價格，但不知道它的價值:金色財經報道，里根政府時期的前經濟顧問Steve Hanke在接受采訪時談到加密貨幣獲取價值的難度，他表示，從理論角度來看，最終會得到一個有價格的比特幣，這是客觀的，我們知道它是什么，但我們不知道它的基本價值，我猜它可能為零。”這位經濟學教授質疑，在決定比特幣與本國貨幣（例如美元 的匯率時，如何推導出比特幣的價值，并補充說，沒有匯率模型可以真正合理化比特幣的匯率。比特幣/美元匯率。

當使用另一個基本模型來推導貨幣價值時，這是類似的，利率平價。Hanke 表示，沒有辦法合理化比特幣和可識別的全球貨幣之間的利率平價，用于評估匯率的兩種基本模型在比特幣領域根本沒有任何意義。（雅虎財經）[2021/12/26 8:04:29]

薅羊毛風險：在推廣階段攻擊者及黑產通過「貓池」、「接碼平臺」批量的注冊賬號，并利用這些賬號在應用平臺或項目方的各個渠道中「搶糖果」使應用平臺及項目方用于推廣獲客的資金「打水漂」。智能合約的安全漏洞，一旦可以超發，大金額流通也會蒸發，這個時候需要及時的鎖倉、停止交易，并通過代幣兌換的方式上線新合約，對已發的token進行替換，止損。

小蜜蜂Bee智能合約已通過知道創宇安全審計:據官網消息，知道創宇近日已完成小蜜蜂Bee智能合約項目的安全審計服務。

據介紹，小蜜蜂Bee是基于波場底層打造的第二代DeFi協議。旨在改善上一代DeFi協議在交易速度、成本等方面，面臨的一些固有挑戰，突破較大規模 DeFi 應用的瓶頸。

小蜜蜂Bee將于2020年10月15日晚20:00開啟創世挖礦，目前小蜜蜂Bee已上線bitkeep錢包defi專欄推薦位，并已在Justswap開啟流通。小蜜蜂Bee無ICO、零預挖且零私募，社區高度自治。

?合約地址：TNUXHrnHFJ89cgT8kCLmxYCVj3PeEqyJ4C[2020/10/13]

釣魚網站安全風險：惡意黑客通過釣魚網站、釣魚郵件、密碼暴力破解等方式嘗試獲取用戶的賬號和密碼，并通過收集到的賬號密碼盜取用戶在應用平臺中的數字貨幣或通過短時間用高價值的數字貨幣買入低價值的數字貨幣，利用數字貨幣交易平臺的價格差甚至數字貨幣期貨套現，非法獲利。而普通用戶普遍難以意識到釣魚網站、釣魚郵件帶來的安全威脅，一旦訪問到釣魚網站受騙，往往會在輿論上對正常的應用平臺進行譴責，對應用平臺的良好信譽帶來巨大的損失。

動態 | 更多人想通過谷歌知道如何購買XRP:據dailyhodl報道，在谷歌2018年最熱門\"How to”搜索中，“How to Buy Ripple”（如何購買XRP）排名第四，“How to Buy Bitcoin”（如何購買BTC）排名第八。[2018/12/14]

內網安全風險：由于區塊鏈行業的快速發展，項目方均在同時間賽跑，務求用最短的時間讓公鏈、平臺、項目上線運營，從而忽視了員工信息安全意識培養及內部辦公環境中存在的安全隱患。

根據知道創宇威脅及敏感信息泄漏監測中心的觀察和統計，在GitHub、GitLab、CSDN等國際知名的開發者網站及平臺上，大量項目方的核心源碼及賬戶名和密碼存在敏感信息泄漏的情況，攻擊者可以利用這些賬號密碼對辦公環境進行內網滲透。在安全防護較薄弱的辦公設備及服務器上面部署惡意代碼程序，并潛伏，等待時機發起「致命一擊」。

問題二：那針對以上安全風險，交易所可以采取哪些措施進行有效應對？

張亮：首先針對可用性風險，交易所可以使用云抗D服務進行應對，有效防御DDos攻擊、CC攻擊。針對黑客入侵，可以采取主動漏洞挖掘和web應用層攻擊防護的方式進行防御。云WAF可以防御包括SQL注入、XSS跨站攻擊、CRSF跨站請求偽造、Webshell文件上傳、惡意采集及利于Web漏洞進行的各類攻擊，有效防御黑客入侵。

SEC發布：關于ICO你需要知道的5件事:美國證券交易委員會（SEC）官網ICO頁面發布了關于ICO需要知道的5件事：1.若ICO屬于發行證券，需遵循聯邦證券法并接受SEC管轄；2.證券類ICO最可能需要在SEC注冊，或者享受豁免注冊；3.ICO中所售代幣可以有各種名稱，但這不會改變其證券屬性；4.ICO有可能產生欺詐交易或黑客攻擊等重大風險，且事后對受害者幾乎沒有索賠權；5.投資前要多多詢問相關信息，獲得明確答案。[2018/3/30]

采用第三方安全公司的滲透測試服務可以先于黑客找到自身存在的漏洞，及時整改加固，增強自身安全性。智能合約問題同樣可以采購第三方安全公司的智能合約審計服務，對智能合約源碼中的隱私泄漏、交易溢出與異常、代幣轉入轉出風險、合約故障、拒絕服務等問題進行深度源碼審計，在項目上線前盡可能多的暴露和解決問題，確保項目順利執行。

針對羊毛黨可以采購反欺詐服務，通過風控模型能夠準確識別羊毛號、黑產小號等，降低黑產通過該種手段造成的刷糖果幣、搶優惠、騙獎勵的行為，使交易所和項目真正達到宣傳、推廣的效果。

針對內網安全問題在可以在辦公環境內部署多個即插即用的「誘騙終端」，部署到不同的業務網絡中，終端之間相互通信，達到高度偽裝。利用「敏感信息」誘導黑客攻擊，記錄攻擊過程，并通過微信、郵件等方式發出預警。

美國出現一種新型欺詐手段“知道你外遇的事實，給我寄比特幣”:根據24號（當地時間）CNBC的報道，在美國境內美國男性受到外遇威脅，并要求比特幣付款的新型詐騙手段。調查顯示這種欺詐造成的損失數額在全國范圍內是巨大的。[2018/1/25]

群友哈迪斯：不通過安全審計，通過代幣激勵內測邀請安全人士共同反饋問題，這種手段有效嗎？

張亮：激勵的尺度大小直接影響了參與測試的人員技術水平，進而會影響測試質量。

問題三：剛剛看您提到云防火墻，交易所在選擇云服務廠家時，應該注重哪些點？

張亮不僅僅是云WAF，還有云抗D，在選擇廠商時我建議關注以下幾點：首先服務商要有交易所行業案例；其次，盡量選擇知名度高、市場占有率高、產品和服務相對成熟的廠商。針對抗DDos攻擊，要選擇帶寬儲備充足、抗CC攻擊能力突出的服務商，最后要選擇注重服務的廠商，應急響應一定要及時。出現攻擊及時對接，不走工單。

問題四：交易所滲透測試的流程是什么樣的？測試內容都有哪些？

張亮：知道創宇在做滲透測試的時候首先會收集交易所的信息，包括域名，交易所業務情況、后臺管理系統、錢包信息等；其次，開展滲透測試，對交易所網站、后臺管理系統、APP以及承載相關業務的基礎環境進行滲透測試；最后是編寫報告并交付。

從測試重點角度，交易所滲透測試一方面是檢測是否存在安全漏洞，更重要的是檢測交易所及錢包的越權操作、信息泄露的問題，避免出現用戶信息泄露、異常操作的問題。

**問題五：多次有人提到以太坊的智能合約問題，認為其靈活性帶來了巨大安全漏洞？您是怎么看待的？

張亮：以太坊智能合約的靈活性帶來了很大的安全問題，但不能否定它的可用性，就像微軟系統一樣，也存在很多的漏洞，我們不也一樣在使用么，每個系統都不是完美的，都會存在缺陷，所以我們在使用的時候就要盡量的通過技術手段規避這些漏洞，盡可能的做到安全，這也是為什么我們設計好智能合約以后，還要找專業的安全機構做審計的原因。

問題六：如果不做智能合約審計對交易所有什么影響？

張亮：如果智能合約未經審計直接上線交易所，智能合約中如果存在重大安全隱患，一旦爆發，將導致項目直接失敗，對交易所的聲譽造成巨大影響，由于項目失敗也必將對交易所中該代幣進行凍結、下線等一系列相關措施，影響交易所的正常運轉。

問題七：智能合約審計都涵蓋了哪些內容？整個審計周期大概是多久？

張亮：知道創宇的智能合約審計服務包括了重入漏洞、訪問控制、整數溢出、未檢查返回值調用、拒絕服務、錯誤使用隨機數、事物順序依賴性、時間戳依賴、短地址攻擊等內容。審計周期在1到3天，如果緊急可以做加急處理。

群友哈迪斯：張總這邊流程完善，經驗豐富，我比較好奇之前有成功預防過什么典例型漏洞？怎么快速解決的？

張亮：我們的一些智能合約審計項目確實發現過一些問題，在報告中會給出我們的整改建議，協助進行整改。

問題八：用戶合約審計只想針對整數溢出問題進行審計，這樣審計行不行，對價格有沒有影響？

張亮：智能合約審計，不管做哪個檢查，都是要把所有合約代碼審一遍，所以僅檢查一項，和檢查所有項，價格幾乎一樣。知道創宇要出智能合約審計報告就需要針對每一項都進行檢測，也是對上幣方負責。

問題九：已經發布的智能合約可以做審計嗎？

張亮：智能合約具有不可逆的特性，一旦上線不易修改，上線后的智能合約可以通過審計服務，檢測是否存在安全隱患，如果存在，需要及時進行下線或者應急處置。已經發布的智能合約可以做審計，現在很多大的交易所都在對之前上幣沒有做過審計的上幣項目做復審。

**問題十：我們都知道在線錢包被盜事件很多，那么在線錢包怎么保證安全？

張亮：在線錢包基本都是通過網頁的形式來進行訪問，主要威脅有跨站腳本攻擊，賬號被暴力破解和利用，以及交易記錄和余額信息不被篡改；這些問題是可以用知道創宇的Web應用級防火墻做安全防護，通過滲透測試做主動漏洞挖掘。主動挖掘漏洞和被動防御相結合，防護效果更好。

問題十一：如果錢包地址暴露在公網，有什么風險？

張亮：錢包地址暴露在公網后，所有人均可以通過查詢searchain.io，就可以知道錢包內有多少token，價值多少錢，歷史轉賬信息，通過哪個交易所開過戶等用戶隱私信息。

來源鏈接：mp.weixin.qq.com

本文來源于非小號媒體平臺：

鏈聞看天下

現已在非小號資訊平臺發布1篇作品，

非小號開放平臺歡迎幣圈作者入駐

入駐指南：

/apply_guide/

本文網址：

/news/3626961.html

免責聲明：

1.資訊內容不構成投資建議，投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有，僅代表作者本人觀點，不代表非小號的觀點或立場

上一篇：

黑客大軍「撞庫」攻擊交易所，是誰泄露了用戶數據？

下一篇：

以太坊技術|Solidity函數修改器以及異常處理

Tags：比特幣數字貨幣BEEDEF比特幣匯率最高的時候ckt幣數字貨幣Bees GamePeakDeFi

以太坊最新價格