慢霧首席信息安全官：上周的Okta被攻擊事件或是一起通過其內部人員的攻擊案例

金色財經報道，據慢霧首席信息安全官23pds在社交媒體上發文表示，上周開始Okta發布提醒，它的客戶支持系統漏洞將客戶數據暴露給身份不明的攻擊者，加密貨幣平臺大量使用此供應商。

盡管Okta沒有披露被攻擊細節，但根據經驗來看，這應該是一起通過社會工程學搞定Okta相關內部人員的攻擊案例。攻擊者獲得權限后，能夠查看某些Okta客戶上傳的文件。因為Okta支持案例管理系統與生產Okta服務是分開的，所以其他服務目前沒有受到影響。但是客戶支持系統還包含敏感數據，包括cookie和會話令牌，攻擊者者可以使用這些數據冒充有效用戶。

雖然Okta沒有透露襲擊的規模，但是目前看BeyondTrust和Cloudflare、1PassWord等知名公司都確認他們成為最新支持系統攻擊目標受影響的客戶。Cloudflare也發文確認了此次攻擊。

目前大量知名加密貨幣等領域公司也使用此服務，請時刻提高警惕。

其它快訊：

慢霧：過去一周Web3因安全事件損失約265萬美元:7月17日消息，慢霧發推稱，2023年7月10日至7月16日期間，Web3發生5起安全事件，總損失為265.5萬美元，包括Arcadia Finance、Rodeo Finance、LibertiVault、Platypus、Klever。[2023/7/17 10:59:08]

金色相對論 | 慢霧科技合伙人：需要結合用戶自身對區塊鏈的熟悉水平來選取保護措施:在今日舉行的金色相對論中，針對“暴跌行情對區塊鏈安全產生了怎樣的影響”的問題，慢霧科技合伙人Keywolf表示，我覺得需要結合用戶自身對區塊鏈的熟悉水平，如果是剛接觸區塊鏈不久的、持幣量不大的用戶，建議資產托管在全球知名的交易所，開啟各項二次認證、登錄保護措施。

如果是對區塊鏈有一定的認知，對去中心化錢包有相應的了解，可以選擇國際知名的去中心化錢包，把幣放在里面，同時離線備份好助記詞、私鑰。第三種是資金量大的，對資金安全要求高的，可以選擇國際知名的硬件錢包，或者專業的資產托管平臺。[2020/4/7]

分析 | 慢霧發布TronBank “假幣攻擊”手法技術分析:TRC10 是 TRON 區塊鏈本身支持的技術代幣標準，沒有 TRON 虛擬機（TVM）。TRC10 提供了 2 個新參數：tokenValue、tokenId，msg.tokenvalue 表示當前 msg 調用中的標記值，默認值為 0。 msg.tokenid 表示當前 msg 調用中的標記 id，默認值為 0。tokenId 也是 Odyssey_v3.2 中的新功能。它可以在帳戶中名為 assetV2 的新地圖字段中找到。 使用 GetAccount（Account）獲取 tokenId 及其值。 TokenId 由系統從數字 1_000_001 開始設置。 創建新的 TRC10 代幣時，數字加 1 并設置此代幣的 ID。

TronBank 合約在 invest 函數內沒有判斷 msg.tokenid 導致任意的代幣(假幣)轉入，合約都以為是真幣 BTT。然后攻擊者再調用 withdraw 從合約中提取真幣 BTT。[2019/4/11]