CertiK：Github用戶1400枚比特幣被盜事件分析_CTR

有天，你在支付寶操作轉賬時，彈窗提示你因版本過低而導致轉賬失敗。

如果彈窗內不僅僅提示你交易失敗，還附上支付寶更新鏈接，大部分人可能都會順手點擊鏈接進行更新。如果這個鏈接是個釣魚鏈接，直接獲取了你的轉賬權限，那么代表你賬戶內的錢也會被無情轉移。這次，就有一個用戶遭遇了類似的情況。

CertiK已完成對OKX BRC-20代幣合約安全審計:據官方消息，區塊鏈和智能合約安全領域機構CertiK宣布已完成對OKX的BRC-20代幣合約安全審計。此前報道，本月初CertiK因成功發現并報告SUI網絡內名為“倉鼠輪”的安全新型安全威脅，而被SUI授予50萬美元賞金。

這次和未來的審計將協助OKX啟動一系列的詳細操作，并旨在將這種新的代幣技術無縫整合到其平臺上。該交易平臺的路線圖包括支持申購，從而擴大其不同用戶群的投資機會。此外，該平臺將通過實現代幣和BTC NFT的購買、出售、轉讓和報價來增強其交易能力。

CertiK由耶魯大學和哥倫比亞大學的兩位教授創立，已保護超過4000億美元的數字資產免受損失。[2023/6/26 22:01:19]

區塊鏈人才招聘平臺Certif-ID獲得160萬歐元融資:金色財經報道，基于區塊鏈的國際技術人才平臺Certif-ID International GmbH完成160萬歐元的種子融資。在德國萊茵TüV集團的持續支持下，Certif-ID計劃利用這筆資金擴大其在亞洲和歐洲的活動，并進一步發展其技術平臺。

該公司的TalentSure產品線擁有來自32個國家的30多萬注冊用戶，提供16000個工作機會。該平臺使用區塊鏈技術，為候選人的申請文件帶來透明度和信任。[2023/5/2 14:38:41]

北京時間8月31日，CertiK天網系統(Skynet)檢測到，Github用戶“1400BitcoinStolen”1400枚比特幣被盜事件的代幣，已開始被輸送到多個不同的地址當中。受害者在electrum的Githubissue中講述了自己丟失了1400個比特幣并貼出了自己的比特幣錢包地址.

CertiK：正積極調查Merlin攻擊事件，或為私鑰管理問題:金色財經報道，CertiK在推特發布公告稱其正積極調查Merlin攻擊事件，初步調查結果表明，是潛在的私鑰管理問題而不是漏洞被利用。

如果發現任何不法行為，將與有關當局合作并分享相關信息。

此前報道，Web3知識圖譜協議0xScope創始人Bobie發推特稱，zkSync生態上DEX Merlin流動性耗盡，黑客盜取182萬美元資金并橋接至以太坊。[2023/4/26 14:27:36]

Lancer Capital 宣布投資 AI NFT平臺 Uniarts:據官方消息，Lancer Capital 宣布投資 AI NFT平臺 Uniarts。

據悉，Uniarts與人工智能的專家學者和行業專家合作，將AI藝術創作和機器學習可視化的成果轉化為NFT。 此外還將人工智能的個性人格和交互反應映射到Uniarts. NFT的Live2D或3D模型中，形成無以倫比的NFT區塊鏈智能。

同時，Uniarts為實體企業和藝術家提供NFT SDK工具，結合頂級IP運營資源 覆蓋(電影游戲藝術等領域），實現鏈下實體卡零售，鏈上NFT雙向同步發行。

除投資外，Lancer Capital也將會全力支持Uniarts在NFT產業的發展，助力更多IP的整合與整體對于NFT實踐的創業以及更好的與傳統版權IP相結合，服務于市場用戶，擴大NFT產品影響力。[2021/4/9 20:02:21]

在區塊鏈瀏覽器(參考鏈接3)中可以看到8月30日一共1404枚BTC從他的錢包中被取出，存入了黑客的錢包中。

事件還原與分析

該用戶使用的是Electrum比特幣錢包，上次使用是在2017年。此后Electrum已經發布了安全更新，但該用戶一直沒有安裝。用戶在使用Electrum進行交易時，錢包會向服務器廣播一筆交易，如果這筆交易出現了問題，服務器將返回錯誤信息并以彈窗的形式展現給用戶。3.3.2版本之前的Electrum錢包不會對服務器返回的錯誤信息進行驗證，甚至還會對返回的信息進行html渲染。值得一提的是，任何人都可以去搭建一個Electrum節點服務器。如果一個用戶連接到了攻擊者的服務器并發起了一筆交易，服務器可以返回任何設計好的錯誤信息。比如返回一個讓用戶去更新Electrum錢包的錯誤信息，如下圖所示。

然而，圖中的鏈接指向了攻擊者自己寫的惡意軟件，一旦用戶下載安裝該軟件并把自己的錢包導入其中，錢包里所有的比特幣就會被攻擊者轉走。這其實本質上是一種釣魚攻擊，但由于攻擊者發出的釣魚信息是通過Electrum官方錢包展示出來的，很多人都會信以為真。在本次事件中，受害者的錢包連接上了攻擊者所控制的服務器，導致其收到了服務器發出的釣魚信息，進而被攻擊者轉走了自己的所有比特幣。Electrum錢包存在的該問題早在2018年底就引起了廣泛討論(參考鏈接4)。Electrum官方在2019年，錢包版本3.3.4中對該問題進行了修復，后續版本的Electrum錢包不再會將服務器返回的內容直接展示給用戶，也不會對其進行html渲染。此外，由于舊版本的錢包仍然存在這個問題，因此所有的正常的服務器會對3.3版本之前的錢包進行拒絕服務攻擊，以強制用戶進行更新。CertiK安全團隊建議

用戶在使用錢包進行交易的時候，需確保錢包為最新版本，已防舊版本的錢包可能存在可被黑客利用的漏洞。用戶在下載錢包更新的時候要注意驗證下載URL是否與官方一致，在下載完成后要對錢包的簽名進行驗證。對于錢包開發團隊，需要尋找專業團隊做好測試工作，以免項目出現漏洞給用戶帶來損失。參考鏈接：1.https://github.com/spesmilo/electrum/issues/50722.https://zhuanlan.zhihu.com/p/539206883.https://www.blockchain.com/4.https://github.com/spesmilo/electrum/issues/49685.http://twitter.com/electrumwallet/status/1106479573917724672

Tags：ELECTRECTELECHELENA幣CTRT幣Electroneumlivetelecasttoken

Pol幣