木星链 木星链
Ctrl+D收藏木星链

比特币:比特币突破23000美元,你的钱包是否安全?

作者:

时间:1900/1/1 0:00:00

近一个月,比特币币值从1.8万美元到2万美元,涨势如虹。币圈传出消息:圣诞节前,比特币必将大涨一波。昨日晚间,BTC就十分争气的冲上了23000的高位。

在比特币涨势带领下,币圈陷入疯狂,加密数字行情炙手可热,以太坊、瑞波币、莱特币等加密货币同样涨势喜人。从昨日晚间到今日,币圈上演了一幕幕大型“真香”现场,市场的狂热投资者陆续进场“搏斗”。相比于2017年的比特币狂欢,这次的涨势看起来可能更加的稳定。2020年对于所有人来说都是特殊的一年,疫情爆发,币圈动荡。去中心化金融DeFi的出现和发展热潮使得区块链开始再次受到人们的关注。随着新区块链项目的推出,超过两千种的加密资产,越来越多的加密钱包进入市场,越来越多的用户也开始涌入这个领域。当加密领域拥有的资产越来越庞大,来自于安全隐患方面的危机也显露无遗。比特币大涨,你的钱包是否还安全?

近年来,数字钱包安全事件频发。去年11月19日,ArsTechnica报道称两个加密货币钱包数据遭泄露,220万账户信息被盗。安全研究员TroyHunt证实,被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。这已经不是Gatehub第一次遭遇数据泄露了。据报道,去年6月,黑客入侵了大约100个XRPLedger钱包,导致近1000万美元的资金被盗。2019年3月29日,Bithumb失窃事件闹得沸沸扬扬。据猜测,这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被黑客盗取。随即,黑客将窃取的资金分散到各个交易所,包括火币,HitBTC,WB和EXmo。根据非官方数据和用户估计,Bithumb遭受的损失高达300万个EOS币和2000万个XRP币以上。由于数字货币的匿名性及去中心化,导致被盗资产在一定程度上难以追回。因此,钱包的安全性至关重要。

伦敦金融服务公司ETC Group发布加密季报:比特币年营收运转率达29.86亿美元:8月12日消息,伦敦金融服务公司ETC Group发布首份加密货币季度报告,其中显示该公司比特币年度营收运转率达到29.86亿美元,超过了2018年的Square(29.82亿美元)和2020年的Shopify(29.29亿美元)。与去年同期相比,ETC Group二季度以太坊交易费用增长超过5000%,以太坊总交易量同比增长超过 2,000%(2021 年第二季度为 7771 亿美元,而 2020 年第二季度为 367 亿美元);此外,ETC Group二季度DEX交易量比增长超过 8,300%(2021 年第二季度为 2,838 亿美元,而 2020 年第二季度为 34 亿美元)。(Businesswire)[2021/8/12 1:51:07]

2020年8月9日,CertiK的安全工程师在DEFCON区块链安全大会上发表了演讲主题为:ExploitInsecureCryptoWallet的主题报告,分享了对于加密钱包安全的见解。加密钱包是一种帮助用户管理帐户和简化交易过程的应用程序。有些区块链项目发布加密钱包应用程序来支持本链的发展——比如用于CertiKChain的Deepwallet。此外,还有像Shapeshift这样的公司,其构建了支持不同区块链协议的钱包。从安全的角度来看,加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。近一年来,CertiK技术团队对多个加密钱包进行了测试和研究,并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。加密钱包基础审计清单

“比特币凌晨突发大跳水”登上微博热搜榜第8位:微博热搜榜显示,“比特币凌晨突发大跳水”登上微博热搜榜,现排名8位。[2021/5/11 21:46:56]

要对一个应用程序进行评估,首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全性不足的部分进行修正及提高。CertiK技术团队针对加密钱包制作了一个基础审计清单,这份清单反映了所有形式的加密钱包应用,尤其是手机和web钱包是如何生产和储存用户私钥的。应用程序如何生成私钥?应用程序如何以及在何处存储原始信息和私钥?钱包连接到的是否是值得信任的区块链节点?应用程序允许用户配置自定义区块链节点吗?如果允许,恶意区块链节点会对应用程序造成什么影响?应用程序是否连接了中心化服务器?如果是,客户端应用会向服务器发送哪些信息?应用程序是否要求用户设置一个安全性高的密码?当用户试图访问敏感信息或转账时,应用程序是否要求二次验证?应用程序是否使用了存在漏洞且可被攻击的第三方库?有没有秘密在源代码存储库中泄漏?有没有明显的不良代码实现在程序源代码中出现?应用服务器是否强制TLS连接?

手机钱包

相比于笔记本电脑,手机等移动设备更容易丢失或被盗。在分析针对移动设备的威胁时,必须考虑攻击者可以直接访问用户设备的情况。在评估过程中,如果攻击者获得访问用户设备的权限,或者用户设备感染恶意软件,我们需要设法识别导致账户和密码资产受损的潜在问题。除了基础清单以外,以下是在评估手机钱包时要增加检查的审计类目:应用程序是否警告用户不要对敏感数据进行截屏——在显示敏感数据时,安卓应用是否会阻止用户截屏?iOS应用是否警告用户不要对敏感数据进行截屏?应用程序是否在后台截图中泄漏敏感信息?应用程序是否检测设备是否越狱/root?应用程序是否锁定后台服务器的证书?应用程序是否在程序的log中记录了敏感信息?应用程序是否包含配置错误的deeplink和intent,它们可被利用吗?应用程序包是否混淆代码?应用程序是否实现了反调试功能?应用程序是否检查应用程序重新打包?(iOS)储存在iOSKeychain中的数据是否具有足够安全的属性?应用程序是否受到密钥链数据持久性的影响?当用户输入敏感信息时,应用程序是否禁用自定义键盘?应用程序是否安全使用“webview”来加载外部网站?

巴西证券交易委员会已批准QR Capita比特币ETF:巴西超过美国成为世界上第二个批准比特币ETF的国家,QR Capital的比特币ETF已获得巴西证券交易委员会批准,将在圣保罗的B3证券交易所以QBTC11股票代码进行交易。(U.today)[2021/3/19 19:02:16]

Web钱包

对于一个完全去中心化的钱包来说,Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包,MyEtherWallet也同样建议用户不要这样做。与在其他三种平台上运行的钱包相比,以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易;如果攻击者入侵了web服务器,他可以通过向web页面注入恶意的JavaScript,轻松窃取用户的钱包信息。然而,一个安全构建并经过彻底测试的web钱包依旧是用户管理其加密资产的不二之选。除了上面常规的基础审计类目之外,我们在评估客户端web钱包时,还列出了以下需要审计的类目列表:应用程序存在跨站点脚本XSS漏洞吗?应用程序存在点击劫持漏洞吗?应用程序有没有有效的ContentSecurityPolicy?应用程序存在开放式重定向漏洞吗?应用程序存在HTML注入漏洞吗?现在网页钱包使用cookie的情况很少见,但如果有的话,应检查:Cookie属性跨站请求伪造跨域资源共享配置错误该应用程序是否包含除基本钱包功能之外的其他功能?这些功能存在可被利用的漏洞吗?OWASPTop10中未在上文提到的漏洞。

金色财经现场报道 TASchain创始人吴轶群:比特币的精髓是随机数据力:金色财经现场报道,在2018区块链产品技术峰会上,TASchain创始人吴轶群表示,比特币的精髓是什么?就是一个随机数据力。比特币如果只考虑安全放弃去中心化,只会是几个分散的云计算联合体。而只有把去中心化放在最重要的位置,才是真正的创新。[2018/4/28]

扩展钱包

Metamask是最有名和最常用的加密钱包之一,它以浏览器扩展的形式出现。扩展钱包在内部的工作方式与web应用程序非常相似。不同之处在于它包含被称为contentscript和backgroundscript的独特组件。网站通过contentscript和backgroundscript传递事件或消息来与扩展页面进行交流。在扩展钱包评估期间,最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。除了基础清单以外,以下是在评估扩展钱包时要增加检查的审计类目:扩展要求了哪些权限?扩展应用如何决定哪个网站允许与扩展钱包进行交流?扩展钱包如何与web页面交互?恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面?恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据?扩展钱包存在点击劫持漏洞吗?扩展钱包在处理消息之前是否已检查消息来源?应用程序是否实现了有效的内容安全策略?

纳斯达克CEO:纳斯达克上市的比特币期货合约可能更注重于“投资”:纳斯达克CEO阿德纳?弗里德曼(Adena Friedman)今天在接受采访时表示,目前仍在考虑是否应该推出比特币期货,然而纳斯达克上市的比特币期货将有别于CBOE及CME上市的比特币期货。据弗里德曼,纳斯达克上市的比特币或许会更注重于“投资”,而非“定向股”(tracking stock)。[2018/1/25]

Electron桌面钱包

在编写了web应用程序的代码之后,为什么不用这些代码来建造一个Electron中桌面应用程序呢?在以往测试过的桌面钱包中,大约80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时,不仅要寻找web应用程序中可能存在的漏洞,还要检查Electron配置是否安全。CertiK曾针对Electron的桌面应用程序漏洞进行了分析,你可以点击访问此文章了解详情。

以下是基于Electron的桌面钱包受评估时要增加检查的审计类目:应用程序使用什么版本的Electron?应用程序是否加载远程内容?应用程序是否禁用“nodeIntegration”和“enableRemoteModule”?应用程序是否启用了“contextisolation”,“sandbox”and“webSecurity”选项?应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面?应用程序是否实现了有效的内容安全策略?preloadscript是否包含可能被滥用的代码?应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)?应用程序会使不安全的自定义协议吗?服务器端漏洞检查列表

在我们测试过的加密钱包应用程序中,有一半以上是没有中心化服务器的,他们直接与区块链节点相连。CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。但是,如果应用程序希望为客户提供除了帐户管理和令牌传输之外的更多功能,那么该应用程序可能需要一个带有数据库和服务器端代码的中心化服务器。服务器端组件要测试的项目高度依赖于应用程序特性。

根据在研究以及与客户接触中发现的服务器端漏洞,我们编写了下文的漏洞检查表。当然,它并不包含所有可能产生的服务器端漏洞。认证和授权KYC及其有效性竞赛条件云端服务器配置错误Web服务器配置错误不安全的直接对象引用(IDOR)服务端请求伪造(SSRF)不安全的文件上传任何类型的注入(SQL,命令,template)漏洞任意文件读/写业务逻辑错误速率限制拒绝服务信息泄漏总结

随着技术的发展,黑客们实施的欺诈和攻击手段也越来越多样化。CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全性问题、提高警惕。现阶段,许多开发团队对于安全的问题重视程度远远低于对于业务的重视程度,对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目,CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知,从而促进产品安全升级,共同保护用户资产的安全性。数字货币攻击是多技术维度的综合攻击,需要考虑到在数字货币管理流通过程中所有涉及到的应用安全,包括电脑硬件、区块链软件,钱包等区块链服务软件,智能合约等。加密钱包需要重视对于潜在攻击方式的检测和监视,避免多次受到同一方式的攻击,并且加强数字货币账户安全保护方法,使用物理加密的离线冷存储来保存重要数字货币。除此之外,需要聘请专业的安全团队进行网络层面的测试,并通过远程模拟攻击来寻找漏洞。欢迎搜索微信关注CertiK官方微信公众号,点击公众号底部对话框,留言免费获取咨询及报价!

标签:比特币WEB区块链ERT比特币中国官网打不开WEB3币区块链运用的技术中不包括哪一项Ac/sERTH价格

比特币价格热门资讯
加密货币:美国国税局2020年报税表上的虚拟货币问题被怀疑是“伪证陷阱”

编者按:本文来自Cointelegraph中文,作者:CYRUSMCNALLY,Odaily星球日报经授权转载。美国加密货币用户在推特上表达了他们对今年报税表中虚拟货币相关问题的困惑和失望.

1900/1/1 0:00:00
稳定币:币在研究院:算法稳定币是货币革命还是投机游戏?

1.概览在过去的几周,行业内最热的话题莫过于算法稳定币。特别是其中代表项目Ampleforth、BasisCash、ESD等项目的暴涨,让大家纷纷关注到这类试图以算法机制来实现价值稳定的货币实验.

1900/1/1 0:00:00
加密货币:我们可能再也见不到18000以下的比特币了

编者按:本文来自风火轮社区,作者:佩佩,Odaily星球日报经授权转载。我们可能再也见不到18000U以下的比特币了,如图: 我们现在正在经历着的应该可以说是一段属于比特币的“我靠时刻”,不要管.

1900/1/1 0:00:00
FIL:IPFS周报 | FIL 7日净流出增长77%,FIL周内下跌6%;Filecoin主网昨日出现短时宕机(12.14-12.20)

MAID连续三周暴涨,Holo跻身1亿美元市值「俱乐部」;Filecoin网络12月20日短时宕机.

1900/1/1 0:00:00
DEFI:MXC抹茶2020加密市场报告

MXC抹茶内容中心出品文/吴盐、苗苗、戈多Godot一、USDT增发频繁,增发金额环比上涨700%随着加密行情的急速动荡,稳定币在2020年的增发与销毁频繁发生.

1900/1/1 0:00:00
XRP:XRP被调查事件继续发酵,USDT也将被戳掉泡沫?

XRP被SEC调查的后续影响还在继续,昨天晚上应该是整个币圈除去BTC以外的灾难,如果稍微回溯上次的话,刚好是11月26日感恩节假期是发生过同样的下跌事件.

1900/1/1 0:00:00