SHA:首发 | Cashaa钱包336 BTC被盗事件分析

一、Cashaa被盗币事件简述

CoinCrunch在2020年7月10日收到一封投诉信，受害者称自己在1：23分登录并进行两笔交易后，自己的1.06005561?BTC被盗。被盗BTC转进了地址14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek。投诉凭证如下所示：

图一

而后不久，Cashaa公司涉及的总计8个比特币钱包，共计335.91312085个比特币被攻击者通过同样的手段转移到同一个地址14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek。

首发 | 欧科云链推出“天眼方案”推动链上安全系统再升级:8月28日，区块链产业集团欧科云链宣布推出区块链“天眼方案”，主要通过链上数据追踪系统研发、对外技术支持、凝聚企业众力等途径，全面助力区块链安全提升和产业平稳健康发展。

据了解，在“天眼方案”下，欧科云链集团将打造链上数据追踪系统，通过溯源数字资产、监控非法交易等手段，全力遏制等非法行为；协助执法机关办案，并为打造法务等区块链系统提供技术支持；为联盟链和基于各类业务的链上数据提供区块链+大数据的解决方案。[2020/8/28]

事件发生后，Cashaa?的CEO?KumarGaurav对此次事件做出了回应，声称此次事件只是个例，Cashaa其余账户的余额仍是安全的。并呼吁各大交易所禁止此次事件的相关地址提现，否则就是『助纣为虐』，几乎所有的交易所都积极响应了Cashaa的呼吁。

首发 | 《一起来捉妖》中玩家达到22级将会接触到专属猫的玩法 ?:今日腾讯上线首款区块链游戏《一起来捉妖》，经金色财经查证，游戏中玩家达到22级将会接触到专属猫的玩法，而非此前官方对外宣称的15级。除了诱猫铃铛召唤出的0代猫以及部分通过运营活动奖励的专属猫以外，游戏中所有的猫默认都是未上链状态。未上链的猫不能出售，也无法进入市场与其他玩家配对；但是你可以使用这些猫与你的QQ/微信好友进行配对，产出新的小猫。使用道具“天书笔”可以将你的猫记录到区块链。当猫被记录到区块链以后，这些猫就可以进入市场，通过配对赚取点券，或者出售赚取点券。专属猫是否上链，并不影响它的增益效果。但只有上链后，它才能面对全服务器所有的玩家进行繁殖、交易。

?

《一起来捉妖》中的专属猫玩法，基于腾讯区块链技术，游戏中的虚拟数字资产得到有效保护。此外，基于腾讯区块链技术，猫也可以自由繁殖，并且运用区块链技术存储、永不消失。[2019/4/11]

根据Cashaa给出的解释，本次事件是因为一个雇员使用了自己的私人电脑造成的，黑客通过浏览器session控制了雇员的电脑，但具体攻击方式还在调查中。Cashaa公司此前并不允许使用个人电脑，此次员工使用个人电脑是因为雇员设备故障，Cashaa公司考虑到『客户体验』于8号为其临时开通权限。雇员在10号使用电脑操作后，不久336BTC便被盗走。根据线上地址来看，被盗的BTC在转移过程中还进行了混币。

IMEOS首发 BM表示EOS合约具有整数溢出保护:据金色财经合作媒体IMEOS报道：近日ETH出现多个ERC20智能合约的处理溢出错误，BM在推特上发表评论：新的ETH契约Bug可能会破坏整个Token的供应，让持有者留下无价值Token.这就算为什么代码不能成为法律，随即表示EOS erc合约不容易受到这种攻击。而EOS官方群也有人表示担忧EOS是否具有整数溢出保护？BM回应：有很多C ++模板类可以封装类型并检查溢出。[2018/4/25]

二、事件分析

成都链安-安全实验室针对此次事件进行分析，本次涉及BTC是在雇员操作后很短的时间内被盗的，且转移过程中流入混币，这说明黑客对区块链技术早有积累，很有可能是相关从业人员或黑产成员。

根据Cashaa给出的信息，雇员在8号获得许可，在10号就遭受攻击，这太过于巧合，我们相信Cashaa公司在对员工电脑进行临时授权前，应当是会对员工电脑进行过安全检查的。这里我们推测这是一起有极高针对性的攻击，黑客极有可能瞄准Cashaa已久，对公司内部成员和动向都非常了解，才能在这么短的时间内，控制雇员的电脑。但也不排除内部人员配合作案的可能性。

针对于目前掌握到的信息，我们推测有两种可能性：

攻击者是专业从事相关黑产的团伙，其瞄准cashaa已久，掌握着公司相关人员信息和网络管理制度，通过传统攻击手段持续性的对公司人员的信息设备进行攻击，或已掌握部分系统的权限，此次攻击是建立在前期攻击基础上进行的。

公司内部有相关人员配合作案，将公司信息泄露给了攻击实施者，再针对性的配合社工手段进行攻击，拿到雇员电脑权限。

三、安全建议

针对此次事件，成都链安呼吁各大交易所和钱包服务商，『千里之堤毁于蚁穴』。网络安全建设是一个面，任何薄弱点都能可能成为击垮堤坝的『蚁穴』。

1、从交易所出发：服务器层、网络层、终端层、智能合约层、业务层、安全管理制度等各个层面的安全都不可或缺。一旦出现短板，即使其他方面做的再好，也无济于事。

2、『安全』永远是一个博弈的过程，没有攻不破的系统。随着技术的不断发展，原先所谓『安全』的系统也会变得不安全，因此与第三方安全公司建立持续的合作关系也是不可或缺的。

3、对于安全体系来讲，人往往是最薄弱的环境，随时存在『违规操作』的可能性，加强员工的信息安全意识，切实实施良好的安全管理制度可以规避很大的风险。

?4、『亡羊补牢，为时不晚』。在遭受黑客攻击后，交易所应第一时间向专业的安全公司寻求帮助，追踪资金动向，尽可能将公司的损失降到最低。

标签：SHACASHCashaaASHsharpayCashZoneHASH价格

币安app官网下载热门资讯