区块链:知道创宇 404 实验室披露 2018 年信息安全相关国际大事件

纵观2018年网络安全事件，网络犯罪分子攻击手段变幻莫测，除了零日漏洞的利用外，勒索软件、恶意挖矿大行其道，区块链领域险象环生，暗网数据泄露更是层出不穷，而且攻击渠道日益变幻，IoT设备、工业网亦成为不法黑客的攻击重点，以上这些皆都为整个网络空间安全环境带来全新挑战。

知道创宇404实验室通过监控、分析全球威胁活动信息，积极参与各类安全事件应急响应，并结合2018年全年国内外各个安全研究机构、安全厂商披露的重大网络攻击事件，基于这些重大攻击事件的攻击技术、危害程度等，评选出2018年信息安全相关大事件。

0x00国际篇

1.MemcacheDDoS攻击

2018年3月1日，Github遭受遭1.35TB大小的DDoS攻击，随后的几天，NETSCOUTArbor再次确认了一起由MemcacheDDoS造成的高达1.7Tbps的反射放大DDoS攻击。在2018年上半年虚拟货币价值飙升、黑灰产转向至挖矿领域、反射放大攻击持续下降的情况下，利用MemcacheDDoS造成如此大流量的攻击，其威力可见一斑。

FTX前COO：不知道任何转移客户资金的事情，个人资产都在FTX上:11月15日消息，针对加密 KOL Autism Capital 发布的关于包括 FTX 前 COO Constance 在内的前员工的各种传闻，FTX 前 COO Constance 进行了回应与澄清，其表示：

看到我们的前雇员在推特上散布关于我个人的不真实的谣言，最终还是感到很伤心和难过。我和这个事件没有关系，在上周二之前我也毫不知情。我所做的只是尽力在事后提供帮助，我不想放弃我在过去 3 年中为之付出的公司，所以我真的试图拯救它。

我想澄清的是：

1/我不知道任何转移客户资金的事情，也不了解 Alameda 的交易及其与 FTX 的安排。

2/我负责 BD，增长和市场营销，直到最后一刻，我和我的团队都在用自己的名誉来捍卫 FTX，看到这样的事情发生，我们感到非常失望。

3/我和 Sam 没有任何私人关系，在过去 3 年，我非常努力地建设公司和团队，我不认为这次的失败是由于我们的交易所业务没有做好。

4/Conch Shack 是公司财产，不是送给我的，我和其他员工一起住在 Conch Shack。

5/像你们很多人一样，我所有的资产都在 FTX 上，现在都没了，我在其他交易所没有任何资产。

6/我非常伤心，而且我个人也被员工们分享的这些不实之词伤害了，我会暂停发布新的工作招聘贴，直到完全恢复过来，但我还是会在其他人 DM 我时把简历发送过去。[2022/11/15 13:07:46]

2.Cisco路由器被攻击事件

BMEX与币圈都知道社区达成深度战略合作:据官方消息，目前BMEX已与币圈都知道社区达成深度战略合作关系，双方将在福建成立大型区块链培训基地。

币圈都知道社区是集区块链知识普及、行情分析研究、二级市场培训于一体的综合性社区，在全国多地设立有培训基地。

BMEX是一个数字资产综合服务平台，致力于为用户提供安全、可信赖的数字资产交易及资产管理服务。[2021/3/4 18:13:53]

2018年1月，Cisco官方发布了一个有关CiscoASA防火墙webvpn远程代码执行漏洞的公告。2018年3月，Cisco官方发布了CiscoSmartInstall远程命令执行漏洞的安全公告。这两个漏洞都是未授权的远程命令执行漏洞，攻击者无需登录凭证等信息即可成功实施攻击。2018年4月6日，一个名为"JHT"的黑客组织攻击了包括俄罗斯和伊朗在内的多个国家网络基础设施，遭受攻击的Cisco设备的配置文件会显示为美国国旗，所以该事件又被称为"美国国旗"事件。

灰度创始人回复推特网友称不知道狗狗币:金色财经报道，就推特网友有关“为什么灰度没有狗狗币（dogecoin）信托基金”的提问，灰度创始人、前首席执行官Barry Silbert回复称：“狗狗币是什么？”。[2021/2/7 19:05:55]

3.供应链攻击

供应链攻击一直以隐蔽、高效著称。2018年供应链攻击在不同层面都有发生、发生原因也不尽相同。有火绒安全最先曝光的针对驱动人生公司进行的攻击，有由于NodeJS库作者随意给相关库权限导致被攻击者植入后门的攻击，也有感染易语言模块并使用“微信支付”进行勒索的勒索病。供应链中任何薄弱的地方都有可能导致供应链攻击的发生。

4.GPON远程命令执行漏洞

2018年4月30日，vpnMentor公布了GPON路由器的两个高危漏洞，绕过验证漏洞和命令注入漏洞。结合这两个漏洞，只需要发送一次请求就可以在GPON路由器上执行任意命令。在该漏洞披露后的十天内，该漏洞就已经被多个僵尸网络家族整合、利用、在公网上以蠕虫的方式传播。

调查显示：大部分日本PC用户不知道加密劫持:据日本的一项调查显示，日本有95%的PC用户表示知道数字货币，但是超过40%的人表示并没有听说过加密劫持。目前加密劫持已成为日本网络安全的主要威胁，一家网络安全公司表示，2017年第四季度日本就有135400台电脑感染了加密病。[2018/5/29]

5.Java反序列化漏洞

2018年的Java反序列化漏洞还在持续爆发，在知道创宇404实验室2018年应急的漏洞中，受此影响最严重的是WebLogic，该软件是美国Oracle公司出品的一个ApplicationServer。2018年知道创宇404实验室应急了5个WebLogic的反序列化漏洞。由于Java反序列化漏洞可以实现执行任意命令的攻击效果，是黑客用来传播病，挖矿程序等恶意软件的攻击方法之一。

6.Drupal远程代码执行漏洞

Drupal是使用PHP编写的开源内容管理框架，Drupal社区是全球最大的开源社区之一，全球有100万个网站正在使用Drupal，今年3月份，Drupal安全团队披露了一个非常关键的(21/25NIST等级)漏洞，被称为Drupalgeddon2(CVE-2018-7600)，此漏洞允许未经身份验证的攻击者进行远程命令执行操作。

调查显示 超半数俄罗斯人知道比特币为何物:最近由全俄公众舆论研究中心（VCIOM）进行的一项调查结果显示，超过56％的俄罗斯人表示他们知道比特币，活跃网民中这一数字已经涨至66％。年轻的俄罗斯人（18-24岁）中知道比特币的比率已经达到75％。而首都莫斯科和第二大城市圣彼得堡有74％的居民已经了解到了去中心化的虚拟货币。然而只有三分之一的人知道，任何人都可以购买比特币，16％认为比特币在俄罗斯实际上是被禁止的。不过，有四分之一以上的人知道虚拟货币不仅可以购买，还可以被开采。另有44％的人意识到，将虚拟货币兑现，目前在俄罗斯还没有合法化。[2018/1/23]

7.数据泄漏事件

2018年多起大型数据泄漏事件被曝光，2018年6月12日，知道创宇暗网雷达监控到国内某视频网站数据库在暗网出售。2018年8月28日，暗网雷达再次监控到国内某酒店开房数据在暗网出售。2018年11月30日，某公司发布公告称，旗下某酒店数据库遭入侵，最多约5亿客人信息被泄漏。2018年12月，一推特用户发文称国内超2亿用户的简历信息遭到泄漏。除此之外，facebook向第三方机构泄漏个人信息数据也引起了极大的关注。随着暗网用户的增多，黑市及加密数字货币的发展，暗网威胁必定会持续增长，知道创宇404安全研究团队会持续通过技术手段来测绘暗网，提供威胁情报，追踪和对抗来自暗网的威胁。

8.EOS平台远程命令执行漏洞

2018年5月末，360公司Vulcan团队发现EOS平台的一系列高危漏洞，部分漏洞可以在EOS节点上远程执行任意代码。这也就意味着攻击者可以利用这个漏洞直接控制和接管EOS上运行的所有节点。从漏洞危害等方面来说，称该漏洞为“史诗级”名副其实。

9.多个区块链项目RPC接口安全问题

2018年3月20日，慢雾区和BLOCKCHAINSECURITYLAB揭秘了以太坊黑人节事件相关攻击细节。2018年8月1日，知道创宇404实验室在前者的基础上结合蜜罐数据，补充了后偷渡时代多种利用以太坊RPC接口盗币的利用方式：离线攻击、重放攻击和爆破攻击。2018年08月20日，知道创宇404实验室再次补充了一种攻击形式：“拾荒攻击”。RPC接口并非以太坊独创，其在区块链项目中多有应用。2018年12月1日，腾讯安全联合实验室对NEORPC接口安全问题提出预警。区块链项目RPC接口在方便交易的同时，也带来了极大的安全隐患。

10.区块链智能合约相关漏洞

区块链安全漏洞很多都出现在智能合约上。昊天塔(HaoTian)”是知道创宇404区块链安全研究团队独立开发的用于监控、扫描、分析、审计区块链智能合约安全自动化平台。将智能合约各种审计过程中遇到的问题总结成漏洞模型，并汇总为《知道创宇以太坊合约审计CheckList》。涵盖了超过29种会在以太坊审计过程中会遇到的问题，其中部分问题更是会影响到74.49%已公开源码的合约。

随着2017年年末的一款名为CryptoKitties(以太猫）的区块链游戏爆火，智能合约DApp成了2018年区块链发展的主旋律。2018年4月22日，攻击者利用BEC智能合约转账函数中的一处乘法溢出漏洞，清空了BEC的所有合约代币。2018年7月24日，外国的一位安全研究者利用Fomo3D的Airdrop特性加上随机数漏洞，让Fomo3D损失了空投池中所有的代币。2018年8月22日，Fomo3D第一轮大奖被开出，攻击者利用以太坊底层的交易顺序问题获得了超过10000枚以太币，这个漏洞的曝光也标志着对交易顺序依赖的智能合约正式的死亡。包括以太坊DApp和EOSDApp在内，从实际的安全漏洞到业务安全问题，智能合约安全漏洞直接威胁着代币安全，这也标志着智能合约会经受着更大挑战。

本文来源于非小号媒体平台：

知道创宇

现已在非小号资讯平台发布1篇作品，

非小号开放平台欢迎币圈作者入驻

入驻指南：

/apply_guide/

本文网址：

/news/3627125.html

免责声明：

1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险

2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场

上一篇：

从2018年度区块链安全大事件，看当前区块链安全发展与问题

下一篇：

日本通证监管探索之路，案件推动，多措并举

标签：区块链SCO以太坊UPA区块链技术适合女生吗prayblesscoin以太坊硬币模版TUPAN

DOT热门资讯