木星链 木星链
Ctrl+D收藏木星链

IST:慢雾出品 | 加密资产安全解决方案正式上线

作者:

时间:1900/1/1 0:00:00

随着区块链生态的发展,加密资产经济迎来了爆发式的增长,据统计,加密货币市值已超1.66万亿美元,毫无疑问,加密资产已经逐渐在人们日常投资活动中占据了重要的一席之地。

作为一种具有内在价值的资产,加密资产具有不可逆、难溯源等特点,这让黑客有了强烈的作案动机。据慢雾区块链被黑档案库(hacked.slowmist.io)统计,光是2021上半年全球加密资产损失就超17亿美元,这些损失大部分来自交易所、钱包服务或相关企业,少部分来自于个人用户。基于此,慢雾科技在原有十二大服务的基础上,正式上线加密资产安全解决方案,为用户提供持续的、全方位的资产保障。

加密资产安全解决方案

线上热资产安全解决方案

线上热资产主要是指加密货币私钥放置在线上服务器中对应的资产,需要频繁使用来进行签名交易等,如交易所的热、温钱包等都属于线上热资产。这类资产由于放置在线上服务器中,被黑客攻击的可能性大大增加,是需要重点防护的资产。由于私钥的重要性,提高安全存储等级(如硬件加密芯片保护)、去除单点风险等都是防范攻击的重要手段。慢雾推荐以“协同存管方案”和“私钥/助记词安全配置方案”两个方向来提升线上热资产的安全性。

协同存管方案此方案旨在解决线上私钥的单点存储及使用的风险。在以前的方案中,解决私钥单点问题主要通过使用多签,而随着区块链的快速发展,链的种类越来越多,传统的多签(如比特币的多签及以太坊的智能合约多签等)无法适用于所有链的多签方式,导致为了不同的链需要开发不同的多签方案,安全流程极其繁琐和不可控;尤其是线上的热资产本身的场景就需要适应多种链及币种,如交易所、量化等场景。能兼容所有区块链及币种的通用多签方案是最好的方式,而目前最成熟的解决方案是MPC(安全多方计算)。

慢雾:跨链互操作协议Nomad桥攻击事件简析:金色财经消息,据慢雾区消息,跨链互操作协议Nomad桥遭受黑客攻击,导致资金被非预期的取出。慢雾安全团队分析如下:

1. 在Nomad的Replica合约中,用户可以通过send函数发起跨链交易,并在目标链上通过process函数进行执行。在进行process操作时会通过acceptableRoot检查用户提交的消息必须属于是可接受的根,其会在prove中被设置。因此用户必须提交有效的消息才可进行操作。

2. 项目方在进行Replica合约部署初始化时,先将可信根设置为0,随后又通过update函数对可信根设置为正常非0数据。Replica合约中会通过confirmAt映射保存可信根开始生效的时间以便在acceptableRoot中检查消息根是否有效。但在update新根时却并未将旧的根的confirmAt设置为0,这将导致虽然合约中可信根改变了但旧的根仍然在生效状态。

3. 因此攻击者可以直接构造任意消息,由于未经过prove因此此消息映射返回的根是0,而项目方由于在初始化时将0设置为可信根且其并未随着可信根的修改而失效,导致了攻击者任意构造的消息可以正常执行,从而窃取Nomad桥的资产。

综上,本次攻击是由于Nomad桥Replica合约在初始化时可信根被设置为0x0,且在进行可信根修改时并未将旧根失效,导致了攻击可以构造任意消息对桥进行资金窃取。[2022/8/2 2:52:59]

私钥/助记词安全配置方案

慢雾:Ribbon Finance遭遇DNS攻击,某用户损失16.5 WBTC:6月24日消息,Ribbon Finance 发推表示遭遇 DNS 攻击,慢雾MistTrack通过链上分析发现攻击者与今天早前的Convex Finance 攻击者是同一个,地址 0xb73261481064f717a63e6f295d917c28385af9aa 是攻击者共用的用来调用恶意合约的钱包地址。同时分析发现,Ribbon Finance某用户在攻击中损失了 16.5 WBTC,具体交易为:https://etherscan.io/tx/0xd09057f1fdb3fa97d0ed7e8ebd8fd31dd9a0b5b61a29a22b46985d6217510850。[2022/6/24 1:29:35]

在无法使用MPC方案的情况下,如一些小型的加密货币服务、或项目已经成熟变更周期长时,可以针对已有的私钥、助记词等存储及使用进行加强处理。

详情:

https://github.com/slowmist/cryptocurrency-security/blob/main/Online-Hot-Asset-Security-Solution.md

冷资产安全解决方案

加密世界的冷资产主要是指不会经常进行交易的大额资产,并且私钥保存在断网隔离的状态下。理论上来讲冷资产越"冷"越好,即私钥保证永不触网,并且尽量少的交易,尽量避免暴露地址信息等。安全上的方案建议一方面是私钥存储的安全性,做到尽可能的"冷";另一方面是使用上的管理流程,尽可能避免私钥泄漏、不在预期内的转账或其它未知的行为。

动态 | 慢雾区块链攻防对抗总结:11 月数据泄露趋势愈发普遍:据慢雾 BTI 系统监测发现,暗网中陆续出现区块链相关的数据泄露情报,包括:GateHub 140 万用户信息、数字货币交易所用户信息等,此前 BitMex 也因工作失误导致大量用户邮箱信息泄露。11 月另一个重大安全事件是韩国交易所 Upbit 被黑导致 34.2 万 ETH 从热钱包中被盗,慢雾安全团队怀疑该事件可能和 APT(高级持续性威胁)攻击有关,这种攻击的特点是长期潜伏,直到碰到可操作的大资金,一次性大笔盗走。

过去数月,慢雾 BTI 系统还曾披露假充值漏洞攻击、供应链攻击、提币地址劫持替换攻击等,慢雾安全团队在此提醒各项目方,做好安全漏洞自查,进一步增强人员安全意识及平台风控体系,必要时可联系专业的区块链安全公司寻求帮助,避免遭受损失。(IMEOS)[2019/12/1]

冷钱包使用推荐方案

当前冷钱包大体上分为硬件钱包和App冷钱包两类。硬件钱包即使用单独的硬件来存储私钥,通过蓝牙或有线与App、网页等连接来实现签名数据的传输。冷钱包是指手机在断网的情况下使用钱包,并且进行离线签名的场景。

冷资产管理流程解决方案

由于冷资产的价值相对较大,属于黑客重点攻击的对象,金钱的诱惑也容易催生出内部作案的可能。如果是一个公司或组织的共有资产,推荐使用一套完善的使用流程来规避被攻击和单点做恶的风险,并且做好流程中每一步的日志记录,以备安全审查。

详情:

动态 | 慢雾: 警惕利用EOS及EOS上Token的提币功能恶意挖矿:近期由于EIDOS空投导致EOS主网CPU资源十分紧张,有攻击者开始利用交易所/DApp提币功能恶意挖矿,请交易所/DApp在处理EOS及EOS上Token的提币时,注意检查用户提币地址是否是合约账号,建议暂时先禁止提币到合约账号,避免被攻击导致平台提币钱包的CPU资源被恶意消耗。同时,需要注意部分交易所的EOS充值钱包地址也是合约账号,需要设置白名单避免影响正常用户的提币操作。[2019/11/6]

https://github.com/slowmist/cryptocurrency-security/blob/main/Cold-Asset-Security-Solution.md

DeFi资产安全解决方案

当前大多数区块链参与方更多的是参与DeFi项目,如挖矿、借贷及理财等。而参与DeFi项目本质上是把手中的资产转移或授权给DeFi项目方,存在个人极大程度上不可控的安全风险。本方案旨在列出DeFi项目的风险点,并且整理出规避这些风险的方式,总体上可分为以下几个方面:

DeFi项目风险评估

DeFi项目资产异常监控及告警

多签合约的使用

DeFi保险推荐方案

详情:

https://github.com/slowmist/cryptocurrency-security/blob/main/DeFi-Asset-Security-Solution.md

声音 | 慢雾科技余弦:数字货币行业缺乏国家相关的监管背书,有很多的乱象:据《每日经济新闻》消息,区块链生态安全公司慢雾科技创始人余弦在接受采访时分析,简单来说,币圈的风险主要有两个。第一个风险是地下黑客,当前的币圈,无论是基础设施还是上层建筑都比较脆弱,相对互联网来说,攻击者的攻击成本很低。通过这些攻击手法,地下黑客能够盗取很多数字货币。第二个风险是这个行业缺乏监管,缺乏国家相关的监管背书,有很多的乱象,比如说各种资金盘、等,这些行为其实都是打着区块链噱头的非法集资。而针对如何保护数字货币的安全,余弦表示,这是一个新的行业,小白投资者应该多学习这个行业的知识,不要只看表面。随着知识的加深,对很多表面上的包装、噱头,自己就会有一些判断。另外,存储数字货币的手机、电脑,要安装杀软件。不使用通过不明渠道下载的软件来存储数字货币,这是最基本的安全防范。[2019/8/30]

资产所有权安全备份解决方案

加密资产所有权备份,即对私钥或助记词的备份,因为它们承载着对加密货币的完整所有权,一旦被盗或丢失则会损失所有资产。

对于加密资产领域来说,私钥/助记词的备份反而是很大的短板,资产使用上的场景都可以有大量对应的产品来解决,无论是热钱包还是冷钱包,使用上可以保证安全,但很容易忽略其备份的重要性。目前大多数的盗币或者丢币的情况,反而是因为私钥/助记词的备份泄漏或丢失而导致的。备份的重要性等同于加密资产本身,必须要重视起来。

私钥/助记词的备份上也可以考虑降低单点风险,并且使用一些安全的备份方式、介质或流程等。以下是推荐的加密资产所有权备份方案。

Shamir

**MPC

**

备份介质安全存储方案

详情:

https://github.com/slowmist/cryptocurrency-security/blob/main/Asset-Ownership-Backup-Security-Solution.md

资产异常监控及追踪解决方案

在做好加密资产安全存管系列措施后,为了应对诸如“黑天鹅”之类的意外情况,也需要对相关钱包地址进行监控及异常告警,让每一笔资产转移都能被内部团队确认、验证。资产异常监控及追踪的解决方案总体上可分为:

异常监控及告警个人需求可以通过区块浏览器来监控钱包地址,同时满足监控及定制告警的功能。除此之外,也可以借助支持导入“观察钱包”的钱包App(不需要导入私钥助记词,只填写钱包地址),通过App的通知功能来实现监控告警功能。团队需求建议寻找技术工程师,搭建基于消息队列的监控系统及定制化的告警系统(如邮件、Slack、企业微信等消息推送通道),这样系统的稳定性及可用性更有保障。

链上追踪依托慢雾BTI系统和AML系统中近两亿地址标签,全面覆盖了全球主流交易所,慢雾MistTrack链上追踪服务累计服务50客户,累计追回资产超2亿美金。当被盗资金流入交易所时,慢雾MistTrack系统将自动发送交易Hash和交易所地址等信息给受害者。同时,慢雾MistTrack团队将汇总输出被盗资金转移完整链路表、余额停留地址以及洗币情况总结等信息,输出完整、全面的分析报告给受害者。被盗案件立案成功后,慢雾MistTrack团队将协助联系被盗资金进入的可调证交易所,对涉案的交易所用户账号进行调证冻结。

链下追踪链下追踪主要指的是与区块链无关的信息,例如邮箱账号、IP地址、设备指纹等信息,根据链上追踪得到这些线索后,可以进一步利用相关平台对链下的信息进行分析取证,寻找一切与盗币者有关的信息。

详情:

https://github.com/slowmist/cryptocurrency-security/blob/main/Asset-Abnormal-Monitoring-And-Tracking-Solution.md

本套加密资产安全解决方案会不断完善,欢迎社区向我们提交pr不断优化这套解决方案,可点击原文链接查看更多介绍。

Key

这是慢雾科技在区块链生态数年一线安全攻防实践积累下,推出的第一个完整解决方案,针对加密资产安全的解决方案。在该解决方案中,我们将继续加速完善各种最佳实践,并在GitHub开源开放出来;同时,慢雾科技也将联手安全鹭(Safeheron)等安全公司,打造机构级的加密资产安全存管产品,共同建设好这个生态攻防面对的最关键一扇门。我们希望,不远的未来,在我们的开源开放及机构级产品极致安全的驱动下,这套解决方案最终可以成为这个生态最佳的一套安全实践。

至此,慢雾科技已推出十三大安全服务,并打造了多款区块链安全产品,用户可针对不同的功能选择不同的产品服务。未来慢雾会继续推出更多的安全服务与解决方案,持续专注于区块链生态建设,为区块链生态构建一个“黑暗森林”中的安全区域。

欢迎联系我们:。

相关资料:

加密资产安全解决?案:

https://www.slowmist.com/#solution-cryptocurrency-security

https://github.com/slowmist/cryptocurrency-security

安全鹭(Safeheron):

https://www.safeheron.com/

慢雾MistTrack链上追踪服务:

https://aml.slowmist.com/mistTrack.html

往期回顾

THORChain连遭三击,黑客会是同一个吗?

科普|加密货币,你中招了吗?(下)

慢雾招募令,加入未来的安全独角兽

梅开二度——PancakeBunny被黑分析

科普|加密货币,你中招了吗?(上)

慢雾导航

慢雾科技官网

https://www.slowmist.com/

慢雾区官网

https://slowmist.io/

慢雾GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

币乎

https://bihu.com/people/586104

知识星球

https://t.zsxq.com/Q3zNvvF

火星号

http://t.cn/AiRkv4Gz

链闻号

https://www.chainnews.com/u/958260692213.htm

免责声明:作为区块链信息平台,本站所发布文章仅代表作者个人观点,与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考,并非作为或被视为实际投资建议。

本文来源于非小号媒体平台:

慢雾科技

现已在非小号资讯平台发布68篇作品,

非小号开放平台欢迎币圈作者入驻

入驻指南:

/apply_guide/

本文网址:

/news/10221589.html

免责声明:

1.资讯内容不构成投资建议,投资者应独立决策并自行承担风险

2.本文版权归属原作所有,仅代表作者本人观点,不代表非小号的观点或立场

上一篇:

小冯:以太坊再战1700有望企稳黄金注意日线反弹信号

标签:ISTMISMISTHTTIRISTOKEN价格wisdomisthewealthofthewiseAlchemist DeFi Aurumhtt币价格今日行情

以太坊最新价格热门资讯
NFT:NFT 交易平台 MakersPlace 完成 3000 万美元融资,Bessemer 和 Pantera 领投

链闻消息,NFT交易平台MakersPlace宣布完成3000万美元融资,BessemerVenturePartners和PanteraCapital领投.

1900/1/1 0:00:00
SHI:中币关于上线ACH(Alchemy Pay)的公告

尊敬的中币用户:????中币于香港时间2021年8月3日上线ACH。具体安排如下:????1、2021年8月3日16:00开放ACH充值;????2、2021年8月4日14:00开放ACH/US.

1900/1/1 0:00:00
以太坊:沈迎月:8.2比特币高位受阻,以太坊静待晚间会议纪要

沈迎月:8.2比特币高位受阻,以太坊静待晚间会议纪要脚下有分寸,手中有方向,眼中有目标,心中有尺度.

1900/1/1 0:00:00
COM:XT关于上线MDF的公告

尊敬的XT用户:XT即将上线MDF,并在创新区开放MDF/USDT交易对,详情如下:充值时间:2021年8月4日11:00交易时间:2021年8月5日16:00提现时间:2021年8月6日17:.

1900/1/1 0:00:00
STA:ZD上线GOD的公告

尊敬的用户:ZD将于2021年8月8日8:18创新区上线GOD/USDT交易对,币种充提已开启.

1900/1/1 0:00:00
TIX:去中心化资管协议 dHEDGE 将多链部署,首先部署至 Polygon 网络,并支持 Synthetix 协议之外资产

链闻消息,去中心化资管协议dHEDGE宣布V2版本将部署在除以太坊之外的其他EVM兼容网络上,首先部署至Polygon网络;此外.

1900/1/1 0:00:00