慢霧：IOTA 重大被盜幣事件的分析與安全建議_IOTA

一些天前我們注意到 IOTA 暫停了主網，雖然早前我們也知道 IOTA 用戶遭遇了盜幣攻擊，但沒想到 IOTA 官方會通過暫停主網方式來進行這次盜幣攻擊的阻攔與調查，看來問題很嚴重。隨后，2020/02/19，我們深入分析了官方披露在 status.iota.org 上的一些線索，開始獨立調查這次嚴重安全事故的具體原因。

通過對 IOTA 官方錢包 Trinity 新版本發布的分析，我們在其 GitHub 上進行了版本比對，注意到了 MoonPay 這個第三方組件被移除，且我們注意到 Trinitiy 桌面錢包是基于 Electron 開發的，安全經驗告訴我們，這可能是個大坑，于是，我們 2020/02/19 時發布了一些推測：

慢霧：IOTA 用戶 Trinity 錢包被盜幣攻擊推測

IOTA 因為近期不少用戶的 Trinity 錢包被盜幣攻擊，為了阻止攻擊繼續、調查與修復具體原因，主網協調器都暫停運行了。這是一個被低估的經典攻擊，官方沒披露具體攻擊細節，但通過我們的分析，可以做出某些重要推測，首先可以明確的幾個點：

慢霧：CoinsPaid、Atomic與Alphapo攻擊者或均為朝鮮黑客組織Lazarus:7月26日消息，慢霧發推稱，CoinsPaid、Atomic與Alphapo攻擊者或均為朝鮮黑客組織Lazarus Group。慢霧表示，TGGMvM開頭地址收到了與Alphapo事件有關TJF7md開頭地址轉入的近1.2億枚TRX，而TGGMvM開頭地址在7月22日時還收到了通過TNMW5i開頭和TJ6k7a開頭地址轉入的來自Coinspaid熱錢包的資金。而TNMW5i開頭地址則曾收到了來自Atomic攻擊者使用地址的資金。[2023/7/26 16:00:16]

不是 IOTA 區塊鏈協議的問題，是 IOTA 的 Trinity 桌面錢包的問題（官方說的，且先相信）

這款桌面錢包基于 Electron(一個使用 JavaScript 為核心構建桌面應用的框架)，意味著核心代碼是 JavaScript 寫的

慢霧：蘋果發布可導致任意代碼執行的嚴重漏洞提醒，請及時更新:7月11日消息，慢霧首席信息安全官23pds發推稱，近日蘋果發布嚴重漏洞提醒，官方稱漏洞CVE-2023-37450可以在用戶訪問惡意網頁時導致在你的設備上任意代碼執行，據信這個已經存在被利用的情況，任意代碼危害嚴重，請及時更新。[2023/7/11 10:47:05]

在做該做錢包新舊版本代碼的 diff 分析時，發現去除了之前內置的一個交易所功能模塊 MoonPay，這其中關鍵點是去掉了一段可怕的代碼：

const script = document.createElement('script');script.src = 'https://cdn.moonpay.io/moonpay-sdk.js';document.write(script.outerHTML);如果這個第三方 JavaScript 鏈接主動或被黑作惡，那該桌面版錢包就可以認為是完全淪陷了。到這，我們很有理由相信這是個很大的定時炸彈，如果這個定時炸彈是真的炸了，那很吻合官方的一些說辭與解釋，如：盡快升級新版本的 Trinity 桌面錢包，盡快改密碼，盡快轉移資產到安全種子里等等。且看官方的后續披露。

慢霧：LendHub疑似被攻擊損失近600萬美金，1100枚ETH已轉移到Tornado Cash:金色財經報道，據慢霧區情報，HECO生態跨鏈借貸平臺LendHub疑似被攻擊，主要黑客獲利地址為0x9d01..ab03。黑客于1月12日從Tornado.Cash接收100ETH后，將部分資金跨鏈到Heco鏈展開攻擊后獲利，后使用多個平臺（如TransitSwap、Multichain、Uniswap、Curve和OptimismBridge）跨鏈或兌換被盜資金。截至目前，黑客已分11筆共轉1,100ETH到Tornado.Cash。被攻擊的具體原因尚待分析，慢霧安全團隊將持續跟進此事件。[2023/1/13 11:10:43]

今天(2020/02/22)，我們注意到了官方披露了一些細節，基本驗證了我們的推測。

https://blog.iota.org/trinity-attack-incident-part-1-summary-and-next-steps-8c7ccc4d81e8

慢霧：靚號黑客已獲取到ParaSwap Deployer和QANplatform Deployer私鑰權限:10月11日消息，據慢霧區情報，靚號黑客地址之一（0xf358..7036）已經獲取到ParaSwap Deployer和QANplatform Deployer私鑰權限。黑客從ParaSwap Deployer地址獲取到約1千美元，并在QANplatform Deployer地址做了轉入轉出測試。慢霧MistTrack對0xf358..7036分析后發現，黑客同樣盜取了The SolaVerse Deployer及其他多個靚號的資金。截止目前，黑客已經接收到超過17萬美元的資金，資金沒有進一步轉移，地址痕跡有Uniswap V3、Curve、TraderJoe，PancakeSwap、OpenSea和Matcha。慢霧MistTrack將持續監控黑客地址并分析相關痕跡。[2022/10/11 10:31:05]

重點關注下這段：

慢霧：去中心化期權協議Acutus的ACOWriter合約存在外部調用風險:據慢霧區消息，2022年3月29日，Acutus的ACOWriter合約遭受攻擊，其中_sellACOTokens函數中外部調用用到的_exchange和exchangeData參數均為外部可控，攻擊者可以通過此漏洞進行任意外部調用。目前攻擊者利用該手法已經盜取了部分授權過該合約的用戶的資產約72.6萬美金。慢霧安全團隊提醒使用過該合約的用戶請迅速取消對該合約的授權以規避資產被盜風險。[2022/3/29 14:25:07]

The attacker started on November 27th, 2019 with a DNS-interception Proof of Concept that used a Cloudflare API key to rewrite the api.moonpay.io endpoints, capturing all data going to api.moonpay.io for potential analysis or exfiltration. Another longer-running Proof of Concept was evaluated by the attacker one month later, on December 22nd, 2019. On January 25th, 2020, the active-kxfx attack on Trinity began, where the attacker started shipping illicit code via Moonpay’s DNS provider at Cloudflare.

攻擊者利用 MoonPay 的 Cloudflare API Key 完成了后續一系列劫持攻擊，預估被盜的 IOTA 達 8.55 Ti(8550000 枚 MIOTA，MIOTA 現在是交易所默認最小交易單元，當前價格 0.267 美金/MIOTA)。根據我們歷史經驗，如果 Web 服務方使用了 Cloudflare，而其 Cloudflare 賬號權限被控制，就可以做到非常完美的中間人劫持攻擊，注入惡意 JavaScript。而 Trinity 桌面錢包又是基于 Electron，一個完美的 JavaScript 執行環境就擺在這，不需要任何特別的越權，JavaScript 可以完成用戶或 Trinity 錢包可以完成的任何事情，其中就包括密碼和種子的盜取等等。

由于我們不像 IOTA 和 MoonPay 官方，他們擁有足夠的日志記錄來將攻擊過程完整掌握，我們只能通過我們所能接觸到的完成以上推測與相關分析工作。剩下的就希望官方公布具體細節并盡快完成主網的重新運行。

在這，我們不得不提的一些安全看法及建議：

第三方是可以邪惡的，默認都不可信，軟件安全開發過程一定要警惕第三方依賴，包括第三方組件與第三方 JavaScript 鏈接

注：IOTA 基金會聯合創始人 Dominik Schiener 表示：“此次攻擊是由于集成 MoonPay 的漏洞造成，「Trinity 錢包所犯的最大錯誤是沒有集成 NPM 軟件包，并且沒有適當地對集成進行安全審核」”我們站在第三方獨立安全審計的角度認為，這種說法是不嚴謹的，在加密貨幣發展的歷史上，因為 NPM 包中引用的第三方源而導致的加密貨幣被盜案件不在少數。如知名的 "event-stream" 事件

Cloudflare 等第三方 CDN/WAF 服務很優秀很強大，但如果使用者沒安全管理好自己的賬號權限，其 Web 服務將會遭遇完美的中間人攻擊

公鏈官方錢包的一個致命缺陷可能搞垮一條公鏈，鏈上安全關注的同時，鏈下安全也不能忽視，他們是一直整體，這也是為什么我們關注的是區塊鏈生態安全，而不是僅僅區塊鏈本身的鏈上安全

作為 IOTA 官方錢包 Trinity 的使用者來說，盡快按官方的指導完成安全加固工作，這個就不多說了

相關鏈接：

Trinity Attack Incident Part 1: Summary and next steps https://blog.iota.org/trinity-attack-incident-part-1-summary-and-next-steps-8c7ccc4d81e8

Trinity Attack Incident Part 2: Trinity Seed Migration Plan https://blog.iota.org/trinity-attack-incident-part-2-trinity-seed-migration-plan-4c52086699b6

Trinity Attack Incident Part 3: Key Learnings & Takeaways https://blog.iota.org/trinity-attack-incident-part-3-key-learnings-takeaways-c933de22fd0a

IOTA Status Page: https://status.iota.org/

如何看待 NPM 包 event-stream 被黑客篡改，發現包含惡意代碼？https://www.zhihu.com/question/303815270

Tags：IOTIOTARINTRINDXIOTiota幣價格print幣怎么刪除UTRIN

比特幣價格實時行情