详解“币安惊魂夜”：赵长鹏半月前已收到警报 多个大交易所仍有漏洞

文 | 司马子羽

3月7日，知名数字货币交易平台币安遭到黑客攻击，此次攻击造成全球数字币价格大跌。

根据币安交易所的公告，有31个账户遭到黑客的钓鱼入侵，黑客在掌握用户的账户权限之后，使用机器挂单，进行程序化高频交易，给用户带来巨大损失。

这几天关于此事的新闻很多，但绝大多数都是从事件本身出发，对数字货币的影响、对交易平台的影响等。

最关键的一点没人提及：到底钓鱼事件是怎么发生的，作为币安的普通用户，我们应该如何防御此类攻击？

一年前，华裔学生报告unicode钓鱼漏洞

在币安交易所发布的公告中指出，本次攻击，黑客使用了“unicode钓鱼手法”，这个是什么鬼？估计99%的记者没看懂。

2017年4月14日，在约翰霍普金斯大学研究数学的学生xudong zheng发表了一篇论文，题目是《Phishing with Unicode Domains》，中文大意为“用unicode网址钓鱼”。文章中给出了一种钓鱼的方法，多语言字符混合来骗过用户的眼睛。

安全专家向黑奇士表示，咱们使用的浏览器，是以英文为基础的，包括网址在开始也是仅能解析英文，所谓的unicode编码。

为了让浏览器支持多语言，有人开发了punycode编码，这套编码可以让世界上其他的语言可以被浏览器“理解”，比如中文、俄文、韩语。

例如，你要访问苹果网站，在最早你必须输入英文的apple.com；后来中国的cnnic、3721等公司，相继开发了自己的插件，让浏览器支持“新浪.com”、”“百度.com”这样的域名。Punycode就相当于一款语言插件（编码标准），被内置在了主流浏览器当中。

但使用puycode编码的网址会有一个问题，比如中文拼音的 ü，跟英文单词的u，看起来非常像（一个头上有两点，一个没有），但这套编码会识别成两个字母。

这就带来一种攻击：有人把各种语言的相似字母组合在一起，冒充知名网址。

本次币安的钓鱼攻击，就是有人把西里尔语字母，跟英文字母结合，冒充币安的网址。

黑奇士采访的资深白帽子M表示，即使是专业安全人士，如果对web安全不熟，面对这种钓鱼也很有可能上当。

半月前赵常鹏已收到警报，但未做处理

所谓的钓鱼攻击，本质上就是用户在一个“仿冒网站”上输入了自己的账号密码。

这个仿冒网站，要想针对性的投放到币安用户群中，黑客会使用一些精准化的投放手法，例如搜索引擎的广告投放、向币安用户发送钓鱼邮件、在电报群中点对点发送网址链接等。

这些动作不能在短期内起效，如果交易所在安全监控上投入精力，是有可能早期发现、早期处理类似事件的。

可惜的，币安交易所并未做到。

有微信截图显示，早在2月20日，有人向币安交易所创始人赵某发布了钓鱼警告，他表示问题已得到处理。从币安的后续措施来看，他并未把这个警告当真，至少没有向存在风险的用户发布警告，以求尽力挽回损失。

白帽子M先生表示，针对此类unicode钓鱼，主流浏览器已经能够防御。在PC端，只要把浏览器升级到最新版本，就能解决一大部分威胁；在手机上，安装杀毒软件也能解决很多问题。如果是苹果手机，安装腾讯手机管家，iOS系统会调用其SDK，也能对钓鱼网址进行拦截。

黑奇士查看币安网站，截至发稿，网站首页没有任何安全提醒。

普通用户应该如何防范此类钓鱼攻击？

黑奇士提醒普通用户，可以采取如下措施，降低数字币交易所的安全风险：

1、 无论手机端还是PC端，都必须安装杀毒软件，而且要安装套装。单纯“杀毒”，是无法解决钓鱼这样问题的，黑奇士推荐卡巴斯基的杀毒套装（付费版），国内的话，可以尝试腾讯安全管家或火绒杀毒软件（两者均为免费软件）。

2、浏览器必须保持实时升级。事实上，uniode钓鱼过去已经一年，主流浏览器都应该打了补丁，对近似字符区别性显示。但国内有些换壳的浏览器，核心升级不如原版浏览器，这些可能存在安全问题。例如360浏览器、搜狗浏览器、猎豹浏览器，都可能存在此类问题。

黑奇士推荐安装在线安装chrome浏览器。国内网站下载的full版chrome浏览器，升级功能受到限制，可能导致安全性能受损。

3、 对于普通小白用户，推荐使用密码管理器，软件会自动识别网址，在仿冒的网址上不会自动填入密码。但需要指出的是，这类密码管理器一旦被人入侵，所有密码都会被窃取。如何权衡风险和便利，还需要用户自己把握尺度。

4、 手机端下载交易所软件时，不要怕麻烦，一定要从官网下载，不要从国内的手机软件商店下载。那些软件可能存在仿冒、换皮等问题。

多个大交易所仍有漏洞

3月10日，有安全研究者在知乎表示，除了用户账户被窃之外，交易所的风控逻辑存在漏洞，也是这次攻击成功的关键。

知乎网友“二子乘舟”在文章中推测，币安交易所并未采取真正的OTP（One-time Password）逻辑。

有币安受害者在国外网站表示，自己开启了币安最高等级的2FA认证。所谓2FA，就是在登陆账户的时候，除了账号名、密码需要正确之外，网站还会向你发送一个手机验证短信，验证成功才允许登陆，这个在业内叫二次验证。

币安的逻辑漏洞在于，手机验证短信在30秒有效期内可以被二次使用：用户首先在币安使用，然后黑客再利用这条短信再次登陆，验证码仍然有效。

而实际上，真正的OTP只允许一次登陆，即使在有效期之内，只要有人使用过一次，就会及时作废，防止黑客和用户同时异地登陆。

根据“二子乘舟”的检验，包括火币、Bigone等著名交易所仍然存在OTP验证漏洞，可能会被黑客攻击。

安全厂商发布首个区块链安全整体解决方案

3月12日，知名安全厂商顶象科技发布了区块链安全整体解决方案。在这个方案中，像币安钓鱼的这种案例，被归为“盗号非法登陆”。

顶象高级安全专家朱烨表示，如果部署了顶象的方案，当黑客窃取了用户的密码，试图登陆币安网站或App时，可以对其进行设备指纹、常用登陆IP、交易行为等多维度的风险模型识别，一旦发现异常即可阻止。

而且，根据币安的公告，黑客使用了机械化高频交易程序，控制被窃账户频繁交易。像这种行为，在拥有丰富传统金融安全经验的安全模型来说，对其进行防御轻而易举，有多种安全策略可以奏效。

据介绍，顶象方案从以下三个方面来保护区块链安全：

第一、防控各类外部入侵和漏洞利用：通过区块链业务安全方案能够快速发现攻击者针对账户的撞库和漏洞入侵尝试，对App\H5进行整体保护，防止攻击者的破解入侵和终端密钥 盗取；及时拦截各类风险访问和操作；同时针对钓鱼场景可识别被钓鱼账户等；

第二、防控各类非法登录和高危恶意操作：通过区块链业务安全方案可以有效辨别账号登录者的真伪，阻止被盗号、遭冒用、非法登录，并对登录IP、终端关键信息等进行画像分析，以便于追溯和再次防范；同时，还能够发现非授权的资产的转移、提现、盗取信息等恶意操作，并联动阻断拦截；

第三、保护隐私信息和关键数据：通过区块链业务安全方案，实现对使用者身份的核验、分布式的密钥管理、高强度的加密等，保障链上数据细粒度授权访问，保障关键数据和信息的安全；

安全路正长，诸君当努力

在黑奇士看来，现在无论什么行业，对于业务安全的需求都是有增无减。

以区块链相关为例，币安交易所对应了传统的沪深交易所，从收入水平、业务规模上都几乎可以与其匹敌。但每年沪深交易所的安全投入都是以数十亿计，币安投入了多少，对安全能说足够重视吗？

昨天，币安发布公告，悬赏25万美元捉拿黑客。

我想说，这种作秀有意思吗，你把这25万美元放到安全防御上行不行？

再次一点，你如果舍得丢脸，在2月20号收到警告的时候，官方发个安全公告，提醒用户小心钓鱼攻击，还会有后来的3.7惊魂吗？

一声叹息。

安全路正长，从业诸君当努力啊！

司马子羽，专注黑产、羊毛党研究，有11年安全从业经验，目前是黑奇士自媒体主笔。

责编 | 晓宇

“投资人UGC栏目”诚邀感兴趣的投资人向铅笔道投稿。内容可参考：1、对行业、市场的见解与看法；2、投资案例笔记；3、对某一行业的深入研究心得、行业报告等。投稿请加微信（124926554）或联系邮箱（wuxiaoyu@oa.pencilnews.cn）。

*本文系“黑奇士”首发。内容仅代表个人观点，不代表铅笔道立场。如需转载，请联系原作者获取授权。