해커와 도둑은 어떻게 반년 만에 거래소에서 4억 달러 상당의 디지털 화폐를 훔쳤을까?

최근 디지털 화폐 거래 플랫폼에 대한 잇따른 도난 사건이 각종 언론의 헤드라인을 장식하게 되었는데, 그 중 세계 10위 디지털 화폐 거래 플랫폼인 바이낸스가 해커들에게 7,000 BTC(시세 기준 미화 4,000만 달러)를 도난당했습니다. 이 사고는 즉시 기술 매체의 관심을 끌었고 오랫동안 잃어버린 디지털 통화 거래 플랫폼의 보안 문제를 다시 대중의 눈에 띄게 했습니다.어떤 취약점으로 인해 이러한 거래 플랫폼이 도난당했습니까? 누가 사용자 자산의 안전을 보장할 수 있습니까?

1. 거래 플랫폼 도난 사고 복구

2019년 이후 총 8개의 디지털 통화 거래 플랫폼이 도난당했다고 공식적으로 발표했으며 3개만이 사용자에게 공식 보상을 했으며 1개는 플랫폼 자체 자산입니다. 이 중 보안 문제가 두드러진 크립토피아는 한 달 사이에 두 차례 도난당해 현재 점검 중이다.

플랫폼 탈취의 원인으로는 거래 플랫폼의 공식 지갑 침입, hard_fail, 인증코드 하이재킹, 개인키 탈취, 다양한 공격 방식의 조합 등이 있으며, 최종 분석에 따르면 탈취 이유는 거래 플랫폼은 주로 두 가지 범주로 나뉩니다.하나는 플랫폼 자체의 기술적 위험 통제 및 방어 시스템의 결함이고, 해커는 보안 허점을 이용하여 플랫폼에 침입하여 디지털 통화를 훔치고, 다른 하나는 플랫폼 내부 시스템이 부족하여 사용자의 개인 정보를 도용합니다. .특히 안 좋은 경우 거래 개인정보 유출 현상까지 발생합니다.

2. 플랫폼의 위험 통제 및 방어 시스템의 결함

디지털 통화 거래 플랫폼의 기술적 위험 제어 시스템 결함은 주로 보안 공격 및 방어 테스트 부족과 보안 방어 시스템 배포 실패로 인한 것입니다. Mercatox와 같이 보안 테스트를 수행하지 않은 디지털 통화 거래 플랫폼의 경우 해커는 hard_fail 전송 트랜잭션을 사용하여 플랫폼 서버의 "신뢰"를 얻습니다.플랫폼의 부족한 기술 감사 및 테스트 기능이 낮은 수준의 보안 사고. 플랫폼이 계약이 온라인으로 전환되기 전에 보안 검사를 수행하기 위해 제3자 조직을 찾는다면 수천 개의 EOS가 도난당하지 않을 것입니다. 물론 보안 테스트에 결함이 있는 거래 플랫폼은 극소수에 불과하지만 이 연결 고리를 강화해야 합니다.

대부분의 거래 플랫폼은 주로 BiKi 및 Binance와 같은 위험 통제 및 방어 시스템 배포에 결함이 있습니다.사건 이후 비키의 공식 발표는 해커들이 구글 인증코드를 묶지 않은 일부 사용자들을 공격하기 위해 사용자의 제3자 서비스 제공자 인증코드 문자 메시지를 탈취했다고 지적했다. 이는 자체 리스크 관리 시스템의 문제점을 노출시키는 것으로 첫째, 단일 인증 사용자의 도용을 무시하고 둘째, 로그인 및 거래 비밀번호를 변경하는 계정에 대해 일정 기간 동안 출금 및 거래를 제한하지 않는다는 점, 셋째, 사용자 보안 인식을 확립하지 않습니다. .다행스럽게도 BiKi는 당시 이러한 인출을 승인하지 않았습니다. 그렇지 않으면 손실이 더 커질 것입니다.

인터넷 금융 회사와 비교할 때 디지털 통화 거래 플랫폼은 위험 통제 및 방어 시스템에 결함이 있습니다. 바이낸스를 예로 들자면, 바이낸스가 이번 사고로 인한 모든 손실을 SAFU 펀드를 사용하여 사용자 손실을 방지했지만, 이러한 보상은 완벽하지 않으며 더 광범위한 보안 사고에 대한 보상에 대처할 수 없습니다. 이 사고에 대한 위험 통제 및 방어 시스템에 결함이 있습니다. 우선 바이낸스는 대규모의 조직적 공격에 대처할 수 있는 방어력이 부족한데, 해커들은 어떻게 대량의 사용자 API 키와 구글 인증코드를 확보했을까? 하루에 많은 수의 사용자 키가 획득됩니다.해커가 웹사이트 피싱을 통해 사용자 계정 번호, 비밀번호 및 기타 정보를 획득했다면 바이낸스는 왜 위조 바이낸스 웹사이트의 URL 주소와 페이지 콘텐츠를 더 일찍 찾지 않았거나, 해커가 통화를 사용했음을 발견했습니다. 사이트의 일부 웹 페이지에 위험한 HTML 코드를 삽입하는 공식 웹 사이트 서버 프로그램의 허점은 어떻습니까? 또한 바이러스 등 다른 공격 방식을 중첩하는 복합 공격 방어 기술 수단도 미흡하다.

둘째, Binance의 위험 통제에는 큰 문제가 있습니다. 도난당한 7,000 BTC는 바이낸스가 공식적으로 발표한 총 BTC 보유량의 2%에 불과하지만, 이는 현금 인출 승인 및 송금 측면에서 바이낸스 플랫폼의 위험 통제 문제를 숨길 수 없습니다.

3. 내부 시스템 부족

이전에 "IPO 전후의 큰 변화, 거래소가 "준수"를 추구하는 이유"라는 기사에서 디지털 통화 거래 플랫폼이 여러 ID를 가지고 있다고 지적했습니다.빗썸 플랫폼 도용은 다중 아이덴티티 아래 내부 시스템의 기능 부족도 반영한다. 빗썸 플랫폼 관계자는 “이번 비정상 출금 사건은 외부 공격에 의한 것이 아니며 내부 직원이 암호화폐의 ‘비공개 키’를 훔친 것으로 1차 판단됐다”고 밝혔다. 이러한 상황은 빗썸 플랫폼의 내부 기능적 위치에 너무 많은 권한이 집중되어 있고, 필요한 내부 기능 분해와 필요한 규제 견제 및 균형 시스템 구축이 없기 때문에 내부 직원이 완전한 " 프라이빗 키"를 통해 디지털 통화 자산을 전송하고, 자기 도용 행위가 발생합니다.

이것은 디지털 통화 거래 플랫폼에 과도한 권력 집중의 고립된 사례가 아닙니다.캐나다 디지털 통화 거래 플랫폼인 QuadrigaCX는 설립자 Gerald Cotton의 사망으로 인해 고객에게 1억 9천만 달러를 빚지고 있습니다.대부분의 자금은 더 이상 접근할 수 없으며 결국 파산 이것들은 플랫폼과 사용자에 대한 디지털 통화 거래 플랫폼의 기능적 위치가 과도하게 집중되어 발생하는 모든 피해입니다.

한편, 빗썸의 내부 책임 체계가 미비해 무책임한 직원이나 전직 직원이 확보해야 할 정보를 플랫폼을 위험에 빠뜨리는 데 사용하는 것을 막지 못했다는 점도 엿볼 수 있다. 내부 직원은 내부 데이터를 획득하여 사용하여 검토 권한을 신청하고 백업을 등록해야 하며 내부 데이터를 악용하여 플랫폼을 위험에 빠뜨리는 행위의 결과에 대한 책임은 있습니다.

4. 개인은 계정 암호가 도난당하는 것을 어떻게 방지해야 합니까?

위험 통제 및 방어 시스템을 개선하고 디지털 통화 거래 플랫폼의 내부 시스템을 개선해야 할 필요성 외에도 개인 투자자는 어떻게 계정 암호가 도난당하는 것을 방지하고 디지털 자산의 손실을 초래해야 합니까? 이 문제와 관련하여 RatingToken 보안 기술자는 개인 투자자가 다음 6가지 사항에 세심한 주의를 기울여야 한다고 지적했습니다.

1. 은행, 거래소, 지갑 등의 웹사이트에 로그인할 때 항상 https로 시작하는 보안 링크를 사용하십시오.

2. 휴대 전화, 컴퓨터, 하드웨어 지갑 및 기타 인터넷 연결 장치는 제3자의 알 수 없는 Wi-Fi를 마음대로 사용하지 않습니다.

3. 전제 조건이 허용하는 경우 바이러스 백신 소프트웨어를 설치하고 "스트리킹"을 거부해야 합니다.

4. 웹 페이지 및 APP에 비정상적인 상황이 발생하면 적시에 주요 작업을 확인하고 종료합니다.

5. 출처를 알 수 없는 플러그인, 이메일 또는 링크를 열지 마십시오.

6. 많은 양의 디지털 통화 자산을 유명하고 신뢰할 수 있는 콜드 월렛으로 전송하십시오.

기술 파트너:

공식 웹사이트: ratingtoken.io

RatingToken은 블록체인 프로젝트 데이터를 기반으로 디지털 통화 및 ICO를 평가하여 디지털 통화 및 ICO의 최신 및 가장 완전한 순위와 가상 통화 연구 보고서 및 암호화폐 뉴스를 제공합니다.

RatingToken 보안 팀에는 50명 이상의 직원이 있으며 그 중 빅 데이터, 인공 지능 및 블록체인 R&D 인력이 90% 이상을 차지합니다. 대부분의 팀원은 유명한 바이러스 백신 소프트웨어인 Kingsoft Antivirus 팀 출신입니다.

RatingToken은 Kingsoft Security의 기술력을 이어가고 블록체인 보안 분야에 전념하며 스마트 계약 감사와 같은 보안 서비스를 제공합니다.