แฮ็กเกอร์และหัวขโมยขโมยสกุลเงินดิจิทัลมูลค่า 400 ล้านจากการแลกเปลี่ยนในครึ่งปีได้อย่างไร
เมื่อเร็ว ๆ นี้ การขโมยแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลครั้งแล้วครั้งเล่าทำให้สื่อต่าง ๆ ตกเป็นข่าว โดยในบรรดานั้น Binance ซึ่งเป็นแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลอันดับต้น ๆ ของโลก 10 อันดับแรกของโลกถูกแฮ็กเกอร์ขโมยไป 7,000 BTC (ราคาตลาดอยู่ที่ 40 ล้านดอลลาร์สหรัฐที่ เวลา) อุบัติเหตุดังกล่าวดึงดูดความสนใจของสื่อเทคโนโลยีในทันทีโดยนำปัญหาด้านความปลอดภัยที่หายไปนานของแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลกลับสู่สายตาของสาธารณชนช่องโหว่ใดที่นำไปสู่การขโมยแพลตฟอร์มการซื้อขายเหล่านี้ ใครสามารถรับประกันความปลอดภัยของทรัพย์สินของผู้ใช้?
1. การกู้คืนเหตุการณ์การขโมยแพลตฟอร์มการซื้อขาย
ตั้งแต่ปี 2019 แพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลทั้งหมด 8 แพลตฟอร์มได้ประกาศอย่างเป็นทางการว่าถูกขโมย มีเพียง 3 แพลตฟอร์มเท่านั้นที่ทำการชดเชยอย่างเป็นทางการให้กับผู้ใช้ และ 1 แพลตฟอร์มเป็นทรัพย์สินของแพลตฟอร์มเอง ในหมู่พวกเขา Cryptopia ซึ่งมีปัญหาด้านความปลอดภัยที่โดดเด่น ถูกขโมยสองครั้งภายในหนึ่งเดือนและกำลังอยู่ในระหว่างการบำรุงรักษา
สาเหตุของการขโมยแพลตฟอร์มรวมถึงการบุกรุกกระเป๋าเงินอย่างเป็นทางการของแพลตฟอร์มการซื้อขาย, hard_fail, การหักหลังรหัสยืนยัน, การขโมยคีย์ส่วนตัวและวิธีการโจมตีแบบต่างๆ รวมกัน ในการวิเคราะห์ขั้นสุดท้ายสาเหตุของการถูกขโมย แพลตฟอร์มการซื้อขายแบ่งออกเป็นสองประเภทหลักหนึ่งคือความบกพร่องของระบบควบคุมและป้องกันความเสี่ยงทางเทคนิคของแพลตฟอร์มเอง แฮกเกอร์ใช้ช่องโหว่ในการบุกรุกแพลตฟอร์มและขโมยสกุลเงินดิจิทัล อีกประการหนึ่งคือการขาดระบบภายในของแพลตฟอร์ม ซึ่งนำไปสู่การขโมยข้อมูลส่วนบุคคลของผู้ใช้ . โดยเฉพาะอย่างยิ่งในกรณีที่เลวร้าย, แม้แต่การทำธุรกรรมที่รั่วไหลของข้อมูลส่วนบุคคลปรากฏการณ์.
2. ข้อบกพร่องในระบบควบคุมและป้องกันความเสี่ยงของแพลตฟอร์ม
ข้อบกพร่องของระบบควบคุมความเสี่ยงทางเทคนิคของแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลส่วนใหญ่เกิดจากการขาดการทดสอบการโจมตีและการป้องกันด้านความปลอดภัย และความล้มเหลวในการปรับใช้ระบบป้องกันความปลอดภัย สำหรับแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลที่ไม่ได้ทำการทดสอบความปลอดภัย เช่น Mercatox แฮ็กเกอร์ใช้ธุรกรรมการโอนแบบ hard_fail เพื่อให้ได้ "ความไว้วางใจ" จากเซิร์ฟเวอร์ของแพลตฟอร์ม ไม่ยากที่จะเห็นว่าความสามารถในการตรวจสอบและทดสอบทางเทคนิคที่ไม่เพียงพอของแพลตฟอร์มนำไปสู่สาเหตุดังกล่าว เหตุการณ์ความปลอดภัยระดับต่ำ หากแพลตฟอร์มขอให้องค์กรบุคคลที่สามทำการตรวจสอบความปลอดภัยก่อนที่สัญญาจะออนไลน์ กล้อง EOS นับพันจะไม่ถูกขโมย แน่นอนว่ามีแพลตฟอร์มการซื้อขายจำนวนน้อยมากที่มีข้อบกพร่องในการทดสอบความปลอดภัย แต่ลิงก์นี้จำเป็นต้องได้รับการเสริมความแข็งแกร่ง
แพลตฟอร์มการซื้อขายส่วนใหญ่มีข้อบกพร่องในการติดตั้งระบบการควบคุมและป้องกันความเสี่ยง เช่น BiKi และ Binanceการประกาศอย่างเป็นทางการของ BiKi หลังจากเหตุการณ์ดังกล่าวชี้ให้เห็นว่าแฮ็กเกอร์ได้ขโมยข้อความรหัสยืนยันผู้ให้บริการบุคคลที่สามของผู้ใช้เพื่อโจมตีผู้ใช้บางรายที่ไม่ได้ผูกรหัสยืนยันของ Google สิ่งนี้เปิดเผยปัญหาของระบบควบคุมความเสี่ยงของตนเอง ประการแรก จะเพิกเฉยต่อการไฮแจ็คของผู้ใช้การตรวจสอบรายเดียว ประการที่สอง ไม่จำกัดการถอนและการทำธุรกรรมในช่วงระยะเวลาหนึ่งสำหรับบัญชีที่เปลี่ยนการเข้าสู่ระบบและรหัสผ่านการทำธุรกรรม ประการที่สาม ไม่สร้างการรับรู้ด้านความปลอดภัยของผู้ใช้ .โชคดีที่ BiKi ไม่อนุมัติการถอนเหล่านี้ในเวลานั้น มิฉะนั้นการสูญเสียจะขยายออกไปอีก
เมื่อเปรียบเทียบกับบริษัทการเงินทางอินเทอร์เน็ตแล้ว แพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลมีข้อบกพร่องในระบบควบคุมและป้องกันความเสี่ยง ยกตัวอย่าง Binance แม้ว่า Binance จะใช้กองทุน SAFU เพื่อแบกรับความสูญเสียทั้งหมดจากอุบัติเหตุครั้งนี้เพื่อหลีกเลี่ยงการสูญเสียผู้ใช้แต่การชดเชยแบบนี้ไม่สมบูรณ์แบบและไม่สามารถรับมือกับการชดเชยสำหรับเหตุการณ์ด้านความปลอดภัยในวงกว้างได้ เหตุผลหลัก สำหรับอุบัติเหตุครั้งนี้มีความบกพร่องของระบบการควบคุมและป้องกันความเสี่ยง ประการแรก Binance ขาดความสามารถในการป้องกันเพื่อรับมือกับการโจมตีระบบขนาดใหญ่ แฮ็กเกอร์ได้รับคีย์ API ผู้ใช้จำนวนมากและรหัสยืนยันของ Google ได้อย่างไร ได้รับรหัสผู้ใช้จำนวนมากในหนึ่งวันหากแฮ็กเกอร์ได้รับหมายเลขบัญชีผู้ใช้ รหัสผ่าน และข้อมูลอื่น ๆ ผ่านการฟิชชิ่งเว็บไซต์ เหตุใด Binance จึงไม่พบที่อยู่ URL และเนื้อหาหน้าของเว็บไซต์ Binance ปลอมก่อนหน้านี้ หรือพวกเขาไม่พบ พบว่าแฮ็กเกอร์ใช้สกุลเงิน แล้วช่องโหว่ในโปรแกรมเซิร์ฟเวอร์ของเว็บไซต์ทางการที่แทรกรหัส HTML ที่เป็นอันตรายลงในหน้าเว็บบางหน้าของเว็บไซต์ล่ะ นอกจากนี้ เทคโนโลยีการป้องกันการโจมตีแบบคอมโพสิตที่เหนือกว่าวิธีการโจมตีอื่นๆ เช่น ไวรัส ยังไม่เพียงพอ
ประการที่สอง การควบคุมความเสี่ยงของ Binance มีปัญหาที่สำคัญ แม้ว่า BTC 7,000 BTC ที่ถูกขโมยจะคิดเป็นเพียง 2% ของการถือครอง BTC ทั้งหมดที่ประกาศอย่างเป็นทางการโดย Binance แต่สิ่งนี้ไม่สามารถปกปิดปัญหาการควบคุมความเสี่ยงของแพลตฟอร์ม Binance ในแง่ของการอนุมัติการถอนเงินสดและการโอน
3. ขาดระบบภายใน
ก่อนหน้านี้ ในบทความ "การเปลี่ยนแปลงครั้งใหญ่ก่อนและหลังการเสนอขายหุ้น IPO เหตุใดบริษัทแลกเปลี่ยนจึงแสวงหา "การปฏิบัติตามข้อกำหนด"" ได้ชี้ให้เห็นว่าแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลมีหลายตัวตนการขโมยแพลตฟอร์ม Bithumb ยังสะท้อนถึงการขาดฟังก์ชันในระบบภายในภายใต้ข้อมูลระบุตัวตนหลายรายการ เจ้าหน้าที่แพลตฟอร์ม Bithumb ระบุว่าเหตุการณ์การถอนเงินที่ผิดปกติไม่ได้เกิดจากการโจมตีจากภายนอก และในเบื้องต้นระบุว่าพนักงานภายในขโมย "รหัสส่วนตัว" ของสกุลเงินดิจิทัล สถานการณ์นี้สะท้อนให้เห็นว่ามีอำนาจมากเกินไปที่กระจุกตัวอยู่ในตำแหน่งการทำงานภายในของแพลตฟอร์ม Bithumb และไม่มีการแยกส่วนการทำงานภายในที่จำเป็น และการจัดตั้งระบบตรวจสอบและถ่วงดุลตามข้อบังคับที่จำเป็น ซึ่งจะนำไปสู่พนักงานภายในโดยใช้ " รหัสส่วนตัว" เพื่อถ่ายโอนสินทรัพย์สกุลเงินดิจิทัลและเกิดการขโมยตัวเอง พฤติกรรม พฤติกรรม
นี่ไม่ใช่กรณีที่แยกจากกันของการกระจุกตัวมากเกินไปบนแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัล QuadrigaCX ซึ่งเป็นแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลของแคนาดาเป็นหนี้ลูกค้า 190 ล้านดอลลาร์เนื่องจากการเสียชีวิตของผู้ก่อตั้ง Gerald Cotton เงินส่วนใหญ่ไม่สามารถเข้าถึงได้อีกต่อไปและในที่สุดก็หมดไป ล้มละลาย สิ่งเหล่านี้ล้วนเป็นผลเสียที่เกิดจากการกระจุกตัวของตำแหน่งการทำงานบนแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลมากเกินไปต่อแพลตฟอร์มและผู้ใช้
ในทางกลับกัน จะเห็นได้ว่าระบบความรับผิดชอบภายในของ Bithumb ยังขาดอยู่ และไม่ได้ป้องกันพนักงานที่ขาดความรับผิดชอบหรืออดีตพนักงานจากการใช้ข้อมูลที่พวกเขาต้องการเพื่อเป็นอันตรายต่อแพลตฟอร์ม บุคลากรภายในควรได้รับและใช้ข้อมูลภายในเพื่อยื่นขออนุมัติการตรวจสอบและลงทะเบียนสำรองข้อมูล ใครก็ตามที่ ใช้ข้อมูลภายในในทางที่ผิดจนเป็นอันตรายต่อแพลตฟอร์มจะต้องรับผิดชอบต่อผลที่ตามมาจากพฤติกรรมนี้
4. บุคคลควรป้องกันไม่ให้รหัสผ่านบัญชีถูกขโมยได้อย่างไร?
นอกจากความจำเป็นในการปรับปรุงระบบควบคุมและป้องกันความเสี่ยงและปรับปรุงระบบภายในของแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัลแล้ว นักลงทุนรายย่อยควรป้องกันไม่ให้รหัสผ่านบัญชีถูกขโมยและนำไปสู่การสูญเสียทรัพย์สินดิจิทัลได้อย่างไร เกี่ยวกับปัญหานี้ ช่างเทคนิคด้านความปลอดภัยของ RatingToken ชี้ให้เห็นว่านักลงทุนรายย่อยจำเป็นต้องให้ความสนใจอย่างใกล้ชิดกับ 6 ประเด็นต่อไปนี้:
1. เมื่อเข้าสู่เว็บไซต์ เช่น ธนาคาร ตลาดแลกเปลี่ยน กระเป๋าเงิน ฯลฯ ให้ใช้ลิงก์ที่ปลอดภัยที่ขึ้นต้นด้วย https เสมอ
2. โทรศัพท์มือถือ คอมพิวเตอร์ ฮาร์ดแวร์วอลเล็ท และอุปกรณ์เชื่อมต่ออินเทอร์เน็ตอื่นๆ ไม่ใช้ Wi-Fi ที่ไม่รู้จักของบุคคลที่สามตามต้องการ
3. หากข้อกำหนดเบื้องต้นอนุญาต คุณต้องติดตั้งซอฟต์แวร์ป้องกันไวรัสและปฏิเสธที่จะ "striping"
4. เมื่อเกิดสถานการณ์ผิดปกติบนเว็บเพจและแอป ให้ยืนยันและยุติการดำเนินการหลักอย่างทันท่วงที
5. อย่าเปิดปลั๊กอิน อีเมล หรือลิงก์จากแหล่งที่ไม่รู้จัก
6. พยายามโอนสินทรัพย์สกุลเงินดิจิทัลจำนวนมากไปยังกระเป๋าเงินเย็นที่เป็นที่รู้จักและเชื่อถือได้
พันธมิตรด้านเทคโนโลยี:
เว็บไซต์อย่างเป็นทางการ: ratingtoken.io
RatingToken ให้คะแนนสกุลเงินดิจิทัลและ ICO ตามข้อมูลโครงการบล็อกเชน และให้การจัดอันดับล่าสุดของสกุลเงินดิจิทัลและ ICO รวมถึงรายงานการวิจัยสกุลเงินเสมือนและข่าวสารเกี่ยวกับสกุลเงินดิจิทัล
ทีมรักษาความปลอดภัย RatingToken มีพนักงานมากกว่า 50 คน ซึ่งในจำนวนนี้มีบุคลากรด้านข้อมูลขนาดใหญ่ ปัญญาประดิษฐ์ และบล็อกเชน R&D คิดเป็นสัดส่วนมากกว่า 90% สมาชิกในทีมส่วนใหญ่มาจากทีมซอฟต์แวร์ป้องกันไวรัสชื่อดัง Kingsoft Antivirus
RatingToken ยังคงความแข็งแกร่งทางเทคนิคของ Kingsoft Security มุ่งมั่นในด้านการรักษาความปลอดภัยของบล็อกเชน และให้บริการด้านความปลอดภัย เช่น การตรวจสอบสัญญาอัจฉริยะ
