Làm thế nào mà tin tặc và kẻ trộm đã đánh cắp 400 triệu tiền kỹ thuật số từ sàn giao dịch trong nửa năm?

Gần đây, liên tiếp các vụ đánh cắp nền tảng giao dịch tiền kỹ thuật số đã trở thành tâm điểm của nhiều phương tiện truyền thông, trong số đó có Binance, 10 nền tảng giao dịch tiền kỹ thuật số hàng đầu thế giới, đã bị tin tặc đánh cắp 7.000 BTC (giá thị trường là 40 triệu đô la Mỹ tại thời điểm hiện tại). vụ tai nạn ngay lập tức thu hút sự chú ý của giới truyền thông công nghệ, đưa vấn đề bảo mật đã mất từ ​​​​lâu của nền tảng giao dịch tiền kỹ thuật số trở lại với công chúng.Những lỗ hổng nào dẫn đến hành vi trộm cắp các nền tảng giao dịch này? Ai có thể đảm bảo an toàn cho tài sản của người dùng?

1. Khắc phục sự cố đánh cắp nền tảng giao dịch

Kể từ năm 2019, tổng cộng 8 nền tảng giao dịch tiền kỹ thuật số đã chính thức thông báo rằng chúng đã bị đánh cắp, chỉ có 3 nền tảng chính thức bồi thường cho người dùng và 1 nền tảng là tài sản riêng của nền tảng. Trong số đó, Cryptopia, có vấn đề bảo mật nổi bật, đã bị đánh cắp hai lần trong vòng một tháng và hiện đang được bảo trì.

Những lý do khiến nền tảng bị đánh cắp bao gồm việc xâm nhập ví chính thức của nền tảng giao dịch, hard_fail, chiếm đoạt mã xác minh, đánh cắp khóa riêng và sự kết hợp của nhiều phương thức tấn công khác nhau. nền tảng giao dịch chủ yếu được chia thành hai loại.Một là lỗi của hệ thống phòng thủ và kiểm soát rủi ro kỹ thuật của chính nền tảng, tin tặc lợi dụng các lỗ hổng bảo mật để xâm nhập nền tảng và đánh cắp tiền kỹ thuật số, hai là nền tảng thiếu hệ thống nội bộ, dẫn đến việc đánh cắp thông tin cá nhân của người dùng .Trong những trường hợp đặc biệt xấu, thậm chí có hiện tượng thông tin cá nhân giao dịch bị rò rỉ.

2. Lỗ hổng trong hệ thống phòng thủ và kiểm soát rủi ro của nền tảng

Các lỗi hệ thống kiểm soát rủi ro kỹ thuật của nền tảng giao dịch tiền kỹ thuật số chủ yếu là do thiếu các thử nghiệm phòng thủ và tấn công bảo mật cũng như không triển khai hệ thống phòng thủ an ninh. Đối với các nền tảng giao dịch tiền kỹ thuật số chưa tiến hành kiểm tra bảo mật, chẳng hạn như Mercatox, tin tặc sử dụng các giao dịch chuyển hard_fail để lấy “sự tin tưởng” của máy chủ nền tảng. sự cố an ninh cấp thấp. Nếu nền tảng tìm kiếm một tổ chức bên thứ ba để thực hiện kiểm tra bảo mật trước khi hợp đồng được đưa lên mạng, thì hàng nghìn EOS sẽ không bị đánh cắp. Tất nhiên, chỉ có một số lượng rất nhỏ các nền tảng giao dịch có lỗi trong quá trình kiểm tra bảo mật, nhưng liên kết này cần được tăng cường.

Hầu hết các nền tảng giao dịch chủ yếu có những thiếu sót trong việc triển khai các hệ thống phòng thủ và kiểm soát rủi ro, chẳng hạn như BiKi và Binance.Thông báo chính thức của BiKi sau sự cố chỉ ra rằng tin tặc đã chiếm quyền điều khiển tin nhắn văn bản mã xác minh của nhà cung cấp dịch vụ bên thứ ba của người dùng để tấn công một số người dùng không ràng buộc mã xác minh của Google. Điều này phơi bày các vấn đề của hệ thống kiểm soát rủi ro của chính nó.Thứ nhất, nó bỏ qua việc chiếm quyền điều khiển của một người dùng xác minh.Thứ hai,nó không hạn chế rút tiền và giao dịch trong một khoảng thời gian nhất định đối với các tài khoản thay đổi mật khẩu đăng nhập và giao dịch.Thứ ba, nó không thiết lập nhận thức bảo mật của người dùng. .May mắn thay, BiKi đã không chấp thuận những khoản rút tiền này vào thời điểm đó, nếu không khoản lỗ sẽ ngày càng lớn hơn.

So với các công ty tài chính Internet, các nền tảng giao dịch tiền kỹ thuật số có những thiếu sót trong hệ thống phòng thủ và kiểm soát rủi ro của họ. Lấy Binance làm ví dụ, mặc dù Binance đã sử dụng quỹ SAFU để gánh chịu mọi thiệt hại của vụ tai nạn này nhằm tránh mất mát người dùng, nhưng loại bồi thường này không hoàn hảo và không thể đối phó với việc bồi thường cho nhiều sự cố bảo mật hơn. đối với tai nạn này là Có thiếu sót trong hệ thống phòng thủ và kiểm soát rủi ro. Trước hết, Binance thiếu khả năng phòng thủ để đối phó với các cuộc tấn công có hệ thống quy mô lớn.Làm cách nào mà tin tặc có được một số lượng lớn khóa API người dùng và mã xác minh Google? Một số lượng lớn khóa người dùng bị lấy trong một ngày Nếu hacker lấy được số tài khoản, mật khẩu và thông tin khác của người dùng thông qua trang web lừa đảo, tại sao Binance không tìm thấy địa chỉ URL và nội dung trang của trang web Binance giả mạo trước đó hoặc họ đã không tìm thấy phát hiện ra rằng tin tặc đã sử dụng tiền tệ Còn những lỗ hổng trong chương trình máy chủ trang web chính thức chèn mã HTML nguy hiểm vào một số trang web của trang web thì sao? Ngoài ra, công nghệ phòng thủ tấn công tổng hợp có nghĩa là áp dụng các phương pháp tấn công khác như vi-rút là không đủ.

Thứ hai, kiểm soát rủi ro của Binance có vấn đề lớn. Mặc dù 7.000 BTC bị đánh cắp chỉ chiếm 2% tổng số BTC nắm giữ được Binance công bố chính thức, nhưng điều này không thể che giấu vấn đề kiểm soát rủi ro của nền tảng Binance về phê duyệt rút tiền và chuyển khoản.

3. Thiếu hệ thống nội bộ

Trước đây, trong bài viết "Những thay đổi lớn trước và sau IPO, tại sao các sàn giao dịch tìm kiếm sự "tuân thủ"", đã chỉ ra rằng các nền tảng giao dịch tiền kỹ thuật số có nhiều danh tính.Việc đánh cắp nền tảng Bithumb cũng phản ánh việc thiếu các chức năng trong hệ thống nội bộ dưới nhiều danh tính. Các quan chức của nền tảng Bithumb tuyên bố rằng sự cố rút tiền bất thường không phải do các cuộc tấn công từ bên ngoài và ban đầu người ta xác định rằng nhân viên nội bộ đã đánh cắp "khóa riêng" của tiền kỹ thuật số. Tình trạng này phản ánh rằng có quá nhiều quyền lực tập trung vào các vị trí chức năng nội bộ của nền tảng Bithumb và không có sự phân tách chức năng nội bộ cần thiết cũng như thiết lập hệ thống kiểm tra và cân bằng quy định cần thiết, điều này sẽ dẫn đến việc nhân viên nội bộ sử dụng " khóa riêng" để chuyển tài sản tiền kỹ thuật số và tự đánh cắp xảy ra. hành vi hành vi.

Đây không phải là trường hợp cá biệt về việc tập trung quyền lực quá mức vào các nền tảng giao dịch tiền kỹ thuật số.QuadrigaCX, một nền tảng giao dịch tiền kỹ thuật số của Canada, đã nợ khách hàng 190 triệu USD do cái chết của người sáng lập Gerald Cotton. phá sản Đây là tất cả những tác hại do sự tập trung quá mức của các vị trí chức năng trên nền tảng giao dịch tiền kỹ thuật số đối với nền tảng và người dùng.

Mặt khác, cũng có thể thấy rằng hệ thống trách nhiệm nội bộ của Bithumb còn thiếu và nó đã không ngăn được những nhân viên vô trách nhiệm hoặc nhân viên cũ sử dụng thông tin họ cần lấy để gây nguy hiểm cho nền tảng. Nhân viên nội bộ nên lấy và sử dụng dữ liệu nội bộ để xin cấp phép xem xét và đăng ký sao lưu. Bất kỳ ai lạm dụng dữ liệu nội bộ để gây nguy hiểm cho nền tảng sẽ phải chịu trách nhiệm về hậu quả của hành vi này.

4. Cá nhân nên làm thế nào để tránh bị đánh cắp mật khẩu tài khoản?

Ngoài nhu cầu cải thiện hệ thống phòng thủ và kiểm soát rủi ro cũng như cải thiện hệ thống nội bộ của nền tảng giao dịch tiền kỹ thuật số, các nhà đầu tư cá nhân nên làm thế nào để ngăn mật khẩu tài khoản bị đánh cắp và thậm chí dẫn đến mất tài sản kỹ thuật số? Liên quan đến vấn đề này, các kỹ thuật viên bảo mật của RatingToken đã chỉ ra rằng các nhà đầu tư cá nhân cần hết sức lưu ý 6 điểm sau:

1. Khi đăng nhập vào các trang web như ngân hàng, sàn giao dịch, ví, v.v., hãy luôn sử dụng liên kết an toàn bắt đầu bằng https;

2. Điện thoại di động, máy tính, ví phần cứng và các thiết bị kết nối Internet khác không tùy ý sử dụng Wi-Fi không xác định của bên thứ ba;

3. Nếu điều kiện tiên quyết cho phép, bạn phải cài đặt phần mềm diệt vi-rút và từ chối "vạch";

4. Khi xảy ra các tình huống bất thường trên trang web và APP, hãy kịp thời xác nhận và chấm dứt các hoạt động chính;

5. Không mở plug-in, email hoặc liên kết từ các nguồn không xác định;

6. Cố gắng chuyển một lượng lớn tài sản tiền kỹ thuật số sang ví lạnh nổi tiếng và đáng tin cậy.

Đối tác công nghệ:

Trang web chính thức: ratingtoken.io

RatingToken xếp hạng các loại tiền kỹ thuật số và ICO dựa trên dữ liệu dự án chuỗi khối và cung cấp bảng xếp hạng mới nhất và đầy đủ nhất về các loại tiền kỹ thuật số và ICO, cũng như các báo cáo nghiên cứu về tiền ảo và tin tức về tiền điện tử.

Nhóm bảo mật RatingToken có hơn 50 người, trong đó dữ liệu lớn, trí tuệ nhân tạo và nhân viên R&D chuỗi khối chiếm hơn 90%. Hầu hết các thành viên trong nhóm đều đến từ nhóm phần mềm diệt virus nổi tiếng Kingsoft Antivirus.

RatingToken tiếp nối sức mạnh kỹ thuật của Kingsoft Security, cam kết với lĩnh vực bảo mật chuỗi khối và cung cấp các dịch vụ bảo mật như kiểm tra hợp đồng thông minh.