设为首页 - 加入收藏
广告 1000x90
您的当前位置:主页 > 开户彩金 > 正文

“币安惊魂夜”: 赵长鹏半月前已收到警报 火币

来源:网络整理 编辑:采集侠 时间:2018-03-17

“币安惊魂夜”: 赵长鹏半月前已收到警报 火币bigone仍有漏洞

2018-03-13 13:10 来源:黑奇士 知乎 /苹果 /手机

原标题:“币安惊魂夜”: 赵长鹏半月前已收到警报 火币bigone仍有漏洞

3月7日,知名数字货币交易平台币安遭到黑客攻击,此次攻击造成全球数字币价格大跌。

根据币安交易所的公告,有31个账户遭到黑客的钓鱼入侵,黑客在掌握用户的账户权限之后,使用机器挂单,进行程序化高频交易,给用户带来巨大损失。

这几天关于此事的新闻很多,但绝大多数都是从事件本身出发,对数字货币的影响、对交易平台的影响等。

最关键的一点没人提及:到底钓鱼事件是怎么发生的,作为币安的普通用户,我们应该如何防御此类攻击?

(1)一年前,华裔学生报告unicode钓鱼漏洞

在币安交易所发布的公告中指出,本次攻击,黑客使用了“unicode钓鱼手法”,这个是什么鬼?估计99%的记者没看懂。

2017年4月14日,在约翰霍普金斯大学研究数学的学生xudong zheng发表了一篇论文,题目是《Phishing with Unicode Domains》,中文大意为“用unicode网址钓鱼”。文章中给出了一种钓鱼的方法,多语言字符混合来骗过用户的眼睛。

安全专家向黑奇士表示,咱们使用的浏览器,是以英文为基础的,包括网址在开始也是仅能解析英文,所谓的unicode编码。

为了让浏览器支持多语言,有人开发了punycode编码,这套编码可以让世界上其他的语言可以被浏览器“理解”,比如中文、俄文、韩语。

例如,你要访问苹果网站,在最早你必须输入英文的apple.com;后来中国的cnnic、3721等公司,相继开发了自己的插件,让浏览器支持“新浪.com”、”“百度.com”这样的域名。Punycode就相当于一款语言插件(编码标准),被内置在了主流浏览器当中。

但使用puycode编码的网址会有一个问题,比如中文拼音的 ü,跟英文单词的u,看起来非常像(一个头上有两点,一个没有),但这套编码会识别成两个字母。

这就带来一种攻击:有人把各种语言的相似字母组合在一起,冒充知名网址。

本次币安的钓鱼攻击,就是有人把西里尔语字母,跟英文字母结合,冒充币安的网址。

黑奇士采访的资深白帽子M表示,即使是专业安全人士,如果对web安全不熟,面对这种钓鱼也很有可能上当。

“币安惊魂夜”: 赵长鹏半月前已收到警报 火币

(看到n下面那两点了吗,那不是英文字母)

(2)半月前赵长鹏已收到警报,但未做处理

所谓的钓鱼攻击,本质上就是用户在一个“仿冒网站”上输入了自己的账号密码。

这个仿冒网站,要想针对性的投放到币安用户群中,黑客会使用一些精准化的投放手法,例如搜索引擎的广告投放、向币安用户发送钓鱼邮件、在电报群中点对点发送网址链接等。

这些动作不能在短期内起效,如果交易所在安全监控上投入精力,是有可能早期发现、早期处理类似事件的。

“币安惊魂夜”: 赵长鹏半月前已收到警报 火币

(赵长鹏凭借币安累积的巨额财富,登上了福布斯封面)

可惜的,币安交易所并未做到。

有微信截图显示,早在2月20日,有人向币安交易所创始人赵长鹏发布了钓鱼警告,他表示问题已得到处理。从币安的后续措施来看,他并未把这个警告当真,至少没有向存在风险的用户发布警告,以求尽力挽回损失。

“币安惊魂夜”: 赵长鹏半月前已收到警报 火币

白帽子M先生表示,针对此类unicode钓鱼,主流浏览器已经能够防御。在PC端,只要把浏览器升级到最新版本,就能解决一大部分威胁;在手机上,安装杀毒软件也能解决很多问题。如果是苹果手机,安装腾讯手机管家,iOS系统会调用其SDK,也能对钓鱼网址进行拦截。

黑奇士查看币安网站,截至发稿,网站首页没有任何安全提醒。

(3)普通用户应该如何防范此类钓鱼攻击?

黑奇士提醒普通用户,可以采取如下措施,降低数字币交易的安全风险:

1、无论手机端还是PC端,都必须安装杀毒软件,而且要安装套装。单纯“杀毒”,是无法解决钓鱼这样问题的,黑奇士推荐卡巴斯基的杀毒套装(付费版),国内的话,可以尝试腾讯安全管家或火绒杀毒软件(两者均为免费软件)。

相关推荐:

网友评论:

发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
用户名: 验证码:点击我更换图片
栏目分类


Copyright © 2002-2021 澳门.永利资讯 版权所有

Top