
离大谱!某大所出品的钱包软件竟被植入盗币后门!
隔夜BTC继续艰苦修复,逼近60k关口。最近,刘教链超级小白课4期班正在授课中,其中一个重点就是安全问题。在社群进行公有链实践的过程中,大家也会格外热心于尝试各种第三方出品的钱包软件(App)。但是,教链今天要讲的这个钱包软件被植入盗币后门的案例,却又一次刷新了我们的认知。
刷新认知的地方在于,该案例再一次向我们证明了一个道理,再怎么看起来可靠、可信的大平台、大公司,它所出品的软件都有可能存在无意的漏洞,甚至是人为的后门,进而导致作为用户的我们,面临严重的资产损失风险。
想象一下,如果全球最大加密交易所币安以官方名义推出了一款钱包App,竟然植入了盗币的后门,该有多么可怕?
这次的案例,并非发生于币安,而是当年曾与之齐名的另一家大所。综合公众号“平安徐汇”的案情披露文章《谁动了他价值百万的虚拟币》和孙宇晨的推特,网友们推测,涉案公司就是火币,而这款被植入盗币后门的钱包软件就是火币钱包(后更名为iToken)。
教链结合案情披露,捋了一下时间线:
* 2021年7月 – 火币员工张X在另一平台的钱包软件中植入私钥助记词窃取后门
* 2022年5月 – 火币钱包更名为iToken
* 2022年10月 – 孙宇晨高价收购火币(含iToken)
* 2023年3月 – 火币三员工刘A、董B、张C(下简称刘董张)在iToken钱包中植入了窃取私钥助记词的后门
* 2023年4月 – 张X盗走了用户欧某钱包地址里的资产
* 2023年5月 – 用户欧某打开iToken钱包,发现资产丢失
* 2023年8月 – 用户欧某自行搜集到关于iToken钱包盗币后门相关线索,报案
* 同月 – 刘董张到案;但是调查后发现,并非这哥仨偷走了用户欧某的币。公安机关顺藤摸瓜,抓到了张X
* 2024年4月 – 刘董张各被判处有期徒刑3年,罚金3万元。张X被判处有期徒刑3年,罚金5万元。
仔细品味一下这个案情经过,我们会发现一些耐人寻味的细节:
用户欧某可不是一个电脑小白。他有能力反解软件,进行网络追踪,靠一己之力抓到刘董张的后门和马脚,并把线索证据提交给公安机关。这计算机水平,远超社会平均水准,甚至可以算得上超越99.9%的人的电脑高手了。
但就是这样一个电脑高手,却对加密安全有那么一点点儿认知不足,甚至是严重不足。
在教链看来,他至少犯了四个严重错误:
(1)重要资产为什么不放在冷钱包?
把私钥助记词导入到联网的钱包软件中,是最致命的错误。
教链知道,很多朋友就是直接拿某某钱包App来生成助记词。这样的方法,可能在第一时间就已经泄密了 —— 如果这款钱包App发生了类似该案的情况的话。
(2)如果常动资产,为什么不用硬件钱包,把私钥助记词和钱包软件隔离?
如果他懂得做私钥隔离的话,就算钱包软件被反复植入后门,也根本偷不到他的私钥助记词。
(3)为什么要把同样的私钥助记词先后导入多个钱包软件,严重增大暴露面?
他是在iToken发现丢币的,但却不知道他的私钥助记词被两批“黑客”同时给偷走了。只不过,另一个小偷先下手为强,领先一步,把他的币给转走了。而这个小偷,却不是通过iToken偷的,却是另一个钱包软件。这显然说明了,欧某把同一套助记词,在两个(或以上)的钱包软件中进行了导入。
教链观察到,有相当多的人,不愿意承受记录或记忆多套助记词的麻烦,于是就一套助记词到处使用。直接的问题就是,一旦泄露,你自己都记不起来,有可能在哪里泄露的了。
雁过留痕。一旦你曾经把私钥助记词导入过某个钱包软件中,即使你很快删除了这个软件,也永远再也无法100%确信,在这个暴露点没有谁偷偷存储、泄露、盗窃你的私钥助记词。
(4)教链谨慎怀疑用户欧某使用了从非正常渠道下载的钱包软件。
仔细看案情,真正造成用户欧某丢币的,是被张X动了手脚的“另一平台的钱包软件”。但究竟是哪个平台的哪一款软件,竟然成了一个被大家有意无意忽略的谜。
从字面意思上看,张X动手脚的时候,还是火币的员工。而“另一平台”,那说的应该就不是火币。张X作为火币员工,理论上不会具备能力在另一平台官方发布钱包软件的工作流程中动手脚,从而在官方发布的软件中提前预埋后门。那么,由此推测,张X只有可能是在该钱包软件发布后,植入后门,然后自行分发,进行钓鱼。
如果真的是这样的话,那么用户欧某很可能是从非官方渠道下载的这个“另一平台的钱包软件”,殊不知这已经被张X提前动了手脚。当然,由于案情披露不够详尽,所以这些只是推测。
教链看到经常有人在社群里向别人索要各种钱包软件的安装包。这是一个极其错误,对自己的资产安全极其不负责任的做法!
千万千万不要从第三人手中下载钱包软件!
因此,这个案例给我们的启示是,加密安全是一个全新的知识领域,就算是传统意义上的计算机高手,如果不刷新自己的认知、认真学习的话,也会存在巨大的盲区,从而做出错误的操作,导致自己宝贵资产的丢失。
另外一个启示就是,不要盲目信任所谓的大公司、大平台。有句很俗的话叫做这世界就是一个草台班子。区块链技术的特点,使得大型中心化机构更难以控制底层员工的行为。
在风高浪急的加密市场冲浪,我们每个人都要认真学习知识、建立正确观念、谨慎安全操作,做好自己资产的第一守护人、第一责任人。
比推快讯
更多 >>- Clanker 将加入 Farcaster 生态,协议费用将回购持有 CLANKER 代币
- 费城半导体指数上涨 2.5%,前日跌 2.4%
- Richard Heart 关联地址再次转移 10990 枚 ETH
- 灰度向 Coinbase Prime 存入 525 枚 BTC 和 21030 枚 ETH
- 美媒:美国未就入股量子公司进行谈判
- 数据:疑似某单一实体申领了价值 1000 万美元的 MET 空投,或为今年最大规模的空投认领
- 币安币 (BNB) 延续涨势,涨幅一度高达 8%
- 美联储将于本月提前结束缩表,市场预期分歧加大
- 数据:与 TRUMP 团队相关的三个地址收到价值 420 万美元的 MET 空投
- 受“特朗普特赦 CZ”消息影响,BNB 短时触及 1146 USDT
- 特朗普赦免 Binance 创始人 CZ
- 白宫数字资产报告支持个人的数字资产自托管权利,建议国会在立法中明确这一权利
- “九月起累计获利 870 万美元”巨鲸将其 BTC 空单增至 5494.5 万美元,清算价 114,138.7 美元
- Trust Wallet 宣布推出 Perps DEX 服务
- Fireblocks 收购 Dynamic,扩展链上开发者堆栈
- 富达投资向美国经纪客户开放 SOL 代币直接购买服务
- Arthur Hayes 从 CEX 提现 216 万枚 WILD,价值 46.3 万美元
- BNB Chain 与 YZI Labs 联合推出 BNB Hack: Local Series 黑客松,已开放报名
- BlockFocus 创始人 Finn:将重点布局 Solana 生态 DEX Byreal
- 港股上市公司昊天国际买入总计 646 枚 ETH
- Backpack 已上线 MET 现货和永续合约
- Aave Labs 收购 Stable Finance,以扩大消费者对链上储蓄的访问
- MANTRA 计划将 OM 更名为 MANTRA,并实施 1:4 代币拆分
- 美股上市以太坊财库公司 ETHZilla 以 1500 万美元收购 Satschel 15% 股份
- Paxos 将允许员工以 USDG 形式领取薪资
- MegaETH 公布代币经济学:公售提供总供应量 5%,代币总量 100 亿枚
- Pave Bank 完成 3900 万美元 A 轮融资,Accel 领投
- Glassnode:BTC 在 10.9 万至 11.5 万美元区间出现集中抛售,近期的上涨正被用于对冲操作
- 富达数字资产现已支持 SOL 托管与交易
- Consensys:英国 FCA 的 “严厉” 监管或使该国失去加密货币中心地位
- 美股开盘,道指跌 0.04%,特斯拉跌 4.5%
- 摩根大通:日本央行 10 月加息仍有可能,日元或将迎来反弹
- 1011 内幕巨鲸关联地址 BTC 限价买单部分触发,当前开多仓位 520 万美元
- 现货黄金日内涨超 1%,现报 4148.40 美元/盎司
- Bitget CEO Gracy:加密行业共识趋于保守,当前市场正处于修复与盘整阶段
- 香港证监会:将推动代币化基金在虚拟资产交易平台买卖
- Plasma 获 VASP 许可证,扩大在欧盟的稳定币支付业务
- Blockstream Capital Partners 收购瑞士比特币服务提供商 Berglinde AG
- David Sacks:今年完全有能力通过加密市场结构立法,为行业带来监管清晰度
- 美股上市公司 VCI Global 子公司将推出基于以太坊的加密法币平台
- 美股上市公司 Genius Group 向符合条件股东发放每股 0.10 美元比特币奖励
- 数据:过去 1 小时 Binance 净流出 5,319.87 万 USDT
- Circle 原生 USDC 和 CCTP V2 将在 Starknet 上线
- “胜率 100%”巨鲸在 Hyperliquid 挂单 1630 万美元 BTC 多单
- ENDRA Life Sciences 完成 490 万美元融资,启动加密货币财库策略
- 某巨鲸建仓 HYPE 多单,仓位价值近 4000 万美元
- 美国当周初请失业金人数因政府停摆推迟发布
- 预测市场 Opinion 宣布已在 BNB Chain 上线
- Ledger 发布售价 179 美元的 Nano Gen5,专为 AI 驱动世界中的身份管理而打造
- aPriori 宣布 APR 空投领取现已开放
比推专栏
更多 >>观点
比推热门文章
- 费城半导体指数上涨 2.5%,前日跌 2.4%
- Richard Heart 关联地址再次转移 10990 枚 ETH
- 灰度向 Coinbase Prime 存入 525 枚 BTC 和 21030 枚 ETH
- 美媒:美国未就入股量子公司进行谈判
- 数据:疑似某单一实体申领了价值 1000 万美元的 MET 空投,或为今年最大规模的空投认领
- 币安币 (BNB) 延续涨势,涨幅一度高达 8%
- 美联储将于本月提前结束缩表,市场预期分歧加大
- 数据:与 TRUMP 团队相关的三个地址收到价值 420 万美元的 MET 空投
- 受“特朗普特赦 CZ”消息影响,BNB 短时触及 1146 USDT
- 特朗普赦免 Binance 创始人 CZ