副題
秘密鍵、ウォレット、SIM カードがハッキングされ、最近のセキュリティ インシデントによってセキュリティの脆弱性が明らかになりました
冷静になって、先月に明らかになったいくつかのセキュリティインシデントについて話しましょう。
1つ目は、イタリアの仮想通貨取引所であるAltsbitがハッキングされたというもので、金額は比較的少額で比較的新しい取引所でしたが、もともとこの取引所は比較的少額の資金を保有しており、実際に盗まれた資金の額はおそらく彼らの規模に相当すると考えられます。ちょうど半分くらいだったので、彼らは閉鎖を宣言した。
2 つ目は IOTA です。このインシデントの主な原因は、このインシデントにより IOTA のメインネット全体が停止されたことにあります。メインネットを停止できる有名なパブリック チェーンを想像してください。何が彼らをこれに誘導するでしょうか? みたいなことです。
ビットコインやイーサリアムなどのパブリックチェーンのメインネットワークが停止されると、取引ができなくなり、そこで行われる各種契約も正常に実行できなくなり、損失は非常に大きくなります。 。当時IOTAがそのような行為を行ったのは、公式ウォレットにサードパーティコンポーネントが導入されており、そのサードパーティコンポーネントがハッキングされ、公式ウォレットの多くのユーザーが間接的に影響を受け、その結果秘密鍵とパスワードが盗まれたためです。損失の計算によると、盗まれたIOTAは約855万個、約230万米ドル相当となります。
この問題の発生当初、コミュニティ全体と当局は非常にパニックに陥り、問題がどこにあるのかわかりませんでしたが、コインが紛失したというユーザーからの苦情が多数寄せられました。この問題を調査するには、メインネット全体を停止する必要がありました。
この影響は私たちには非常に広範囲にわたる出来事のように見えますが、中国では率先してそれをフォローアップして公開することに加えて、Twitter上で公式や一部のコミュニティの関係者と関連するやり取りとは別に、基本的に、他のセキュリティ チームがこの問題に対応する様子は見られませんでした。
その際、ハッキングされた原因は、公式ウォレットがウォレット内の取引所の機能に相当するトランザクションモジュールを内蔵した新バージョンをリリースしたためであることが分かりました。
このようなウォレットのデスクトップ版では、非常によく知られた JavaScript 開発フレームワークが使用されています。サードパーティへのアクセスも、JavaScript のリモート呼び出しを通じて埋め込まれています。これにより問題が発生し、動作環境全体が JavaScript であるため、サードパーティが乗っ取りまたはハッキングされた場合、JavaScript の内容が変更され、IOTA ウォレットに直接影響を与える可能性があります。
したがって、基本的にはサードパーティに問題があると考えられますが、ユーザーがウォレットを開いてインターネットに接続している限り、秘密キー、パスワード、およびユーザーが操作する可能性のあるいくつかの関連情報によってこれを検出できます。悪意のある JavaScript コードを取得します。これは非常に現実的な攻撃ケースです。中国語や英語での研究レポートの出力も行っております。
次に bZx ですが、bZx は DeFi プロジェクトです。実際、ハッキングされる前はほとんど聞いていませんでした。結局のところ、中国では特に宣伝されておらず、使用している人も比較的少ないのです。一度ハッキングされ、その後二度目にハッキングされたため、なぜハッキングされたのか非常に懸念しています。
実は根本的な原因は経済モデル全体にあり、リスク管理に欠陥があるのです。これらの協定等における一部の資金の相互流動も含めまして、これはシステム全体、システム全体の経済モデルにおけるリスク管理上の欠陥であると私どもは考えております。したがって、私たちの理解では、この問題は、以前のスマートコントラクトの抜け穴のような非常に単純な抜け穴や、過剰な許可、超過などの非常に単純な抜け穴など、非常に伝統的な問題ではありません。
この変動は、システムとシステムの外部を経済モデル全体で組み合わせた場合にのみ起こり得る攻撃事象である。実際、攻撃される前に、他のチームがそのような問題がある可能性があることを彼らに思い出させていました。しかし、これらの地下ハッカーたちは、これを実行することが、彼らが従う施行規則の 1 つです。つまり、どのような問題があるかを説明するのではなく、実際にやってみて、実際にそれができるということを人々に見てもらわなければなりません。
もちろん、そのような早期警告も良いことですが、当局者は多くの場合、自分たちはスマートコントラクトやDeFiの世界に精通していると感じていますが、誇りが高すぎるだけです。それが実際に行われた後、この理論上のリスクが実際に起こることは誰もが知っていました。これは bZx によってもたらされた啓示です。
私たちの意見では、これは地方分権というラベルの代表です。ただし、分散型か集中型かに関係なく、リスクが伴います。
最近では、誰もが非常に感銘を受けたはずです。つまり、数日前の週末に、この人はジョシュ・ジョーンズと呼ばれていました。また、関連する推測も行いました。当時、彼はレディットで、おそらく1,500ビットコイン以上と6万BCH近くが盗まれたと述べた。同氏は、「自分のSIMカードがハッキングされた。SIMカードは携帯電話の非常に重要なモジュールである。SIMカードがハッキングされた場合、例えば私のSIMカードがハッカーによってコピーされた場合、それは私の携帯電話を所有しているのと同じことになる」と述べた。関連するプラットフォームの確認コードなどの情報を受け取ると、このプラットフォーム上の私の資金のリスクが直接影響を受ける可能性があります。
SIM カードがハッキングされたと彼が言った理由について、私たちはそれをより信じています。昨年、Coinbase 取引所の多くのユーザーが SIM カードが原因でハッキングされ、その結果 Coinbase 上の資金が盗まれたからです。私たちの意見では、要約すると次のとおりです。同じカテゴリのリスク、つまり第三者です。
実際、これは先ほど述べた IOTA と非常によく似ており、IOTA はウォレットがサードパーティの取引所に埋め込まれていたためにハッキングされました。これと Coinbase および Josh Jones はサードパーティのせいでハッキングされました。
SIM カード攻撃手法は実際に非常に人気がありますが、中国ではあまり心配する必要はありません。なぜなら、この国は初期のオペレーターによる混乱や、一部のオペレーターを含むオペレーターの内部悪さえも経験しているからです。関連する法律および規制。 、すべての人の携帯電話番号は、他人が簡単にコピーすることはできません。
約10年前、私たちの国では、この現象は非常に一般的でした。しかし、外国の通信事業者の力は我が国ほど強力ではないかもしれませんが、我が国のインフラが非常に強力であることは誰もが知っています。ただし、海外事業者の多くは民間企業が運営しており、関連する社内協定も含めて技術力がそれほど高くなく、非常に古いバージョンであったり、リスク管理管理が比較的遅れていたりする可能性があり、実際に海外事業者も存在するだろう。 . 携帯電話番号はソーシャルエンジニアリングなどによりコピーされます。
海外ユーザーの場合は、携帯電話番号を 2 要素として使用することに加えて、Google Authenticator などの 2 番目の認証アプリやハードウェア レベルのソリューションを使用することをお勧めします。
副題
秘密鍵を管理するにはどうすればよいですか?
この 1 か月間、私たちは多くの問題を目にしましたが、実際には内部と外部の両方の問題があります。たとえば、秘密キーが ID であることは誰もが内部的に知っています。秘密鍵には非常に重要な資産が含まれており、秘密鍵の生成から保管、使用までの 3 つの重要なポイントが含まれており、油断しているリンクがあると、時間の経過とともに、確実なときにリンクが解除される可能性があります。リスクが明らかになった場合、戻ったり調査したりする可能性は非常に低いです。
一般に秘密鍵について言及するとき、安全なマルチパーティ コンピューティングと呼ばれる非常に人気のあるアルゴリズムを含むマルチ署名についても言及します。しかし、初期の頃は、多くの人が実際にいくつかの重い資産、特に一部の通貨については、彼の資産を管理する必要がありました。マルチ署名のサポートはあまり安心できるものではありません。
たとえば、イーサリアムでは、人気のあるイーサリアムのマルチシグネチャスキームがスマートコントラクトによって実現されていることは誰もが知っています。ただし、マルチシグネチャ スマート コントラクトの歴史にはセキュリティの問題があり、マルチシグネチャの絶対的なセキュリティという目標がチェーン上のスマート コントラクトを通じて達成できるとは 100% 信じることはできません。
スマート コントラクトを使用しない場合でも、プロトコル セットおよびチェーン外でマルチ署名の生成を行う場合、絶対的なセキュリティを保証することはできません。しかし、ここでは私たちはもっと安心します。その理由は、この手法は歴史上何度も検証されており、問題がある場合、基本的にパブリック チェーン全体、またはこれらの有名なパブリック チェーンのインフラストラクチャに非常に非常に大きな問題があると誰もが考えることができるからです。現時点では、これは特定の事件ではなく、非常に大規模な事件であることは間違いありません。
したがって、確率および使用頻度を含む関連コード監査の観点から、多くの人は、サードパーティによって作成されたマルチ署名スマートコントラクトよりも、BTC のようなネイティブで透明なソリューションを好みますが、これらのスマートコントラクトはセキュリティ監査にも合格しています。 , しかし、スマートコントラクトとそのスマートコントラクトの基盤となる仮想マシンを信頼していません。
したがって、初期の頃は、非常に石器時代の方法で秘密鍵を生成した人がたくさんいました。秘密鍵やニーモニックなどの秘密鍵は、複数回のコピーや転写を経て生成されるため、複数の担当者が存在することになるという。これらの少数の人々は、最初はお互いを非常に信頼しているかもしれませんが、たとえば 3 人のうち、いずれか 2 人が秘密鍵またはニーモニック フレーズの断片を取得すると、完全な秘密鍵を形成できます。
しかし、ここでの最初の疑問は、秘密鍵がいつ生成されたのか、誰がそれを行ったのかということです? 彼が作った環境は安全ですか? 彼は、それが終わった後に削除したと言いました、削除されたデータ、これらのものを回復する方法があります。これでは最初の段階で信頼できる問題が解決されるわけではなく、疑問や疑惑に値する種を植え付けることになります。これらの問題は初期段階にあるため、明確に調査することは非常に困難です。
次に、秘密鍵を安全な場所に保管する方法について説明します。
もう 1 つは使用することです。最終的にはまだ使用する必要があります。これらのコインを印刷する必要があるか、送金する必要があります。使っている限り、直接間接を問わずインターネットに接続される可能性はありますが、その時の動作環境は安全ですか？
実際、最近の内部事件の多くは秘密キーを中心に展開しており、今言及した秘密キーはブロックチェーン レベルで非常に中核的なものであり、非常に基本的で非常に低レベルなものでもあります。
取引所やウォレットなどの実行するシステム全体のレベルでは、通貨取引、法定通貨取引、ウォレット間の送金、リチャージ、表示などのさまざまなビジネスモジュールがあります。契約取引やレバレッジなどの新しい遊び方も含まれており、資金管理やサードパーティの利用も可能です。
セキュリティの問題に注目すると、物事がより上位にあり、よりユーザー指向になると、セキュリティ全体の複雑さが増大します。そのため、上層部のリスク管理が不十分であったり、関連する管理プラットフォームがハッキングされたりして、ハッキングやコインの盗難に遭うケースが多いことも分かりました。
多くの人は、私の管理プラットフォームがハッカーにどうやって見えるのかと思うかもしれませんが、実際、インターネットに接続している限り、コンピュータにトロイの木馬やウイルスが埋め込まれ、これらの関連プラットフォームのアクセス許可が失われる可能性があります。盗まれた。
ハッキング イベントやコイン盗難イベントの分析を行うとき、私たちのアプローチは間違いなく多くのレイヤーとモジュールを上から下に分割し、除外法と呼ばれる最も単純な方法を使用します。それぞれの部分と各部分を削除すると、最終的にその根がどこにあるかが決まります。
しかし、このプロセスは実際には非常に時間がかかり、最も時間がかかったケースでは、真実が判明するまでに2か月以上かかりました。チーム全員が真実を知った瞬間、涙がこぼれそうになり、一瞬で気分が重くなった。
私たちは、どんな出来事も事件解決に似ていると深く理解しており、除外法を使用してあらゆる可能性を列挙し、それを 1 つずつ除外する必要があります。そして、多くの場合、多くの人の描写には問題があり、熟慮する必要があります。彼の記憶にも問題がある可能性があり、彼は意図的に悪いことをしている可能性さえあります。熟慮する必要があります。
実際、歴史上、解決できた事件はそれほど多くはなく、絶対とは言えませんが、解決できる割合は半分以上かもしれません。事件が解決した後、盗まれたコインを取り戻す可能性はさらに低くなります。
なぜなら、暗号通貨取引がチェーン上で透明で可視であることは誰もが知っていますが、この透明性と可視性は取引に限定されており、現実世界ではあなたの IP やプライバシーは記録されないからです。
チェーン上で追跡すると、最終的にはさらに興味深い点があり、これらのコインは最終的には確実に法定通貨に変換されますが、それは時間の問題です。
数年後、混乱が終わった後、私はそれを交換するかもしれません、そしてあなたは最終的にそれを法定通貨に交換するでしょう。私たちが発見した多くのケースでは、それを引き換えることに熱心でした。
私たちが地下ハッカーである場合、どのような方法を使用するかに関係なく、これらの取引所ウォレットの抜け穴からコインを盗むか、さまざまなユーザーをフィッシングしてコインを盗むか、ランサムウェアを使用してサーバーとコンピュータを盗みます。暗号化されているので、ビットコインやモネロなどで支払う必要があります。何はともあれ、私はこれらのコインを盗んだので、現金化する方法を見つけます。
これには、通貨が取引所に送られることが関係しており、取引所に入る前に、通貨混合プラットフォームを通過する専門家が増えています。これらのコイン混合プラットフォームの存在は、コインを洗浄する必要がある他の人々にとってはゲームです。私がそれで洗う資金は、毎回多すぎてはなりません、これは私のスピードが遅くなるということです、そして私は一緒に洗うためにさらにいくつかの会社を見つけるかもしれません、その理由はあなたの会社がめちゃくちゃになっている場合です、はい、私はあなたに対するコインロンダリングの一連の証拠をすべて見つけることができ、私のIPなども記録します。
これらの方法は、一部の超大国に対しては特に効果的ではありません。このように、コインロンダリングも芸術であり、簡単ではなく、動きが大きければ大きいほど摘発される可能性が高くなります。
結局のところ、混合通貨から抜け出した後は、いくつかの有名な取引所に入る必要があります。なぜなら、そこには抜け出すための法定通貨チャネルがあるからです。これには、この取引所でのあなたの身元と口座番号が関係します。プロのハッカーは、自分の ID を使用してこれらの取引所に登録することは決してなく、さまざまな KYC、さまざまな ID、さらにはビデオ ID さえも偽造される可能性があります。
副題
このプロジェクトが安全かどうかをどうやって判断するのでしょうか?
多くの人が気になる主な疑問は、プロジェクトが安全かどうか、どうやって判断するかということです。
決して簡単な作業ではありませんが、ある程度の判断材料を示しましたので、皆様の参考にしていただければと思います。
まず、強力な社内セキュリティ チームが存在するかどうか、または豊富なセキュリティ経験を持つ中心人物がチェックしているかどうか、これは非常に重要です。セキュリティチームがいないかもしれませんが、大丈夫です。非常に豊富な経験を持っています。研究開発、運用保守、運用などを結び付けて、セキュリティ構築作業全体を順序立てて進めることができます。大丈夫です。 。
では、内部にセキュリティ チームや中核人材が存在するかどうか、それが真実かどうかをどのように判断すればよいのでしょうか? これに答えるのは簡単ではなく、業界では口コミに頼ることが多いのです。したがって、判断をより正確にするために、より多くの人に会ったり、より多くの人々を知る必要があるかもしれません。
第二に、過去6か月間、第三者の専門セキュリティ機関による監査を受けておらず、セキュリティ監査の結果は公表されていない。私たちの意見では、この要件はまだ少し難しいです。
業界全体が非常に急速に発展しているため、半年以内にセキュリティ機関、できれば非常に専門的で有名な機関による監査を受けており、公的にレビューできる関連レポートが作成されていますか。しかし、多くのプロジェクト関係者が内部監査報告書を開示したがらないことがわかりました。結局のところ、内部監査報告書にはプロジェクトのプライバシーが含まれる可能性があるため、それは理解できます。
しかし、海外の多くのプロジェクト関係者が、実際にはこれらの監査機関に報告書を透明性をもって公表させることに非常に前向きであることも私たちは見てきました。
第三に、長期にわたって相互に緊密に協力し続けている第三者のセキュリティ機関が存在します。前述したように、セキュリティには長期的な開発が必要であるため、協力する非常に緊密なサードパーティの専門セキュリティ組織が 1 つ以上存在します。このような継続的な関係があり、ブラックスワンの攻撃があれば、より早く損失を止めることもできます。
私たちの意見では、ハッキングされることは避けられないことです。ハッキングされていないとあえて言える人はいません。これは確かです。もちろん、盗まれたコインがあるかどうかは問題ではなく、確かにもっと良いものはありますが、コインは盗まれていません。
しかし、インターネットのようなパブリック ネットワーク上でハッキングされることは、たとえ内部関係者によってであっても常に発生する可能性があります。これはよくある現象なので、落ち着いて対処してください。
あまりにも大損しない限り、あるいは邪悪な心理や不透明な心理を持たない限り、実際のところ、冷静であればコミュニティから幅広い支持を得ることができます。
これも4番目のポイントですが、コアメンバーが必要です、セキュリティに対する姿勢はオープンで、問題があればただスローガンを叫ぶのではなく間違いを認めるべきです。
たとえば、多くのプロジェクト パーティーがあり、その公式 Web サイトには、私のセキュリティが非常に強力で優れていると記載されています。ゼウスクラスでもいろんな名詞や形容詞が出てきそうな気がしますが、もちろんこれらの掛け声は実際には意味がありません。私たちは非常にプロフェッショナルなセキュリティ チームなので、彼の問題がどこで起こるか知っています。プロのアンダーグラウンド ハッカーにとって、彼らはあなたのスローガンが将来あなたの顔を叩く重要なポイントになる可能性があることを確実に知っているはずです。
副題
どのようなハードウェアウォレットを選択するのが安全ですか?
最近、私たちはいくつかのハードウェアウォレットも監査しましたが、これらのハードウェアウォレットを監査した後、どのようなハードウェアウォレットが安全で強力であるかをまとめました。
1. 十分な主流通貨をサポートすることが最善です。
これは絶対的なものではありません。安心の観点から考えているだけです。原則として、ハードウェア ウォレットは 1 人が 2 つまでしか持たないことになります。多すぎることが必ずしも良いことではありません。絶対に安全であるとは言えませんし、本当に安全なハードウェアウォレットは実際にはほとんどありません。
2. ハードウェア レベルで使用される関連ハードウェア モジュールはすべてトップレベルの国際標準であり、生産および配送のサプライ チェーンもトップレベルです。
ハードウェアウォレットを作成する多くのチームは、さまざまなハードウェアチップ、モジュール、コンポーネントなどにおいて完全に一流ではなく、専門家であることは間違いありません。現時点では、多くのトップ国際標準に依存する必要があり、その方法がわからなくても、それをうまく使用する必要があります。サプライチェーンの選択、生産、配送を含めて、これらの高品質で一流の製品を選択する必要があります。
3. ファームウェアとハードウェアモジュールの結合セキュリティ設計はまさに一流です。
ファームウェアは単なるオペレーティング システムであり、Android をベースにしたものではありません。また、Android の使命はハードウェア ウォレットであることではありません。ファームウェアとハードウェア モジュール間の結合、およびそれらの間の結合セキュリティ設計は、まさに一流です。
4. ハードウェアは、Bluetooth、USB、その他の外部通信モジュールを使用しており、最新の安全標準技術です。
5. ハードウェアウォレットには、送金時に宛先アドレスの正しさを視覚的に確認できる画面があることが望ましい。
6. サポートするハードウェアウォレットによって使用されるネットワーク化されたコンピューターまたは携帯電話環境は、純粋かつ単一であることが保証されます。
たとえば、確信がある場合は、自分のコンピュータのセキュリティをよく知っているので、気にしません。しかし、よくわからない場合は、重要な資産に対する一部の操作専用の独立した仮想マシン、独立したコンピュータであると言ったほうがよいでしょう。
7. ハードウェアウォレットは、マルチシグネチャのセキュリティ管理をサポートすることが望ましいです。
マルチ署名またはマルチパーティ計算は良い方法です。もちろん、マルチパーティの実現にはまだ長い道のりがあります。マルチ署名メカニズムは同じではなく、普遍的な解決策はないため、マルチパーティはさまざまなサプライチェーンをより適切に解決できます。党はこの解決策をより一般的な解決策に変えることができ、私たちはそれを非常に楽しみにしています。
8. ニーモニックレコード、ストレージ、さらには共同管理の設計に SSSS の実践を導入するのが最善です。
簡単に言うと、例えばニーモニックを分割すると、2-3や3-5のように設計することもできます。文字起こしに関して言えば、人はすべての単語を完全に記憶しているとは言えません。もちろん、コピーした後、コピーしたコピーが確実に確保できる場合、たとえば、2 ～ 3 を 2 部取っても構わないと思ったら、それを完全な記憶単語リストに書き込むことができます。
9. ハードウェアウォレットの物理的なセキュリティは無視できません。
たとえば、防水性、耐火性、耐雷性などを向上させることはできますか。たとえば、床に落ちたら壊れる可能性があり、非常に恥ずかしいです。そして、破壊されると完全に復元することはできないため、配送プロセス中にサプライチェーンリンク内の一部の人々によって操作されるのを防ぐことができます。
10. ファームウェアおよびサポート ソフトウェアのアップグレード セキュリティ メカニズムは無視できません。
今は大丈夫かもしれませんが、ファームウェアをアップグレードしたとしても、秘密鍵の生成が非常に弱くランダムで、悪意を持ってバックドアが埋め込まれたら、非常に厄介なことになります。従来のインターネットのように、適時にアップグレードするというわけではなく、十分な量がある場合、または重大な抜け穴がない場合は、安易にアップグレードしないことを前提に提案しています。
11. ハードウェア ウォレット セキュリティ チームは、ピアの欠点を分析するのに十分な力を備えており、その開示は業界で広範な技術的評判を得ています。
私たちセキュリティ業界と同じように、セキュリティに従事している人たちは、実は彼の背後にいるハッカーです。ハッカーについての基本的な知識がなければ、どうやってセキュリティで良い仕事をすることができますか?あなたはまだ持つべき気性を持っています。それも普通。重要なのは、あなたは本当に有能でなければならず、あなたは非常に安全ですといくつかのPR記事を投稿し続けると言うのではなく、研究レポートの一部を公開することができるということです。
12. 秘密鍵の生成、保管、使用に至るまで、秘密鍵のほぼ絶対的なセキュリティが最も基本的な要件です。
13. オープンソース。
オープンソースに対する私たちの見解はこれです。思い立ったらすぐにオープンソースにするということではありませんが、これは非現実的です。
この業界は誰もが知っています。実際、ビジネスは多くの場合血なまぐさいものです。オープンソースだと、同業他社に直接コピーされる可能性があります。 「オープンソースはプロセスであり、意志の問題ではありません。私がオープンソースと言うときは、オープンソースを意味します。私もビジネスをしたい、お金を稼ぎたい、そして生きたいのです。」しかし、オープンソースは段階的なプロセスです。私たちは、あなたが業界のトップになり、大胆にオープンソースになり、常に先頭に立って、彼らに追いつかせても大丈夫になることを非常に楽しみにしています。とても良い気分です。
以上が私のシェアです、ありがとうございます。
