被黑客入侵_bithumb遭黑客入侵

文章栏目:

• 1、bithumb是什么交易所
• 2、比特币的交易安全才是重中之重!
• 3、比特币定义为一种特定的虚拟商品吗？
• 4、比特币趋势：比特币将在未来几天挑战下行趋势
• 5、区块链钱包安全吗？
• 6、能说一下钱包安全审计是什么吗？这阵子都在说时代安全，他们的钱包安全审计好不好用？

bithumb是什么交易所

Bithumb交易所早在2014年就成立了，属于全球最早一批创建的数字货币交易所了，目前的注册用户已经超200万，其用户中占比最多的就是韩国用户，Bithumb交易所的主要市场也在韩国。因为韩国对于数字货币的包容度是很高的，并且对于数字货币市场的监管也比较完善，所以Bithumb交易所在韩国的不断发展的过程中，其合规性也在慢慢提升。同时，Bithumb交易所对上币的审核条件也非常严格，目前开通的交易对有228个。

Bithumb交易所总部在韩国，目前还没有中文名。占有韩国比特币市场份额75，7%的Bithumb是世界五大比特币国际站之一，每天交易量超过13,000比特币，约占全球比特币交易量的10%。该国际站也是世界上最大的以太坊市场。尽管韩元目前是比特币的第四大货币市场，落后于美元、人民币和日圆，但韩元市场是以太坊最大的市场。Bithumb在韩国的以太坊交易中占比44%左右。

Bithumb从2014年1月开始提供服务以来，日交易额暴增，是虚拟货币交易量位列世界第一的大韩民国的代表虚拟货币国际站。目前，不仅支持比特币、以太坊等多种虚拟货币交易，还扩张到可利用为支付手段的Payment事业、海外汇款服务等业务领域，是以虚拟货币为基础的金融平台商业公司。

拓展资料：

1， 安全性

Bithumb交易所拥有安全认证和预防黑客入侵系统，大大提高了交易的安全性。并且交易所网站采用安全编码程序，根据TOP10安全隐患来进行编程。另外很重要的一点是，bithumb网站的服务器和电子钱包的服务器是分离的，因为两者并不相连，所以用户的电子钱包就相对来说更安全。而且每次用户在登录网站的时候，都会收到短信通知，让用户能更安心地使用交易所网站。

2， 手续费低

Bithumb会员可享受世界最低的交易手续费，会员购买手续费优惠券的话，手续费基本在0，01%~0，075%之间。进行高额交易时，手续费往往也会给很多投资人造成负担，让很多想要踏足虚拟货币投资的人犹豫不决，bithumb为会员们提供了以最优的价格进行交易的环境，大大降低了投资的负担。

3， 交易量大

Bithumb的交易量世界第一，因此每一秒钟都有无数的交易达成。由于交易量大，想要进行高额、巨额交易也是完全没有问题的。并且因为供应量和需求量都很大，所以无论是想要买入还是卖出，随时都可以找到交易对象，基本不会发生想要交易却没有人的情况。

4， 信息分享量多

对于投资人来说，尤其是新手投资人，交易信息的多少对投资决策起着决定性作用。Bithumb由于交易量大，因此交易信息也最多最完整，实时达成的交易能够及时并准确地反映出市价波动和投资动态，帮助投资人更敏感地对市场做出反应和决策。

比特币的交易安全才是重中之重!

据当地媒体《京乡新闻》报道称，韩国的数字资产交易平台Bithumb近期被黑客入侵，受损资产迅速达到数十亿韩元。这次报道也导致比特币价格微微下调，从18000元以上回荡至此时的17800元附近。

比特币（BTC）价格走势图，来自币行

据悉，Bithumb是世界五大比特币交易所之一，占有韩国比特币市场份额的75.7％。同时该交易所还是当前世界上最大的以太币（ETH）交易市场，在韩国的以太坊交易中占比44％左右。另外，两个月前Bithumb宣布上线莱特币交易，并在短短几天时间就建立了自己全球第三大莱特币交易所的地位。

由于韩元市场是目前以太坊最大的市场，因此这一消息也引发了以太币（ETH）的下跌。但似乎莱特币相对较为坚挺，依然保持着微微回荡的状态。

以太币（ETH）价格走势图，来自币行

莱特币（LTC）价格走势图，来自币行

报道称这次黑客攻击发生于上周晚些时候，此次攻击黑客成功获取了31800名用户的个人信息，包括他们的姓名、手机号码和电子邮件地址。该交易平台声称这个数字约占客户的百分之三。

其中一名受害者声称，他的账户当中价值1000万韩元的比特币“瞬间就消失了”。但是随后交易平台对此事进行了澄清。

据悉，Bithumb 在6月29日发现了这次攻击，并在6月30日向当局报警。此外，有超过100名 bithumb客户已向韩国国家警察局网络犯罪报告中心提交了投诉信。

Bithumb虽然承认这次被盗事件是发生在自己的网站上，但其认为黑客并没有直接访问存储在交易所上的资金。然而，很多客户报告说他们的数字钱包已被掏空。该交易所还声称，这次被盗事件与该交易所的一名雇员的个人电脑有关，而不是该交易所的内部网络、服务器或数字钱包的问题。

“是这名雇员的个人电脑被黑了，而不是公司的总服务器。一些用户的手机和电子邮件地址等个人信息被泄露了。然而，一些客户因为泄漏了一次性密码也遭遇了被盗。”- Bithumb

目前还不清楚Bithumb交易所是否会对损失的资金承担法律责任。由于韩国缺乏对数字货币的监管，这种情况也就显得非常复杂。这一事件的发生，凸显出比特币行业对于监管的渴望，只有在政府监管下的比特币行业，才能走的更远更安全。

Bithumb首页展示

比特币行业至今已有9年的历史，由于比特币的特殊性，对交易平台的技术要求极其高。据不完全统计，过去五年中，倒闭的比特币创业项目中95%都是由于技术缺陷。多么可怕的数字！如果选错了平台，很可能血本无归。

所以，别拿安全不当回事！一定要选择安全稳定的平台！比如咱们币行~

OKCoin币行首页展示

OKCoin币行作为行业元老级别的数字资产交易平台，从2013年成立以来，一直致力于为用户提供安全、稳定、可信赖的交易服务。同时，OKCoin币行拥有业内最专业的开发技术团队、金融产品团队和技术安全专家，线上采用热钱包加冷钱包双重储存方式，保证您的资产安全。

所谓“热钱包”，即可以连接到互联网，主要用于日常事务和活动的线上钱包。那么什么是冷储存呢？

科普时间：什么是冷储存？

比特币钱包的冷储存（Cold storage）是指将钱包离线保存的一种方法。具体来说，玩家在一台离线的电脑上生成比特币地址和私钥，并将其妥善保存起来。以后挖矿或者在交易平台得到的比特币都可以发到这个离线生成的比特币地址上面。由这台电脑生成的私钥永远不在其他电脑或者网络上出现。

这样就没人能盗取你的信息啦！除非你拿给别人看~?

举个例子：某比特币超级大户想保证他的比特币钱包绝对安全，即使在电脑被黑客入侵的情况下，黑客依然得不到比特币私钥。这样，这位大户就必须使用冷储存技术，他离线生成几对比特币地址和私钥，作为冷储存钱包，以后所有需要储存的比特币都发到这些地址上面。这样就保证了比特币的安全。

比特币定义为一种特定的虚拟商品吗？

早在2013年，央行等五部委就曾发文，明确将比特币定义为一种特定的虚拟商品，根据相关规定，各金融机构和支付机构不得开展比特币与人民币及外币的兑换服务等。

据了解，国内比特币交易平台GBL、香港比特币交易所Bitfinex以及韩国最大的比特币交易所Bithumb都曾遭遇黑客入侵，造成用户的巨大损失。今年年初，央行对火币网、比特币中国等国内主要的虚拟货币交易平台进行巡查时发现，部分大型交易平台存在超范围经营、违规开展配资业务、投资者资金未实行第三方存管等问题。甚至还有交易平台打着虚拟货币的幌子，进行传销、非法融资等活动。

今年6月，国家互联网金融风险分析技术平台通过巡查也发现，在币链网、大比特等交易平台存在涉嫌传销的“山寨币”，而这些“山寨币”的交易系统多部署在海外，很难彻底监管。

鉴于此，8月30日，中国互联网金融协会率先针对ICO（即区块链项目首次发行代币，募集比特币、以太坊等通用数字货币的行为）发布风险提示。9月4日，央行等七部门发文叫停各类代币发行融资。9月13日，中国互联网金融协会又针对虚拟货币交易平台及市场风险发出提示。9月15日晚，火币网确认已正式接到监管部门的通知和指导，要求其清理整顿虚拟货币交易。

比特币趋势：比特币将在未来几天挑战下行趋势

比特币价格跌破2月以来最低水平

在经历了连续两日暴跌后，据前瞻产业研究院发布的《区块链行业商业模式创新与投资机会深度分析报告》数据显示，北京时间6月13日，比特币价格跌破6500美元，创今年2月以来最低水平。之前比特币价格为6463美元。今年以来，加密货币面对的阻力越来越大，总市值居首的比特币从去年12月达到创纪录的高点(近20000美元)后一直波动下跌，今年来累计跌幅高达约50%。

从美国、韩国和日本等多国政府对加密货币的监管一再升级，到VISA和美国银行等大型金融机构先后禁止加密货币交易，再到脸书、谷歌和推特等网络巨头相继禁止加密货币广告，近期多重利空消息让比特币价格雪上加霜。

多家交易所被盗

6月10日，韩国加密货币交易所Coinrail遭黑客攻击，超过4000万美元Pundi

X等不太知名的加密货币被盗。随后，比特币、以太坊、瑞波币、莱特币价格均在一天内大跌超过10%。

2017年6月29日，韩国最大、全球前五大的比特币交易所Bithumb发现遭到黑客入侵，超过3万名客户的个人信息被盗取。按当时市值计算，损失达76亿韩元。

今年1月26日，日本成交量第一的交易所Coincheck暂停了除比特币外的所有加密货币的交易，导火索是黑客攻击了26万用户，并盗取了数字代币新经币NEM，损失价值约为5.3亿美元。

比特币很可能正在逐渐失去忠实粉丝

比特币目前已经是一个在金融市场有普遍认知的金融资产，很多因素都会导致其价格的波动，比如美联储加息预期等。目前看，这一轮价格还处在自年初以来的调整当中，毕竟在2017年，比特币价格飙升了超过20倍。

比特币的抛售已经出现，从2017年12月到2018年4月，已经有价值300亿美元的比特币被抛售。Chainalysis认为，在最近的几个月中，比特币的市场流动性增长了近60%。比特币很可能正在逐渐失去忠实粉丝。

比特币最初的成长确实依靠忠实粉丝，近几年来投资需求增加，但比特币依然是区块链领域共识基础比较强的资产，长期持有者可能有所动摇，但当他们发现其他加密货币风险更大的时候，比特币可能会重回投资者视野。

比特币价格从年初开始调整至今，实际上已经处在一个熊市周期，目前看熊市还在持续，阶段性反弹也会比较明显，但整体还处在弱势调整当中，进一步走弱的概率较大，但空间会比较小。

区块链钱包安全吗？

近年来，数字钱包安全事件频发。

2019年11月19日，Ars Technica报道称两个加密货币钱包数据遭泄露，220万账户信息被盗。安全研究员Troy Hunt证实，被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。

这已经不是Gatehub第一次遭遇数据泄露了。据报道，去年6月，黑客入侵了大约100 个XRP Ledger钱包，导致近1000万美元的资金被盗。

2019年3月29日，Bithumb失窃事件闹得沸沸扬扬。据猜测，这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被黑客盗取。

随即，黑客将窃取的资金分散到各个交易所，包括火币，HitBTC，WB和EXmo。根据非官方数据和用户估计，Bithumb遭受的损失高达300万个EOS币（约1300万美元）和2000万个XRP币（约600万美元）以上。

由于数字货币的匿名性及去中心化，导致被盗资产在一定程度上难以追回。因此，钱包的安全性至关重要。

2020年8月9日，CertiK的安全工程师在DEF CON区块链安全大会上发表了演讲主题为：Exploit Insecure Crypto Wallet（加密钱包漏洞利用与分析）的主题报告，分享了对于加密钱包安全的见解。

加密钱包是一种帮助用户管理帐户和简化交易过程的应用程序。

有些区块链项目发布加密钱包应用程序来支持本链的发展——比如用于CertiK Chain的Deepwallet。

此外，还有像Shapeshift这样的公司，其构建了支持不同区块链协议的钱包。

从安全的角度来看，加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。

近一年来，CertiK技术团队对多个加密钱包进行了测试和研究，并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。

加密钱包基础审计清单

要对一个应用程序进行评估，首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全性不足的部分进行修正及提高。

CertiK技术团队针对加密钱包制作了一个基础审计清单，这份清单反映了所有形式的加密钱包应用（手机、web、扩展、桌面），尤其是手机和web钱包是如何生产和储存用户私钥的。

应用程序如何生成私钥？

应用程序如何以及在何处存储原始信息和私钥？

钱包连接到的是否是值得信任的区块链节点？

应用程序允许用户配置自定义区块链节点吗？如果允许，恶意区块链节点会对应用程序造成什么影响？

应用程序是否连接了中心化服务器？如果是，客户端应用会向服务器发送哪些信息？

应用程序是否要求用户设置一个安全性高的密码？

当用户试图访问敏感信息或转账时，应用程序是否要求二次验证？

应用程序是否使用了存在漏洞且可被攻击的第三方库？

有没有秘密（比如：API密钥，AWS凭证）在源代码存储库中泄漏？

有没有明显的不良代码实现（例如对密码学的错误理解）在程序源代码中出现？

应用服务器是否强制TLS连接？

手机钱包

相比于笔记本电脑，手机等移动设备更容易丢失或被盗。

在分析针对移动设备的威胁时，必须考虑攻击者可以直接访问用户设备的情况。

在评估过程中，如果攻击者获得访问用户设备的权限，或者用户设备感染恶意软件，我们需要设法识别导致账户和密码资产受损的潜在问题。

除了基础清单以外，以下是在评估手机钱包时要增加检查的审计类目：

应用程序是否警告用户不要对敏感数据进行截屏——在显示敏感数据时，安卓应用是否会阻止用户截屏？iOS应用是否警告用户不要对敏感数据进行截屏？

应用程序是否在后台截图中泄漏敏感信息？

应用程序是否检测设备是否越狱/root？

应用程序是否锁定后台服务器的证书？

应用程序是否在程序的log中记录了敏感信息？

应用程序是否包含配置错误的deeplink和intent，它们可被利用吗?

应用程序包是否混淆代码？

应用程序是否实现了反调试功能?

应用程序是否检查应用程序重新打包?

(iOS)储存在iOS Keychain中的数据是否具有足够安全的属性？

应用程序是否受到密钥链数据持久性的影响?

当用户输入敏感信息时，应用程序是否禁用自定义键盘?

应用程序是否安全使用“webview”来加载外部网站？

Web钱包

对于一个完全去中心化的钱包来说，Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包，MyEtherWallet也同样建议用户不要这样做。

与在其他三种平台上运行的钱包相比，以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易；如果攻击者入侵了web服务器，他可以通过向web页面注入恶意的JavaScript，轻松窃取用户的钱包信息。

然而，一个安全构建并经过彻底测试的web钱包依旧是用户管理其加密资产的不二之选。

除了上面常规的基础审计类目之外，我们在评估客户端web钱包时，还列出了以下需要审计的类目列表：

应用程序存在跨站点脚本XSS漏洞吗？

应用程序存在点击劫持漏洞吗？

应用程序有没有有效的Content Security Policy？

应用程序存在开放式重定向漏洞吗？

应用程序存在HTML注入漏洞吗？

现在网页钱包使用cookie的情况很少见，但如果有的话，应检查：

Cookie属性

跨站请求伪造（CSRF）

跨域资源共享（CORS）配置错误

该应用程序是否包含除基本钱包功能之外的其他功能? 这些功能存在可被利用的漏洞吗？

OWASP Top 10中未在上文提到的漏洞。

扩展钱包

Metamask是最有名和最常用的加密钱包之一，它以浏览器扩展的形式出现。

扩展钱包在内部的工作方式与web应用程序非常相似。

不同之处在于它包含被称为content script和background script的独特组件。

网站通过content script和background script传递事件或消息来与扩展页面进行交流。

在扩展钱包评估期间，最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。

除了基础清单以外，以下是在评估扩展钱包时要增加检查的审计类目：

扩展要求了哪些权限？

扩展应用如何决定哪个网站允许与扩展钱包进行交流？

扩展钱包如何与web页面交互？

恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面？

恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据？

扩展钱包存在点击劫持漏洞吗？

扩展钱包（通常是background script）在处理消息之前是否已检查消息来源？

应用程序是否实现了有效的内容安全策略?

Electron桌面钱包

在编写了web应用程序的代码之后，为什么不用这些代码来建造一个Electron中桌面应用程序呢？

在以往测试过的桌面钱包中，大约80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时，不仅要寻找web应用程序中可能存在的漏洞，还要检查Electron配置是否安全。

CertiK曾针对Electron的桌面应用程序漏洞进行了分析，你可以点击访问此文章了解详情。

以下是基于Electron的桌面钱包受评估时要增加检查的审计类目：

应用程序使用什么版本的Electron？

应用程序是否加载远程内容？

应用程序是否禁用“nodeIntegration”和“enableRemoteModule”？

应用程序是否启用了“contextisolation”, “sandbox” and “webSecurity”选项？

应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面？

应用程序是否实现了有效的内容安全策略？

preload script是否包含可能被滥用的代码？

应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)？

应用程序会使不安全的自定义协议吗?

服务器端漏洞检查列表

在我们测试过的加密钱包应用程序中，有一半以上是没有中心化服务器的，他们直接与区块链节点相连。

CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。

但是，如果应用程序希望为客户提供除了帐户管理和令牌传输之外的更多功能，那么该应用程序可能需要一个带有数据库和服务器端代码的中心化服务器。

服务器端组件要测试的项目高度依赖于应用程序特性。

根据在研究以及与客户接触中发现的服务器端漏洞，我们编写了下文的漏洞检查表。当然，它并不包含所有可能产生的服务器端漏洞。

认证和授权

KYC及其有效性

竞赛条件

云端服务器配置错误

Web服务器配置错误

不安全的直接对象引用(IDOR)

服务端请求伪造(SSRF)

不安全的文件上传

任何类型的注入(SQL，命令，template)漏洞

任意文件读/写

业务逻辑错误

速率限制

拒绝服务

信息泄漏

总结

随着技术的发展，黑客们实施的欺诈和攻击手段也越来越多样化。

CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全性问题、提高警惕。

现阶段，许多开发团队对于安全的问题重视程度远远低于对于业务的重视程度，对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目，CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知，从而促进产品安全升级，共同保护用户资产的安全性。

数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。

加密钱包需要重视对于潜在攻击方式的检测和监视，避免多次受到同一方式的攻击，并且加强数字货币账户安全保护方法，使用物理加密的离线冷存储（cold storage）来保存重要数字货币。除此之外，需要聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。

能说一下钱包安全审计是什么吗？这阵子都在说时代安全，他们的钱包安全审计好不好用？

近年来，数字钱包安全事件频发。

2019年11月19日，Ars Technica报道称两个加密货币钱包数据遭泄露，220万账户信息被盗。安全研究员Troy Hunt证实，被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。

这已经不是Gatehub第一次遭遇数据泄露了。据报道，去年6月，黑客入侵了大约100 个XRP Ledger钱包，导致近1000万美元的资金被盗。

2019年3月29日，Bithumb失窃事件闹得沸沸扬扬。据猜测，这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被黑客盗取。

随即，黑客将窃取的资金分散到各个交易所，包括火币，HitBTC，WB和EXmo。根据非官方数据和用户估计，Bithumb遭受的损失高达300万个EOS币（约1300万美元）和2000万个XRP币（约600万美元）以上。

由于数字货币的匿名性及去中心化，导致被盗资产在一定程度上难以追回。因此，钱包的安全性至关重要。

2020年8月9日，CertiK的安全工程师在DEF CON区块链安全大会上发表了演讲主题为：Exploit Insecure Crypto Wallet（加密钱包漏洞利用与分析）的主题报告，分享了对于加密钱包安全的见解。

加密钱包是一种帮助用户管理帐户和简化交易过程的应用程序。

有些区块链项目发布加密钱包应用程序来支持本链的发展——比如用于CertiK Chain的Deepwallet。

此外，还有像Shapeshift这样的公司，其构建了支持不同区块链协议的钱包。

从安全的角度来看，加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。

近一年来，CertiK技术团队对多个加密钱包进行了测试和研究，并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。

加密钱包基础审计清单

要对一个应用程序进行评估，首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全性不足的部分进行修正及提高。

CertiK技术团队针对加密钱包制作了一个基础审计清单，这份清单反映了所有形式的加密钱包应用（手机、web、扩展、桌面），尤其是手机和web钱包是如何生产和储存用户私钥的。

应用程序如何生成私钥？

应用程序如何以及在何处存储原始信息和私钥？

钱包连接到的是否是值得信任的区块链节点？

应用程序允许用户配置自定义区块链节点吗？如果允许，恶意区块链节点会对应用程序造成什么影响？

应用程序是否连接了中心化服务器？如果是，客户端应用会向服务器发送哪些信息？

应用程序是否要求用户设置一个安全性高的密码？

当用户试图访问敏感信息或转账时，应用程序是否要求二次验证？

应用程序是否使用了存在漏洞且可被攻击的第三方库？

有没有秘密（比如：API密钥，AWS凭证）在源代码存储库中泄漏？

有没有明显的不良代码实现（例如对密码学的错误理解）在程序源代码中出现？

应用服务器是否强制TLS连接？

手机钱包

相比于笔记本电脑，手机等移动设备更容易丢失或被盗。

在分析针对移动设备的威胁时，必须考虑攻击者可以直接访问用户设备的情况。

在评估过程中，如果攻击者获得访问用户设备的权限，或者用户设备感染恶意软件，我们需要设法识别导致账户和密码资产受损的潜在问题。

除了基础清单以外，以下是在评估手机钱包时要增加检查的审计类目：

应用程序156是否警告用户不要6991对敏感数据进行截屏3780——在显示敏感数据时，安卓应用是否会阻止用户截屏？iOS应用是否警告用户不要对敏感数据进行截屏？

应用程序是否在后台截图中泄漏敏感信息？

应用程序是否检测设备是否越狱/root？

应用程序是否锁定后台服务器的证书？

应用程序是否在程序的log中记录了敏感信息？

应用程序是否包含配置错误的deeplink和intent，它们可被利用吗?

应用程序包是否混淆代码？

应用程序是否实现了反调试功能?

应用程序是否检查应用程序重新打包?

(iOS)储存在iOS Keychain中的数据是否具有足够安全的属性？

应用程序是否受到密钥链数据持久性的影响?

当用户输入敏感信息时，应用程序是否禁用自定义键盘?

应用程序是否安全使用“webview”来加载外部网站？

Web钱包

对于一个完全去中心化的钱包来说，Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包，MyEtherWallet也同样建议用户不要这样做。

与在其他三种平台上运行的钱包相比，以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易；如果攻击者入侵了web服务器，他可以通过向web页面注入恶意的JavaScript，轻松窃取用户的钱包信息。

然而，一个安全构建并经过彻底测试的web钱包依旧是用户管理其加密资产的不二之选。

除了上面常规的基础审计类目之外，我们在评估客户端web钱包时，还列出了以下需要审计的类目列表：

应用程序存在跨站点脚本XSS漏洞吗？

应用程序存在点击劫持漏洞吗？

应用程序有没有有效的Content Security Policy？

应用程序存在开放式重定向漏洞吗？

应用程序存在HTML注入漏洞吗？

现在网页钱包使用cookie的情况很少见，但如果有的话，应检查：

Cookie属性

跨站请求伪造（CSRF）

跨域资源共享（CORS）配置错误

该应用程序是否包含除基本钱包功能之外的其他功能? 这些功能存在可被利用的漏洞吗？

OWASP Top 10中未在上文提到的漏洞。

扩展钱包

Metamask是最有名和最常用的加密钱包之一，它以浏览器扩展的形式出现。

扩展钱包在内部的工作方式与web应用程序非常相似。

不同之处在于它包含被称为content script和background script的独特组件。

网站通过content script和background script传递事件或消息来与扩展页面进行交流。

在扩展钱包评估期间，最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。

除了基础清单以外，以下是在评估扩展钱包时要增加检查的审计类目：

扩展要求了哪些权限？

扩展应用如何决定哪个网站允许与扩展钱包进行交流？

扩展钱包如何与web页面交互？

恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面？

恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据？

扩展钱包存在点击劫持漏洞吗？

扩展钱包（通常是background script）在处理消息之前是否已检查消息来源？

应用程序是否实现了有效的内容安全策略?

Electron桌面钱包

在编写了web应用程序的代码之后，为什么不用这些代码来建造一个Electron中桌面应用程序呢？

在以往测试过的桌面钱包中，大约80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时，不仅要寻找web应用程序中可能存在的漏洞，还要检查Electron配置是否安全。

CertiK曾针对Electron的桌面应用程序漏洞进行了分析，你可以点击访问此文章了解详情。

以下是基于Electron的桌面钱包受评估时要增加检查的审计类目：

应用程序使用什么版本的Electron？

应用程序是否加载远程内容？

应用程序是否禁用“nodeIntegration”和“enableRemoteModule”？

应用程序是否启用了“contextisolation”, “sandbox” and “webSecurity”选项？

应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面？

应用程序是否实现了有效的内容安全策略？

preload script是否包含可能被滥用的代码？

应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)？

应用程序会使不安全的自定义协议吗?

服务器端漏洞检查列表

在我们测试过的加密钱包应用程序中，有一半以上是没有中心化服务器的，他们直接与区块链节点相连。

CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。

但是，如果应用程序希望为客户提供除了帐户管理和令牌传输之外的更多功能，那么该应用程序可能需要一个带有数据库和服务器端代码的中心化服务器。

服务器端组件要测试的项目高度依赖于应用程序特性。

根据在研究以及与客户接触中发现的服务器端漏洞，我们编写了下文的漏洞检查表。当然，它并不包含所有可能产生的服务器端漏洞。

认证和授权

KYC及其有效性

竞赛条件

云端服务器配置错误

Web服务器配置错误

不安全的直接对象引用(IDOR)

服务端请求伪造(SSRF)

不安全的文件上传

任何类型的注入(SQL，命令，template)漏洞

任意文件读/写

业务逻辑错误

速率限制

拒绝服务

信息泄漏

总结

随着技术的发展，黑客们实施的欺诈和攻击手段也越来越多样化。

CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全性问题、提高警惕。

现阶段，许多开发团队对于安全的问题重视程度远远低于对于业务的重视程度，对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目，CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知，从而促进产品安全升级，共同保护用户资产的安全性。

数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。

加密钱包需要重视对于潜在攻击方式的检测和监视，避免多次受到同一方式的攻击，并且加强数字货币账户安全保护方法，使用物理加密的离线冷存储（cold storage）来保存重要数字货币。除此之外，需要聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。