OKCoin

inputs.io被黑敲响网络比特币钱包安全警钟

长铗 发布在 比特币 0 7495

最近在比特币论坛(Bitcoin Forum)上出现了一则回帖“建议不要把比特币存放在任何可以联网的电脑上。”

这听起来可能和比特币本身用途就相违背。比特币是目前世界上最流行的电子货币,被分散控制于世界不同的网络终端。这个建议的发帖人用户名为TradeFortress,是储存比特币和为全球提供电子钱包的网站inputs.io的创始人。最近该网站刚刚被黑客攻击,损失了超过百万金额的比特币。

虽然比特币是电子货币,其交易必须通过网络发生,但用户却可以在线下储存比特币,线下储存对投资者来说也是最为保险的一种方式。一定数额的比特币可以通过保密钥匙支付给对方,这种保密钥匙可以通过线上电子钱包储存起来,也可以储存在离线电脑中,甚至以物理实体的形式储存(比如写在纸上,或者刻在戒指里)。与在线储存方式相比,离线方式保证了比特币不会收到黑客的攻击。

bitocin wallet

如果不是上周发生黑客攻击事件,inputs.io可能是理想的比特币管理网站。网站不仅提供比特币钱包,而且将不同用户的钱包混合起来,对应的比特币数量完全匿名,加快比特币的支付,还省去了通常小额比特币交易需要支付的手续费用。

使用电子钱包的用户需要对网站有足够的信任,来管理自己的比特币。但这种信任存在着巨大的风险,inputs.io上周的事故就给用户们上了这一课。网站在10月23日和26日分别遭到黑客袭击,损失了大约4100比特币(合120万美元)。公司直到这周才将被袭击之事通知用户。TradeFortress在邮件中表示,“两次黑客活动总共盗走了约4100 比特币,公司无法赔付所有用户的存款。”此外,存放在TradeFortress另外的管理网站CoinLenders的比特币的一小部分也被盗走。

TradeFortrss通过科技博客WIRED表示,“虽然公司没有足够的比特币赔偿所有受到损失的用户,但会履行部分赔偿”,“我也将动用自己所有的比特币,以及inputs冻结的部分储存,但加起来一共只有1540比特币。”

TradeFortress解释说网站遭到一次“社会工程攻击”(social engineering attack),一种利用“社会工程学”发动的网络攻击行为。攻击者假装要进入不属于自己的云端托管方Linode,“以电子邮件账户为攻击目标,重置了Linode服务器的密码”,恢复了TradeFortrss六年前设置的一个邮件账户的密码。从ip地址显示攻击者租用澳大利亚的代理服务器,由于地理位置上相接近,因此不会因为邮件回收率而发出警报。此外,Linode调用登录ip记录证明攻击不是内部人员监守自盗。

TradeFortress在inputs.io网站上发帖表示“非常抱歉”,“我只能说我非常难过,但显然语言已经无法表达这种情绪。”
TradeFortress发帖原文如下:
Hash: SHA1 两次黑客攻击共造成inputs.io 4100BTC的损失,而我们无法弥补攻击中造成的所有损失。攻击者通过电子邮件账户(非常老,没有电话号码相连接,非常容易重置)攻击云端托管账户。攻击者找到了服务器主机的缺陷绕过了2FA。 黑客同时得以访问数据库,但用户的密码及哈希加密仍然安全。比特币后端代码被转移到10;15Hd@mastersearching.com:mercedes49@69.85.88.31(很可能是另一台已经破解的服务器)上。 如果储存在inputs.io超过1BTC,用户需要发邮件到support@inputs.io告知比特币地址(推荐使用离线的、开源的SPV钱包,如Multibit或Electrum)。使用与Inputs相同的邮箱地址。无论比特币是属于自己个人还是服务器,都不要再选择任何联网终端储存。 邮件并不能解决问题,我只能说我非常难过,但显然语言已经无法表达这种情绪。

Version: GnuPG v1.4.11 (GNU/Linux) iQEcBAEBAgAGBQJSeuZ9AAoJEB7FawRj3T8Th5QH/iapt2DUuyy1j7t51y1N1LOk +Gu5fdIAV8molXnv+InMQvxtfxWfc7zKiROSP6Zv1cXdvMrCyzKP+SnTEFshIa+0 j2FYOgLeMNmsPSw8yeR1O8vJieYlK+7imEZL4nRKA+O+mjqCT1nTCtBUAVcYQ8Uu O6BoNLkgT8z/1ZTfw+OK4t2kw9KcC317JOv3yVugfA3xCn4HbKPRP2yFIKR49C7L w7C2h3L1jHqLerQNjbowcyKH83BFJ2IB0cFZFFCLBI+8NQcUIcIFymxrxUV73Rqa xlMPX2rPFcIj6yz0ABl1t2rwY2DGOvc33MYCzX82CumLx/qAXCd2uF/jG6fzQ5M= =Ip/9

网站目前对用户开放账户核查、交易历史查询等服务(https://inputs.io/index2),但不建议用户再追加储存比特币。
(原文链接:wired快鲤鱼译)

版权声明: by nc" sa 作者保留权利。文章为作者独立观点,不代表巴比特立场。

评论:0

您需要登录后才可以回复 登录|注册