关于此次币安交易所遭到黑客攻击，Beosin成都链安科技安全团队对本次事件进行了深度分析，为大家揭开真相。
文章来源：成都链安科技安全团队
知名加密货币交易所币安受到黑客攻击，目前已经有7074.18个比特币被窃。根据币安首席执行官赵长鹏对外披露的信息，该交易所在5月7日发现了「大规模的安全漏洞」，该漏洞导致黑客能够访问用户应用程序接口密钥、双因素身份验证码、以及其他信息。按照安全通知中公布的一笔交易，黑客从币安交易所中取走了价值大约4100万美元的比特币。
对此次攻击，Beosin成都链安科技安全团队进行了深度分析：
交易详情如下：
发生在575013块，总损失最高可达7074个BTC
成都链安：BaconProtocol遭受攻击事件分析:据成都链安链必应-区块链安全态势感知平台舆情监测显示，BaconProtocol遭受黑客攻击损失约958,166 美元，关于本次攻击，成都链安团队第一时间进行了分析：1. 本次攻击利用重入漏洞，并凭借闪电贷扩大收益额。2：目前攻击者地址还没有被加入USDC的黑名单中。[2022/3/6 13:40:01]
详细提币地址
截至目前，币安热钱包被盗约7074枚BTC。现在币安的热钱包余额3,612.69114593个BTC,说明币安热钱包的私钥安全，经过团队分析，在05月08日01:17:18，通过API接口在同一时间发起提币操作。
币安交易所的API申请后会生成APIkey和Secretkey，如下图：
成都链安：Visor Finance遭受攻击事件分析:据成都链安监测显示，Visor Finance于北京时间2021年12月21日晚上10点18分遭受攻击。经成都链安技术团队分析，本次攻击利用了Visor Finance项目抵押挖矿合约RewardsHypervisor的两个漏洞：
1.call调用未对目标合约进行限制，攻击者可以调用任意合约，并接管了抵押挖矿合约的执行流程；<- 主要漏洞，造成本次攻击的根本原因。2.函数未做防重入攻击；<- 次要漏洞，导致了抵押凭证数量计算错误，不是本次攻击的主要利用点，不过也可凭此漏洞单独发起攻击。针对这两个问题，成都链安在此建议项目方应做好下面两方面：1.进行外部合约调用时，建议增加白名单，禁止任意的合约调用，特别是能够控制合约执行流程的关键合约调用；2.函数做好防重入，推荐使用openzeppelin的ReentrancyGuard合约。[2021/12/22 7:55:18]
API接口有限定用户开放IP限制和开放提现功能。开放提现就是直接利用APIkey和Secretkey直接提现，不需要收集验证码、短信、谷歌验证码。
OneSwap智能合约代码通过慢雾、成都链安、PeckShield安全审计:据海外媒体消息，OneSwap已9月6日顺利通过智能合约代码安全审计，此次审计工作由三家业内知名的安全公司慢雾科技，派盾PeckShield，成都链安完成。在审计过程中，三家独立的审计团队采取自身独特的策略对OneSwap智能合约代码进行全方位开展代码审计工作，以最大程度确保及时发现漏洞。
审计团队分别从攻击漏洞测试、合约复杂度分析、代码通用性、链上数据安全、代码逻辑等方面对OneSwap智能合约代码进行全方位的测试分析。OneSwap智能合约代码均符合三家安全公司的安全审核标准，审计中发现的问题目前都已解决或正在解决中。
OneSwap是一个基于智能合约的完全去中心化的交易协议，在CFMM模型的基础之上引入链上订单簿来改善AMM用户的交易体验。上币无需许可，可支持自动化做市、支持挂单挖矿、流动性挖矿和交易挖矿。据官方消息，Oneswap将在2020年9月7日正式上线并开启公测。[2020/9/7]
如下图：
分析 | 成都链安：盗窃Upbit交易所黑客开始测试向交易所充值:据成都链安反系统（Beosin-AML）监测显示，Upbit攻击者于28日下午17:08开始向0xf467816地址转移60100ETH，并将少量ETH转往可能随机选取的中间地址。通过该地址，这笔小额ETH目前已经进入疑似火币交易所钱包地址0x5401dbf7da53e1c9。目前攻击者正在分散资金，且通过少量的ETH测试是否能够成功进入交易所。[2019/11/28]
API部分官方调用代码demo如下：
我们初步分析，推测是用户的APIkey和Secretkey信息泄露导致的此次攻击。
如果用户没有限制ip并配置了开放提现功能，任意攻击者在获取了APIkey和Secretkey信息后便可以实现攻击。
用户的信息泄露途径可能有：1、普通用户一般不会使用apikey，一般是高级用户用于代码中实现自动化交易，可能是用户源码泄露导致apiSecretkey泄露；2、用户被钓鱼攻击，输入了APIkey和Secretkey被黑客截取；3、用户的APIkey和Secretkey保存的电脑被攻击窃取；4、币安交易所系统原因导致用户APIkey和Secretkey泄露，其中只有71个用户开放了提现功能，被盗币。
被黑客盗取的7074枚BTC的主要20个地址如下：
bc1qp6k6tux6g3gr3sxw94g9tx4l0cjtu2pt65r6xp555.997BTCbc1qqp8pwq277d30cy7fjpvhcvhgztvs7v0nudgul5463.9975BTCbc1qld27dqu6wrl4tmjdr8tl55qavmghwrr4ldh7qn473.9975BTCbc1q8m9h3atn4cqeqhu3ekswdqxchp3g7d4v3qv3wm567.997BTCbc1q7p6edvd4zvtya8uj366c23dan8pvlp503spucu468.9975BTCbc1ql0wlnu80l8kctjzkzlzd72sdjqwuvruvgepceq383.998BTCbc1q3ldtrr6xtpx8jam5gw68aaexz2wtluj0qullvr189.999BTCbc1qyv4zv0wjn299kx4yz6g7v6g6400wqgzcqgw9vx383.998BTCbc1q6fejm4r866tmt8ptf42juedv5gevlv2qt72agq371.998BTCbc1qvstwzsrfml43jrclsp68220l4lx5lw3kwf7dp0193.999BTCbc1qecs672j9dpvwr56zeldgf3swtlv3dad52wzuta463.9975BTCbc1qshkncv7tkpye7z0z4a3k9yw2e73whha9gjs88z97.9995BTCbc1qhlhx6lrnr0jf4zpvm788j7yeezau6s8q557p2z279.9985BTCbc1qesy52g7ndy652qudr2awuk57mcaxgmn9qsmpzk469.9975BTCbc1q9svj9wp68zftgejjgk6f96ukuyx8c5urkqsv69193.999BTCbc1qanrl8n3flz4jftkscljx2hwuc3h50f9ynp2nyn89.9995BTCbc1qtpdptcf4ngfkwq6dr36kqaeh2n5h00rx5unkgc670.9965BTCbc1qvr2jxlmvckap7cg2l6mdgh5fa8glkhe4s88sax377.998BTCbc1qhqap39mpkldjzvqdf3204p732krtnf56mm9aj3370.998BTC3KBsR6Ld255Tw5hNR4S6KaX5SXxvRF6jv31.29968018BTC
本文来源于非小号媒体平台：
链闻研究院
现已在非小号资讯平台发布1篇作品，
非小号开放平台欢迎币圈作者入驻
入驻指南：
/apply_guide/
本文网址：
/news/3626566.html
比特币币安
免责声明：
1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险
2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场
上一篇：
再次敲响警钟！币安被盗7000比特币，我们该如何保护自己的币？
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。