第三媒体软件中心软件网络资讯互联网资讯 → CSS2018腾讯安全探索论坛,揭秘以太坊RPC攻击! TTL

CSS2018腾讯安全探索论坛,揭秘以太坊RPC攻击!

上传:xzkdj200     来源:信息存储服务     日期:2018-9-13

[摘要]  
   在CSS2018腾讯安全探索论坛(TSec)上,来自腾讯安全湛泸实验室高级安全研究员王凯通过议题《看好你的钱包!从攻击和防御角度分析以太坊RPC攻击》,指出了“区块链”这个号称最安全技术的安全隐患
 
[正文]    

   “针对区块链的攻击才刚刚开始。”

   在CSS2018腾讯安全探索论坛(TSec)上,来自腾讯安全湛泸实验室高级安全研究员王凯通过议题《看好你的钱包!从攻击和防御角度分析以太坊RPC攻击》,指出了“区块链”这个号称最安全技术的安全隐患。

   王凯在议题中从攻击和防御的角度全面剖析了黑客对全球第二大公共区块链平台以太坊RPC的攻击,同时指出这种攻击仍在全球范围内进行;此外以太坊主网络中,面临安全威胁的节点仍为数众多、黑客采取的攻击手段越来越多样。

   据了解,腾讯安全探索论坛(TSec)是由腾讯安全打造的全球前沿、尖端安全技术的高质量安全信息交流论坛,议题涉及物联网、人工智能、区块链等众多热门领域,为加速安全技术创新、共享重要技术成果提升连接价值。凭借在议题专业性和研究价值上的突出表现,王凯的议题获得了今年TSec技术奖。


腾讯安全湛泸实验室高级安全研究员王凯)

区块链安全事件显著增加  以太坊RPC现多种攻击手法

   近年来,数字加密货币市场风光无限,仅单枚比特币的价值就曾飙升至两万元,吸引了众多投资者的目光。然而,与加密货币安全相关的问题也从未间断。根据腾讯安全发布的《2018上半年区块链安全报告》显示,基于区块链数字货币引发的安全问题来源于区块链自身机制安全、生态安全和使用者安全三个方面,造成的经济损失分别为12.5亿、14.2亿和0.56亿美元,共计高达27亿美元。并且,随着数字货币参与者的增加,各种原因导致的安全事件也显著增加。

   全球第二大公共区块链平台——以太坊的安全问题无疑备受瞩目。在TSec现场,王凯介绍了团队分析以太坊安全问题的详细过程。腾讯安全湛泸实验室的安全研究团队通过腾讯云节点在亚、欧、美洲部署了三个测试设备,进行了为期一个月的试验。从蜜罐捕获的数据分析结果来看,位于以太网主网中的安全脆弱节点已成为攻击者的目标,且以太坊RPC接口攻击主要存在“数字货币窃取”、“账户暴力破解”和“丢失挖矿奖励”三大攻击手段。

   研究团队发现,主网中的安全脆弱节点约占总脆弱节点数目的1/3,剩余2/3的节点则分别来自于基于以太坊修改的、名为Akroma的区块链网络以及以太坊的各类测试网络。在窃取数字货币的攻击方面,以太坊主网络中,暴露的RPC模块包含eth或personal,暴露了账户信息的节点,攻击者不仅可以实现实时窃取受害者余额,还可以签署交易信息,在认为合适的时刻发布到区块链网络中。

   统计结果显示,攻击者尝试用于暴力破解账户的密码字典约700余条,且目前的以太坊主网络中仍有120余节点、5万余账户面临着此类攻击的威胁。此外,针对以太坊主网络中暴露的RPC模块包含miner,攻击者可以将该节点接受挖矿奖励的钱包地址,设置为自己的地址进行牟利,目前已有攻击者针对该安全脆弱的节点开展攻击,根据腾讯安全团队的探测数据显示,主网络中尚有超过50个节点正遭受此类攻击的威胁。

区块链安全挑战刚刚开始  应加强部署节点RPC接口保护

   虚拟货币价值的攀升,赋予了由算法和数字堆砌的区块链巨大的金融价值,也让盗币者竭尽所能地采用更多方式实现目标。针对以太坊RPC接口的攻击只是区块链安全问题的冰山一角,对于去中心化交易的安全问题,以及将来面临的一系列挑战,实际上才刚刚开始。

   针对目前暴露的以太坊RPC攻击,王凯建议,一方面,区块链的开发社区需加强对节点RPC接口保护,警惕以太坊客户端所使用的松散RPC接口战略。若安全策略依赖于RPC地址是否对外公开、是否得到一些保护,没有实现对于RPC发送者请求健全,则必然使得有远程RPC需求用户面临风险;另外,配置不当的节点也可能面临相应的攻击风险。且由于基于RPC开展节点功能配置的系统设计并非以太坊独有,对于其他的区块链系统同样需要加强对于RPC接口的保护。

   另一方面,对于以太坊节点的部署者,建议尽量避免远程RPC控制节点需求,如果不能避免则可以利用修改RPC端口号,设置防火墙策略等方式保证自身节点的安全。

   同时,王凯表示,“蜜罐恢恢,疏而不漏”,针对以太坊RPC攻击,每个区块链团队蜜罐设计的合理性以及捕获相应攻击行为的能力也在不断提升,一般攻击行为很容易被蜜罐捕获出来报告出来。参与数字虚拟币交易的网民,更应充分了解可能存在的安全风险,可借助腾讯安全提供的PC端、移动端安全软件加强防护,避免数字虚拟币钱包被盗等事件发生。

   (新闻稿 2018-09-13)


频道首页 】【 评论 】 【 打印 】 【 字体:
   上一篇:K12在线教育新锐黑马,博乐在线一对一在线学习平台
   下一篇:IEEE: 海尔牵头2大智慧家庭国际标准项目启动!
导航:报价 | 大全 | 排行榜 | 产品大全 | 参量 | 订阅 
 Advertisement
 十大最受关注的新闻
1  苏宁极物智能云锁开启预约,下单加赠苏宁小Biu音箱
2  空气持久清新!苏宁极物小新智能新风机火热开售
3  绝地求生PGL全球邀请赛 乐橙娱乐点评中国四强!
4  2018苏州电博会: 科达以AI视界 ,创智企未来!
5  华硕: 游戏党变画面党 华硕飞行堡垒6颠覆游戏体验
6  天生不凡,华硕ROG STRIX FUSION 700诠释全新7.1耳机
7  双11十周年开启新精彩,飞利浦显示器打造便捷桌面视界
8  优音通信牵手中国人寿天津分公司 ,互利共赢!
9  年度盛会《游戏开发者大会(GDC)》,现在就加入!!!
10  RAZER发布便携手柄与降噪耳机 移动娱乐体验新升级
 十大热门驱动/软件下载
1  [手机驱动]手机usb万能
2  [热门常用软件]QQ2008正式版下载【腾讯QQ2008官方版Beta1】
3  [热门常用软件]E话通下载【E话通4.5 正式版】
4  [手机驱动]Samsung三星 手机USB驱动1.0版For Win98SE/ME/...
5  [手机驱动]Microsoft微软 ActiveSync同步软件4.5中文版Fo...
6  [摄像头驱动]万能摄像头 FOR Windows
7  [热门常用软件]皮皮播放器下载【PPFilm皮皮播放器 2.1.0....
8  [手机驱动]诺基亚 PC套件下载
9  [热门常用软件]面对面游戏下载【面对面视频游戏大厅】
10  [手机驱动]Microsoft微软 Windows Mobile Device Center ...
 十大最受关注的品牌
1  三星手机(SAMSUNG)
2  诺基亚手机(NOKIA)
3  华硕笔记本(ASUS)
4  摩托罗拉手机(MOTOROLA)
5  英特尔CPU(Intel)
6  华硕主板(ASUS)
7  LG手机(LG)
8  索爱手机(Sony Ericsson)
9  联想笔记本(lenovo)
10  宏碁笔记本(acer)
 十大热门常用软件下载
1  QQ2008正式版下载【腾讯QQ2008官方版Beta1】
2  E话通下载【E话通4.5 正式版】
3  皮皮播放器下载【PPFilm皮皮播放器 2.1.0.2版】
4  面对面游戏下载【面对面视频游戏大厅】
5  DVD解码器下载【NVIDIA DVD Decoder 1.02】
6  迅雷5下载【迅雷5.8.1.507官方版】
7  QQ2007 II正式版下载【腾讯QQ2007官方版本】
8  QQ2006正式版下载【腾讯QQ2006官方版本】
9  联众世界游戏大厅下载【联众世界2.7.0.8官方版】
10  MTV下载器【MTV下载精灵 8.31版】
11  pplive最新版下载【PPLive网络电视V1.9.35版】
12  迅雷(Thunder)下载【迅雷v5.7.12.493官方版】
13  腾讯QQ2008下载【腾讯QQ官方版2008极速贺岁版KB1】
14  Total Video Converter下载【Total Video Converter v3.1...
15  QQ拼音输入法下载【腾讯QQQQ拼音输入法V1.4.1版】
16  皮皮高清影视播放器下载【PIPIPlayer 2.7.0.3版】
17  eMule下载【电驴eMule官方v0.49a正式版】
18  极点五笔输入法下载【极点五笔6.1标准版】
19  QQ2009正式版下载【腾讯QQ2009 SP4官方版】
20  Vagaa哇嘎画时代版下载【哇嘎 2.6.5.10】
   >> 查看评论   
 
   >> 查看更多评论   [共有0条评论]
发表评论
        
        
   点评:
   姓名:  
            字数: 0
     
新闻精选
·优音通信牵手中国人寿天津分公司 ,互利共赢
·腾讯投资加强产业互联网布局 兴趣内容基金公
·彩云小译APP秘密武器而生 免费翻译中日英文档
·源自赛道 赛麟汽车展示先进技术力量
·Coremail邮件系统,校园邮件系统安全解决方案
·开放AI能力,QQ浏览器识你所见助力行业“智”
  ·震惊!天猫精灵竟然用这种黑科技让传统家电瞬
·阿里巴巴人工智能实验室 推“黑科技”概念产
·达飞云贷平台强化风控本领,助力行业向正规跃
·如果有一天,你爸妈比你先学会用AI技术
·通策医疗借力“众安链” 我的数据我做主
·打破地域界限 , 赋能优秀劳务者 !