当前位置:OKEX官网 > 区块链快讯 > 爆破攻击:后偷渡时代的盗币方式

爆破攻击:后偷渡时代的盗币方式

admin2021-08-28 16:16:39区块链快讯298
对于暂时无法关闭对公网暴露的RPC接口的节点,在不使用personal.unlockAccount()的情况下,仍然存在被盗币的可能。

漏洞复现

被攻击节点启动参数为:geth–testnet–rpc–rpcaddr 0.0.0.0–rpcapi eth,personal console 

攻击者的攻击步骤为:

1.攻击者探测到目标开放了RPC端口->获取当前节点的区块高度、节点上的账户列表以及各账户的余额。根据蜜罐捕获的数据,部分攻击还会通过personal_listWallets接口进行查询,寻找当前节点上已经unlocked的账户。

2.调用personal_unlockAccount接口尝试解密用户账户。假如用户使用了弱口令,攻击者将会成功解锁相应账户。

3.攻击者可以将解锁账户中的余额全部转给自己。

攻击流程如下图所示:

升级的爆破方式

根据偷渡漏洞的原理可以知道该攻击方式有一个弊端:如果有两个攻击者同时攻击一个节点,当一个攻击者爆破成功,那么这两个攻击者都将可以取走节点中的余额。

谁付出了更多的手续费,谁的交易将会被先打包。这也陷入了一个恶性循环,盗币者需要将他们的利益更多地分给打包的矿工才能偷到对应的钱。也正是因为这个原因,蜜罐捕获到的爆破转账请求从最初的 personal_unlockAccount 接口逐渐变成了 personal_sendTransaction 接口。

personal_sendTransaction接口是Geth官方在2018/01新增了一个解决偷渡漏洞的RPC接口。使用该接口转账,解密出的私钥将会存放在内存中,所以不会引起偷渡漏洞相关的问题。攻击者与时俱进的攻击方式不免让我们惊叹。

探测的数据包

对蜜罐捕获的攻击流量进行统计,多个 JSON-RPC 接口被探测或利用:

其中eth_blockNumber、eth_accounts、net_version、personal_listWallets等接口具有很好的前期探测功能,net_version可以判断是否是主链,personal_listWallets则可以查看所有账户的解锁情况。

personal_unlockAccount、personal_sendTransaction、eth_sendTransaction等接口支持解锁账户或直接进行转账。

可以说,相比于第一阶段的攻击,后偷渡时代针对JSON-RPC的攻击正呈现多元化的特点。

爆破账号密码

蜜罐在2018/05/24第一次检测到通过unlockAccount接口爆破账户密码的行为。截止2018/07/14蜜罐一共捕获到809个密码在爆破中使用。

攻击者主要使用personal_unlockAccount接口进行爆破,爆破的payload主要是:

 

在所有的爆破密码中有一个比较特殊:ppppGoogle;该密码在personal_unlockAccount和personal_sendTransaction接口均有被多次爆破的痕迹。

转账的地址

蜜罐捕获到部分新增的盗币地址有:

攻击来源 IP

区块链技术与虚拟货币的火热,赋予了链上货币们巨大的经济价值,每个人都想在区块链浪潮中分得一杯羹。黑客们更是如此,他们作为盗币者,绞尽脑汁的想着各个角度攻击区块链与合约。当黑客栖身于矿工,他们不但能挖出区块,也能挖出漏洞。

来源:币世界

扫描二维码推送至手机访问。

版权声明:本文由okx官方网站发布,如需转载请注明出处。

本文链接:https://www.okexk.com/post/1056.html

相关文章

DeFi 新物种崛起,Cred 会是区块链上的蚂蚁金服吗?

DeFi 新物种崛起,Cred 会是区块链上的蚂蚁金服吗?

在传统世界里,蚂蚁金服利用互联网、大数据,打通了信用体系,方便了普通人法币的借贷理财需求。在加密数字货币世界里,区块链借贷项目 Cred 正在做与蚂蚁金服同样的事情,利用区块链技术,搭建法币与加密数字货币之间的桥梁,以普惠、大众化的方...

深入 MakerDAO 系统,细说其中的六大风险

深入 MakerDAO 系统,细说其中的六大风险

在三部曲的第一部分中,我们对稳定币世界进行了简单介绍,定义了去中心化风险管理,并围绕风险功能来对治理结构进行了一些概括。那么在本篇文章,即三部曲的第二部分中,我们将对系统中的风险进行一个更深的了解 —— 描述 MakerDAO 系统中...

美国联邦政府正在发展和应用区块链技术

美国联邦政府正在发展和应用区块链技术

随着比特币的兴起,一种可能的、潜在的支持技术已经获得了越来越多的关注——区块链技术。区块链技术有许多应用,用于确保金融领域以外的交易和活动,包括医疗保健和其他行业。因为其具备的各种优势,引起了美国联邦政府对该技术的应用产生了浓厚兴趣。...

原中国银监会主席刘明康看望中国区块链代表团

原中国银监会主席刘明康看望中国区块链代表团

当地时间1月23日晚,达沃斯论坛分会场上,原中国银监会主席刘明康来看望了中国区块链代表团。刘主席亲切询问了当前区块链发展的问题,并希望代表团成员继续推进区块链产业的发展。 在国家十三五的规划当中,区块链技术已被列入其中,成为“数字中国”建设...

区块链可以帮助消除科研过程诸如数据造假的失信操纵

区块链可以帮助消除科研过程诸如数据造假的失信操纵

区块链技术被大肆宣传——诸如基于区块链的数字货币比特币,近几个月来,它的估值在投机者的狂热和惊慌中被疯狂地推高了。 但是它具体的相关技术,一种在线记录的去中心化系统已经被用于类似于银行这样的中央集权机构,除了可以跟踪“谁拥有或做了什么...

​印度借贷银行暂停多家比特币交易所账户

​印度借贷银行暂停多家比特币交易所账户

印度顶级借贷银行印度国家银行、Axis银行、HDFC银行和ICICI银行和Yes银行已经暂停了一些印度主要比特币交易所的账户,因为可疑交易。 这些银行还向这些交易所的发起人寻求额外的抵押担保,并限制从少数仍在运营的账户中提取现金。...