当前位置:OKEX官网 > 区块链快讯 > 爆破攻击:后偷渡时代的盗币方式

爆破攻击:后偷渡时代的盗币方式

admin2021-08-28 16:16:39区块链快讯347
对于暂时无法关闭对公网暴露的RPC接口的节点,在不使用personal.unlockAccount()的情况下,仍然存在被盗币的可能。

漏洞复现

被攻击节点启动参数为:geth–testnet–rpc–rpcaddr 0.0.0.0–rpcapi eth,personal console 

攻击者的攻击步骤为:

1.攻击者探测到目标开放了RPC端口->获取当前节点的区块高度、节点上的账户列表以及各账户的余额。根据蜜罐捕获的数据,部分攻击还会通过personal_listWallets接口进行查询,寻找当前节点上已经unlocked的账户。

2.调用personal_unlockAccount接口尝试解密用户账户。假如用户使用了弱口令,攻击者将会成功解锁相应账户。

3.攻击者可以将解锁账户中的余额全部转给自己。

攻击流程如下图所示:

升级的爆破方式

根据偷渡漏洞的原理可以知道该攻击方式有一个弊端:如果有两个攻击者同时攻击一个节点,当一个攻击者爆破成功,那么这两个攻击者都将可以取走节点中的余额。

谁付出了更多的手续费,谁的交易将会被先打包。这也陷入了一个恶性循环,盗币者需要将他们的利益更多地分给打包的矿工才能偷到对应的钱。也正是因为这个原因,蜜罐捕获到的爆破转账请求从最初的 personal_unlockAccount 接口逐渐变成了 personal_sendTransaction 接口。

personal_sendTransaction接口是Geth官方在2018/01新增了一个解决偷渡漏洞的RPC接口。使用该接口转账,解密出的私钥将会存放在内存中,所以不会引起偷渡漏洞相关的问题。攻击者与时俱进的攻击方式不免让我们惊叹。

探测的数据包

对蜜罐捕获的攻击流量进行统计,多个 JSON-RPC 接口被探测或利用:

其中eth_blockNumber、eth_accounts、net_version、personal_listWallets等接口具有很好的前期探测功能,net_version可以判断是否是主链,personal_listWallets则可以查看所有账户的解锁情况。

personal_unlockAccount、personal_sendTransaction、eth_sendTransaction等接口支持解锁账户或直接进行转账。

可以说,相比于第一阶段的攻击,后偷渡时代针对JSON-RPC的攻击正呈现多元化的特点。

爆破账号密码

蜜罐在2018/05/24第一次检测到通过unlockAccount接口爆破账户密码的行为。截止2018/07/14蜜罐一共捕获到809个密码在爆破中使用。

攻击者主要使用personal_unlockAccount接口进行爆破,爆破的payload主要是:

 

在所有的爆破密码中有一个比较特殊:ppppGoogle;该密码在personal_unlockAccount和personal_sendTransaction接口均有被多次爆破的痕迹。

转账的地址

蜜罐捕获到部分新增的盗币地址有:

攻击来源 IP

区块链技术与虚拟货币的火热,赋予了链上货币们巨大的经济价值,每个人都想在区块链浪潮中分得一杯羹。黑客们更是如此,他们作为盗币者,绞尽脑汁的想着各个角度攻击区块链与合约。当黑客栖身于矿工,他们不但能挖出区块,也能挖出漏洞。

来源:币世界

扫描二维码推送至手机访问。

版权声明:本文由okx官方网站发布,如需转载请注明出处。

本文链接:https://www.okexk.com/post/1056.html

相关文章

以太坊 DeFi 系统性崩溃反思:头部公链应参与竞争,纳入更多传统资产

以太坊面对挤兑风险时性能不足以承载大规模 DeFi,Algorand 认为 DeFi 应纳入更多应用与传统资产。 原文标题:《DeFi 为何在市场极端状况下出现系统性崩溃?谁会是承载 DeFi 的更好公链?》 撰文:J...

慢雾:详解 bZx 两次被黑始末

慢雾:详解 bZx 两次被黑始末

两次攻击的核心都在于控制预言机价格,并通过操纵预言机价格获利。 原文标题:《慢雾:详解 DeFi 协议 bZx 二次被黑》 撰文:yudan,慢雾安全团队 今早,bZx 疑似遭遇第二次攻击,不同的是本次的对象是 ETH/sUS...

Placeholder 带你读懂 DeFi 应用的流动性模型

Placeholder 带你读懂 DeFi 应用的流动性模型

Maker、Compound 和 Uniswap 这三个主流协议在设计上都凸显出了流动性优势:用户无需找到某个特定的对手方就能进行交易。 原文标题:《观点 | 当前 DeFi 应用的流动性模型》 作者:Alex Evans,来自...

Staking 和 DeFi 热潮下,Cred 如何布局?

Staking 和 DeFi 热潮下,Cred 如何布局?

2019 年 5 月 7 日,SorosReport 和 Winkrypto 主办的 AMA 在真本聪社群举行,本次 AMA 邀请了 Cred CEO Lu Hua,Piexgo CEO Czhang 和 DDEX 市场公关负责人代世...

科罗拉多州提出的区块链法案被州参议院被否决

科罗拉多州提出的区块链法案被州参议院被否决

5月9日,美国国家立法局在科罗拉多州参议院投票通过了一项州立法,该项法案的主要内容是将“开放化区块链货币”作为证券制定的指导方针。 该项法案被州众议院轻松通过后,在参议院审核过程中却引起了相当大的争议。据《丹佛邮报》报道,在立法会议进...

区块链时代的域名:EOS账户名

区块链时代的域名:EOS账户名

史上最昂贵的三字母域名诞生 近日,EosStore基金以高达580655个EOS(约合人民币7000万元)收购币圈顶级域名OTC.COM的消息不胫而走,据悉,该域名已经超过了SEX.COM的价格,成为史上最昂贵的三字母域名。 说起域...