監(jiān)守自盜還是黑客作祟？DEXX被盜事件追蹤｜時(shí)間線

訪客 9個(gè)月前 (11-16) 閱讀數(shù) 243 #區(qū)塊鏈

文章標(biāo)簽前沿文章

作者：律動BlockBeats

11 月 16 日，鏈上交易終端 DEXX 的用戶資產(chǎn)被盜，多個(gè) meme 幣今日凌晨短時(shí)經(jīng)歷大額砸盤。目前安全公司還沒有確定具體被盜金額，有社區(qū)傳言目前受損失資產(chǎn)已達(dá)一千六百余萬美元。

DEXX 創(chuàng)始人 Roy 今晨表示將會補(bǔ)償用戶損失。截止目前，多位用戶反應(yīng)賬戶資產(chǎn)已被隔離至安全地址。

DEXX 安全漏洞

DEXX 被盜事件發(fā)生后，社區(qū)開始審視這個(gè)曾被其返傭鏈接刷屏的 meme 專屬交易平臺，而為 DEXX 做過推廣的 KOL 也被用戶遷怒。

安全機(jī)構(gòu)慢霧創(chuàng)始人余弦表示，「被盜人群與用 DEXX 做沖土狗/炒 MEME 有關(guān)，私鑰屬于 DEXX 中心化托管，肯定泄露了，至于泄露方式等調(diào)查披露?！?/p>

社區(qū)發(fā)現(xiàn)，根據(jù)開發(fā)者工具中的 export_wallet 請求信息，在導(dǎo)出 DEXX 私鑰時(shí)，私鑰以明文形式呈現(xiàn)，意味著用戶私鑰實(shí)際上在官方服務(wù)器上。如果通信未進(jìn)行加密保護(hù)，攻擊者可能在傳輸過程中截獲用戶的私鑰，即使采用 HTTPS 傳輸，私鑰直接傳輸也可能因?yàn)g覽器漏洞或其他安全問題導(dǎo)致隱私數(shù)據(jù)泄露。

因此有用戶戲稱「DEXX 重新定義了非托管錢包」。

另外，錢包應(yīng)用 OneKey 表示 DEXX 一直反復(fù)請求「上傳用戶剪貼板內(nèi)容」權(quán)限，有可能上傳了用戶的剪貼板內(nèi)容，稱「如果你在手機(jī)上復(fù)制過私鑰助記詞，盡快轉(zhuǎn)移資產(chǎn)?！?/p>

DEXX 的審計(jì)由 Certik 完成，其給出的審計(jì)報(bào)告中顯示 DEXX 得分為 59.31 分，這一不及格的分?jǐn)?shù)意味著多達(dá) 9 項(xiàng)風(fēng)險(xiǎn)。其中「中心化」這個(gè)主要風(fēng)險(xiǎn)未解決；四個(gè)中度風(fēng)險(xiǎn)兩個(gè)已解決兩個(gè)未解決，包括「易受攻擊代碼」；還有四項(xiàng)輕度風(fēng)險(xiǎn)，只解決了其中一個(gè)。

有用戶表示 DEXX 以及各種交易 bot 在安全方面都是裸奔，項(xiàng)目方無一例外都主打一個(gè)心態(tài)——「反正用戶也不懂、不在乎，反正還有運(yùn)氣好的同行也這么干但還沒被盜，反正我要是在乎的話還要付出很多研發(fā)成本和用戶體驗(yàn)的代價(jià)，那我就也不用在乎啰?！?/p>

聯(lián)系到此前 BananaGun、Unibot 都曾出現(xiàn)過被盜隱患，針對鏈上交易，還是「Not Your Keys, Not Your Money」。