黑客发送捏造的“更新”，从比特币钱包中盗取2200万美元_数字货币

[2021-02-10 10:33:54] 来源：编辑：wangjia 点击量：

评论 点击收藏

导读： 过去两年，黑客利用一种“简单的技术”从比特币钱包Electrum的用户手中窃取了超过2200万美元。经合组织想要对加密软件征税，以支付COVID-19恢复工作的费用经济合作与发展组织(OECD)正

过去两年，黑客利用一种“简单的技术”从比特币钱包Electrum的用户手中窃取了超过2200万美元。

经合组织想要对加密软件征税，以支付COVID-19恢复工作的费用

经济合作与发展组织(OECD)正在推动其成员国采用加密税框架。

ZDNet周一的一份报告称，过去两年，黑客应用一种“简朴的手艺”从比特币钱包Electrum（一种盛行的比特币钱包）的用户手中盗取了凌驾2200万美元。
研究人员示意，这类黑客手艺最初是在2018年12月被观察到的，今后在接下来的几年中被用于数次进击，以从毫无戒心的Electrum用户中骗走数百万美元。近来一次此类突击是在上个月的9月。
比特币论坛上的相干帖子显现，黑客想法在受害者手机上发送了Electrum应用程序的“更新”关照。当后者确切更新了他们的应用程序时，这笔资金马上被盗取并虹吸到据称由黑客掌握的钱包中。
黑客好像对Electrum钱包的工作方式，运用的注册表以及怎样处置惩罚平安性都有清楚的熟悉。有了这些学问，他们便得以不被发明并从受害者那边偷走。
据称他们是如许做的：一切Electrum钱包都设想为经由过程ElectrumX连接到比特币，ElectrumX是Electrum服务器收集，钱包应用程序运用该服务器处置惩罚生意业务和存储硬币。
然则，Electrum的开源要领意味着歹意开发人员可以设置本身的ElectrumX网关服务器。这使他们可以设置歹意服务器，并检察用户连接到那些受到破坏的收集，从而使犯法发作。
经由过程上述操纵，进击者可以指导服务器在用户屏幕上显现“歹意”弹出窗口，并供应“平安更新”的申明，如下图所示：
该URL以至不在Electrum的官方网站上，而是在类似的域或GitHub存储库中，如上所示。这意味着用户终究安装了毛病版本的Electrum钱包。完成此操纵后，用户打开了他们的应用程序，向用户显现了一次性暗码（OTP）（通常在要求资金转帐之前运用），并在他们输入准确的OPT后将一切资金转入了黑客的钱包。
依据报告，黑客钱包持有凌驾1980比特币，按当前价钱盘算代价凌驾2200万美元。然则，个中很大一部分可以追溯到8月的一次事宜，当时用户报告说，因为Electrum钱包进击而丧失了1400多个比特币。

同时，Electrum团队已尝试在未来减轻此类情况的发作。如今，Electrum X服务器上存在一个服务器黑名单体系，以阻挠对其收集举行歹意增加，同时运用一种阻挠服务器向终究用户显现HTML花样的弹出窗口的更新。