近年来，加密钱包安全事件频发。
根据慢雾MistTrack所接触的受害者信息收集整理，钱包被盗的事件占比高达60%，显而易见钱包是最有利可图的目标，因此，钱包的安全性至关重要，当然，对钱包进行安全审计更是重中之重。
作为在区块链耕耘已久的一员，慢雾科技在区块链世界独特的安全架构方面拥有丰富且领先的实战经验。慢雾的相关安全服务已经覆盖超数十家行业内顶级的钱包，如imToken、HuobiWallet、RenrenBit钱包等。为了更好地增强各类加密钱包的安全性，慢雾科技在已有审计项的基础上进行扩展，新增了对扩展/插件钱包的审计。
下面让我们以问答形式来一睹为快！
插件钱包与常说的“钱包”有什么不同？
?
插件钱包是指基于浏览器(主要是GoogleChrome)开发的钱包。
慢雾揭秘Pickle Finance被黑过程:2020 年 11 月 22 日，以太坊 DeFi 项目 Pickle Finance 遭受攻击，损失约 2000万DAI。慢雾安全团队跟进相关事件并进行分析，以下为分析简略过程：
1、项目的 Controller 合约中的 swapExactJarForJar 函数允许传入两个任意的 jar 合约地址进行代币的兑换，其中的 _fromJar, _toJar, _fromJarAmount, _toJarMinAmount 都是用户可以控制的变量，攻击者利用这个特性，将 _fromJar 和 _toJar 都填上自己的地址，_fromJarAmount 是攻击者设定的要抽取合约的 DAI 的数量，约 2000万 DAI。
2、使用 swapExactJarForJar 函数进行兑换过程中，合约会通过传入的 _fromJar 合约和 _toJar 合约的 token() 函数获取对应的 token 是什么，用于指定兑换的资产。 而由于 _fromJar 合约和 _toJar 合约都是攻击者传入的，导致使用 token() 函数获取的值也是可控的，这里从 _fromJar 合约和 _toJar 合约 获取到的 token 是 DAI。
3. 此时发生兑换，Controller 合约使用 transferFrom 函数从 _fromJar 合约转入一定量的的 ptoken，但是由于 fromJar 合约是攻击者控制的地址，所以这里转入的 ptoken 是攻击者的假币。同时，因为合约从 _fromJar 合约中获取的 token 是 DAI，然后合约会判断合约里的资金是否足够用于兑换，如果不够，会从策略池中赎回一定量的代币 然后转到 Controller 合约中。在本次的攻击中，合约中的 DAI 不足以用于兑换，此时合约会从策略池中提出不足的份额，凑够攻击者设定的 2000万 DAI 。
4. 兑换继续，Controller 合约在从策略池里提出 DAI 凑够攻击者设定的 2000万 DAI后，会调用 _fromJar 的 withdraw 函数，将攻击者在第三步转入的假 ptoken burn 掉，然后合约判断当前合约中 _toJar 合约指定的 token 的余额是多少，由于 _toJar 合约指定的 token 是 DAI，Controller 合约会判断合约中剩余 DAI 的数量，此时由于 第三步 Control[2020/11/22 21:39:57]
插件钱包管理的助记词/私钥是与DApp相互隔离的，理论上第三方组件(如：DApp或其他插件)很难通过技术手段突破隔离对插件钱包进行攻击，所以安全性有一定的保证。
BKEX入驻慢雾区，发布安全漏洞与威胁情报赏金计划:据官方消息，为了进一步保障用户资产安全，提高平台安全风控等级，BKEX 入驻慢雾区，发布“安全漏洞与威胁情报赏金计划”，严重漏洞最高奖励10,000USDT.本次漏洞赏金主要针对BKEX网站及APP。[2020/8/12]
插件钱包配置简单，使用更方便，在官方渠道下载安装后勾选开启插件，使用时点击图标就可进入钱包，并且使用钱包管理助记词/私钥。
插件钱包的助记词/私钥的管理操作更方便和安全，仅需要在插件钱包中"点点点"就能轻松的发起一笔转账，签名一笔交易，或者管理助记词/私钥。
慢雾在插件钱包安全方面有什么研究？
?
慢雾安全团队从钱包生命周期“助记词/私钥的生成，助记词/私钥的存储，助记词/私钥的使用，助记词/私钥的备份，助记词/私钥的销毁”这五大过程的安全作为主要切入口进行安全研究，并梳理插件钱包安全的最佳实践，并在实战过程中挖掘了不少优质的插件钱包的攻击面。
动态 | 慢雾区：以太坊智能合约Fountain(FTN)现溢出漏洞:以太坊智能合约 Fountain(FTN) 出现溢出漏洞，攻击者通过调用 batchTransfers 函数进行溢出攻击，漏洞具体出现在合约代码 535 行的加法运算上，满足 canPay 函数校验后将巨额 token 转向收款人
0x8cE6ae7e954A5A95ff02161B83308955Ebc832Cf
据介绍，简书是 Fountain 的第一个，也是最重要的一个合作伙伴。[2018/12/27]
如：
1.某些场景下可通过DApp页面获取助记词/私钥；
2.某些场景下可通过跨域方式获取助记词/私钥；
3.某些场景下可在钱包锁定后获取助记词/私钥；
4.某些场景下可构造签名数据进行假充值/假转账。
慢雾科技公告慢雾科技：Redis挖矿蠕虫爆发，中国占比总感染是88%:据慢雾科技公告，近期Redis挖矿蠕虫爆发，目前中国占比总感染是88%。该蠕虫通过6379端口直接打crontab，成功后先自行关闭Linux的部分安全策略和其他竞争蠕虫，并清理痕迹，并在内外网进行传播。其挖矿算法为CryptoNight，支持此类算法的有门罗币（XMR），字节币（BCN）等。[2018/5/21]
(攻击面很多，欢迎来撩:-))
慢雾对插件钱包的整体安全审计是什么样的？
?
慢雾安全团队对钱包的审计涵盖渗透测试内容，且比渗透测试服务更全面与精细。不仅会对目标项目进行漏洞发现提出修复方案，还会提出建议执行的安全增强点或最佳安全实践，以杜绝未来可能出现的安全风险。安全审计将提供更全面更多维的企业安全体系落地建设依据，并根据项目方需求出具专业的安全审计报告。具体可参考：
https://www.slowmist.com/service-wallet-security-audit.html
当慢雾在审计插件钱包时，慢雾在审什么？
?
对于任何一款钱包来说，账户安全/私钥安全都是极为重要的。因此，我们在对扩展/插件钱包进行审计时，仍然将重点放在助记词/私钥这一部分。具体可以参考下图：
插件钱包安全审计主要使用哪些测试方式？
?
我们主要采用“黑盒与灰盒结合为主，白盒为辅”的方式。
黑盒测试：站在外部从攻击者角度进行安全测试。
灰盒测试：通过脚本工具对代码模块进行安全测试，观察内部运行状态，挖掘弱点。
白盒测试：基于项目的源代码，进行脆弱性分析和漏洞挖掘。
如何理解漏洞等级？
?
严重漏洞：会对项目的安全造成重大影响。
高危漏洞：会影响项目的正常运行。
中危漏洞：会影响项目的运行。
低危漏洞：可能在特定场景中会影响项目的业务操作。
弱点：理论上存在安全隐患，但工程上极难复现。
增强建议：编码或架构存在更好的实践方法。
对插件钱包有什么展望？
?
随着区块链产业的多链多元化发展，插件钱包似乎也开辟了一条新赛道。其实慢雾陆陆续续审计过不少知名的插件钱包，例如：波场推出的第一款插件钱包TronLink、由星火矿池推出的GasNow、适配Alaya网络和PlatON网络的Samurai、ICON的第一个移动钱包MyIconWallet、以及DeBank团队于前不久推出的Rabby等等。目前对于插件钱包的发展，还是很可观的，非常值得关注。
有什么想对大家说的？
?
加密钱包审计重点在于解决常见的安全漏洞，规避可能出现的安全风险。作为用户，希望能增强安全意识，不要随意泄露助记词/私钥。作为项目方，对于安全问题的重视程度远远不够，希望加密钱包项目方对于安全标准能有更好的认识，与我们一起共同保护用户资产的安全。
来源链接：mp.weixin.qq.com
免责声明：作为区块链信息平台，本站所发布文章仅代表作者个人观点，与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考，并非作为或被视为实际投资建议。
本文来源于非小号媒体平台：
慢雾科技
现已在非小号资讯平台发布68篇作品，
非小号开放平台欢迎币圈作者入驻
入驻指南：
/apply_guide/
本文网址：
/news/10227688.html
免责声明：
1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险
2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场
上一篇：
比尔·盖茨再谈ChatGPT：将改变我们的世界！
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。