据慢雾科技消息，近日，多家数字货币交易所向慢雾安全团队反映，其收到了敲诈勒索信息。
敲诈者向交易所发送邮件或Telegram消息称，交易所存在漏洞，一旦被攻击，将导致平台无法被打开。若要获取漏洞报告，需向指定的地址支付BTC。然而，多家交易所表示其支付BTC后，对方只发送了初步的漏洞报告或没有回应。
慢雾合伙人兼安全负责人海贼王向巴比特表示，
“目前已有5家交易所向我们反映了这种情况，敲诈者使用不同的邮箱或TelegramID，向交易所的相关负责人发送敲诈邮件，敲诈金额为0.1BTC至2BTC不等，并且使用的是不同的BTC地址。”截至发稿，据不完全统计，敲诈者的TelegramID有@zed1331、@bbz12、@samzzcyber，邮箱有，BTC地址有3GQQt2zJnPAWvirym7pbwvNTeM5igGuKxy，该地址入账约43.45个BTC，如下图。
截图自Blockchain.com
1
海贼王向巴比特提供了邮件原文，邮件称，“交易所存在‘Web服务整型溢出’漏洞，一旦被攻击，将导致Web服务器崩溃，最终无法访问.....我们能解决此类漏洞问题......若要获取漏洞报告，需支付2个BTC至指定地址。”
值得注意的是，该邮件还指出，“截至2019年3月1日，已获得了约10万美元的赏金，打赏机构包括KuCoin、CoinSwitch、Phantasma、PlatonFinance、VulnerabilityAnalysis、STEXExchange、XCOYNZProject等。”
Paradigm获Dragonfly和多家交易所战略投资:加密货币机构级交易通讯平台Paradigm宣布完成一轮战略融资，投资方包括DragonflyCapital、DigitalCurrencyGroup、OKExVentures、BybitFintech、AlamedaResearch、NewYorkDigitalInvestmentGroup（NYDIG）、CoinShares和YleanaVenturePartners，而且2019年融资的领投方VectrFintechPartners也参与了此轮融资，并担任董事会成员，此次的融资额未披露。
Paradigm称，在宣布此次融资之前，平台的衍生品交易量就已经突破了15亿美元。Paradigm表示此轮融资的目的是新增支持更多交易所和资产、新增自动化交易执行工具套件、拓展亚洲市场。[2020/7/2]
海贼王向巴比特透露，在与KuCoin交易所的相关负责人取得联系后，负责人表示确实有Telegram用户反映漏洞问题，但KuCoin并未支付2BTC赏金，提醒大家不要相信子。
截图由KuCoin相关负责人提供
还有一类与Linkedin相关的钓鱼邮件，大致内容如下：
Hey,Wehavefoundaneftyintegeroverflowvulnerabilityon=>https://www.xxx.comAttackercouldalterwebserver.Ihaveexperienceworkingtoupgradesecurityforlargeexchanges,likexxx,andwouldliketoproposeaboutthis.
加密禁令解除后，印度多家交易所降低交易手续费以吸引用户:自印度最高法院解除该国央行--印度储备银行（RBI）加密货币禁令以来，印度加密货币行业一直在增长，当地加密交易所也看到交易量和签约量不断上涨。据了解，最近印度多家加密货币交易所决定下调收费比例，旨在进一步吸引更多用户。具体如下：1、Wazirx首席执行官Nischal Shetty表示，通过该交易所原生代币WRX仅会收取0.1%手续费，提款费用已降至1.5 USDT；2、印度最大加密货币交易所之一Zebpay宣布四月份BTC-USDT、ETH-USDT、XRP-USDT、ETH-BTC和TUSD-USDT交易费全免；3、Coindcx称将会把提款费用降低至0.0005 BTC；4、印度最古老的加密货币交易所之一Unocoin也宣布将买卖比特币手续费率降低至0.7%，金牌会员可降至0.5%；5、其他降低手续费的印度加密货币交易所包括Cashaa、Pocketbits、Giotus和Bitbns。（Bitcoin.com）[2020/4/6]
Maywegoontodemonstratethisvuln?
YoucanverifymeasansecurityresearcheronLinkedInasfollows:=>https://www.linkedin.com/in/xxxxx/
动态 | 预警升级：多家交易所遭到有预谋的针对性攻击:据降维安全实验室（johnwick.io)预警后，又收到多个交易所反馈遭受相同攻击，降维安全实验室分析认为本次攻击是有组织并且有预谋的，是专门针对交易所高级技术人员或管理人员的专业级攻击。其主要过程为：通过运营和模拟正常的量化软件，以高利润和高收益通过交易所对外的客服诱惑交易所高层使用，量化软件中隐藏有关键的加密后门，一旦软件被传递到关键人电脑上运行就会进行一序列渗透和黑客动作。我们通过与更多的情报和数据合作方联系确认已有多家交易所遭到攻击，并且掌握了部分受害者信息和攻击者信息。目前还存在其他变种攻击，并且有证据显示攻击者可能和2014 年索尼影业遭黑客攻击事件以及2016年孟加拉国银行数据泄露事件和2017年席卷全球的“Wannacry”勒索病等著名攻击事件有关，交易所担忧遭遇到此类攻击请及时与降维安全实验室联系确认。[2019/3/28]
海贼王分析称，
“邮件包含一个Linkedin链接，因为在Linkedin平台上需要登录个人账号才能查看个人信息，所以当交易所工作人员登录自己的Linkedin账号，去查看提交漏洞人员的Linkedin账号信息时，攻击者也能查看到交易所工作人员的信息，从而获取其社交平台的其他信息。”2
近几年，数字货币市场的资金量呈现井喷式爆发，以交易市场操纵风险、交易平台风险、风险、钱包风险为主的安全风险屡见不鲜。
韩国多家交易所加入行业自我监管:日前，韩国进入行业自我监管的数字货币交易所数量翻番。该行业自我监管的领军人物为韩国区块链协会(Korean Blockchain Association)，该协会成立目的是为了提供主流币种的标准价格指数。共有66名成员，其中25家数字货币交易所，包括Upbit、Bithumb、Korbit等，首任主席为前韩国通讯部部长Chin Dae-jae。[2018/1/29]
除了上述的邮件钓鱼攻击外，其他类型的钓鱼攻击包括域名钓鱼、Twitter1for10、假APP和假工作人员等。
所谓“钓鱼攻击”，指的是攻击者伪装成可以信任的人或机构，通过电子邮件、通讯软件、社交媒体等方式，以获取收件人的用户名、密码、私钥等私密信息。海贼王认为，此次邮件钓鱼攻击事件中，部分交易所之所以上当受，主要由于交易所缺少专业的安全漏洞判断能力，信息孤立导致其无法对当前漏洞的整体情况作出准确判断。他说，
“对于交易所来说，不管对方是不是真的发现了漏洞，只要价格合适，都愿意花钱一把。如果对了，那么交易所就能少一次被曝光漏洞的公关危机，或少一次平台被攻击的可能；如果亏了，亏的也不多，可以承受。子就是利用了交易所的这种心理。”对于初次遭遇钓鱼攻击的交易所，他建议，
“首先，不要一激动就打开攻击者发送的内容里面的任何链接或者文件，可能有木马病；其次，在攻击者没有确切告知漏洞细节之前，不要转给攻击者BTC；最后，如果有交易所无法准确判断和独自处理，可以联系安全公司协助处理。”附：
十天蒸发三千亿美元，多家交易平台主动关站，中韩监管风暴来袭？:加密数字货币市场在十天内蒸发了三千多亿美元。伴随着对监管消息的舆论猜测，多家平台如贵比特，链行，元宝网等宣布彻底关站。截止发稿，市场出现回暖迹象，比特币现价11895美元，较前一个交易日上涨约7%。[2018/1/18]
It'smorelikeanvulnerabilitywhichallowsanattackertocrashthewebserverofthefollowingwebsite."Integer-overflow"related.Theattackvectoritselfholdsahugesecurityrisk,whenexploited,thewebservercouldcrashduetoit,andeventuallybeunreachable.Theflawhasbeendonethroughexploitablewebelementsonyourwebsite.
Ourproposalisbasedoninformation-security(infosec)regardingcybersecurity.
Confidentiality:assistinfosecwiselytoimplementfirewalls,intrusiondetectorsandpreventiontechnologiestoensurereliableprovidedservice.(notactualserveraccessrequired.)
Availability:InordertoensurethatIwouldhaveinfosecurityonredundancyandbackups,when/ifoneoftheserversisdown,thesecondserverwouldreplaceitandensurethattheservicesareupandrunningwithoutanydowntime.
Generalknowledge=>Thistypeofattackasdemonstradedarebasedonexploitingwebsiteelements:thesecanincludeforms,directwebserverexploit,orDNSleakingfortheactualbackendserver,whichgivesanmaliciousattackermultiplechancestoworkwith.
We'daddresstherequiredknowledgeneededtocounterthistypeofthreats.
Thesefollowingitemslistedbelowareourmainfocuseswhatwewillsendreportstoregarding,nexttoevery"tobeaddressed"phase;
Wehaveaddedinashortmeaningonwhatdoesitincludeascanbeseen.
?Theauditprocess1.1Auditplanning&preparation1.2Establishingauditobjectives1.3Performingthereview1.4Issuingthereviewreport
?TheauditSystem2.1NetworkingSecurity2.2BackendInstallation/Security2.3APIAudition2.4CDNAntimaliciousattacksprotection2.5CodeAudit:checkingvulnerabilityinanyPHP/ASP/JScode
Vouchesbycompanies:
1.KuCoin=>{https://i.imgur.com/y0AXMCn.jpg "/>]
2.CoinSwitch=>https://i.imgur.com/l8D8g9p.jpg "/>]
CoinSwitchContractexample=>https://i.imgur.com/P2hMNxD.jpg "/>
3.Phantasma=>https://i.imgur.com/y1QCOuL.jpg "/>]
4.PlatonFinance=>https://i.imgur.com/189Ejdz.jpg "/>]
5.VulnerabilityAnalysis(justanexample)
=>https://i.imgur.com/V0C19KZ.jpg "/>
andmanymore.
6.STEXExchangepaid3BTCforourinfosecandanalysis:=>https://m.imgur.com/18tAXah
7.ProofofKucoinPaymenttous:https://i.imgur.com/trBbVKP.jpg "/>
8.XCOYNZProject:https://i.imgur.com/UbUliaI.jpg "/>
Proofofcompensations:Differentcompanieswhichsomeincludedbeseeninmultiplevouchesabove,haverewardedmealmosttotalof[$102,783.91USDon01/03/2019rateforsecurityrelatedbounties,cybersecurity,demonstrations,anddifferentVAreports.
BlockchainURL:=>https://www.blockchain.com/btc/address/3GQQt2zJnPAWvirym7pbwvNTeM5igGuKxy
PricingfortheInfosec/Auditoffered:=>2BTC
Tomakeitclearthepricewillbeone-timepaymentandafterwardstherewon'tbeanycharge.Youcanconsultusfurtheratanytime.
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。