AI換臉、插件陷阱,兩起安全事故致用戶損失超千萬

安全事件,在傳統金融已然不少見,而在黑暗森林般的匿名幣圈,更是司空見慣的存在。

數據顯示,光是剛過去的5月,加密圈就發生了37起典型安全事件,因駭客攻擊、釣魚詐騙和Rug Pull造成的總損失金額達1.54億美元,較4月增長約52.5%。

就在6月3日,兩起安全事件再度發生,與其他事件略微不同的是,兩起事件都與大型交易所相關聯,過程也頗為離奇,只是故事的最後,也是有人歡喜有人憂。

6月3日,一位網名為Nakamao的用戶在X 平台發布的長文被瘋傳,其在文中提到「自己成為了幣圈犧牲品,幣安帳戶裡100萬美元灰飛煙滅。」在婁道來的自述中,一環接著一環的駭客竊盜揭開了序幕。

據稱,5月24日,Nakamao尚在工作途中,所有的通訊設備並未離身,但就在這種看似萬無一失的背景下,駭客卻在沒有拿到幣安帳號密碼、二次驗證指令(2FA)的情況下,利用對敲交易盜走了其帳戶裡所有的資金。

AI換臉、插件陷阱,兩起安全事故致用戶損失超千萬

對敲交易,簡而言之,在流動性稀缺的交易對中進行大額交易,透過交易方大規模買入去接盤黑客帳戶的拋售,最後,對方以某個山寨幣種獲得了實際資金或穩定幣,而買家則接手了賣家手中的山寨幣。該種竊盜方式在交易所並不罕見,在22年,FTX就因3commas API KEY 洩漏發生高達600萬美金的對敲竊盜,當時的SBF用鈔能力兌付擺平了此事。而後,幣安也相繼發生過大規模對敲交易。但這種模式的歹毒之處就在於,對於風控欠佳的交易所而言,只是很平常的交易行為,不存在異常的竊盜。

在這起案件中,QTUM/BTC、DASH/BTC、PYR/BTC、ENA/USDC和NEO/USDC被選中,利用用戶的大筆資金購入上漲超20%。而駭客的所有操作,使用者都並未發現,直到1個多小時後查看帳戶資訊才發現異常。

根據安全公司的回复,駭客透過挾持網頁Cookies的方式操縱用戶帳戶,簡單來說就是利用了網頁端保存的終端資料。舉一個典型的例子,當我們在網路進入某個介面時,不需要帳戶密碼登錄,因為先前已然留下了歷史存取與預設記錄。

事情到這,或許只是用戶自身疏忽造成的,然而,後續卻變得更加詭異了起來。在被盜後,Nakamao第一時間與客戶以及幣安聯合創始人何一取得了聯繫,將UID交給安全團隊,寄希望在短時間內將黑客資金凍結。但幣安工作人員卻耗時了長達1天才通知Kucoin和Gate,沒有絲毫意外,黑客資金早已不翼而飛,而且黑客僅用了一個賬戶,並未分散賬戶,就安然無恙的從幣安提走了所有的資金。在整個過程中,用戶不僅沒有收到任何的安全提醒,更為諷刺的是,由於大額交易的買入,第二日,幣安竟還給其發出了現貨做市商的邀請郵件。

在事後的複盤中,一個平平無奇的Chrome插件Aggr又進入了Nakamao的視野。該插件用於行情資料網站查看,據被盜者描述,其看到有多個海外KOL進行推廣長達數月時間,於是出於自身需要,進行了下載。

在這裡簡單進行科普,插件實際上是可以進行多項操作的,理論上而言,它不僅可以透過惡意擴展登入交易帳戶,存取用戶的帳戶資訊進行交易,還可提取資金與修改帳戶設置,核心原因在於插件本身俱備廣泛的權限存取、操作網路請求、存取瀏覽器儲存、操作剪貼簿等多項功能。

在發現插件有問題後,Nakamao馬上找到KOL進行詢問,並告誡KOL通知用戶停用此插件,但沒想到,迴旋鏢就在這一刻,插到了幣安。根據Nakamao最初自述,幣安先前就已了解到該插件的問題,在今年3月就有類似案件發生,而幣安也在此後追踪到了黑客,或者為避免打草驚蛇,沒有及時通知暫停產品,且也讓KOL繼續與駭客保持聯絡,而在此階段,Nakamao就成了下一個受害者。

僅用Cookies就能登入進行交易,幣安機制必定也是存在一定問題,但本身事件又切實由用戶自身疏忽引起,追責成為了難題。

果不其然,事後幣安對此的回應,又在市場上引起了軒然大波。除了官方帳號複盤稱本身原因是駭客攻擊外,幣安並未註意到AGGR插件的相關資訊外,在一個微信群中,何一也對此事件評論道「這個事用戶自己電腦被黑,神仙難救,幣安也沒辦法賠償用戶自己設備中招。

AI換臉、插件陷阱,兩起安全事故致用戶損失超千萬

對於幣安的操作,Nakamao顯然不能接受,認為幣安存在風控不作為,且KOL有明確確認向幣安團隊提及該插件,幣安也存在知情不報之嫌。隨著輿論持續發酵,幣安也再次回應將申請一筆獎勵作為用戶報告惡意插件的回饋。

本以為事情到此已然告一段落,但有趣的是,到了6月5日,事件又出現了反轉。 Nakamao再度在X平台發文向幣安公開道歉,稱是與幣安有信息差且個人有主觀臆斷成分,幣安實際上並未知情插件的相關情況,幣安首次得知aggr.trade的網址也是在5月12日,並非先前提到的3月。此外,KOL也不是幣安的臥底,KOL與幣安溝通針對在帳戶問題上,而不是插件問題。

不論這番言論真假,但是態度180度大轉彎,從失望喊話到公開致歉,也已可以看出幣安必定是對其有所賠付,而賠付具體為多少,也就不得而知了。

AI換臉、插件陷阱,兩起安全事故致用戶損失超千萬

另一方面,無獨有偶,在6月3日,除了幣安,OKX也受到了波及。一名OKX的用戶在社區稱,帳戶被AI換臉盜竊,帳戶中的200萬美金被轉走。該事件發生在5月初,據該用戶描述,其帳戶被盜的原因與個人洩露無關,而是黑客通過登錄郵箱號點擊忘記密碼,並同步構建了一個假身份證以及AI換臉的視頻,繞開了防火牆,進一步更換了手機號碼、信箱以及Google的驗證器,隨後在24小時內,盜取了帳號所有資產。

儘管未看到視頻,但從該用戶的表述,可以大概率知道該AI合成視頻非常拙劣,但即使如此,也仍攻破了OKX風控體系,因此用戶認為OKX也負有責任,希望OKX能全額賠付其資金。但實際上,若是仔細分析,犯案人必是熟悉該用戶,且了解用戶習慣與帳戶金額的人,可以判定為熟人作案,用戶自己也在信中提到了有朋友與自己形影不離。依照一般情況,OKX也不會對此進行賠償。目前,這一用戶已報警處理,並計劃透過警方進行追償。

針對這兩起事件,加密社群也對此進行了廣泛討論。當然,從安全的角度而言,儘管許多人強調錢包自託管才有資產絕對控制權,但不得不承認,交易所相比個人控制,還是更加安全,核心就是增加了溝通方。交易所至少是可以對接且聯繫到的直接第三方,無論結果如何,至少會在其中介入調查,而若溝通得當,也可能像上述受害人一般獲得賠付,但若自託管錢包被盜,幾乎沒有任何可兜底的機構。

但對於目前交易所的安全改進,也是迫在眉睫。大型交易平台掌控著多數用戶的資產,而加密資產又存在難追償性,安全性也更應受到重視。在傳統金融的使用中,幾乎每次登出必然需要再次輸入密碼以防止帳戶被控,在轉帳時通常也需要額外增加驗證方式。因此,社群建議,交易平台應增加密碼鎖功能,交易前增加2FA驗證,且IP更換後也應重新輸入驗證,或採取多方安全MPC驗證,將密碼分散化,透過犧牲使用者體驗以提升安全性。但也有用戶認為,多次重複驗證對於高頻交易而言過於瑣碎,難以具備可行性。

何一也對此進行了回复,稱「目前對突發價格波動已經疊加大數據警報和人工雙重確認,也會給用戶增加提醒;在插件運行、Cookie的授權上即將增加驗證頻率,在這個場景交易密碼不適用,但幣安會根據用戶的差異增加安全驗證環節。

AI換臉、插件陷阱,兩起安全事故致用戶損失超千萬

回到出發點,從兩起事件來看,使用者也需引起高度重視,增強自身安全意識,在分散放置資產的前提下,盡量使用完全獨立的設備進行操作,推薦使用分散認證、不以便捷性為核心,避免設置免密和活體認證,謹慎使用插件,對於大額資產,使用硬體錢包進行儲存。

畢竟加密資產不同於實體資產,實體至少可以進行追踪,而加密資產的盜竊,由於監管的限制,幾乎很難獲得後續賠付,甚至立案都頗為困難。

這種案例也不少見。在日前1818黃金眼的報道中,就出現了典型例子。受害者朱先生發現了知乎上一位號稱憑藉炒幣獲得千萬收入的大佬“程七七”,希望跟隨其炒幣賺錢。兩者協商後,透過合約簽訂實現分潤合作,明確獲利的70%歸屬於程七七,30%朱先生自留,而若虧損,兩者各承擔50%,在交易過程中,朱先生僅跟單操作,所有帳戶歸屬權均掌握在自身手中。

如此高額的分潤,看似具有信任度的合同,並沒有帶來可信賴的結果。在最初小獲利後,受害者加大了籌碼投入,在程七七保證的「爆倉全賠」口號中,用借來的本金60萬、槓桿百倍做空ETH,最後由於ETH的上漲,受害人血本無歸。

該種情況顯然難以立案,原因是所有操作都為個人所為,並不存在詐騙或強迫性行為,而事情的最後,警方、記者也只能無奈強調,根據我國法律法規,虛擬貨幣交易不受保護,存在高度風險,提高警覺等等。

AI換臉、插件陷阱,兩起安全事故致用戶損失超千萬

最後朱先生帶著心碎又無辜的表情,上演了一場啼笑皆非的結尾。

無論如何,在此還是再度提醒參與交易的看客們,在任何一個金融領域,即使是在加密圈,這一本來就犧牲部分安全性而獲取高額利潤與自由度的板塊,安全,也遠比效率或獲利更重要,這或許也是號稱去中心化的加密世界難以離開中心化的原因之一。

畢竟,人性就是如此。每個人都希望有人兜底,即使賺的錢再多,也不願給別人做嫁衣。