攻擊事件不斷，跨鏈橋項目何以對應？_AIN:Hare Chain

Chainalysis發布的數據顯示，單單2022年跨鏈橋掠奪事件所帶來的損失就多達20億美元。跨鏈橋安全問題層出不窮，每一次的攻擊事件，都引發了行業的關注。對于產品安全問題，跨鏈橋項目Multichain安全負責人XChang近日就針對該項目的產品安全機制進行了詳細的披露，希望借此機會與業內友商和關注跨鏈橋生態的觀察人士分享Multichain的經歷。

Solana Labs聯創：此次攻擊事件似乎是iOS供應鏈受到攻擊:8月3日消息，Solana Labs首席執行官 Anatoly Yakovenko在社交媒體上稱，該事件很可能是對使用Apple iOS操作系統的錢包的“供應鏈攻擊”。當黑客通過在系統中注入惡意代碼來進入和修改軟件時，就會發生供應鏈攻擊。代碼插入可用于傳遞惡意負載或后門惡意軟件。根據團隊的分析，在 Solana 的案例中，黑客可能攻擊了其 iOS 錢包庫以提取私鑰。

Yakovenko得出他的結論是基于這樣一個事實，即被利用的錢包之前沒有與 dApp 進行過交互，并且在一段時間內一直處于不活動狀態。這表明黑客可能已經從 Solana 的熱錢包中提取了私鑰，而不是通過惡意鏈接進行的通常的網絡釣魚攻擊。獲得私鑰意味著黑客能夠從熱錢包中轉移資金，包括 Phantom 和 Slope 錢包服務。[2022/8/3 2:56:20]

據XChang，Multichain的安全策略以攻擊事件為時間點分為三階，即：發生前，發生時，發生后。每個階段都有對應的應對步驟與策略。

安全團隊：Solana生態錢包攻擊事件損失預計達800萬美元:8月3日消息，據派盾監測（PeckShield）顯示，Solana生態錢包大規模黑客攻擊事件可能是由于利用供應鏈問題竊取/發現錢包背后的用戶私鑰。到目前為止，估計損失為800萬美元。[2022/8/3 2:55:47]

1.發生前：

項目通過內部和外部審計方式來排除任何安全隱患。同時，也通過漏洞懸賞調動業內專家幫助發現漏洞，避免造成損失。另外，Multichain也希望通過即將推出的MultiDAO來對產品安全做另一次預防性把關。除此之外，Multichain也利用主要媒體平臺的關鍵詞輿論監測來觀察業內跨鏈橋安全問題相關的動態，從中進行自省，監測其他事件的影響是否波及到Multichain的資產。對于大額度的交易，Multichain也實施了跨鏈金額限制及鏈資金流量和總量限制，以避免類似Horizon的事件重蹈覆轍。

安全研究員：Twitter攻擊事件或與SIM卡交換攻擊有關:據知名安全研究員Brian Krebs稱，此次的Twitter攻擊事件可能是由SIM卡交換社區發起的。第一條釣魚推文來自幣安，幾分鐘后，其他幾十個賬戶也紛紛中招，黑客從中獲利超過13萬美元。然而在此之前，有另一個賬戶也被劫持，這可能是發現誰是幕后黑手的關鍵。

據Krebs稱，SIM卡交換社區將所謂的“OG”社交媒體賬戶視為獎品，可以在地下市場上以數千美元的價格出售。這類賬戶只有一個或兩個字母，如@B。在一個專門劫持賬戶的論壇上，一個名為“Chaewon”的用戶宣稱他們可以更改任何Twitter賬戶的電子郵件，并提供直接訪問賬戶，費用在2000美元到3000美元之間。

在幣安賬戶被黑之前，一個OG賬戶@6被黑，該賬戶屬于現已去世的黑客Adrian Lamo，他因侵入《紐約時報》網絡而聞名。該賬戶由安全研究員Lucky225管理，他表示收到了@6賬戶的密碼確認碼。SIM卡交換攻擊成功更改了該賬戶綁定的電子郵件，并禁用了2FA。他進一步探查后發現，攻擊者化名PlugWalkJoe，來自英國利物浦，現年21歲，真名叫Joseph James Connor。（CryptoGlobe）[2020/7/17]

2.發生時：

攻擊事件發生時，關鍵在于及時拉響警鐘，讓平臺能迅速采取行動。Multichain設置了檢測Watchdogs，能夠及時反應異常現象。同時，項目也調動DAO的力量，對發現漏洞以及及時將異常現象通報平臺的成員發放獎勵。

3.發生后：

Mutichain將會暫停產品的使用，以先止損，后修復的形式去應對黑客事件。同時，該項目也進行演習，并在智能合約上設置暫停功能。此外，Multichain也從項目利潤中挪出了一部分資金作為安全基金，補償用戶在類似事件中的損失。

ChangX也闡明了多方安全計算的特征能夠確保更強的去中心化以及控制成本，而且MPC私鑰分片會定期更新作廢，進一步防范黑客行為。與此同時，Multichain也與網絡基礎設置提供商合作，力求營造更安全的產品環境。至于Multichain即將發布的MPCHSM方案，它能夠確保在服務器被攻擊的情況下，仍舊遏制黑客獲取私鑰分片。

本文轉載自

https://medium.com/multichainorg/multichain-安全策略-詳細披露-3c38360bfd0b

Tags：CHAChainAINHAIHare ChainBlockchain Valley VirtualCrypto Against Cancerinfluencechain

FTT