WhatsApp的“缺陷”使任何人都可以將您鎖定在應用程序之外，但這很復雜_ATS:SAPP

Author：

Time：1900/1/1 0:00:00

WhatsApp身份驗證系統中的一個新漏洞使攻擊者可以將您鎖定在應用程序之外，換句話說，可以停用您的帳戶。如果您經常使用該應用程序，這聽起來很嚇人，但值得注意的是，完成該過程非常復雜，大約需要36個小時才能執行。

本周早些時候，安全研究人員路易斯·馬爾克斯卡平特羅和埃內斯托·卡納萊斯Pere?a通過在一篇文章中分享了他們的這一缺陷的發現福布斯。運作方式如下：

Whale Alert：包含1005BTC的休眠地址在12.8年后被激活，增值2萬多倍:金色財經報道，Whale Alert監測的數據顯示，包含1,005 BTC的休眠地址在12.8年后剛剛被激活。15 分鐘前將1,005BTC 轉至 \"bc1q\"地址,當時價值1316美元(單價1.31美元)，目前價值2975萬美元，增值近22560倍。[2023/8/15 21:23:29]

安裝WhatsApp后，攻擊者會嘗試通過請求身份驗證碼來嘗試通過您的號碼登錄。

WhaleAlert：近一個小時內1000枚BTC和1.5萬枚ETH轉入Crypto.com:金色財經消息，據WhaleAlert數據顯示，近一個小時內1000枚BTC（2150萬美元）和1.5萬枚ETH（約2438萬美元）轉入Crypto.com。。[2022/8/22 12:39:25]

在嘗試一定次數后，WhatsApp會阻止發送代碼12個小時。

WhaleAlert：單筆超8.5萬枚ETH流入Uniswap:WhaleAlert監測到一個地址在經過3次代幣轉換后流入Uniswap，該筆交易超8.5萬枚ETH（約3317萬美元）。[2020/9/13]

同時，攻擊者設置了一封新電子郵件，并向WhatsApp支持人員發送了“丟失/被盜的電話請求”，以停用您的帳戶。

WhatsApp支持人員并不會真正驗證該電子郵件地址是否與您的帳戶相關聯，因此會將您鎖定在該應用程序之外。

此后，攻擊者必須重復12小時的周期兩次。

在這三個周期的最后，您和攻擊者都將看到“-1秒后重試。”消息，同時嘗試通過您的號碼登錄。

現在，您必須聯系WhatsApp支持以恢復此帳戶。

整個繁瑣的操作聽起來很麻煩，就像攻擊者無法進行太多工作一樣，只是將您拒之門外。這種方式不會提取任何數據或金錢。

但是令人擔憂的是，WhatsApp支持中沒有機制要求您驗證自己是否是帳戶所有者。另外，即使您設置了兩因素身份驗證，此方法也可以成功將您鎖定。

WhatsApp在一份聲明中說：“提供帶有兩步驗證的電子郵件地址有助于我們的客戶服務團隊在遇到這種不太可能的問題時為人們提供幫助。”