最近,幣安KYC問題再次浮出水面。北京時間8月7日,有消息稱有人在Telegram直播大量幣安KYC資料照片,雖然該交易所創始人趙長鵬隨后辯稱此事是個老新聞,但幣安交易所的安全問題又引發了人們的關注。
事實上,一名使用「BanatovPlaton」ID的黑客透露,整件事情的復雜度超出人們想象。當「BanatovPlaton」開始公開他聲稱的所謂「真正的幣安客戶照片和信息」時,最先選擇的是一個公開網站,然后才選擇了在Telegram上公開信息。
作為世界上最大的加密貨幣交易所,對客戶信息保護竟然如此掉以輕心,足以引起業界關注。下面,就讓我們和大家把這個故事慢慢展開:
原文標題:《是內鬼還是監守自盜?幣安KYC泄露事件最詳解》作者:JohnBiggs、DanielKuhn,CoinDesk譯者:Jason,金色財經
首先,整個事件有著深厚的根源,甚至可以回到今年五月份幣安被盜7000比特幣的那件事。當時,幣安一如既往地承認了自己的問題,并將其描述為一次「大規模安全漏洞」,聲稱黑客能夠獲取大量用戶的API密鑰、2FA代碼和其他可能的信息。
然而至始至終,幣安沒有提到識別用戶信息可已經已被泄露了!
「BanatovPlaton」聲稱,正是在這次事件過程中,幣安的客戶信息已經被泄露了。雖然他表示自己并不是這次黑客事件的肇事者,但卻透露自己通過攻擊幣安交易所的一位「內部人士」獲取了相關信息。
另一方面,幣安聲稱被獲取的客戶數據來自于一家未透露姓名的第三方公司,該公司已經于2018年2月和幣安簽約,并且負責執行KYC相關工作。
幣安與哈薩克斯坦政府合作啟動區塊鏈教育項目:12月22日消息,幣安正在哈薩克斯坦推出一項區塊鏈教育計劃。根據與當地政府的合作協議,幣安將為區塊鏈和合規基礎課程提供教育材料和支持,到2026年,將對中亞國家高校的40,000多名學生提供區塊鏈培訓。
據悉,今年5月,趙長鵬與哈薩克斯坦總統會面并達成合作倡議。10月,幣安提出支持哈薩克斯坦政府“安全發展”該國的加密貨幣行業。目前,幣安正與哈薩克斯坦國家銀行(NBK)支付和金融技術發展中心、阿斯塔納國際金融中心(AIFC)、數字發展部和教育部合作。[2022/12/22 22:01:41]
有海外媒體已經確認目前被泄露的數百個配置文件中,至少有兩個是向幣安提供身份識別信息的真實客戶。有人分析其中一張照片似乎已經被篡改,但這位「受害者」已經證實就在信息被泄露時她又創建了一個幣安賬戶。
「BanatovPlaton」聲稱他們是「白帽黑客」,并且還聯系了幣安,希望能夠通過披露漏洞信息獲得賞金。然而雙方的談判最終破裂了,據報道,幣安公司代表透露該黑客要求支付300BTC,否則將進一步公開他持有的數據。
為了回應市場上的「恐懼、不確定和懷疑」,幣安發布了一份聲明,其中解釋說:
我們想通知您,一位身份不明的人威脅并騷擾了我們,要求以300BTC的價格換取其持有的10,000張與幣安KYC數據相似的照片,我們仍在調查此案的合法性和相關性。
「BanatovPlaton」聲稱,他們手中擁有60,000份KYC信息。
下面一起看看整個事件的來龍去脈。
幣安與C羅建立合作伙伴關系,將發行一系列NFT收藏品:6月23日消息,幣安宣布與葡萄牙球星Cristiano Ronaldo(C羅)建立多年獨家合作伙伴關系,將在幣安NFT平臺上發行一系列NFT收藏品,首個系列將采用與C羅合作創作的標志性設計。[2022/6/23 1:27:31]
就在幣安今年五月份被黑客攻擊之后,他們表示惡意行為者獲得了客戶的API,雙因素代碼以及「潛在的其他信息」。但「BanatovPlaton」對此事的看法不同,他表示幣安交易所的一個內部人員幫助公開了許多API,允許黑客直接訪問客戶賬戶和資金。「BanatovPlaton」表示,泄露的文件還包含「非常嚴重的信息」,包括客戶的電子郵件地址和賬戶密碼。據悉,這些受到影響的客戶是在2018年至2019年開立的幣安賬戶。
利用這些個人信息,黑客編寫了一個惡意腳本,允許他們可以實時提現0.002BTC。這段代碼被嵌入到了買單之中去購買一個名為「BlockMasonCreditProtocol」的代幣,并將其轉換成比特幣。此外,這個代碼還能調用一些不再開放或公開的API來執行許多其他功能。不僅如此,有外媒測試了一個API調用,結果發現對服務器時間的簡單請求仍然是打開的。
「BanatovPlaton」透露,被盜的加密貨幣被存放在比特幣軟件錢包提供商Blockchain托管的錢包中,Blockchain最近剛剛推出了PIT交易所。
通過追蹤這個錢包的路徑,「BanatovPlaton」發現黑客已經通過Bitmex、Yobit、KuCoin和火幣等交易所洗了2,000個比特幣,而且每天都在嘗試兌換價值100萬美元的比特幣。
幣安與The Weeknd將舉辦全球首個Web3巡演活動:據官方消息,6月2日,幣安宣布成為The Weeknd全球巡演“After Hours Till Dawn”的官方贊助商,這也是世界上首個融合Web 3.0技術的全球巡回演唱會活動。幣安與面向創業者的智庫、創客孵化器HXOUSE合作,為The Weeknd本次巡演發行獨家NFT系列以及聯名巡演周邊產品。觀眾還可以用虛擬門票的票根兌換紀念版NFT,享受獨特粉絲體驗。
部分NFT販售收入,連同本次巡演部分門票收入會捐向世界糧食計劃署美國分部管理的XO人道主義基金。此外,幣安還將追加捐贈200萬美元,用以支持世界糧食計劃署為全球食物緊缺的地區提供緊急援助。The Weeknd的 “After Hours Til Dawn”巡演將于2022年7月8日拉開帷幕。[2022/6/3 3:59:24]
如何運作?
「BanatovPlaton」從聲稱泄露的60,000個客戶賬戶中「共享」了636份文件,并希望媒體關注能夠促使幣安披露黑客攻擊的真實情況,并將攻擊者繩之以法。
按照幣安之前的說法,被盜的比特幣僅來自于他們的公司賬戶并且不影響普通消費者,當時幣安還暫停了存款和取款服務以保護用戶。但是,幣安沒有公開用戶信息的泄露程度。泄露的數據信息包括護照招聘、駕照和持有身份證的用戶露臉照片,除此之外,「BanatovPlaton」還提供了一些與照片相關的元數據示例,如下所示:
"id":1573211,
"userId":"25276308",
"front":"/IDS_IMG20180320/25276308_0_9416819.jpg "/>",
動態 | 幣安與Chainalysis達成合作:據coindesk消息,幣安與加密合規和調查軟件提供商Chainalysis達成合作,以實施新的全球合規解決方案。作為合作伙伴關系的一部分,Chainalysis將提供對其合規軟件的訪問權限,使交易所能夠實時監控加密貨幣交易。特別是,該工具將尋找潛在的犯罪或其他非法活動。[2018/10/17]
"back":"/IDS_IMG20180320/25276308_1_7376587.jpg "/>",
"hand":"/IDS_IMG20180320/25276308_2_4413070.jpg "/>",
"auditor":"chenxiaozi",
"message":"",
"status":1,
"createTime":"2018-03-2008:12:33",
"updateTime":"2018-03-2101:48:33",
"number":"s532557730580",
"firstName":"m",
"lastName":"",
"type":2,
"sex":1,
"country":"UnitedStatesofAmerica(USA)",
"email":"@outlook.com",
"version":1
幣安與烏干達政府領導人會晤 已與當地區塊鏈項目達成合作:4月24日,幣安CEO趙長鵬發推特表示已與烏干達政府領導人親切會晤,將和烏干達區塊鏈組織Crypto Savannah合作,以支持東非國家的經濟發展。趙長鵬在他的推文中指出,這一伙伴關系將促進“經濟轉型”,創造就業機會并吸引對烏干達的投資,烏干達人均國內生產總值在2000美元左右,被認為是世界上最窮的國家之一。[2018/4/24]
在這個元數據中,之所以會在國家代碼后出現漢字「美國」,據稱是因為幣安的KYC審核工作是在中國進行的,目前還不清楚其他字段代表什么意思。
此外,「BanatovPlaton」還披露了一些代碼,其中可能看出黑客通過「內部人員」訪問了幣安服務器中的后門。通過對代碼進行分析,「BanatovPlaton」的看法也許是對的。
區塊鏈開發公司VisibleMagic首席技術官ViktorShpak說:
這極有可能成為API密鑰攻擊,黑客從某個地方獲取了API密鑰。
API密鑰用于驗證交易所和其他應用程序中的服務,如果黑客獲取API密鑰,他們幾乎可以做任何事情,比如代表受害者購買加密貨幣、把加密貨幣轉移到外部錢包。ViktorShpak透露,通過分析代碼可以了解到幣安內部存在后門,他解釋說:
很可能是一個內部人員創建了一個處理程序,然后通過這個程序來訪問用戶API密鑰,然后他們就獲得了這些API密鑰,并獲取了用戶數據的訪問權限,黑客甚至開發了一個工具包來完成這項任務。
幣安公司代表此前透露:
截至團隊最新消息,目前沒有證據表明這些是KYC圖像是來自幣安,而且根據我們的系統流程,并不給KYC圖像加水印。
「BanatovPlaton」的動機
「BanatovPlaton」透露他曾聯系了幣安首席增長官林義翔,并解釋說:
我個人很想讓幣安成為世界上第一個抓獲黑客的交易所,這對他們的聲譽非常有利。我告訴林義翔我有內幕消息,比如內部人員的詳細信息、內部人員與外人的溝通細節、甚至還有內部人員的照片。我還告訴他我有黑客的詳細信息,比如服務器信息、他們的身份、他們的電話號碼等。
林義翔也作出了回應,聲稱愿意接受為這些有可能抓到黑客和內部人員、以及可能追回被盜資金的信息付費。然而,在同樣的對話中,林義翔也駁斥了「BanatovPlaton」正運作的「FUD活動」,并表示不會對敲詐勒索做出反應。但是「BanatovPlaton」表示自己足夠富有,而且也是一家加密貨幣交易所的運營者,該交易所規模是幣安的三分之一。「BanatovPlaton」還說自己對財務報酬不感興趣,他說道:
當我需要錢的時候,可以破解黑客持有的一家交易所賬戶,我可以從黑客的錢包里輕松找回600-700個代幣。雖然我看到越來越多幣安被竊的比特幣被清洗,但自己卻沒有碰哪怕一毛錢。
談判破裂
不過,「BanatovPlaton」卻向林義翔索要了300BTC,如果按照7月份的價格計算,這筆錢大約價值300萬美元,「BanatovPlaton」要求分50期支付給他。
但是就在7月22日,「BanatovPlaton」表示雙方談判破裂了,他已經停止與幣安談判,并說道:
我們進行了大約一個月的談判,他們沒有支付一分錢,我與幣安的交易破裂了。
之后,「BanatovPlaton」威脅說要曝光他所獲得客戶信息。「BanatovPlaton」提供了他與林義翔的部分對話記錄:
林義翔:我看到你已經將信息提供給媒體了。
林義翔:鑒于你的FUD活動已經完成,無論怎樣,你拿手中的信息索要的賞金都會顯著減少。正如我先前所說,我們不會對敲詐勒索作出反應。但如果你手中的信息有用,并且能讓我們將壞人繩之以法并追回資金,我們愿意獲得更多有關肇事者的信息。
「BanatovPlaton」:如同我先前所說,我不需要你的錢。
「BanatovPlaton」:我覺得已經沒有繼續交易的必要了。
「BanatovPlaton」:我也沒期望你們會作出回應。
「BanatovPlaton」:但我很喜歡看到內部人員和黑客們看到新聞之后的反應。再次重申,我對你們的反應不感興趣。
林義翔:我以為你想看到那些黑客們被逮捕?
「BanatovPlaton」:我想要,但不是現在。
「BanatovPlaton」:我寧愿離開并繼續觀察。
林義翔:我們仍然對那些可以逮捕黑客和內部人員、以及能夠追回資金的信息感興趣,并愿意為此付款。
林義翔:如果你有更多可以實現上述目標的信息,請讓我知道。
林義翔:在你決定不再對話之前,我們會驗證你所有的信息類型。
林義翔:如果你改變心意并仍想繼續,請讓我知道。
林義翔:感謝你的幫忙。
「BanatovPlaton」:那就給我錢。
「BanatovPlaton」表示他不該與幣安談判,這個決定本身就是錯誤的,他說道:
幣安不是對的人.....所以我只會把所有數據發布給他們的客戶。
8月5日,「BanatovPlaton」的威脅終于變成了現實,他將一個包括116個人的KYC信息文件轉儲上傳到一個開放文件共享網站,名稱為「GuardianM.」。8月6日早上,他進行了第二次轉儲,其中包含數百張持有身份證的個人照片。
「BanatovPlaton」的解釋很簡單:他們認為他們做的事是正確的。
「BanatovPlaton」最后表示:
人們一直在問,你為什么要發布這些KYC照片?你是怎么得到它的?我發布這些KYC照片的原因很簡單:就是給那些在幣安交易所上進行交易的人一個警告。如果我需要錢,我會把這些KYC信息賣到地下,而不是發布出來。
來源鏈接:www.coindesk.com
本文來源于非小號媒體平臺:
Chinanews
現已在非小號資訊平臺發布1篇作品,
非小號開放平臺歡迎幣圈作者入駐
入駐指南:
/apply_guide/
本文網址:
/news/4052643.html
幣安
免責聲明:
1.資訊內容不構成投資建議,投資者應獨立決策并自行承擔風險
2.本文版權歸屬原作所有,僅代表作者本人觀點,不代表非小號的觀點或立場
上一篇:
慢霧:門羅幣鎖定轉賬攻擊可鎖定交易所XMR流動性,但不會導致資金損失
下一篇:
卷走千萬TRX的黑客wojak重現江湖,技術詳解操作手法
目前,數字資產的市值已經超過3000億美元。數字資產行業迅猛發展的同時,資產管理基金如雨后春筍般的出現,遍布全球.
1900/1/1 0:00:00本文來自碳鏈價值作者江小漁今年是明星公鏈項目們「集體亮相」的大年。2019年3月,在經歷2年延期后,拜占庭共識引擎Tendermint發明者Jae創立的跨鏈項目Cosmos主網上線;2019年6.
1900/1/1 0:00:00摘要:BitMEX?研究已將其閃電節點升級至包含瞭望塔功能。瞭望塔功能是可連接至另一友好節點的機制,即使您處于離線狀態,其也可為您監控您的閃電通道,防止不誠實的交易對手竊取您的資金.
1900/1/1 0:00:00成立于2017年的BitcloudPro連續推出以#致敬、#創新宣戰、#新功能為主題的新一輪運營推廣,此次品宣傳播活動配合用戶激勵,海報走心文案及設計亮眼,引發圈內圍觀.
1900/1/1 0:00:00尊敬的LBank?用戶:LBank?將于?2019?年8?月12?日?19:00上線藍貝殼(LBK)交易?.
1900/1/1 0:00:008月9日,國家互聯網信息辦公室發布公告稱,國家互聯網信息辦公室發布的《區塊鏈信息服務管理規定》第九條明確“區塊鏈信息服務提供者開發上線新產品、新應用、新功能的.
1900/1/1 0:00:00