以太坊:以太坊潜伏多年令全球黑客为之疯狂的“偷渡”漏洞引发偷币狂潮

世界上有一群人，互联网对于他们来说就是提款机。

是的，过去是，现在更是，因为电子货币的出现，他们提款的速度变得更疯狂。

在2017年，我们的蜜罐监测到一起针对以太坊的全球大规模攻击事件，我们将其命名为以太坊“偷渡”漏洞。通过该漏洞，黑客可以在没有服务器权限、没有keystore密码权限的情况下，转走钱包中的所有余额。

而如此严重的漏洞，1年前就在reddit.com被曝光有黑客在利用，并且最早可追溯到2016年的2月14号就有黑客通过此漏洞窃取到比特币，近期也有中国的慢雾安全团队揭露了这种攻击手法：查看原文链接

在长达2年的时间里，并没有多少用户关注到，以太坊也没有进行针对性的防护措施，直到今日，以太坊的最新代码中依然没有能够抵御这种攻击。

以太坊2.0客户端Nimbus发布v22.6.0版本:据官方消息，以太坊2.0客户端Nimbus发布v22.6.0版本，对测试合并进行了更新，属于低紧急版本。[2022/6/26 1:32:07]

因此我们决定将我们所掌握的详细数据公布给所有人，希望能促使以太坊的开发者承认并修复该漏洞。

漏洞成因

以太坊目前最流行的节点程序都提供了RPCAPI，用于对接矿池、钱包等其他第三方程序。

默认情况下，节点的RPC服务是无需密码就可以进行接口调用，官方实现的RPCAPI也并未提供设置RPC连接密码的功能，因此，一旦将RPC端口暴露在互联网，将会非常危险。

而我们所捕获的以太坊“偷渡”漏洞，正是利用了以太坊默认对RPC不做鉴权的设计。

以太坊与Harmony间跨链桥Horizo??n遭到攻击，损失金额约1亿美元:6月24日消息，由Layer1公链Harmony开发的以太坊与Harmony间的资产跨链桥Horizo??n遭到攻击，损失金额约为1亿美元。Harmony表示，目前已与相关部门以及专家合作追查攻击者并追回被盗资产。此外，Harmony称无需信任的比特币跨链桥并未受到影响，目前已通知交易所并暂停了Horizo??n跨链桥。攻击者的地址为0x0d043128146654C7683Fbf30ac98D7B2285DeD00。[2022/6/24 1:28:09]

被攻击的用户，需要具备以下条件：

1、节点的RPC端口对外开放2、节点的RPC端口可直接调用API，未做额外的鉴权保护3、节点的区块高度已经同步到网络的最新高度，因为需要在该节点进行转账，如果未达到最高度，无法进行转账

以太坊客户端Geth已推出v1.9.20版本:以太坊核心开发者Péter Szilágyi刚刚发推称，以太坊客户端Geth已推出v1.9.20版本。据悉，该版本对一些错误进行了修复，并增强了安全性。此外，官方提醒称，升级到v1.9.20后无法恢复到Geth v1.9.19或更早版本，除非重新同步，否则因为区块链数据库布局已更改，从而无法恢复。[2020/8/25]

当用户对自己的钱包进行了解锁，在解锁超时期间，无需再输入密码，便可调用RPCAPI的eth_sendTransaction进行转账操作。

漏洞的关键组成，由未鉴权的RPCAPI服务及解锁账户后有一定的免密码时间相结合，以下是解锁账户的unlockAccount函数：

代码路径：go-ethereum/internal/jsre/deps/api.go

动态 | 昨日以太坊网络Gas消耗量价值总计1,314个ETH:据DAppTotal数据显示，近一段时间，以太坊Gas消耗持续处于高度饱和的状态，昨日（09月24日），以太坊网络Gas消耗量价值总计1,314个ETH，Gas利用率占以太坊网络可承载Gas总量的95.49%。经综合对比发现，Gas消耗量排名前5的智能合约分别为：FairWin（46.38%），USDT（4.79%），Eth2dai（1.45%），HyperFair（1.45%），B91（1.18%）。其中，排名第1的FairWin、第4的HyperFair和第5的B91均为资金盘项目，FairWin 单一DApp的Gas消耗量占比达到了整个以太坊网络的46.38%，而USDT稳定币的Gas消耗量占比为4.79%。[2019/9/24]

通过函数的实现代码可见，解锁账户的api允许传入超时时间，默认超时为300秒，

ShelterZoom房地产服务平台 利用以太坊区块链提高购买和销售的透明度:ShelterZoom一个以以太坊区块链为基础的为房地产行业提供在线和受理服务的平台，将会在2018年第一季度在美国上市。位于纽约市的第一家房地产上市客户Cyrus Charter正处于11月份开始的ShelterZoom平台初始测试阶段。另外，有10个客户已经开始了beta测试。该公司最近还宣布了其第一家WordPress房地产主题分支机构Estalik，以及第一家澳大利亚公司Arena Property Agents合作。ShelterZoom旨在简化制作和受理房地产优惠的过程，减少文书工作并提高购买和销售的透明度。该系统已根据房地产标准组织标准建立[2017/12/28]

真正进行解锁的函数TimedUnlock实现如下：

代码路径：go-ethereum/accounts/keystore/keystore.go

当传入的超时大于0时，会发起一个协程进行超时处理，如果传入的超时时间为0，则是永久不会超时，账户一直处于解锁状态，直到节点进程退出。

攻击手法揭秘

1.寻找对外开放以太坊RPC端口的服务器，确认节点已经达到以太坊网络的最高区块高度

黑客通过全球的端口服务扫描，发现RPC服务为以太坊的RPC接口时，调用eth_getBlockByNumber(‘last’,false)，获取最新的区块高度。

但是由于有些以太节点是以太坊的分叉币，高度与以太坊的不一样，因此黑客即使发现节点高度与以太坊的高度不一样，也不会放弃攻击。

2.调用eth_accounts，获取该节点上的所有账户。

eth_accounts的请求将返回一个账户地址列表：

3.调用eth_getBalance，查询地址余额。

这个过程黑客可在自己的服务器完成以太坊的余额查询，因为以太坊的区块链账本数据库是随意公开获取的。

有部分黑客没有搭建以太坊的全节点，没有自行查询余额，因此也会在被攻击服务器进行eth_getBalance操作。

4.持续调用转账操作，直到刚好用户用密码解锁了钱包，完成非法转账操作的“偷渡”

黑客会构造eth_sendTransaction的转账操作，并填写余额、固定的手续费：

用户使用钱包，输入密码解锁了钱包，此时钱包余额会立即被转走。

快速漏洞测试

安装python的web3库，然后连接RPC端口，发起请求，如果获取到返回结果，便可能存在该漏洞。

参考：http://web3py.readthedocs.io/en/stable/quickstart....

fromweb3importWeb3,HTTPProvider,IPCProvider

web3=Web3(HTTPProvider(‘http://ip:port’))

web3.eth.blockNumber

黑客解密及IOCs情报

黑客钱包

目前我们掌握了3个黑客的钱包收款地址，未转走的账户余额为2220万美金：

https://etherscan.io/address/0x957cD4Ff9b3894FC78b...，余额为38,076ETH，最早进账为2016-2-14，最新进账为2018-3-21

https://etherscan.io/address/0x96a5296eb1d8f8098d3...，余额为321ETH，最早进账为2016-8-10，最新进账为2017-11-28。

https://etherscan.io/address/0xdc3431d42c0bf108b44...，余额为330ETH，最早进账为2018-2-06，最新进账为2018-3-20。

黑客攻击源IP

146.0.249.87162.251.61.133190.2.133.11485.14.240.84

目前大部分的黑客使用https://github.com/regcostajr/go-web3进行频繁API请求，如果有看到大量user-agent为“Go-http-client/1.1”的POST请求时，请记录下请求内容，确认是否为恶意行为。

紧急响应及修复建议

1,、关闭对外暴露的RPC端口，如果必须暴露在互联网，请使用鉴权：https://tokenmarket.net/blog/protecting-ethereum-j...2、借助防火墙等网络防护软件，封堵黑客攻击源IP3、检查RPC日志、web接口日志，是否有异常大量的频繁请求，检查请求内容是否为eth_sendTransaction4、等待以太坊更新最新代码，使用修复了该漏洞的节点程序

标签：以太坊RPCAPI以太坊币是什么币RPC币RPC价格API价格API币

PEPE币热门资讯