APP:慢雾 | 钱包安全审计服务全面增加插件钱包安全审计项_ICE

近年来，加密钱包安全事件频发。

根据慢雾MistTrack所接触的受害者信息收集整理，钱包被盗的事件占比高达60%，显而易见钱包是最有利可图的目标，因此，钱包的安全性至关重要，当然，对钱包进行安全审计更是重中之重。

作为在区块链耕耘已久的一员，慢雾科技在区块链世界独特的安全架构方面拥有丰富且领先的实战经验。慢雾的相关安全服务已经覆盖超数十家行业内顶级的钱包，如imToken、HuobiWallet、RenrenBit钱包等。为了更好地增强各类加密钱包的安全性，慢雾科技在已有审计项的基础上进行扩展，新增了对扩展/插件钱包的审计。

下面让我们以问答形式来一睹为快！

插件钱包与常说的“钱包”有什么不同？

?

插件钱包是指基于浏览器(主要是GoogleChrome)开发的钱包。

慢雾：跨链互操作协议Nomad桥攻击事件简析:金色财经消息，据慢雾区消息，跨链互操作协议Nomad桥遭受黑客攻击，导致资金被非预期的取出。慢雾安全团队分析如下：

1. 在Nomad的Replica合约中，用户可以通过send函数发起跨链交易，并在目标链上通过process函数进行执行。在进行process操作时会通过acceptableRoot检查用户提交的消息必须属于是可接受的根，其会在prove中被设置。因此用户必须提交有效的消息才可进行操作。

2. 项目方在进行Replica合约部署初始化时，先将可信根设置为0，随后又通过update函数对可信根设置为正常非0数据。Replica合约中会通过confirmAt映射保存可信根开始生效的时间以便在acceptableRoot中检查消息根是否有效。但在update新根时却并未将旧的根的confirmAt设置为0，这将导致虽然合约中可信根改变了但旧的根仍然在生效状态。

3. 因此攻击者可以直接构造任意消息，由于未经过prove因此此消息映射返回的根是0，而项目方由于在初始化时将0设置为可信根且其并未随着可信根的修改而失效，导致了攻击者任意构造的消息可以正常执行，从而窃取Nomad桥的资产。

综上，本次攻击是由于Nomad桥Replica合约在初始化时可信根被设置为0x0，且在进行可信根修改时并未将旧根失效，导致了攻击可以构造任意消息对桥进行资金窃取。[2022/8/2 2:52:59]

插件钱包管理的助记词/私钥是与DApp相互隔离的，理论上第三方组件(如：DApp或其他插件)很难通过技术手段突破隔离对插件钱包进行攻击，所以安全性有一定的保证。

慢雾：DEUS Finance 二次被黑简析:据慢雾区情报，DEUS Finance DAO在4月28日遭受闪电贷攻击，慢雾安全团队以简讯的形式将攻击原理分享如下:

1.攻击者在攻击之前先往DeiLenderSolidex抵押了SolidexsAMM-USDC/DEI的LP。

2.在几个小时后攻击者先从多个池子闪电贷借出143200000USDC。

3.随后攻击者使用借来的USDC在BaseV1Pair进行了swap操作，兑换出了9547716.9个的DEI，由于DeiLenderSolidex中的getOnChainPrice函数是直接获取DEI-USDC交易对的代币余额进行LP价格计算。因此在此次Swap操作中将拉高getOnChainPrice函数获取的LP价格。

4.在进行Swap操作后，攻击者在DeiLenderSolidex合约中通过borrow函数进行借贷，由于borrow函数中用isSolvent进行借贷检查，而在isSolvent是使用了getOnChainPrice函数参与检查。但在步骤3中getOnChainPrice的结果已经被拉高了。导致攻击者超额借出更多的DEI。

5.最后着攻击者在把用借贷出来DEI兑换成USDC归还从几个池子借出来的USDC，获利离场。

针对该事件，慢雾安全团队给出以下防范建议：本次攻击的原因主要在于使用了不安全的预言机来计算LP价格，慢雾安全团队建议可以参考Alpha Finance关于获取公平LP价格的方法。[2022/4/28 2:37:18]

插件钱包配置简单，使用更方便，在官方渠道下载安装后勾选开启插件，使用时点击图标就可进入钱包，并且使用钱包管理助记词/私钥。

声音 | 慢雾：采用链上随机数方案的 DApp 需紧急暂停:根据近期针对EOS DApp遭遇“交易排挤攻击”的持续性威胁情报监测：EOS.WIN、FarmEOS、影骰、LuckBet、GameBet、Fishing、EOSDice、STACK DICE、ggeos等知名DAPP陆续被攻破，该攻击团伙（floatingsnow等）的攻击行为还在持续。在EOS主网从根本上解决这类缺陷之前，慢雾建议所有采用链上随机数方案的DAPP紧急暂停并做好风控机制升级。为了安全起见，强烈建议所有竞技类DAPP采用EOS官方很早就推荐的链下随机种子的随机数生成方案[2019/1/16]

插件钱包的助记词/私钥的管理操作更方便和安全，仅需要在插件钱包中"点点点"就能轻松的发起一笔转账，签名一笔交易，或者管理助记词/私钥。

慢雾在插件钱包安全方面有什么研究？

动态 | 慢雾区再发预警，请 DApp 开发者自查随机数:知名 DApp EOSDice 再次由于随机数问题被黑，攻击者是之前攻击 EOSDice 及 FFGame DApp 的黑客，攻击手法也是由于使用了可控的随机数种子，在之前（11-8号）慢雾已经预警过攻击手法，请各位 DApp 开发者仔细核对自己的随机数种子和算法是否可被预测，勿存在任何侥幸。[2018/11/10]

?

慢雾安全团队从钱包生命周期“助记词/私钥的生成，助记词/私钥的存储，助记词/私钥的使用，助记词/私钥的备份，助记词/私钥的销毁”这五大过程的安全作为主要切入口进行安全研究，并梳理插件钱包安全的最佳实践，并在实战过程中挖掘了不少优质的插件钱包的攻击面。

如：

1.某些场景下可通过DApp页面获取助记词/私钥；

2.某些场景下可通过跨域方式获取助记词/私钥；

3.某些场景下可在钱包锁定后获取助记词/私钥；

4.某些场景下可构造签名数据进行假充值/假转账。

(攻击面很多，欢迎来撩:-))

慢雾对插件钱包的整体安全审计是什么样的？

?

慢雾安全团队对钱包的审计涵盖渗透测试内容，且比渗透测试服务更全面与精细。不仅会对目标项目进行漏洞发现提出修复方案，还会提出建议执行的安全增强点或最佳安全实践，以杜绝未来可能出现的安全风险。安全审计将提供更全面更多维的企业安全体系落地建设依据，并根据项目方需求出具专业的安全审计报告。具体可参考：

https://www.slowmist.com/service-wallet-security-audit.html

当慢雾在审计插件钱包时，慢雾在审什么？

?

对于任何一款钱包来说，账户安全/私钥安全都是极为重要的。因此，我们在对扩展/插件钱包进行审计时，仍然将重点放在助记词/私钥这一部分。具体可以参考下图：

插件钱包安全审计主要使用哪些测试方式？

?

我们主要采用“黑盒与灰盒结合为主，白盒为辅”的方式。

黑盒测试：站在外部从攻击者角度进行安全测试。

灰盒测试：通过脚本工具对代码模块进行安全测试，观察内部运行状态，挖掘弱点。

白盒测试：基于项目的源代码，进行脆弱性分析和漏洞挖掘。

如何理解漏洞等级？

?

严重漏洞：会对项目的安全造成重大影响。

高危漏洞：会影响项目的正常运行。

中危漏洞：会影响项目的运行。

低危漏洞：可能在特定场景中会影响项目的业务操作。

弱点：理论上存在安全隐患，但工程上极难复现。

增强建议：编码或架构存在更好的实践方法。

对插件钱包有什么展望？

?

随着区块链产业的多链多元化发展，插件钱包似乎也开辟了一条新赛道。其实慢雾陆陆续续审计过不少知名的插件钱包，例如：波场推出的第一款插件钱包TronLink、由星火矿池推出的GasNow、适配Alaya网络和PlatON网络的Samurai、ICON的第一个移动钱包MyIconWallet、以及DeBank团队于前不久推出的Rabby等等。目前对于插件钱包的发展，还是很可观的，非常值得关注。

有什么想对大家说的？

?

加密钱包审计重点在于解决常见的安全漏洞，规避可能出现的安全风险。作为用户，希望能增强安全意识，不要随意泄露助记词/私钥。作为项目方，对于安全问题的重视程度远远不够，希望加密钱包项目方对于安全标准能有更好的认识，与我们一起共同保护用户资产的安全。

来源链接：mp.weixin.qq.com

免责声明：作为区块链信息平台，本站所发布文章仅代表作者个人观点，与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考，并非作为或被视为实际投资建议。

本文来源于非小号媒体平台：

慢雾科技

现已在非小号资讯平台发布68篇作品，

非小号开放平台欢迎币圈作者入驻

入驻指南：

/apply_guide/

本文网址：

/news/10227688.html

免责声明：

1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险

2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场

上一篇：

比尔·盖茨再谈ChatGPT：将改变我们的世界！

标签：APPDAPPDAPICEbitcoin交易所app下载二维码dapp币怎么从钱包提到交易所DAPS币NICE

币安app官方下载最新版热门资讯