预防2025年中心化加密货币交易所账户接管攻击 - Trail of Bits博客

Evan Sultanik, Kelly Kaoudis
2025年2月5日
区块链, 研究实践

这篇博客文章重点介绍了我们新白皮书《预防中心化加密货币交易所账户接管》中的关键要点，该白皮书记录了与ATO相关的攻击向量和针对CEX的防御措施。

想象一下，当你尝试登录中心化加密货币交易所（CEX）账户时，你的密码和用户名就是…无法使用。你再次尝试。同样的问题。此时你的心率会稍微加快，特别是当你使用密码管理器时。也许只是服务中断导致的（敲敲木头），一旦修复，你的密码就会重新生效？但越来越有可能的是，你成为了账户接管（ATO）的受害者。

CEX的选择决定了使用它们的人如何（或是否）能够保护自己的资金。由于不同平台的安全功能各不相同，且并不总是有文档记录，用户可能不知道应该期待什么，也不知道如何根据自己的个人威胁模型最佳配置账户。设计选择，如不支持防钓鱼的多因素认证（MFA）方法（如U2F硬件安全密钥），或不跟踪用户事件以在发生异常时推送应用内"这是你吗？“的账户锁定提示，都会为攻击者打开大门。

我们白皮书的目标是告知并赋能CEX，为其用户提供一个安全设计的平台。高管可以高层次了解用户账户接管所涉及的漏洞和实体。我们推荐一套重叠的安全控制措施，他们可以将其带给团队领导和技术产品经理，检查并优先考虑是否尚未实施。安全工程师和软件工程师也可以将我们的工作作为参考，了解不集成、维护和记录适当ATO缓解措施的风险。

账户接管

当涉及加密货币的欺诈话题出现时，我们可能会想到FTX崩溃、勒索诈骗、浪漫诈骗，或者可能是社交媒体上宣传"投资机会"的帖子。ATO是另一种常见的欺诈类型，由于安全失败而发生，尽管像服务美国客户的CEX这样的金融机构必须保护用户信息免受（除其他危害外）未经授权的访问。

在ATO中，攻击者获得对他人账户的访问权限，然后通过更改访问凭据将合法账户所有者锁定在外。2023年，Sift Q3数字信任与安全指数披露，报告金融（包括加密货币）账户接管同比增长808%，而Sift 2024年Q3指数报告自2023年以来所有行业的ATO进一步增加。

ATO不仅变得越来越普遍，而且并非所有平台都有足够的日志记录和监控来在发生时检测并及时提醒用户。Sift调查的受害者中，不到一半被告知发生了任何数据丢失或泄露。除了损害用户对平台的信任外，如果用户没有迅速且适当地收到通知（并且没有采取预防未来进一步滥用的措施），ATO对受害者来说可能是昂贵的。2016年RAND对消费者对数据泄露通知和个人信息丢失态度的调查包括一个严峻的统计数据：如果他们的财务信息被泄露，68%的受访者遭受了中位数864美元的财务损失¹。

攻击者策略和机会

攻击者可以通过多个向量获得对用户账户的初始访问权限。在我们的白皮书中，我们涵盖了CEX平台必须积极防范的常见弱点。

例如，用户可能未能使用强密码和第二因素。也许攻击者然后可以暴力破解用户密码或钓鱼用户交出他们的凭据。但另一方面，用户可能已经利用了CEX提供的所有可用安全功能。平台可能根本没有提供适当实施的安全控制，用户需要这些控制来保护他们的账户和资金。

假设平台只支持不太安全的第二因素选项，这些选项不防钓鱼，如短信、移动认证器应用或电子邮件。如果用户将他们的MFA代码发送到他们的电子邮件账户，攻击者可能会入侵电子邮件账户，从而间接获得CEX账户访问权限。或者，如果短信被设置为目标CEX账户的第二认证因素，攻击者可以SIM交换用户的手机以接收他们的第二因素代码。或者，如果CEX密码重置流程可利用，也许攻击者可以利用它完全绕过需要用户的第二因素来实现ATO。

避免可怕的结果

CEX（就像任何其他依赖它的服务类型一样）需要利用强大、交织的技术安全机制、流程和文档来保护自己和用户。ATO不仅对账户持有人的财务安全构成威胁，还降低了公众对相关CEX以及更广泛的加密货币的信任。在Trail of Bits，我们相信知识是我们对抗ATO等威胁的最基本防御。我们的白皮书包括以下内容：

• 常见ATO攻击方法的讨论
• 账户接管威胁场景中常见的系统参与者
• CEX平台可以采取的可操作步骤，以增强其系统安全性并保护用户
• CEX可以提供给最终用户的基本个人安全指南

在我们的完整白皮书中阅读更多内容。

想了解更多关于如何安全使用加密货币，或如何保护您的平台或dapp？我们很乐意提供帮助。

¹用户资金的损失也可能不是立即的结果。攻击者可能利用CEX平台中的安全漏洞窃取凭据或有效会话令牌进行出售。另一个攻击者可能购买暗网上的凭据或标识符数据集，并在多个平台上尝试验证它们，然后仅转售有效的条目。这可能导致从初始账户泄露到实际尝试使用被盗凭据购买东西或转移资金之间经过一些时间。

如果您喜欢这篇文章，请分享： Twitter LinkedIn GitHub Mastodon Hacker News

页面内容
账户接管
攻击者策略和机会
避免可怕的结果

近期文章
非传统创新者奖学金
劫持您的PajaMAS中的多代理系统
我们构建了MCP一直需要的安全层
利用废弃硬件中的零日漏洞
Inside EthCC[8]：成为智能合约审计员

© 2025 Trail of Bits.
使用Hugo和Mainroad主题生成。