일본 거래소 DMM에서 도난당한 비트코인 ​​482억개 복호화 사건에 북한 해커 연루, 내부 운영 및 외주업체 진코에 문제 있음

2024年5月,日本虚拟货币交易所DMM比特币遭遇重大资产流失事件,损失的原因被指向与朝鲜相关的黑客组织。此事件显示日本交易所内部系统管理和安全检查中的潜在漏洞,并引发业界对钱包管理和交易安全性的广泛关注。

(日本持牌交易所DMM遭盗4,503个比特币,损失482亿日元)

日本警方调查：假招聘诈骗,黑客巧妙渗透系统

近日日本警方披露,黑客假借招聘活动为名,欺骗DMM比特币外包技术开发公司的一名技术人员。以技术测试为借口,他们成功诱使该技术人员下载了一个恶意程序。这个程序随后被用来侵入DMM的交易系统,对合法交易指令进行篡改,最终导致大量加密资产被转移至攻击者的钱包。

(FBI揭露:朝鲜积极侵略加密货币产业,社交工程锁定币圈公司员工)

DMM系统漏洞到底在哪？

此次事件让人聚焦于DMM的冷钱包管理和交易审核流程。根据相关分析,DMM作为最终资产管理者,持有转移资产所需的私钥。然而,事件显示,攻击者在篡改交易地址时,可能利用了管理设备与冷钱包终端之间的通讯漏洞。交易地址篡改攻击的关键在于,攻击者生成的地址在格式上与合法地址相似,令负责交易审核的员工未能发现异常。

外包商Ginco的角色:外包系统还是潜在隐患？

DMM事件还牵涉到为其提供钱包系统的外包公司Ginco。Ginco主要负责提供地址管理和交易生成功能,但其内部系统可能成为攻击者入侵的切入点。有分析认为,黑客可能透过Ginco的管理设备植入篡改后的交易数据,再透过DMM的冷钱包终端进行最终签名。若DMM在签名前后仔细比对交易内容,应能发现异常,但实际上这一环节却疏漏了。

朝鲜黑客策略＋DMM潜在弱点就破防了！

此次攻击被认为是朝鲜黑客精心策划的行动。尽管交易所一般会定期进行资产转移以确保安全,但DMM在转移期间暴露了系统运营上的漏洞,成为了攻击者的首要目标。专家指出,攻击者可能选择了一个具有预测性和可操作性的时间点,利用DMM的操作习惯进行了精确打击。

加密货币产业的警示:内外防御缺一不可

评论认为,这一事件对于整个加密货币行业来说,是一次严重的警钟。即使冷钱包环境被认为是最安全的资产管理方式,但攻击者仍能透过外包管理系统或内部审核漏洞实施攻击。因此,业界必须强化从交易生成到最终签名的每个环节的安全检查,并坚持"Don't trust, verify"的原则。

针对此事件,专家建议交易所应加强对员工的培训和安全意识教育,同时采用多重验证手段对交易进行逐步审核。此外,强化外包合作公司的管理和监控也是必不可少的举措。对于其他使用Ginco系统的交易所,及时进行漏洞排查并采取暂时性防御措施尤为重要。

비트플라이어(bitFlyer) 사장 가노 유조: 일본 업계는 방심할 수 없다

비트플라이어(bitFlyer) 사장 가노 유조는 밝혔습니다. 비트플라이어(bitFlyer)는 일본 암호화폐 업계의 보안 인식 부족에 대해 우려하고 있다고 합니다. 주요 관심사는 다음과 같습니다:

1. 송금 주소 제한: 기기가 지정된 주소 이외로 송금을 허용하면 심각한 보안 문제가 발생할 수 있습니다. 시스템은 사전에 송금 가능한 주소를 설정하고 화이트리스트 등의 기능을 통해 엄격히 제한해야 합니다.
2. 운영자 확인 절차: 운영자는 송금 주소를 한 글자씩 확인하는 교육을 받아야 하며, 기기가 주소를 완전히 표시할 수 있도록 해야 합니다. 이를 통해 '주소 오염' 공격을 방지할 수 있습니다.
3. 시스템 이해와 감사: DMM 회사는 Ginco 시스템을 깊이 이해하고 독립적인 보안 감사를 수행해야 합니다. 외부 도구에 전적으로 의존해서는 안 됩니다.
4. 내부 정보 유출 가능성: 해커가 대규모 자금 이체 계획을 사전에 파악하고 있다면 내부 정보 유출 또는 내부자 개입이 있었을 가능성이 있습니다.
5. 개인 키 관리: 개인 키는 거래소가 독립적으로 생성하고 관리해야 합니다. 외부 업체의 개입을 피하고 다중 서명 보안을 확보해야 합니다.

그는 또한 지갑 설계의 두 가지 핵심 사항을 강조했습니다:

• 송금 주소 확인과 제한: 시스템 제한과 수동 이중 확인을 통해 자산 손실을 방지해야 합니다.
• 송금 금액 적정성 확인: 금액은 엄격히 검증되어야 합니다. 자사 핫 지갑이라도 과도한 송금은 피해야 합니다.

보안 조치는 지속적으로 개선하고 투자해야 합니다

보안은 '완성'된 상태가 없습니다. 거래소는 우선 프로세스를 강화하고 직원 교육과 시스템 개선을 지속해야 합니다. 그는 업계 전체가 보안 의식을 높이고 더 명확한 규범과 제도를 마련할 것을 기대한다고 말했습니다.