一个潜在的安全漏洞正在影响约14,545个TRON钱包,使数百万美元的数字资产面临被盗的风险。
TRON上的安全漏洞威胁到超过14,500个钱包。图片:cryptomus
导致漏洞的原因
一个鲜为人知的安全漏洞已导致超过14,500个TRON钱包面临资产被盗的风险。这一漏洞可能导致数百万美元的数字资产被盗,而钱包所有者毫不知情。
安全公司AMLBot发现,2,130个钱包通过与"UpdateAccountPermission"功能相关的漏洞被入侵,受影响资产总价值高达31.5百万美元。
这次攻击之所以特别危险,是因为它很隐蔽。攻击者不是立即提取资金,而是悄悄控制钱包,使所有者无法发现。他们可以阻止合法交易,让钱包所有者无法访问自己的资产。一位受害者表示,他们继续向被入侵的钱包存入1,000 USDT,却毫无察觉,因为没有任何迹象表明钱包已被攻击。
了解UpdateAccountPermission
TRON的UpdateAccountPermission功能旨在通过类似多重签名的机制增强账户安全性,允许钱包所有者分配权限并设置批准交易所需的阈值。例如,如果交易阈值为10,每个密钥权重为5,则需要两个密钥签名才能完成交易。
理论上,如果攻击者控制了钱包,他们可以添加自己的密钥并调整交易阈值,使其更容易达到。结果是,钱包所有者也无法单独完成交易,但仍可继续向被入侵的钱包存入资金,却毫无察觉。
据AMLBot技术总监Mykhailo Tiutin介绍,没有任何警告或迹象表明权限已被更改。受害者只有在尝试交易时才会发现问题。
即使发现问题,受害者也只能停止向被入侵的钱包存款,却无法找回被盗资金。
直到收到这条消息,钱包所有者才意识到问题所在
不仅限于TRON
滥用区块链功能并非TRON独有。在以太坊上,恶意行为者经常利用"approve"和"permit"等关键功能来与去中心化金融(DeFi)平台互动。
正如Coin68总结的,尽管DeFi不再是焦点,但2024年加密货币攻击造成的损失仍增加了40%。
预防措施
攻击者利用UpdateAccountPermission功能的前提是泄露私钥。为了预防,Dowsers安全研究员Axel Leloup强调了充分了解TRON权限系统并定期检查账户权限的重要性。
Leloup还警告说,加密货币安全的基本原则是安全保管私钥和助记词,最好离线保存,绝不能与任何不可信的人分享。
一位匿名受害者表示,他的钱包被入侵是由于安全性差。这个钱包用于测试智能合约,其私钥被嵌入代码并在多个设备间移动。
另一个保护措施是减少存储在钱包中的TRX数量,特别是对于USDT交易用户。UpdateAccountPermission功能需要支付100 TRX的费用。Tiutin建议使用不需要消耗TRX的钱包进行USDT交易。
总的来说,保护加密货币钱包不仅需要保护私钥,还需要了解和控制区块链平台的安全功能。此外,欺骗手段日益复杂难辨,用户很难完全防范。一个典型例子是最近流行的黑客假扮招聘者的骗局。
Coin68综合报道
