知名以太錢包服務被駭客綁架,損失30萬美元之餘也被使用者判了死刑

全網最知名的以太坊錢包網站 MyEtherWallet 因為部分地區 Google DNS 被劫持,導致大量使用者訪問地址後跳轉到釣魚網站,損失超過 30 萬美元的數位資產。
評論
評論

原文刊登於 虎嗅網 ,作者區塊律動(微信公眾號:BlockBeats),INSIDE 授權轉載。

本週二晚,全網最知名的以太坊錢包網站 MyEtherWallet 因為部分地區 Google DNS 被劫持,導致大量使用者訪問地址後跳轉到釣魚網站,損失超過 30 萬美元的數位資產。

具體細節不多闡述,簡單來講就是駭客利用網際網路運營商網路協議中一個存在很久的漏洞干擾了「網站導航」,導致使用者訪問 A 網站的時候跑到 B 網站去了。如果 B 網站是模仿 A 的釣魚網站的話,那麼使用者是很難辨別真假,而在 B 網站上的任何操作都會被駭客記錄,包括賬號密碼、上傳的文件、操作行為等。

早在 3 個月前就曝光過該安全風險的 Blue Protocol 公司,今天凌晨再次發出安全預警,MyEtherWallet 網站的 DNS 劫持依舊持續中,請不要訪問。

針對這一事件,區塊律動 BlockBeats(ID:BlockBeats)與區塊鏈安全團隊 PeckShield、imToken 錢包技術專家進行討論之後,認為這次 MyEtherWallet 使用者資產被釣魚事件主要責任在使用者和運營商,使用者和項目方的安全意識有待提高。

但這次事件也宣布了網頁錢包工具即將死亡。

MyEtherWallet 是一家甚麼樣的網站?

2017 年進入幣圈的使用者對這家網站應該比較熟悉,這是一個基於網頁的以太坊錢包生成、查看工具。在錢包類 App 還沒有流行的時候,大家要麼使用客戶端版的錢包,要麼就是使用網頁版的 MyEtherWallet。

用過的人都知道,MyEtherWallet 使用體驗非常不友好。但這並不妨礙 MyEtherWallet 成為第一大以太坊網頁錢包應用。

區塊律動 BlockBeats(ID:BlockBeats)發現 MyEtherWallet 的月 PV 在 1400 萬,使用者量非常大,停留時間也很長,達到了 4 分半。

而從 MyEtherWallet 的訪問區域來看以美國、俄羅斯、越南、日本為主,這些國家並沒有很流行的錢包類 App 供使用者使用,是他們使用網頁版錢包的主要原因之一。

MyEtherWallet 的訪問流量來源中,有 75% 的流量是直接訪問,也就是直接在瀏覽器的地址框中輸入或者是點擊瀏覽器的收藏夾進行訪問。直接訪問,這很符合 MyEtherWallet 每時每刻都在提醒使用者的安全指引。

安全公司 4 個月前就發出警告,但是被質疑是騙子

今年年初暴漲的讓 MyEtherWallet 團隊容不得任何批評,不願意承認自家的網站存在被 DNS 劫持的風險。

今年 1 月 9 日,去中心化二步驗證團隊 Blue Protocol 在 Twitter 連續發布多個針對 MyEtherWallet 的 DNS 安全預警,稱多個地區的使用者表示自己訪問 MyEtherWallet 的時候會被導航到假的 MyEtherWallet 網站。

此時引發大量討論,MyEtherWallet 團隊對此回應稱「打擊謠言傳播」,並配上雞湯文《陽光總在黑暗之後破曉》。

以太坊基金會的 Hudson Jameson 甚至稱這個團隊「令人噁心」「傳播謠言來吸引使用者使用他們的服務」。

而如今,反駁這個安全預警的兩人都被網友啪啪打臉。

為什麼 MyEtherWallet 團隊會如此有信心?或許是因為被高漲的流量沖昏了頭腦,MyEtherWallet 的網站流量在 1 月份的時候達到歷史最高值,使其成為網頁錢包工具中流量最高的網站。

他們天真地認為,存在於傳統網際網路的駭客套路不可能出現在區塊鏈上,但卻忘記了即便是區塊鍊網路也需要接入運營商的網路,再高級的技術也逃不過打擊。

MyEtherWallet 已經盡到了告知義務

每次使用者登陸,頁面上任何可以放提示信息的地方,都放滿了對使用者的安全提示信息。幾乎每時每刻,MyEtherWallet 都在提醒使用者:MyEtherWallet 不是一個銀行,我們不幫你保存任何資產,你要明白區塊鏈數字資產的含義,要明白你在這裡使用的不是一個「錢包」,認准我們的網站,記得安裝 metamask 插件,丟了錢是你自己的問題。

但是使用者根本不用 metamask,更不懂區塊鏈上的數字錢包具體的含義,也不看瀏覽器地址上的綠條條,只關心自己今天賺了多少錢,虧了多少錢。

然而這些努力在 DNS 劫持面前,失去了意義。

網頁錢包的緩慢死亡

毫無疑問,同樣的問題已經發生了不止一次,最起碼在 MyEtherWallet 上就已經發生了 2 次。而這種因為運營商網路漏洞而造成的 DNS 劫持還將持續進行,截至發稿 MyEtherWallet 的 DNS 劫持依舊持續存在。

MyEtherWallet 團隊發表聲明,要求使用者在官方確認可以使用之前,不要嘗試使用 MyEtherWallet 的網頁錢包。

對於這種你永遠都不知道什麼時候會發生、什麼時候會停止的安全問題,一朝被蛇咬十年怕井繩, MyEtherWallet 即便官方聲明已經修復該問題,你還敢使用嗎?

安全專家怎麼看

對於 MyEtherWallet 發生的安全事故,區塊律動 BlockBeats(ID:BlockBeats)與安全團隊 PeckShield 創始人蔣旭憲和 imToken 團隊的 CSO Blue 進行了溝通交流。

蔣旭憲表示,對於區塊鏈行業,最近發生的幾期安全事故,能夠有效地引導從業者提高對區塊鏈安全問題的認知。同時,也有助於提高大眾對於區塊鏈數字資產的爭取認識。

據了解,已經有不少區塊鏈團隊準備拿出部分預算尋找安全團隊或者安全解決方案。imToken 團隊的 CSO Blue 則表示,DNS 劫持不好防範,網頁錢包收到預警後應當向使用者做出安全提示。面對 DNS 劫持,網頁版錢包沒有招架之力,經歷相關事件後估計大家會對此比較悲觀。

對於使用者來講,冷錢包或者相對更安全的 App 錢包,是比網頁錢包更安全的方式。而整個產業也需要加強對使用者的安全教育,普及區塊鏈數位資產的安全教育知識,為區塊鏈安全生態貢獻力量。


【線上找中古屋】海量物件都在這,樂屋網「三大進階功能」讓看房更省力

買房時,先從網路上的找房平台篩選一輪,再去現場實地看屋,更能事半功倍。在地經營超過 13 年的網路平台「樂屋網」,房源囊括信義房屋、住商不動產等各大房仲品牌,提供全國中古屋行情資訊,還有個人化排序、找屋管家等獨家功能。想快速找到心目中理想的家,其實真的沒有那麼難。
評論
Photo Credit:TNL BrandStudio
評論

房價狂漲、薪水凍漲,小資族整天忙忙忙,好不容易存點錢想買房,在時間和預算都有限的情況下,該怎麼著手才好呢?

若還沒有明確目標,想要多方比較,「線上找屋」或許是個不錯的選擇。尤其適合想利用零碎時間的忙碌小資族,可以隨時隨地、拿起手機想看就看,省時又省力。

購屋平台的好選擇:樂屋網

相較於眾多線上找屋平台,各家網站操作模式略有不同,有些介面雜亂、有些功能並不完備。「樂屋網」提供的是房仲資訊平台服務,能同時比較很多網站上的物件,房源包含信義房屋、永慶不動產、住商不動產、中信房屋等全台知名房屋仲介,光是物件就超過 20 萬筆,不僅可以在樂屋網上瀏覽、搜尋各個不同地區,還能同時比對相關房仲資訊,例如待售、待租、新成屋、建案與土地等不動產物件資料。

樂屋網的介面簡潔,特別適合「新手買房族」,只要設定好特定條件,像是售價、坪數、格局、車位等條件,一鍵便能篩選出最符合需求的物件,並針對使用需求,將房子進行優先排序。

事實上,想要利用網路成功找出心中好房,不妨在挑選「線上找房」平台時把握以下原則:越多房源的越好、能用越多特定條件搜尋的越好、個人化服務越多的越好、交易資訊揭露越多的越好,方便比較一眼看出物件素質優劣。

而樂屋網除了有搜尋物件、瀏覽房屋詳情照片、預約看屋、即時與賣家通訊等基礎功能,還有暗藏「三大進階功能」讓看房更輕鬆有效率。

 Photo Credit:樂屋網

樂屋網獨有三大進階功能:房子比比看、找屋管家、實價登錄頻道

首先是房子比比看。同路段或鄰近區域,或多或少都會看到相似的總價、屋齡、房屋類型或坪數,挑選起來真是天人交戰。若有大量不同的房子想比較,此時用樂屋網的房子比比看功能,宛如訂房網站直接可以比一比。

之後選擇有興趣的物件,點擊「加入比較」按鈕,一次最多可加入四筆物件進行比較,哪一筆物件價格最低、坪數最大、屋齡最新,一目瞭然;也可使用「淡化相同」功能,淡化相同屬性的物件資訊,凸顯其他房子屬性。比較後的物件表格,可直接以 email 、 LINE 、 Facebook 分享給親友一起討論。

選擇自己有興趣的物件,直接點擊【加入比較】,一次最多可加入四筆物件進行比較。/Photo Credit:樂屋網

第二大進階功能是預約看房後、與屋主議價前的找屋管家。議價時最怕資訊不足,除了善用實價登錄調查房屋成交價,利用「找屋管家」列出「成交總價」及「銷售總價」範圍,一表看清該物件的售價及鄰近成交價格落差,協助分析出目前價格的議價率。

同時,也能分析曾關注過的物件特色,以圖表整理出看房需求以及看屋喜好,提供預約物件該地區的市場趨勢,讓使用者更進一步評估該區市場供需狀況。

選擇預約看屋後,直接告訴你該物建的售價及鄰近成交價格,了解議價空間。/Photo Credit:樂屋網
整理你的看房需求,幫助你整理自己的看屋喜好。/Photo Credit:樂屋網

鎖定社區後,可再利用實價登錄頻道,直接翻查細部資料,查詢當地過往的交易狀況。善用這三大進階功能,從樂屋網中挖掘出自己想像的房屋需求,衡量自己的購屋預算、看準購屋區域、了解周邊環境,可省去大部分看房的時間,輕鬆找到好房。

樂屋網實價登錄頻道介面。/Photo Credit:樂屋網

找房,原來可以不用那麼累

好物件稍縱即逝,但人生最重要的交易可能就這一次。除了平日勤做功課熟捻物件資訊之外,不妨多利用樂屋網的「房產快訊」補充相關知識,例如房產新聞、房屋百科、新屋報導、法律常識等,還有不少適合購屋族看的時事論壇、裝潢佈置、開運風水、投資理財等資訊。

或是利用一杯咖啡的時間,收聽樂屋網「一杯咖啡聊買房」 Podcast 節目,聽聽大家分享買房的歷程;另外樂屋網 APP 的介面設計簡潔、清晰明瞭,不管是在 iOS 或是安卓系統的評分都獲得了最高!善用工具、多方收集比較,小資族想要找到心目中的好物件,真的可以不用那麼累。

樂屋網有 Podcast 節目「一杯咖啡聊買房」,利用一杯咖啡的時間,聽聽大家分享買房的歷程。/Photo Credit:樂屋網