Solana 区块链平台疑遭供应链攻击,价值数百万美元的密币遭洗劫
聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
专栏·供应链安全
数字化时代,软件无处不在。软件如同社会中的“虚拟人”,已经成为支撑社会正常运转的最基本元素之一,软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展,软件供应链也越发复杂多元,复杂的软件供应链会引入一系列的安全问题,导致信息系统的整体安全防护难度越来越大。近年来,针对软件供应链的安全攻击事件一直呈快速增长态势,造成的危害也越来越严重。
为此,我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯,分析供应链安全风险,提供缓解建议,为供应链安全保驾护航。
注:以往发布的部分供应链安全相关内容,请见文末“推荐阅读”部分。
一夜之间,Solana 区块链平台上价值数百万美元的数千个密币钱包被洗劫一空。
Solana 平台已启动调查并正在试图确定恶意人员如何设法清空资金。Solana 发布声明称,当地时间8月3日清晨5点,7700多个钱包遭攻击,包括Slope 和 Phantom。从公开报告来看,Solflare 和 Trust Wallet 用户也受影响。
而就在凌晨4点左右,区块链分析提供商 Elliptic 认为,受影响的钱包数量接近7936个,损失为520万美元(SOL、NFT、300多个基于 Solana的令牌)。
Solana 指出,攻击中受影响的钱包应该遭到攻陷且应当在似乎不受影响的硬件变体即冷钱包中弃用。此举的建议是不要复用助记词并为硬件钱包创建新的助记词。不使用冷钱包的用户应将所有资产转移到可信的中心化交易所,确保资产免遭攻击。
经签名的交易
虽然目前尚不存在钱包如何被清空的确切答案,但很多人倾向于认为钱包软件中存在一个漏洞。
Elliptic 公司指出,“虽然根因尚不明确,但似乎是因为某款钱包软件中存在缺陷,而非 Solana 区块链本身有问题。”
攻击中展示出的一个线索是,这些交易由合法所有人签名,说明私钥遭攻陷。这也是为何说在这种情况下撤销第三方批准可能不会阻止攻击,但仍然是推荐措施。
多名区块链安全专家指出,访问数量如此庞大的私钥使用的方法可能是供应链攻击、浏览器0day缺陷或密钥生成进程中的默认随机数生成器。
另外一种可能是攻击者利用了随机数复用漏洞,只要签名和随机数被公开暴露,则导致威胁行动者恢复了用户的密钥。
目前来看这些均只是猜测,用户应采用当前推荐的缓解措施。
鉴于这类事件很可能再次发生,用户不应将所有密币资金存入热钱包,而应当仅使用热钱包存储交易中使用的少量金额;大部分资产应当存储在与互联网和第三方服务断网的冷钱包中。
代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com
推荐阅读
在线阅读版:《2022中国软件供应链安全分析报告》全文
在线阅读版:《2021中国软件供应链安全分析报告》全文
开源web应用中存在三个XSS漏洞,可导致系统遭攻陷
开源软件 LibreOffice 修复多个与宏、密码等相关的漏洞
Juniper Networks修复200多个第三方组件漏洞
美国国土安全部:Log4j 漏洞的影响将持续十年或更久
美国国土安全部:Log4j 漏洞的影响将持续十年或更久
PyPI 仓库中的恶意Python包将被盗AWS密钥发送至不安全的站点
开源项目 Parse Server 出现严重漏洞,影响苹果 Game Center
奇安信开源软件供应链安全技术应用方案获2022数博会“新技术”奖
更好的 DevSecOps,更安全的应用
他坦白:只是为了研究才劫持流行库的,你信吗?
热门PyPI 包 “ctx” 和 PHP库 “phpass” 长时间未更新遭劫持,用于窃取AWS密钥
从美行政令看软件供应链安全标准体系的构建
研究员发现针对 GitLab CI 管道的供应链攻击
五眼联盟:管理服务提供商遭受的供应链攻击不断增多
趁机买走热门包唯一维护人员的邮件域名,我差点发动npm 软件供应链攻击
RubyGems 包管理器中存在严重的 Gems 接管漏洞
美国商务部机构建议这样生成软件供应链 “身份证”
《软件供应商手册:SBOM的生成和提供》解读
和GitHub 打官司?热门包 SheetJS出走npmjs.com转向自有CDN
不满当免费劳力,NPM 热门库 “colors” 和 “faker” 的作者设无限循环
NPM流行包再起波澜:维护人员对俄罗斯用户发特定消息,谁来保证开源可信?
NPM逻辑缺陷可用于分发恶意包,触发供应链攻击
攻击者“完全自动化”发动NPM供应链攻击
200多个恶意NPM程序包针对Azure 开发人员,发动供应链攻击
哪些NPM仓库更易遭供应链攻击?研究员给出了预测指标
NPM 修复两个严重漏洞但无法确认是否已遭在野利用,可触发开源软件供应链攻击
热门NPM库 “coa” 和“rc” 接连遭劫持,影响全球的 React 管道
速修复!热门npm 库 netmask 被曝严重的软件供应链漏洞,已存在9年
25个恶意JavaScript 库通过NPM官方包仓库分发
Pwn2Own大赛回顾:利用开源服务中的严重漏洞,攻陷西部数据My Cloud PR4100
开源网站内容管理系统Micorweber存在XSS漏洞
热门开源后端软件Parse Server中存在严重的 RCE ,CVSS评分10分
开源组件11年未更新,严重漏洞使数百万安卓按设备易遭远程监控
开源工具 PrivateBin 修复XSS 漏洞
奇安信开源组件安全治理解决方案——开源卫士
原文链接
https://www.bleepingcomputer.com/news/security/thousands-of-solana-wallets-drained-in-attack-using-unknown-exploit/
题图:Pexels License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~
Solana 区块链平台疑遭供应链攻击,价值数百万美元的密币遭洗劫相关推荐
- 第三次被盗:Cream Finance 疑存在漏洞,价值1.3亿美元的密币失窃
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 今天早些时候,两家区块链安全公司 PeckShield 和 SlowMist 检测发现,去中心化金融 (DeFi) 平台Cream Financ ...
- 区块链研究生专业_滁州区块链平台技术开发专业软件公司
滁州弈聪软件是专业滁州区块链技术开发公司,致力于区块链平台技术开发及区块链平台搭建服务,在电子货币,加密货币及虚拟币钱包开发,虚拟币交易系统开发,区块链+数字资产管理系统开发及电子金融行业具有丰富的经 ...
- 财路网每日原创推送: 物联网区块链网络在制造供应链中还存在着很多挑战
财路网(www.cailuw.com) 物联网区块链网络在制造供应链中还存在着很多挑战 区块链的应用远远超出了加密货币.物联网(IoT)驱动的电子传感器网络是部署下一代区块链技术中尚未开发的平台,该技 ...
- 区块链平台调研与分析报告.md
区块链平台分析--Ethereum & BCOS 此文是FISCO-BCOS项目的一篇报告,阅读笔记 原文链接:点击 概述 09年比特币诞生后区块链技术的迅速发展和受重视程度.在金融方向的领域 ...
- 区块链真能成供应链金融的百世良医?
消费金融草长莺飞的时代结束,随着互联网企业下沉,供应链搭建需求上升,供应链金融的黄金时代正在到来. 数据显示,2020年我们供应链市场规模可达到20万亿,在此前景之下,众多企业都投身到了供应链金融,既 ...
- Oracle再发力,区块链平台多项更新
本周,Oracle宣布将加速全球区块链的采用.据悉,目前全球已经众多企业通过Oracle区块链平台享受到了区块链应用程序的优势,而Oracle将为区块链平台添加更多新功能,帮助用户加速区块链应用程序的 ...
- 用区块链变革教育行业?全球首个教育+旅行+区块链平台——Ambertime:让每个人都能够将时间凝结成自己专属的“琥珀”...
日前,区块链引发了世界性的关注,全球正在跑步进入"区块链经济时代".区块链的诞生,标志着人类开始构建真正可以信任的互联网.正因此,区块链被堪称是继蒸汽机.电力和互联网之后的第四次技 ...
- 【问链财经-区块链基础知识系列】 第二十二课 贸易金融区块链平台的技术机理与现实意义
简介:贸易金融区块链平台的技术机理.模式.优势与现实意义都有哪些?对湾区贸易金融区块链平台的未来建设有何展望?本文将进行详述. 小微企业贡献了我国60%以上的GDP.50%以上的税收以及80%的城镇就 ...
- 【问链财经-区块链基础知识系列】 第二十一课 区块链应用于大宗商品供应链金融
编者按:融资难.融资贵一直是中小企业难以摆脱的"心结".日前,国内首例基于区块链技术的大宗商品证券化融资在上海煤炭交易所(以下简称"上海煤交所")完成全业务流程 ...
最新文章
- 静态主席树总结(静态区间的k大)
- WordPress多语言插件
- idea主题下载导入工具
- easyui打开新的选项卡_easyUI多选项卡后台模板主题_easyUI Tabs选项卡_easyUI模板
- neo4j社区版下载
- 开源BI工具 - Superset
- 基于Qt的嵌入式监控系统
- python yield from用法
- bcnf分解算法_BCNF的保持无损连接的分解
- 弘辽科技:限制店铺流量上涨的七大原因
- tomcat jdbc数据库连接池详解之PoolCleaner
- ssd linux 硬盘备份,SSD最佳备份良伴 群晖3步搞定系统备份
- ROM修改---修改本机的mac地址
- C++中的volatile(Primer读书笔记)
- 仿网易云音乐html代码,仿网易云音乐外链播放器UI的HTML5音乐播放器插件
- NyistOJ 2 括号匹配(栈)
- 七麦数据js爬虫(附代码)
- Win32输入法编程技术的分析研究
- 7.2 Java(农夫果园【3】:一个农场,专门种植销售各类水果,在这个系统中需要描述下列水果葡萄、草莓、苹果)
- oracle实现汉字按照拼音、笔画和部首排序