世界上有一群人，互联网对于他们来说就是提款机。
是的，过去是，现在更是，因为电子货币的出现，他们提款的速度变得更疯狂。
在2017年，我们的蜜罐监测到一起针对以太坊的全球大规模攻击事件，我们将其命名为以太坊“偷渡”漏洞。通过该漏洞，黑客可以在没有服务器权限、没有keystore密码权限的情况下，转走钱包中的所有余额。
而如此严重的漏洞，1年前就在reddit.com被曝光有黑客在利用，并且最早可追溯到2016年的2月14号就有黑客通过此漏洞窃取到比特币，近期也有中国的慢雾安全团队揭露了这种攻击手法：查看原文链接
在长达2年的时间里，并没有多少用户关注到，以太坊也没有进行针对性的防护措施，直到今日，以太坊的最新代码中依然没有能够抵御这种攻击。
以太坊上稳定币发行量达到728亿美元:据debank数据显示，以太坊上稳定币发行量达到728亿美元，排名前三的分别是：USDT（289亿美元），USDC（248亿美元），BUSD（100亿美元）。[2021/6/27 0:09:09]
因此我们决定将我们所掌握的详细数据公布给所有人，希望能促使以太坊的开发者承认并修复该漏洞。
漏洞成因
以太坊目前最流行的节点程序都提供了RPCAPI，用于对接矿池、钱包等其他第三方程序。
默认情况下，节点的RPC服务是无需密码就可以进行接口调用，官方实现的RPCAPI也并未提供设置RPC连接密码的功能，因此，一旦将RPC端口暴露在互联网，将会非常危险。
而我们所捕获的以太坊“偷渡”漏洞，正是利用了以太坊默认对RPC不做鉴权的设计。
以太坊上DeFi协议总锁仓量358.1亿美元:据欧科云链OKLink数据显示，截至今日16时，以太坊上DeFi协议总锁仓量约合358.1亿美元。
当前以太坊上锁仓量排名前三的协议分别是Maker 43.9亿美元（+0.68%），WBTC 39.9亿美元（-4.54%）以及Uniswap V2 34亿美元（-2.25%）。[2021/1/20 16:36:20]
被攻击的用户，需要具备以下条件：
1、节点的RPC端口对外开放2、节点的RPC端口可直接调用API，未做额外的鉴权保护3、节点的区块高度已经同步到网络的最新高度，因为需要在该节点进行转账，如果未达到最高度，无法进行转账
当用户对自己的钱包进行了解锁，在解锁超时期间，无需再输入密码，便可调用RPCAPI的eth_sendTransaction进行转账操作。
分析 | 以太坊期货市场数据显示空头倾向增加:此前，大约2500万美元ETH被转到Kraken、币安和火币钱包中。目前尚不清楚是谁将巨额以太坊发送至三大交易所，但存在有人在公开市场进行抛售的可能性。根据Skew数据，以太坊期货主要在火币和OKEx等中国加密货币交易所交易。此外，BitMEX数据显示，虽然未平仓合约有所下降，但自昨天以来，卖出数量一直远高于买入数量。尽管如此，12月23日为负数的比特币融资利率目前为正。OKEx的融资率也为正。OKEx的ETH基差（期货价格和现货价格之间的差额）接近于零，它在11月某个时候从1美元以上的正整数值下降。负基差表明市场出现抛售。大约在11月同一时间，交易所的未平仓合约也出现大幅下降。过去几天，OKEx整体多/空比率有所下降。该交易所排名前100位的交易员非常倾向于空头头寸（57%空头头寸，42%多头头寸)。因此，随着市场担忧的加剧，以太坊的卖空可能会进一步继续。BitMEX上以太坊永续合约的交易量数据显示，交易量支撑在当前水平以下逐渐减弱。在127-130美元的区域，需求可能会再次增加。若低于这些水平，人们担心市场可能会继续蔓延。（CoinGape）[2019/12/26]
漏洞的关键组成，由未鉴权的RPCAPI服务及解锁账户后有一定的免密码时间相结合，以下是解锁账户的unlockAccount函数：
动态 | 以太坊未确认交易30977笔:据Etherscan.io数据显示，以太坊未确认交易30977笔。当前挖矿难度2397.26 TH，交易处理能力4.9 TPS。截至目前以太坊全球均价为181.93美元，最近24小时涨幅为0.07%。[2019/10/13]
代码路径：go-ethereum/internal/jsre/deps/api.go
通过函数的实现代码可见，解锁账户的api允许传入超时时间，默认超时为300秒，
真正进行解锁的函数TimedUnlock实现如下：
代码路径：go-ethereum/accounts/keystore/keystore.go
当传入的超时大于0时，会发起一个协程进行超时处理，如果传入的超时时间为0，则是永久不会超时，账户一直处于解锁状态，直到节点进程退出。
以太坊峰会讨论区块链在供应链中的应用:5月11日至12日举办的以太坊峰会上，与会者讨论激烈，强调区块链在供应链中可能会带来的好处。虽然区块链在供应链管理方面的应用正被初创企业和科技巨头的全面测试，但在峰会期间，总部位于欧洲的供应链管理初创公司Viant则专注于金鱼。Viant联合创始人Kishore Atreya称，“那些吃寿司的人知道他们的鱼是从哪里来的。”他表示区块链能够解决食品溯源问题。[2018/5/14]
攻击手法揭秘
1.寻找对外开放以太坊RPC端口的服务器，确认节点已经达到以太坊网络的最高区块高度
黑客通过全球的端口服务扫描，发现RPC服务为以太坊的RPC接口时，调用eth_getBlockByNumber(‘last’,false)，获取最新的区块高度。
但是由于有些以太节点是以太坊的分叉币，高度与以太坊的不一样，因此黑客即使发现节点高度与以太坊的高度不一样，也不会放弃攻击。
2.调用eth_accounts，获取该节点上的所有账户。
eth_accounts的请求将返回一个账户地址列表：
3.调用eth_getBalance，查询地址余额。
这个过程黑客可在自己的服务器完成以太坊的余额查询，因为以太坊的区块链账本数据库是随意公开获取的。
有部分黑客没有搭建以太坊的全节点，没有自行查询余额，因此也会在被攻击服务器进行eth_getBalance操作。
4.持续调用转账操作，直到刚好用户用密码解锁了钱包，完成非法转账操作的“偷渡”
黑客会构造eth_sendTransaction的转账操作，并填写余额、固定的手续费：
用户使用钱包，输入密码解锁了钱包，此时钱包余额会立即被转走。
快速漏洞测试
安装python的web3库，然后连接RPC端口，发起请求，如果获取到返回结果，便可能存在该漏洞。
参考：http://web3py.readthedocs.io/en/stable/quickstart....
fromweb3importWeb3,HTTPProvider,IPCProvider
web3=Web3(HTTPProvider(‘http://ip:port’))
web3.eth.blockNumber
黑客解密及IOCs情报
黑客钱包
目前我们掌握了3个黑客的钱包收款地址，未转走的账户余额为2220万美金：
https://etherscan.io/address/0x957cD4Ff9b3894FC78b...，余额为38,076ETH，最早进账为2016-2-14，最新进账为2018-3-21
https://etherscan.io/address/0x96a5296eb1d8f8098d3...，余额为321ETH，最早进账为2016-8-10，最新进账为2017-11-28。
https://etherscan.io/address/0xdc3431d42c0bf108b44...，余额为330ETH，最早进账为2018-2-06，最新进账为2018-3-20。
黑客攻击源IP
146.0.249.87162.251.61.133190.2.133.11485.14.240.84
目前大部分的黑客使用https://github.com/regcostajr/go-web3进行频繁API请求，如果有看到大量user-agent为“Go-http-client/1.1”的POST请求时，请记录下请求内容，确认是否为恶意行为。
紧急响应及修复建议
1,、关闭对外暴露的RPC端口，如果必须暴露在互联网，请使用鉴权：https://tokenmarket.net/blog/protecting-ethereum-j...2、借助防火墙等网络防护软件，封堵黑客攻击源IP3、检查RPC日志、web接口日志，是否有异常大量的频繁请求，检查请求内容是否为eth_sendTransaction4、等待以太坊更新最新代码，使用修复了该漏洞的节点程序
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。