本文由CertiK供稿，授权金色财经首发。
北京时间12月14日晚5点40分，CertiK Skynet天网监控发现一笔来自Nexus Mutual创始者Hugh Karp账户的巨额交易，该交易转移共37万NXM代币到不明账户中。
CertiK安全验证团队迅速展开调查分析，认为该次交易是针对Hugh Karp账户的黑客攻击。
顺便给大家计算了一下
37万NXM=833万美金。
事件经过
整个攻击流程如下：
攻击者账户地址为：
0x09923e35f19687a524bbca7d42b92b6748534f25
首发 | 欧科云链推出“天眼方案”推动链上安全系统再升级:8月28日，区块链产业集团欧科云链宣布推出区块链“天眼方案”，主要通过链上数据追踪系统研发、对外技术支持、凝聚企业众力等途径，全面助力区块链安全提升和产业平稳健康发展。
据了解，在“天眼方案”下，欧科云链集团将打造链上数据追踪系统，通过溯源数字资产、监控非法交易等手段，全力遏制等非法行为；协助执法机关办案，并为打造法务等区块链系统提供技术支持；为联盟链和基于各类业务的链上数据提供区块链+大数据的解决方案。[2020/8/28]
部分攻击获得代币已经通过交易
0xfe2910c24e7bab5c96015fb1090aa52b4c0f80c5b5c685e4da1b85c5f648558a
动态 | 可信教育数字身份在广州白云区首发 采用区块链等技术:12月25日，可信教育数字身份(教育卡)广东省应用试点首发仪式与应用研讨在广州市白云区举行。
据介绍，可信教育数字身份融合采用国产密码、区块链等核心技术，创新签发“云计算、边缘计算、移动计算”网络环境下的一体化数字身份，实现一体化密钥管理，构建“可信教育身份链”。（中国新闻网）[2019/12/25]
在1inch.exchange进行交易。
攻击交易地址：
0x4ddcc21c6de13b3cf472c8d4cdafd80593e0fc286c67ea144a76dbeddb7f3629
首发 | 百度推动246家博物馆线上藏品上链:金色财经讯，近日，百度超级链联合百度百科，基于区块链技术创建 “文博艺术链”，推动百科博物馆计划中的246家博物馆线上藏品上链。基于“文博艺术链”，百度将与博物馆共同推动线上藏品版权的确权与维护，同时探索线上藏品版权数字化交易方式，为合作的博物馆提供更全面的服务和更多的权益。据介绍，此项目将分阶段进行，一期将完成线上藏品的入链确权，为每一件藏品生产专属的版权存证证书。让每一名用户可以在百度百科博物馆计划的PC端和WAP端的藏品页查看证书。后续，百度还将推动AI与区块链技术在文博领域的结合应用，用来保障上链数据与藏品相匹配，为后续进行藏品图像版权数字化交易奠定基础。[2019/1/30]
IMEOS首发 EOS Go公布新增两条复选条件 :据金色财经合作伙伴IMEOS报道：今日，EOS Go在 steemit上公布新增的两条复选条件为：
1. 保证安全的计划：候选节点是否在steemit上发布文章介绍该节点的安全方法和计划，“安全方法”标准是向EOS选民展示安全最佳实践知识和组织实施计划的机会；
2. 立场：描述该节点分享通胀奖励和/或向EOS代币持有人派发股息的立场（候选节点在steemit发布）。主要阐述以下两个问题：
该组织是否会出于任何原因向EOS令牌选民提供支付，包括BP选举和社区建议？
该组织是否有书面的无票付款政策？如果是这样，请提供一个链接。[2018/4/27]
图一：攻击交易细节截图
根据官方披露细节, 攻击者通过获得Hugh Karp个人计算机的远程控制后，对计算机上使用的Metamask插件进行修改, 并误导其签署图一中的交易——这笔交易最终将巨额代币转移到攻击者的账户中。
CertiK团队根据目前已有信息，推测Hugh在日常使用Metamask时，被攻击者修改后的插件生成了这笔巨额代币的转账请求，随后Hugh使用他的硬件钱包签名了这笔交易。
作为一个应用，浏览器插件和普通网站的前端组成是相似的，它们都由HTML和JavsScript搭建而成。浏览器插件的代码会存在用户的电脑中。
关于黑客是如何修改的Metamask插件的，CertiK团队做出以下猜测:
1. 黑客在获得了在Hugh Karp的个人电脑的控制权后，通过远程桌面打开浏览器，直接安装了修改过后的Metamask插件。
2. 黑客在Hugh Karp的个人电脑上找到了Metamask插件的安装路径, 对其中代码进行了修改, 在修改完成后，将修改后的插件加载到浏览器中。
3. 黑客利用浏览器自带的的命令行工具, 修改浏览器安装的插件。
官方披露的细节中提到了Hugh Karp使用的是硬件钱包, 但并未说明是哪款硬件钱包。
应是Trezor或者Ledger之一，因为Metamask只支持以上两个硬件钱包。
在使用硬件钱包的情况下，Metamask中的交易需要在硬件钱包中进行确认并使用存在硬件钱包中的私钥签名。
目前上面两款硬件钱包在硬件的确认交易时，硬件屏幕上都会显示转账接受地址，以供使用者进行最终确认。
此次攻击中，黑客应该无法修改硬件屏幕中交易确认界面显示的地址，由此推测Hugh Karp在硬件钱包上进行最终确认时，并未留意到交易的对象是黑客的地址。
图二：Ledger确认交易时的屏幕显示
来源: https://www.youtube.com/watch?v=9_rHPBQdQCw
区块链保险平台创始人账号被攻击，更是说明了保险的重要性。
高密度爆发的黑客事件是一个警示。
在区块链的网络世界中无论你是什么人，拥有怎样的角色身份，黑客不会因为你的侥幸心理就绕过你，安全事故造成的损失可能会发生在每个人身上。
而且就算使用硬件钱包，人也不可能一辈子百分之一百不犯错误。
CertiK安全验证团队根据此次攻击，提出如下安全建议：
1. 任何安全系统和操作环境不仅需要程序安全验证，更加需要专业的渗透测试来对整体产品安全进行验证。
2. 为了确保数字资产不因任何非技术原因遭受损失，项目方应及时为项目产品购买保险，增加项目方和投资者的安全保障方案，确保其因受到攻击所造成的损失可以被及时补偿。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。