距离上次的Cashaa的“攻击”事件已经过去了一周左右，Cashaa创始人兼首席执行官披露了被盗事件更多细节，下文中将进行详细叙述。
事件回顾
7月11日北京时间凌晨8点10分，CertiK天网系统(Skynet)检查到在比特币区块638606和638692处Cashaa交易所发生交易异常，安全研究员迅速介入调查，详细研究了攻击者针对Cashaa交易所拥有的比特币钱包发动两次攻击过程。
随后，CertiK于第一时间在金色财经等媒体上发布了相关新闻和消息。
第一次攻击发生于7月10日北京时间晚6点57分，受害者Cashaa的比特币钱包之一
1Jt9mebBwqCk8ijrVDoT5aySu2q9zpeKde被盗用并向攻击者账户
加州消费者联合会再次提出旨在许可和规范加密交易活动的《数字金融资产法》:金色财经报道，非营利性倡导组织加州消费者联合会（CFC）在加利福尼亚州立法机关再次提出旨在许可和规范加密货币交易活动的法案《数字金融资产法》。
该法案由美国加州众议员Timothy Grayson于2022年提出，但被加州州长否决。CFC表示议会将在4月开始对该法案进行首次听证会。如果获得通过，该法案将于2025年1月1日成为法律，禁止公民在“满足某些标准”之前从事加密业务，监管机构将在加州金融保护和创新部授权加密公司，确保监管清晰和投资者保护问题。[2023/2/13 12:03:07]
14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek转移了1.05977049个BTC。攻击者通过某种方式入侵受害者电脑，受害者在Blockchain.info上的比特币钱包被盗，并向攻击者账户转移了BTC。第二次攻击发生于7月11日北京时间凌晨8点10分，受害者Cashaa的总计8个比特币钱包，共计335.91312085个比特币被攻击者通过同样的手段转移到同一个14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek地址中。
《数据安全法》经全国人大常委会表决通过:6月10日，十三届全国人大常委会第二十九次会议表决通过《中华人民共和国数据安全法》。《中华人民共和国数据安全法》的表决通过，是我国在数据领域的基础性法律的重大成果。法案确立了数据分类分级管理，数据安全风险评估、监测预警、应急处置，数据安全审查等基本制度，明确相关主体的数据安全保护义务，通过建立健全各项制度措施，进一步提升国家数据安全保障能力。[2021/6/11 23:29:36]
官方声明及解析
根据Cashaa对该事件的官方声明，这起攻击发生的过程是攻击者渗透攻击进入“CashaaIndiaOver-the-counter”雇员的电脑，操纵电脑从而盗取了受害者账户的所有资金。印度东德里的一位OTC交易经理与7月10日发生首次攻击有关。早在7月8日，该雇员报告过公司提供给他的机器存在故障，因此他请求通过使用自己的个人电脑来进行操作。为了保证用户体验，一向不允许使用个人电脑的Cashaa经管理层决议同意了这个请求。
中央财经大学发布《数字金融蓝皮书》：区块链将逐渐融入金融机构核心业务:中央财经大学中国互联网经济研究院及社会科学文献出版社共同发布《数字金融蓝皮书：中国数字金融创新发展报告（2021）》。蓝皮书指出，区块链技术可以在保证安全的前提下简化金融机构的操作流程，提升经济服务的效率，实现与更多实体经济的深度融合。区块链技术将逐渐融入金融机构的核心业务之中。蓝皮书提到，区块链在数字金融领域的相互保险、供应链金融、资产管理、跨境支付、银行征信等方面都有较好的场景实现。此外，蓝皮书还提到，区块链的本质就是去中心化，传统层层递进的监管机构造成了信息传递复杂化，也使业务进度缓慢，而完全去中心化使传统监管机构所有专业人才失去作用，信息完全链上化导致链上链下信息不一定一致。
蓝皮书指出，区块链为金融机构数字化转型提供技术保障，也帮助各企业、机构在联系和合作中发挥各自优势，形成实现数据信息价值最大化的共赢模式。区块链技术将是金融机构突破行业限定的机会，借助区块链技术提升竞争力实现金融机构与实体经济的信息融合，实现数字化转型是金融机构可持续发展的核心思路。[2021/6/7 23:17:30]
Cashaa官方声明中称，攻击者是通过被攻击电脑中浏览器的活动进程来控制的该电脑。现在被确认的攻击方式有phishing，病以及其他攻击方式，但是官方并没有确认最终的攻击手段。被盗取的比特币被转移到14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek地址后，被最终转移到多个钱包地址中。Cashaa接到该雇员的事故报告后，立刻开启了内部调查，并向德里数字犯罪署进行了报告，报告编号为20807200031555。
《数字金融消费者权益保护实践与探索》正式发布:12月24日，中国互联网金融协会举行研讨会，发布《数字金融消费者权益保护实践与探索》一书。
该书提出，在经济金融数字化转型按下快捷键的时代背景下，加强数字金融消费者权益保护工作，是贯彻落实以人民为中心发展思想的必然要求，是促进数字金融行业规范健康可持续发展的迫切需要，对建设现代化金融体系、维护金融安全与稳定、促进金融公平与包容性增长具有重要的现实意义（中新网）[2020/12/25 16:27:37]
与此同时，Cashaa也向其社区以及相关数字货币交易所进行了相关报告，共享了黑客的比特币钱包地址。其中，Cashaa告知了所有主要交易所，包括WazirX，Binance，CoinDCX和Bitbns，并敦促他们监测与此地址相关联的所有交易。在攻击事件发生后，被攻击的电脑已经被封存当做调查物证，涉事雇员也暂时被停职，直至调查结束。
事件发生后，Cashaa也召开了董事会进行商议，但到目前为止，并没有官方宣布如何进行赔偿。预计官方会于7月底公布所有细节，包括攻击方法和赔偿方式。届时CertiK将会继续跟踪分析该起事件。
社区支持
ZebPay，WazirX，CoinDCX及Bitbns等交易所的高层管理人员均已在Twitter上发表了对Cashaa给予支持的推文，并表示他们将采取一切必要的预防措施，以确保这些资金在他们力所能及的范围内不流动。
社区中有人传言该起事件是内部雇员所为，针对该问题，Cashaa根据对该起事件进行调查的数字犯罪调查公司的反馈，认为本起事件并不应该为内部雇员所为。目前由于调查并未结束，因此尚不能对攻击事件下定论。攻击事件发生后，Cashaa宣布将会与Anti-MoneyLaundering企业合作，定制专属链上AML工具，帮助减少数字货币犯罪。
防范建议
交易环境复杂的操作系统、浏览器、网络环境都将使交易存在很大的安全隐患。目前国内大部分基于手机平台的钱包，都可以被攻击。
通过导出钱包固件，不仅可以看到多个币种的缓存信息，还可以找到生成助记词的各种库。很多开发团队在以业务优先的原则下，对自身钱包产品的安全性并未同等重视。
一旦出现了安全性问题，将会导致大量用户出现账户货币被盗。资产一旦被盗，将会无法挂失，并且很难被追回。
CertiK团队总结了以下几点建议：
数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。当然，由于员工安全意识薄弱带来的一些安全隐患也不能排除，而往往这方面是人们最难察觉到并且最容易忽略的。
攻击者对于将要采取的攻击方式经常会进行测试后再进行大规模采用进行攻击。因此需要重视对于潜在攻击方式的检测和监视，不要多次受到同一方式的攻击。
加强数字货币账户安全保护方法，使用物理加密的离线冷存储来保存重要数字货币。许多最著名的交易所都利用硬件钱包或硬件安全模块来存储和处理所管理的加密资产。虽然没有一个系统可以具有100％的安全性，但这样的系统被破坏的概率更低。
聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。
比如CertiK团队，会模拟真实环境中黑客攻击的方式来攻击系统中最薄弱的部分，以找到系统的漏洞和薄弱环节。入侵一个系统的突破口可能是在Web应用中的远程代码执行漏洞，可能是服务器上运行的旧版软件，也可能一位员工无意中执行了测试团队发送的钓鱼邮件中的后门程序。
而在CertiK专业的检测过程中，将会对包括系统架构以及员工等所有可能被攻击的环节进行逐一排查和测试，让那即便只剩下0.00000000000001%被攻击的可能性都不复存在。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。