数字货币交易所安全事件频发，10大安全风险你了解多少？：数字货币交易所安全事件频

【数字货币交易所安全事件频发，10大安全风险你了解多少？】原标题：数字货币交易所安全事件频发， 10大安全风险你了解多少？

文章图片
1高级长期威胁
（APT：AdvancedPersistentThreat）
风险描述：高级长期威胁（英语：AdvancedPersistentThreat ，缩写：APT），又称高级持续性威胁、先进持续性威胁等，是指隐匿而持久的电脑入侵过程，通常由某些人员精心策划，针对特定的目标。其通常是出于商业或政治动机，针对特定组织或国家，并要求在长时间内保持高隐蔽性。高级长期威胁包含三个要素：高级、长期、威胁。高级强调的是使用复杂精密的恶意软件及技术以利用系统中的漏洞。长期暗指某个外部力量会持续监控特定目标，并从其获取数据。威胁则指人为参与策划的攻击。数字货币交易所的高级长期威胁一般是黑客在攻击之前对攻击对象的业务流程和目标系统进行精确的收集。在此收集的过程中，此攻击会主动挖掘被攻击对象身份管理系统和应用程序的漏洞，并利用电子邮件和其他钓鱼手段安装恶意软件潜伏等待成熟时机会，再利用0day漏洞或者交易所流程方面的漏洞进行攻击。比较著名的针对数字货币交易所的APT黑客团队包括CryptoCore（也被称呼为：Crypto-gang” ， “DangerousPassword”,“LeeryTurtle”大概成功盗取2亿美金）和Lazarus（大概盗取5亿美金）。
2分布式拒绝服务
（DDOS）
风险描述：分布式拒绝服务攻击DDoS是一种基于拒绝服务攻击（DoS）的特殊形式。是一种分布的、协同的大规模攻击方式。单一的DoS攻击一般是采用一对一方式的，它利用网络协议和操作系统的一些缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。与DoS攻击由单台主机发起攻击相比较，分布式拒绝服务攻击DDoS是借助数百、甚至数千台被入侵后安装了攻击进程的主机同时发起的集团行为。数字货币交易所经常受到DDOS攻击。
3内鬼监守自盗
（InsiderAttack）
风险描述：交易所内部人员利用公司内部安全流程的漏洞，监守自盗；或者在离开交易所以后利用流程和安全控制方面的漏洞发起攻击。
4API安全风险问题
风险描述：交易所一般都会公开订单查询、余额查询、市场价格交易、限价交易等等API 。 API的安全如果没有管理好，黑客可以利用API安全漏洞盗取资金。一般可能的API安全漏洞如下：
（1）没有身份验证的API
API必须有身份验证和授权机制。符合行业标准的身份验证和授权机制（例如OAuth/OpenIDConnect）以及传输层安全性（TLS）至关重要。
（2）代码注入
这种威胁有多种形式，但最典型的是SQL ， RegEx和XML注入。在设计API时应了解这些威胁并为避免这些威胁而做出了努力，部署API后应进行持续的监控，以确认没有对生产环境造成任何漏洞。
（3）未加密的数据
仅仅依靠HTTPS或者TLS对于API的数据参数进行加密可能不够。对于个人隐私数据和资金有关的数据，有必要增加其他在应用层面的安全，比如DataMasking ， DataTokenization,XMLEncryption等等。
（4）URI中的数据
如果API密钥作为URI的一部分进行传输，则可能会受到黑客攻击。当URI详细信息出现在浏览器或系统日志中时，攻击者可能会访问包括API密钥和用户的敏感数据。最佳实践是将API密钥作为消息授权标头（MessageAuthorizationHeader）发送，因为这样做可以避免网关进行日志记录。
（5）APIToken和APISecret没有保护好
如果黑客能够获得客户甚至超级用户的APIToken和APISecret ，资金的安全就成为问题。
没有对于API的使用进行有效的检测，黑客可能利用API进行多账户、多笔的转账。 API的实时安全检测如果不能判断这种攻击，就会有损失。
5假充值问题
（FalseTop-up）
风险描述：假充值是指链上逻辑错误或交易所链上链下对接的时候，对交易的检验不够严谨导致的错误入账的问题。
6交易所热钱包存储过多资金，成为黑客目标
风险描述：交易所热钱包存储过多资金，成为黑客目标，这个风险与交易所热钱包有关的IT系统的漏洞、采用不安全的存储方式对私钥进行存储、安全意识较低有关。黑客采用包括但不限于以下的方式进行攻击：