MaiCoin

MaiCoin是臺灣的一站式數字資產交易平臺，可立即將即時貨幣兌換轉換為比特幣和萊特幣，以實時提供最新的比特幣，萊特幣和以太幣價格。它提供電子錢包服務，傳輸，接收和存儲功能，安全方便，是臺灣最大的數字資產交易平臺。該平臺的傳播是為了反映當前的市場狀況和數字資產的全球流動性。除了為消費者提供使用比特幣的服務外，MaiCoin還為商家提供不同類型的收集工具。只要您申請商家帳戶，就可以使用適合您的業務類型的工具接受比特幣的全球貨幣支付，而不會有任何比特幣波動的風險。

交易所安全咨詢公司 曲速未來 消息：數天前，有監控系統檢測到重大盜幣事件，經過分析發現，疑似臺灣著名交易所MaiCoin被盜，損失金額高達5350ether，以現在的ether價格估算，折合新臺幣4800多萬。

在Ethereum的網絡生態環境中，一直存在著一大批惡意攻擊者，通過JSON-RPC端口漏洞進行盜幣。交易所安全咨詢公司 曲速未來 消息稱通過蜜罐系統捕獲了大量攻擊者錢包地址，在對這些惡意地址的監控中，發現臭名昭著的地址:0x957cD4Ff9b3894FC78b5134A8DC72b032fFbC464(后文簡稱0x957)

在北京時間2018/8/31 12:40:57時，連續大量轉入ether，總共59筆轉賬，總金額達5350 ether。所有轉賬transaction都打包在一個區塊中，區塊高度6244633。

可以看到攻擊者為了讓交易盡快打包，Gas Price設置非常高，為189 Gwei，同區塊其他交易平均Gas Price為3Gwei左右，攻擊者多付了60倍的礦工費用，這樣能確保礦工優先打包這些盜幣轉賬，不過即使這樣，每筆轉賬實際手續費也才1.15美金，相對攻擊者收益來講是九牛一毛。0x957是著名的利用JSON-RPC接口進行盜幣的地址，不僅盜取ether，同時基于Ethereum的ERC20 token也在其狩獵范圍之內。截止目前，該地址已經盜取44000多個ether，以及數量眾多的ERC20 token，估算總價值超過1億人民幣。該地址擁有者同時還掌握一定礦池算力，專門打包Gas Price設置為0的盜幣交易，用于盜取賬戶中無ether余額的ERC20 token。

從本次盜幣行為來看，每筆交易轉賬ether金額為100（扣除交易費用，實際到賬剛好99.996031），所有59筆轉賬被打包進一個區塊中，側面實證這些轉賬是由程序發起的，人工操作無法在20秒（Ethereum區塊出塊間隔時間10-20s）之內完成59筆轉賬操作。另外，攻擊者轉賬59次才將所有余額轉走，而不是一次性轉走所有余額，表明攻擊者并沒有拿到實際的錢包keystore文件。以上種種跡象表明，本次盜幣應該還是利用的JSON-RPC接口。攻擊者為了獲取最大的利益，并沒有將所有余額一次性進行轉賬盜取，因為若錢包擁有者同時也在轉賬，可能就會導致余額不足，而攻擊者的盜幣轉賬行為就會失敗。攻擊者采取了每次轉賬盜取數額限制，每次最大轉出100 ether，而當被攻擊的錢包余額小于100 ether時，則每次轉賬10 ether，這樣的模式明顯是攻擊者在進行長期的盜幣攻擊實踐中，所優化出來的的盜幣轉賬方案，可以判斷這是一個進行長期攻擊并專精于此道的攻擊者。

有監控到異常事件后，就第一時間對被盜地址進行調查，最終發現被盜地址屬于臺灣著名交易所MaiCoin。多名用戶曾在臺灣“批踢踢實業坊”論壇中提及0xc3d9c17d7f6988c0fe7ebe929c47efccbd92be13地址是MaiCoin的熱錢包，這也證實了調查結果。

然而在對MaiCoin的調查中發現，MaiCoin并未對外宣布錢包被盜一事，僅發布公告說由于系統架構升級，更新所有用戶的以太坊充值地址。公告未提及其他虛擬貨幣如BTC、LTC錢包需要升級，說明其他幣種錢包并未被盜。交易所這一做法應該是為了保全平臺信譽，選擇暗地里全額補償用戶損失，這對用戶來講無疑算是一個好消息，相比之前被盜跑路的Mt.Gox和要求用戶承擔一定損失的Bitfinex，MaiCoin算是一個良心區塊鏈交易所。

常見JSON-RPC被盜事件中，錢包主人在解鎖錢包后，發起正常交易，然后攻擊者也同時發起了盜幣交易，此時會看到有多筆交易轉向不同錢包地址，這是這種盜幣方式的特點之一。但在本次事件中并未發現這一特點，也就是說錢包解鎖后并未發起正常交易；另外還有一種可能就是MaiCoin的熱錢包為了方便用戶提款，本身是無限期解鎖狀態，只是本身對外網絡隔離，外網無法訪問到錢包的RPC接口，由于網絡管理員或其他人員誤操作導致錢包RPC接口被暴露在公網，從而發生了這一悲劇。

如果本次盜幣交易真如分析中所說的是由JSON-RPC接口導致的，那么交易所更換用戶ether充值地址是沒辦法解決這個問題的，意味著MaiCoin依然存在風險。另外這是不是也意味著MaiCoin到現在也并未調查清楚他們的錢包是如何被盜的？

區塊鏈技術帶來了金融等行業的革新，但整個行業的安全仍處于剛剛起步的階段，由于其天生匿名性引來了無數的惡意攻擊者潛伏其中，稍有不慎就會引發極大的經濟損失。對此，交易所安全咨詢公司 曲速未來 圍繞區塊鏈提供全方位的安全服務，包含主鏈安全、交易所安全、交易所錢包安全、DAPP開發安全、智能合約開發安全等相關區塊鏈安全咨詢服務等，旨在為區塊鏈生態提供最全面、最有深度的安全解決方案。