XSS漏洞再藏交易所,黑客再次盯上行情区

货币
  • 蜂巢财经News
  • 2018-09-20 12:53

区块链的各类安全事故中,作为加密货币流通场所的数字资产交易平台一直是重灾区,API接口遭黑客攻击、用户账户被盗等安全事件频出。这一次,黑客盯上了展示行情的第三方组件。

昨日,多家区块链安全平台预警,一个第三方组件存在名为XSS 0day的漏洞。降维安全实验室预警时指明,该组件为TradingView,供交易平台展示行情使用。

公开信息显示,多家数字资产交易平台使用了该组件,包括币安、Bitfinex、火币Pro和Bithumb等这类大型知名平台。

慢雾科技预警称,该漏洞如被恶意利用,会导致数字货币交易所等平台的用户账号权限被盗、恶意操作等资产损失。

所幸,这一漏洞预警已被区块链安全平台下发给TradingView公司和涉及到的一些交易所。但安全人员透露,仍不乏影响力较大的交易平台轻视了该漏洞。

交易所行情展示组件藏漏洞

如果你多打开一些交易平台的行情页面,你就会发现,不少行情展示区的左下角都会显示,行情数据和表格来自TradingView。

据公开信息显示,TradingView本身是全球最大的图表技术分析交流社区,后来由TradingView公司开发成为行情展示第三方组件工具,不但大部分数字资产交易平台在使用,连证券和期货这些传统金融交易平台也是它的用户。

蜂巢财经查询后发现,在日交易量排名前十的交易所中,使用TradingView展示行情的包括币安、Bitfinex、火币和Bithumb等知名数字资产交易平台。

这一次,被区块链安全公司视作“高危漏洞”的XSS 0day就藏在这个与用户天天见面的工具里。而这一漏洞被定性为“高危”,经历近半个月的时间。

据慢雾科技消息,前后有两位白帽黑客反馈了XSS 0day漏洞。9月4日,第一位白帽黑客向慢雾科技反馈该漏洞,并把这个漏洞危害等级定义为“低危”。在相关交易所平台修复后,慢雾科技也没特别在意,直到9月18日,第二位白帽黑客和他们再次提及了这个漏洞后,他们开始对所有用户下发XSS漏洞预警。

“降维安全也在两个礼拜之前就关注到这个漏洞,并且通过内部通知流程,陆续通知合作方修复。”降维安全实验室的运营负责人孙越接受蜂巢财经采访表示,已经有白帽黑客在Github上向TradingView官方报送了此漏洞,目前所有使用该组件且没有针对存在漏洞的JS文件(JavaScript语言写就的文件)做修补操作的交易所,都存在这个漏洞。”

从事区块链技术开发的Frozen表示,XSS漏洞是一个跨域漏洞,一旦用户流量被劫持就十分危险,黑客将用户的JS文件替换成自己修改过的,就可以为所欲为。

慢雾科技和降维安全实验室都提到,XSS漏洞一旦被恶意利用,黑客便可以获得用户的登陆权限,恶意操纵将带来资产损失。

已出现用户账号被劫持情况

XSS漏洞如此严重,为何会长期存在于交易所的TradingView组件中?

对此,孙越解释,主要原因在于TradingView一直属于一个第三方前端框架,一般条件下,它的安全不太引人关注。但是一旦使用它的是需要保障高安全性的系统,存在漏洞就会造成巨大危害。

“目前我们并没有收到直接因为XSS攻击而造成财产损失的案例,但已经有多起因为这个漏洞而劫持用户账户并进行操作的情况发生。”孙越说,早期也有类似的漏洞发生,但是如此大范围的存在于数字货币交易所场景中还是第一次。

孙越强调,此次安全事件的责任方主要在TradingView公司,但交易所在选择第三方库时也应注意其安全性,需要及时关注官方的安全通告和第三方发布的安全预警。

目前已有部分交易所对此漏洞进行了修复,降维安全实验室也在第一时间紧急为其客户推送了修复方案,“但仍有不少交易所轻视这个问题,其中不乏有一些影响力较大的交易所。”对于具体包括哪些大交易所,孙越表示不方便透露。

使用TradingView的火币Pro更早时间发现了这一问题,相关人员告诉蜂巢财经,他们在8月份时就发现了该漏洞,已经进行修复。

用户要养成定期修改密码的习惯

但凡是计算机程序,都会存在BUG,区块链安全问题从来没有终极解决办法。对于如何防范类似安全事故发生,孙越认为,第三方公司、交易平台和用户应该各自为自己的产品、客户和资产安全保持警醒。

孙越说,TradingView公司在代码发布前应该尽量做完善的代码审计,避免这种低级错误再发生。

而交易平台要慎重选择第三方库,保持对第三方库安全事件的关注,同时要与安全公司有良好的沟通,及时了解这些信息。除此之外,交易平台安全机制的加强也可以一定程度上保护用户,缓解漏洞危害。

对于广大的交易平台的使用者,孙越提醒,用户应该选择那些积极进行漏洞修复的平台进行交易,养成良好的安全习惯,“定期修改密码,在离开交易平台网站后,应从交易所网站手动下线,必要时手动清空cookie,这也能在一定程度上缓解被黑客攻击的风险。”

区块链技术开发者Frozen也提示,用户不要轻易连接不明WiFi,不要轻易相信搜索引擎给的某些所谓官网链接,更不要轻易点开他人给的链接。

综合来源:蜂巢财经等,并经编辑适当修订。


来源:蜂巢财经News作者:摘编编辑:dapong

本文链接: https://www.dyqklw.com/article/20180920/537.html

声明:除非注明,本站文章均为第一区块链网原创或编译,转载时请注明文章作者和“来源:第一区块链网”,本站尊重行业规范,每篇文章都标有明确的作者和来源。文章为作者观点,不代表第一区块链网立场。

免责:阁下应知本网站的任何内容仅供参考,不能做为投资决策依据,投资有风险,入市须警慎!请谨防ICO、变相ICO!

相关文章

资讯

原创

荐读

热门标签