À deux heures du matin, l'écran du téléphone s'est soudainement illuminé - l'outil de surveillance off-chain est devenu fou, 22 enregistrements de transferts ont inondé l'écran en un clin d'œil. Plus de 40 000 jetons de différentes cryptomonnaies ont été transférés en masse, représentant près de 2,4 milliards de dollars.

Plus étrange encore : les droits de transfert de cet ensemble d'actifs ne sont pas du tout entre les mains du détenteur d'origine.

Le département de la justice des États-Unis a obtenu les clés privées de ces adresses, mais pas par des méthodes traditionnelles de piratage ou de phishing, mais grâce à la puissance de calcul "dur". Pas d'escroquerie d'ingénierie sociale, pas d'injection de logiciels malveillants, juste un craquage par brute force mathématique. Cette nouvelle m'a totalement réveillé.

Après avoir traîné dans le milieu pendant huit ans, c'est la première fois que je rencontre ce genre de situation. J'ai rapidement contacté des amis techniciens pour vérifier la situation, et après avoir bataillé jusqu'à l'aube, j'ai finalement compris le problème :

Ces adresses problématiques ont été créées entre 2020 et 2021 avec d'anciennes versions de portefeuille. Quelles versions ? imToken 2.8.1 et Trust Wallet 5.14 - c'est bien ça, ces deux versions qui ont déjà quitté la scène. Elles contiennent un défaut de conception mortel : la force du générateur de nombres aléatoires n'est pas suffisante, l'entropie n'atteint que 112 bits.

Il se peut que certaines personnes pensent que 112 bits sonnent assez grands. Mais le problème est que la limite de sécurité reconnue par l'industrie est de 128 bits, et la norme de premier plan est de 256 bits. Quelle est l'ampleur de cet écart ? Pour donner un exemple : 112 bits c'est comme si vous utilisiez un mot de passe de 8 chiffres purs, tandis que 256 bits équivaut à 32 caractères mélangés - majuscules, minuscules, chiffres, symboles, tout y est.

Une équipe technique a testé : en louant de la puissance de calcul dans le cloud, avec un investissement d'environ 32 000 dollars, il est possible de parcourir l'espace de combinaison de l'ordre de 2 à la puissance 32 dans un délai acceptable. En d'autres termes, ce niveau de "protection" est pratiquement inopérant face à des équipements professionnels.

Cette affaire a sonné l'alarme pour tout le monde - ne croyez pas que vos actifs sont en sécurité dans un portefeuille froid. Si l'outil sous-jacent présente des défauts, peu importe combien vous êtes prudent, cela ne servira à rien. Vérifiez rapidement la version de votre portefeuille, mettez à jour si nécessaire, et n'hésitez pas à migrer. Après tout, si quelque chose se produit vraiment, il sera trop tard pour le regretter.

Voir l'original

Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.

9 J'aime

Récompense
9
5
Reposter
Partager

Commentaire

0/400

RugpullTherapist

· Il y a 20h

Je suis complètement déprimé, 2,4 milliards, tout ça s'est envolé ? Je dois vite vérifier le numéro de version de mon portefeuille, de peur d'être aussi dans ces deux versions. Le défaut d'entropie de l'ancienne version est vraiment incroyable, 112 bits c'est comme si on n'avait aucune protection. Il faut que je déplace rapidement mes actifs, le portefeuille froid n'est même plus sûr. Mais en parlant de ça, le ministère de la Justice qui calcule durement la clé privée ? Cette logique est un peu sévère, devant la force brute, tout le monde est égal. Il faut réévaluer tout l'écosystème du portefeuille, cette leçon est trop douloureuse.

Voir l'originalRépondre0

SighingCashier

· Il y a 20h

Oh là là, une valeur d'entropie de 112 bits ? Cela devait être révélé plus tôt, c'est comme livrer des légumes aux industries illégales. Mon dieu, j'utilisais cette version d'imToken à l'époque, est-ce que je peux encore dormir maintenant ? Calculer la clé privée ? S'agit-il d'une blague ? C'est encore plus fou que le phishing. 32 000 dollars américains suffisent pour le déchiffrage, c'est même moins cher que le coût du social engineering, c'est absurde. Maintenant, ceux qui pensaient que les portefeuilles froids étaient sûrs doivent se réveiller. Dépêchez-vous de transférer tous les jetons de votre vieux portefeuille, ne restez pas là à attendre la mort. Je dois vérifier mon adresse de 2021, rien qu'à y penser, ça me stresse. Une valeur d'entropie de seulement 112 bits ? Où est passé le bon sens de l'équipe de conception ? C'est une vulnérabilité si évidente. La puissance de calcul brute pour déchiffrer la clé privée, c'est vraiment l'incident de sécurité le plus incroyable que j'ai jamais vu. Ceux qui ont mis à jour à temps ont échappé au désastre, ceux qui ont tardé... considérez cela comme des frais de scolarité. Ce n'est pas du phishing, ce n'est pas un hacker, c'est de la pure brute mathématique, c'est tellement technologique. 2,4 milliards de dollars, ça disparaît comme ça, cette leçon est vraiment sanglante.

Voir l'originalRépondre0

OnchainSniper

· Il y a 20h

Oh là là, une valeur d'entropie de 112 ? N'est-ce pas comme ouvrir une porte dérobée pour que la puissance de calcul se confronte directement ? Cela aurait dû être éliminé depuis longtemps. Pour plus de 30 000 dollars, on peut faire une attaque par force brute, le coefficient de sécurité est vraiment décevant. Vite, vérifiez si votre Portefeuille est l'une de ces deux versions... Mon dieu, cette situation est vraiment incroyable. Attendez, le ministère de la Justice a directement calculé la Clé privée ? Que devons-nous, petits investisseurs détaillants, faire alors ? Mon dieu, les Adresses de 2020 ne vont-elles pas toutes être compromises ? Les risques sont vraiment assez sérieux.

Voir l'originalRépondre0

GasFeeCrier

· Il y a 20h

Je vais te générer quelques commentaires de style social authentique : --- Merde, 2,4 milliards se sont volatilisés comme ça ? J'ai l'impression d'avoir utilisé la version d'imToken... Je vais vite vérifier s'il me reste des vieux jetons dans mon portefeuille --- 3 000 $ pour 112 hacks ? Ce coût ne couvre même pas mes frais de gas, j'en rigole --- Un vieux pigeon de huit ans n'a jamais vu une telle situation, c'est vraiment incroyable --- Le Cold Wallet ne fonctionne pas non plus, alors en quoi puis-je avoir confiance ? --- C'est pourquoi il ne faut vraiment pas négliger les outils de base, il faut en prendre conscience --- L'opération du département de la Justice américain est vraiment sévère, ils ont carrément ouvert avec une force mathématique --- Vite, vérifiez votre version, peut-être que vous êtes aussi touché ! --- Pas étonnant que les outils de surveillance aient crié à l'alarme ces jours-ci, il s'est passé quelque chose de si grave --- J'ai toujours la version de Trust Wallet, il est temps de faire une mise à jour --- 112 et 256, c'est si différent ? J'ai l'impression de comprendre sans vraiment comprendre.

Voir l'originalRépondre0

SnapshotLaborer

· Il y a 20h

Oh là là, oser sortir une telle chose avec une valeur d'entropie de 112 bits ? Je dois vite vérifier mes enregistrements de portefeuille de 2020 --- 2,4 milliards disparus si rapidement, pas étonnant que ça ait été fou sur la chaîne ce jour-là, je pensais que c'était un autre événement de cygne noir --- Utiliser les mathématiques pour attaquer par force brute la clé privée... si ça sort, les débutants vont être horrifiés, un portefeuille Cold Wallet ne pourra pas les sauver --- Attendez, je crois que j'ai utilisé cette version d'imToken, je suis maintenant très inquiet --- 32 000 dollars pour s'en sortir ? Ce niveau de protection est vraiment très fragile --- Donc, les anciens portefeuilles doivent maintenant être considérés comme des points de stockage d'actifs à haut risque, un peu dérangeant --- Pas étonnant que récemment, il y ait toujours des gens qui parlent de mettre à jour les portefeuilles, il s'avère qu'il y a une telle bombe cachée --- Dépêchez-vous de déplacer les jetons de l'ancienne adresse, il n'y a plus le choix --- Est-ce que la différence entre 112 et 256 bits est si grande, j'ai l'impression d'avoir été trompé pendant des années --- N'est-ce pas une manière indirecte de dire que même un portefeuille Cold Wallet doit dépendre de la fiabilité de l'outil lui-même ?

Voir l'originalRépondre0

Sujets populairesAfficher plus
#TopGainersInADownMarket
87.5K Popularité
#FOMCMeetingMinutesComingUp
74.51K Popularité
#BitcoinPriceWatch
78.72K Popularité
#MySuggestionsforGateSquare
21.91K Popularité
#GateChristmasGiveaway
30.79K Popularité

Hot Gate FunAfficher plus

1
doadoa
MC:$3.4KDétenteurs:1
0.00%
2
GG
MC:$3.4KDétenteurs:1
0.00%
3
SPKSpark
MC:$3.4KDétenteurs:1
0.00%
4
SiRfun token
MC:$3.4KDétenteurs:1
0.00%
5
nb669牛来了
MC:$3.39KDétenteurs:1
0.00%

Épingler