比特派这个产品, 它是一款去中心化的数字资产钱包, 用户如果想要确保资产的绝对安全就必须要完全依靠自己来进行管理, 然而实际上已经发生了多起的资金被盗事件, 这些事件暴露出了在安全性方面存在的一系列问题, 就是存在了若干可以被不法分子所利用的漏洞。
最经常发生的情况, 就是这种类型的攻击路径。也就是恶意插件注入。这是最常见的路径。攻击者的做法是, 把假的浏览器扩展程序藏起来。这些扩展程序会伪装成所谓的行情看板模样。
他们会通过这种方式来诱骗用户执行安装动作。一旦安装完成并且加载成功之后, 这个过程就会立即读取钱包内存里面所存储着的助记词内容片段。接着就会把这些零碎的内容拼凑在一块儿。最后的目的就是为了得到完整的私钥信息。
还有另一种办法是钓鱼签名, 弹窗把正常的操作改成显示所谓“授权小额Gas费”的字样, 但实际上它请求的是让你把全部资产转出的权限, 用户看到界面上显示的金额只有0.001, 就以为没什么风险于是点击了确认按钮, 结果自己的资产就被别人迅速全部转走了。
防护的核心部分就是那个被称为最小权限原则的东西, 这个原则要求只给合约安排那些真正必要的额度。在用户进行签名操作之前, 必须要去仔细核对转账的目标地址是否正确。
扩展组件应当只从官方的正规渠道中去获取和安装。对于数额比较大的资产, 必须使用硬件钱包这种方式来进行隔离保护, 绝对不可以把它们存放在平时经常使用的软件钱包里面。