网安信：IPFS领域的十大安全攻击威胁，早知道早防范 – 作者:网安信科技wax

目前，在全球范围内，区块链或数字货币领域大大小小的安全事故几乎每天都在发生，损失的资金总额已经无法估计。根据过去几年IPFS/Filecoin领域发生的安全事件进行分析，结合自身在IPFS/Filecoin领域的服务案例，网安信安全团队总结出了十种主要的IPFS/Filecoin安全风险，一起来了解下。

1、假充值攻击

假充值攻击是区块链或数字货币领域最常见的一种攻击方式，黑客利用链上逻辑错误或交易所链上链下对接的时间差，以及对充值提币的流程检验不够严谨实现错误入账。去年11月，国内某知名IPFS/Filecoin企业挖矿系统遭受假充值攻击，被恶意攻击者成功转出几十个FIL，虽然损失不大，但无疑给这家IPFS/Filecoin企业敲响了警钟。

2、女巫攻击

类似与DDOS攻击，就是模仿多种身份进行攻击，在IPFS/Filecoin中，女巫攻击就是攻击者利用n个身份，承诺会存储n份数据，但实际上只存储了小于n份的数据，却谎报自己存储了n份数据。这样将会严重影响IPFS/Filecoin的挖矿效率，甚至引发主网处罚机制，后果不堪设想。去年9月IPFS/Filecoin主网上线前夕的太空竞赛中，国内某头部IPFS/Filecoin企业遭受女巫攻击，直接导致企业参赛节点的存储效率低于90%，如果这样一直保持到竞赛结束，该参赛节点将没有任何排名。

3、内鬼监守自盗

区块链和数字货币企业内部人员利用企业内部安全流程的漏洞，监守自盗；或者在离开公司后利用流程和安全控制方面的漏洞发起攻击。在IPFS/Filecoin中已经发生多起类似事件，同样，在去年9月IPFS/Filecoin主网上线前夕的太空竞赛期间，国内某知名IPFS/Filecoin企业CTO因不满公司许多做法，私自将公司核心技术透露给竞争对手遭到破坏，导致该企业的竞赛成绩垫底，算力和存储效率双扑街，让该企业频临破产。

4、高级长期威胁

区块链或数字货币领领域的高级长期威胁一般是黑客在攻击之前对攻击对象的业务流程和目标系统进行精确的收集，主动挖掘被攻击对象的身份管理系统和应用程序漏洞，并利用电子邮件和其他钓鱼手段安装恶意软件潜伏等待成熟时机会，再利用0 day 漏洞或者交易所流程方面的漏洞进行攻击。国内某IPFS/Filecoin长期遭受外部恶意扫描和探测，引发网安信达尔文云WAF告警。

5、热钱包攻击

无论是区块链还是数字货币，热钱包都是用户存储数字资产的地方，由于里面有大量数字资产，往往是黑客攻击的主要目标。热钱包攻击一般是因为IT系统的漏洞、私钥泄露、企业内鬼等造成。网安信某区块链企业客户的一位商务经理利用职务之便，偷偷掌握了热钱包的最高权限，伪造身份轻松转走了价值35万元数字资产。

6、51%攻击

51%攻击，又被称为Majority attack。这种攻击是通过控制网络算力实现双花。如果攻击者控制了网络中50%以上的算力，那么在他控制算力的这段时间，他可以将区块逆转，进行反向交易，实现双花。对同一笔交易进行双重花费甚至回滚以往的历史交易。3月18日，IPFS/Filecoin网络就爆发了疑似“双花攻击”事件，有矿工反应在交易所充入FIL，双花操作后在体现，可以再收到一笔同样数量的FIL。后经证实，这是一起乌龙事件。

7、API漏洞攻击

区块链或数字货币行业一般都会通过各种公开的API接口来实现交互，包括充值、提币、查询、交易等等，如果API一旦管理不好，黑客利用API安全漏洞将能轻松盗取资金。3月18日IPFS/Filecoin网络双花乌龙事件虽然是虚惊一场，但就是因为Lotus API被错误使用所致，这也说明了区块链或数字货币领域的API漏洞很容易被黑客利用，同时也曝光了API管理的新问题。

8、不安全的文件处理

这种风险与文件的不安全处理有关系，黑客最擅长的就是将各种不安全的恶意代码隐藏在文件（图片、链接、文章）或邮件中，如果采用不安全的方式进行处理，就存在很大风险。国内某IPFS/Filecoin企业技术人员时常私自避开堡垒机，直接访问服务器，上传和下载文件；甚至在服务器上直接插上U盘，这些行为都属于不安全的文件处理，存在非常严重的安全隐患。

9、挂马攻击

黑客通过特殊手段将恶意木马程序上传到被攻击者服务器上并执行，占用大量服务器资源，导致服务器宕机，影响算力与破坏存储效率。今年2月中旬，国内某IPFS/Filecoin企业一台网关服务器因备份进程占用资源过大突然宕机，后经确认备份进程是伪装进程，实质是遭到黑客”定时任务”攻击，挂了一个严重的以太坊挖矿程序。

10、惩罚机制利用

惩罚机制是IPFS/Filecoin公链维持存储网络的安全性和稳定性而设定，如果IPFS/Filecoin企业出现任何恶意的不公平的挖矿行为，一经证实，就会遭受严重惩罚，轻则算力和质押币被清零，重则终生不得参与挖矿。因此，惩罚机制很容易被竞争者利用成为攻击你的利器。去年12月，国内某IPFS/Filecoin企业因内部技术人员操作不当，触发IPFS/Filecoin惩罚机制，导致某个节点上的600多T的算力被清零，损失惨重。

来源：freebuf.com 2021-04-16 14:41:14 by: 网安信科技wax