有天，你在支付宝操作转账时，弹窗提示你因版本过低而导致转账失败。
如果弹窗内不仅仅提示你交易失败，还附上支付宝更新链接，大部分人可能都会顺手点击链接进行更新。如果这个链接是个钓鱼链接，直接获取了你的转账权限，那么代表你账户内的钱也会被无情转移。这次，就有一个用户遭遇了类似的情况。
金色财经合约行情分析 | 资金费率保持高水平，多头情绪仍浓:据火币BTC永续合约行情显示，截至今日18:00（GMT+8），BTC价格暂报11264美元（+1.11%），20:00（GMT+8）结算资金费率为0.049301%。
BTC昨晚震荡上涨至11500美元，随后下跌至11200美元处获得支撑。根据火币交割合约数据，BTC当季合约成交额较昨日继续减少，持仓量出现小幅增长，精英多头占比稳定，当季合约保持较大幅度的正溢价。BTC目前在112000美元上方做窄幅盘整，部分币种出现了前日大跌的大幅度价格修复，其中LINK创下新高。市场整体多头情绪仍然浓厚。
USDT于火币全球站OTC的报价为6.95元，溢价率为-0.55%。[2020/8/4]
金色财经合约行情分析 | BTC下午放量上涨，市场情绪有所激活:据火币BTC永续合约行情显示，截至今日18:00（GMT+8），BTC价格暂报9315美元（+1.38%），20:00（GMT+8）结算资金费率为0.010000%。
BTC在今日下午3点放量上涨，短时从9200美元迅速突破9300美元，市场主流币整体上涨。根据火币交割合约数据，BTC当季合约成交额较昨日增加，持仓量随着价格上涨迅速上升，精英多头占比增加，当季合约溢价增加。BTC目前在9350美元上方整理，市场在沉寂良久后情绪得到一定激活。
USDT于火币全球站OTC的报价为6.95元，溢价率为-0.58%。[2020/7/21]
北京时间8月31日，CertiK天网系统(Skynet)检测到，Github用户“1400BitcoinStolen”1400枚比特币被盗事件的代币，已开始被输送到多个不同的地址当中。受害者在electrum的Githubissue中讲述了自己丢失了1400个比特币并贴出了自己的比特币钱包地址.
金色财经合约行情分析 | BTC小幅回调 市场多空博弈将加剧:据火币BTC永续合约行情显示，截至今日16:00（GMT+8），BTC价格暂报9607美元（-2.26%），20:00（GMT+8）结算资金费率为0.033470%。
昨日晚BTC缩量再次向上测试一万美元大关后开始回调，最低到9550美元一带，目前在9600上方盘整。根据火币交割合约数据，BTC季度合约成交额大幅降低，持仓量大涨近12%，精英多头占比小幅下降，季度合约升水增加。随着在BTC一万美元位置下的震荡，市场上多空博弈将加剧，市场整体结构在交易量和持仓变化出现了一些异动，投资者需注意控制风险。[2020/5/9]
港股收盘：欧科云链收涨0.50% 火币科技收跌3.47%:今日港股收盘，恒生指数收盘报25486.22点，收跌0.26%；欧科集团旗下欧科云链（01499.HK）报0.203港元，收涨0.50%；火币科技（01611.HK）报4.170港元，收跌3.47%。[2020/8/25]
在区块链浏览器(参考链接3)中可以看到8月30日一共1404枚BTC从他的钱包中被取出，存入了黑客的钱包中。
事件还原与分析
该用户使用的是Electrum比特币钱包，上次使用是在2017年。此后Electrum已经发布了安全更新，但该用户一直没有安装。用户在使用Electrum进行交易时，钱包会向服务器广播一笔交易，如果这笔交易出现了问题，服务器将返回错误信息并以弹窗的形式展现给用户。3.3.2版本之前的Electrum钱包不会对服务器返回的错误信息进行验证，甚至还会对返回的信息进行html渲染。值得一提的是，任何人都可以去搭建一个Electrum节点服务器。如果一个用户连接到了攻击者的服务器并发起了一笔交易，服务器可以返回任何设计好的错误信息。比如返回一个让用户去更新Electrum钱包的错误信息，如下图所示。
然而，图中的链接指向了攻击者自己写的恶意软件，一旦用户下载安装该软件并把自己的钱包导入其中，钱包里所有的比特币就会被攻击者转走。这其实本质上是一种钓鱼攻击，但由于攻击者发出的钓鱼信息是通过Electrum官方钱包展示出来的，很多人都会信以为真。在本次事件中，受害者的钱包连接上了攻击者所控制的服务器，导致其收到了服务器发出的钓鱼信息，进而被攻击者转走了自己的所有比特币。Electrum钱包存在的该问题早在2018年底就引起了广泛讨论(参考链接4)。Electrum官方在2019年，钱包版本3.3.4中对该问题进行了修复，后续版本的Electrum钱包不再会将服务器返回的内容直接展示给用户，也不会对其进行html渲染。此外，由于旧版本的钱包仍然存在这个问题，因此所有的正常的服务器会对3.3版本之前的钱包进行拒绝服务攻击，以强制用户进行更新。CertiK安全团队建议
用户在使用钱包进行交易的时候，需确保钱包为最新版本，已防旧版本的钱包可能存在可被黑客利用的漏洞。用户在下载钱包更新的时候要注意验证下载URL是否与官方一致，在下载完成后要对钱包的签名进行验证。对于钱包开发团队，需要寻找专业团队做好测试工作，以免项目出现漏洞给用户带来损失。参考链接：1.https://github.com/spesmilo/electrum/issues/50722.https://zhuanlan.zhihu.com/p/539206883.https://www.blockchain.com/4.https://github.com/spesmilo/electrum/issues/49685.http://twitter.com/electrumwallet/status/1106479573917724672
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。