Эта статья была создана в партнерстве с Incapsula . Спасибо за поддержку партнеров, которые делают возможным использование SitePoint.
Рост биткойнов привлекает внимание хакеров, которые могут разбогатеть за один успешный рейд. Если биржи не используют DDoS-решения от таких компаний, как Incapsula , они являются уток для высококвалифицированных и мотивированных хакеров.
Где деньги
Уилли Саттон, пресловутый грабитель банков, спросил о том, почему он грабил банки, и Саттон ответил просто: «Потому что там деньги». Саттон умер в 1976 году, и если бы он грабил сегодня, это были бы не банки, потому что именно там деньги нет . Сегодня банки (физические) действительно имеют под рукой всего несколько тысяч долларов для небольших транзакций. Банки хранят деньги своих клиентов централизованно в цифровой форме в окружении уровней безопасности, что регулируется государственными и федеральными правилами и законами о соответствии.
В настоящее время филиалы банка имеют на руках всего несколько тысяч долларов для небольших транзакций. Банки хранят деньги своих клиентов централизованно в цифровой форме в окружении уровней безопасности, что регулируется государственными и федеральными правилами и законами о соответствии.
И даже при всей этой защите банки по-прежнему успешно грабят онлайн. Это не легко. Взлом банка, как правило, требует большого синдиката с глубокими карманами, такого как национальное государство. Банки не публикуют успешные атаки, потому что это плохо для бизнеса. Одно хорошо документированное нападение, которое произошло в 2015 году, было медленным кровотечением со стороны многих учреждений в более чем 30 странах.
Поскольку банки так хорошо защищены, следующей логической границей для хакеров, которые идут «туда, где деньги», являются обмены монет, которые управляют цифровыми валютами и бизнесом с помощью первоначальных предложений монет (ICO). Неважно, что финансовые эксперты, такие как Уоррен Баффет, называют криптовалюты схемами Понци, которые плохо кончатся , они чеканят миллионеров и миллиардеров. Биткойн, лайткойн, ethereum и десятки ICO взорвались с реальной ценностью, которую можно обменять на реальные товары и услуги. Когда биткойны прорвались сквозь крышу в 2018 году, Winklevosses стали миллиардерами, и 50 CENT превратились из грязи в богатство.
Ранние приверженцы были привлечены к биткойнам, чтобы не разбогатеть так сильно, как использовать их в качестве онлайновой валютной биржи при отсутствии центрального органа, управляющего онлайн транзакциями. Безопасная транзакция без регулирующего органа предоставила покупателям и продавцам ту же анонимность, что и оплата наличными в реальном мире. В реальном мире транзакция наличными может происходить без ведома, банка или чьего-либо ведома. Криптовалюта — это, по сути, наличные в Интернете.
Покойные приверженцы биткойнов тянутся к биткойнам, чтобы разбогатеть так же, как люди пытаются разбогатеть на свиных брюшках. Фьючерсы на биткойны начали торговаться в конце февраля 2018 года. Это предположение заставляет криптовалюту взвинчивать цену, о которой раньше никто не думал, что привлекает внимание хакеров.
Это было даже до февраля. В конце прошлого года рынок добычи полезных ископаемых NiceHash приостановил свою деятельность, в то время как сотрудничает с властями в связи с «профессиональной атакой». Взлом был «высокопрофессиональной атакой со сложной социальной инженерией», которая привела к краже около 4700 биткойнов. Mt. Gox был поражен в 2014 году.
Наличными король
Ограбить обмен монет намного проще, чем ограбить онлайн-банки, потому что хакерам не нужно постоянно запутывать свои действия, чтобы снять деньги. Криптовалюта обладает анонимностью, встроенной в хакеров, которым нужно только взламывать онлайн-кошельки и воровать цепочки цифр.
Ирония заключается в том, что без регулирующего органа или условного депонирования сила биткойна также является его слабостью. Так же, как сила наличных денег, так и ее слабость. Если ваш кошелек украден, вернуть его невозможно.
Находясь в сравнительно недостаточно защищенных доменах, биржи и являются новыми целями для хакеров, потому что они так же уязвимы, как и любой другой, для DDoS-атаки. Эли Фельдман из Incapsula отмечает , что, хотя технология цепочки блоков устойчива к злоупотреблению DDoS только благодаря своей распределенной природе, криптовалюты и первоначальные ICO монеты по-прежнему централизованы и уязвимы.
«Даже компаниям с основным бизнесом на блокчейне требуются веб-серверы», — пишет Фельдман. «Эти серверы не обязательно используются для веб-сайтов, доступ к которым осуществляется через браузеры. Их можно использовать для бизнес-транзакций, клиент-серверных API, API мобильных приложений и других приложений ».
смягчение
Любой бизнес, пытающийся использовать ICO или имеющий службы, управляющие криптовалютами, уязвим для хакеров, которые хорошо подготовлены к использованию любых уязвимостей. Например, в прошлом году Coindash провел мероприятие по генерации токенов, состоявшее из двух этапов. Первый этап был закрытым, когда пользователям из «белого списка» было предложено обменять CDT (CoinDash Token) на ETH. Это было 30 минут. Второй этап был открыт для публики, где любой мог сделать обмен. Но когда началась публичная фаза, злоумышленник переключил официальный адрес вклада на другой адрес. Это продолжалось в течение семи минут, когда 43 000 ETH были переправлены на вредоносный адрес.
Такого рода атаки можно было бы предотвратить с помощью брандмауэра веб-приложений (WAF), который мог бы поймать коммутатор намного раньше времени. WAF защищает не только сервис от атак из-за уязвимых мест, но и повышает доступность высокораспределенных сервисов. Это обеспечивает безопасность сервиса и освобождает множество ресурсов для сокращения сроков разработки.
DDoS
Без адекватной защиты сайт обмена монет также уязвим для различных атак DDoS. От атаки уровня 3 соглашения, которая полностью закрывает сайт, до атаки более дискретного уровня 7, которая только разрушает службу.
На первый взгляд, DDoS-атака была бы противоинтуитивной для успешной атаки, потому что если сервис не работает, то хакеры не смогут его использовать. Тем не менее, эксперты по смягчению DDoS-атак видят все большее число DDoS-атак по разным причинам. Одной из таких причин является отвлечение внимания. В сценарии, когда хакеры уже закрепились в сети неделями или месяцами ранее, атака DDoS свяжет ИТ-команду, у которой достаточно персонала, чтобы заметить или предотвратить кражу своих цифровых активов.
Например, в конце прошлого года обмен криптовалюты Bitfinex был захвачен двумя DDoS-атаками. Между атаками произошел «внезапный сбой», который, как сообщается, побудил некоторых трейдеров сообщить о серьезных убытках после того, как цены на криптовалюты NEO, OMG и ETP упали на целых 90 процентов.
Обмен монет и любой сайт, желающий создать CTO, который не включает стратегию смягчения DDoS-атак в свой профиль безопасности, подобный тому, который предоставляет Incapsula, приводят к провалу. Служба будет атакована. Это только вопрос того, когда.
Вилли Саттон преуспел бы как киберпреступник. Саттон был пионером социальной инженерии. Он оделся бы в качестве уборщика или доставщика, чтобы завоевать доверие владельца ювелирного магазина, прежде чем ограбить его. Позже Саттон сбежал из Восточной государственной тюрьмы, переодевшись в охранника, взобравшись по лестнице и перелезая через тюремную стену.