该博客文章重点介绍了新的白皮书《防止中心化加密货币交易所上的账户盗用》中的关键点，该白皮书记录了专门针对 CEX 的 ATO 相关攻击媒介和防御措施。文章讨论了攻击者如何利用 CEX 的安全漏洞盗取用户账户，并介绍了CEX应该采取哪些安全措施来保护用户账户和资金安全，包括加强技术安全机制、流程和文档。
这篇博文重点介绍了我们新的白皮书《防止中心化加密货币交易所上的账户接管》(https://resources.trailofbits.com/hubfs/Resources/trailofbits-20250205-account-takeover-recommended-practices.pdf)中的关键点，该白皮书记录了专门针对 CEX 的与 ATO 相关的攻击向量和防御措施。
想象一下，你尝试登录你的中心化加密货币交易所 (CEX) 帐户，但你的密码和用户名就是...不起作用。你再次尝试。同样的问题。此时你的心率略微加快，特别是由于你正在使用密码管理器。也许服务中断是唯一的原因（敲木头），并且你的密码会在修复后立即再次生效？但你越来越有可能成为帐户接管 (ATO) 的受害者。
CEX 的选择决定了使用它们的人如何（或是否）能够保护他们的资金。由于平台之间的帐户安全功能各不相同，并且并非总是记录在案，因此用户可能不知道该期望什么，也不知道如何为自己的个人威胁模型最佳地配置自己的帐户。像不支持 防网络钓鱼 的多因素身份验证（MFA）方法（如 U2F 硬件安全密钥），或者不跟踪用户事件以推送应用内“ 这是你吗？”帐户锁定提示等设计选择，都会邀请攻击者进入。
我们白皮书的目标是告知和使 CEX 能够为其用户提供安全设计平台。高管可以获得用户帐户接管中涉及的漏洞和实体的高级概述。我们建议一组重叠的安全控制措施，他们可以将这些措施带给团队负责人和技术产品经理，以检查并优先考虑（如果尚未实施）。安全工程师和软件工程师也可以将我们的工作作为参考，了解不集成、维护和记录适当的 ATO 缓解措施的风险。
帐户接管
当涉及到涉及加密货币的欺诈话题时，我们可能会想到 FTX 崩盘、勒索骗局、爱情骗局，或者可能是宣传“ 投资机会”的社交媒体帖子。ATO 是另一种常见的欺诈类型，由于安全故障而发生，即使像 CEX 这样为美国客户提供服务的金融机构 必须保护其用户的信息免受（除其他危害外）未经授权的访问。
在 ATO 中，攻击者获得对他人帐户的访问权限，然后通过更改访问凭据将合法的帐户所有者锁定在帐户之外。2023 年，Sift Q3 数字信任和安全指数披露了金融（包括加密货币）帐户接管报告同比增长 808%，而 Sift Q3 2024 指数报告称，自 2023 年以来，所有行业的 ATO 进一步 增加。
不仅 ATO 变得越来越普遍，而且并非所有平台都具有足够的日志记录和监控来检测 ATO 的发生并及时提醒用户。Sift 调查的受害者中，只有不到一半的人被告知发生了任何数据丢失或泄露。除了损害用户对平台的信任之外，如果用户没有得到快速和适当的通知（并且没有采取措施防止进一步未来的滥用），ATO 可能会给受害者带来高昂的代价。兰德公司 2016 年对消费者对数据泄露通知和个人信息丢失的态度进行的一项调查包括一个严峻的统计数据，如果其财务信息泄露，68% 的受访者遭受了864 美元的中位数财务损失1。
攻击者的策略和机会
攻击者可以通过多种途径获得对用户帐户的初始访问权限。在我们的白皮书中，我们涵盖了 CEX 平台必须积极防范的常见弱点。
例如，用户可能未能使用强密码和第二因素。也许攻击者可以暴力破解用户密码或通过网络钓鱼诱骗用户放弃其凭据。但另一方面，用户可能已经利用了 CEX 提供的所有可用安全功能。该平台可能根本没有提供适当实施的安全控制，而用户需要这些控制来确保其帐户和资金的安全。
假设该平台仅支持不太安全的第二因素选项，例如 SMS、移动身份验证器应用程序或电子邮件。如果用户将其 MFA 代码发送到其电子邮件帐户，则攻击者可以入侵该电子邮件帐户以辅助获得 CEX 帐户访问权限。或者，如果 SMS 设置为目标 CEX 帐户的第二身份验证因素，则攻击者可以 SIM 卡交换用户的手机以接收其第二因素代码。或者，如果 CEX 密码重置流程可被利用，则攻击者或许可以利用它来绕过需要用户第二因素才能实现 ATO 的情况。
避免可怕的结果
CEX（就像任何其他依赖它的服务一样）需要利用强大的、相互交织的技术安全机制、流程和文档来保护自己及其用户。ATO 不仅对帐户持有人的财务安全构成威胁，还会降低公众对相关 CEX 和更广泛的加密货币的信任。在 Trail of Bits，我们认为知识是我们抵御像 ATO 这样的威胁的最根本防御。我们的白皮书包括以下内容：
- 讨论常见的 ATO 攻击方法
- 帐户接管威胁场景中常见的系统参与者
- CEX 平台可以采取的可行步骤，以增强其系统的安全性并保护其用户
- CEX 可以向其最终用户提供的基本个人安全指南
在我们的完整白皮书中阅读更多内容。
想了解更多关于如何安全使用加密货币，或如何保护你的平台或 dapp 吗？我们很乐意提供帮助。
1 用户资金的损失也可能不是直接的结果。攻击者可能会利用 CEX 平台中的安全漏洞来泄露凭据或有效的会话Token进行出售。另一个攻击者可能会在暗网上购买凭据数据集或标识符，并尝试针对多个平台验证它们，然后再转售有效的条目。这可能会导致从初始帐户泄露到实际尝试使用被盗凭据购买东西或转移资金之间经过一段时间。
