比特币是当下最流行的数字货币。由于移动终端和超高速互联网的普及化，越来越多的用户开始使用移动终端上的比特币钱包。使用者可以在智能手机上下载和安装各种比特币钱包应用程序(如Coinbase、Leko、BitcoinWallet等)，并且他们的比特币钱包可以随时随地使用。但这些比特币手机应用程序并不一定安全，它们还会扩大新的攻击面。本研究探讨了10种最流行的比特币钱包应用程序应用程序的不安全性，并发现三个安全漏洞。使用这些工具，攻击者可以发起各种攻击，包括比特币去匿名，反射和放大垃圾信息，以及钱包欺诈攻击。为解决已发现的安全漏洞，该研究开发了BitcoinSecurityRectifier工具，以保护比特币钱包App用户的安全。所开发的工具不需要修改现有的钱包应用程序，并且满足比特币标准。
很多消费者和企业(例如Microsoft,NugoGG,Overstock,Sfateay,SeArcbucks)都接受比特币作为支付手段。随著超高速互联网的迅速发展和移动终端的普及化，越来越多的用户开始使用各种比特币钱包应用程序。是不是比特币钱包应用程序为攻击者创造了新的攻击媒介，从而对移动用户发动新的攻击？很遗憾，这篇论文得到了肯定的回答。该研究对10种最流行的比特币钱包应用程序(按下载次数排序)进行了研究，发现了三个安全漏洞，其中包括比特币钱包应用程序实现和运行服务。这篇文章发现，BitcoinJ这个已经被各种比特币钱包广泛使用的应用程序库泄露了比特币钱包用户的隐私(例如，所有用户的比特币地址)(漏洞V1)，并且不断在后台下载用户不想要的比特币交易(漏洞V2)，而没有任何通知或警报。另外，比特币钱包应用程序被发现可能违反了比特币钱包服务去中心化的原则，因为这些应用程序的用户更容易受到金融欺诈攻击。更加可怕的是，大多数用户都没有意识到这一点(漏洞V3)。
本研究利用这些漏洞，设计了三个针对用户的加密攻击：(1)比特币去匿名化攻击；(2)比特币垃圾信息反射放大攻击；(3)比特币钱包欺诈攻击。这一次攻击使得攻击者可以取消使用不真实的比特币地址来进行匿名攻击。这次攻击不仅能识别出比特币钱包App用户的所有地址，错误率很低(例如10^(-13)%，并且还能在满足某些使用条件的情况下发现应用程序用户的真实身份。另一种攻击方式是，攻击者使用中间公开的比特币网络元素(例如全节点客户端)，不加请求地连续向比特币钱包App用户发送垃圾信息。在这次攻击中，全球所有比特币用户产生的所有比特币交易都构成了垃圾信息流量。这种攻击成本很低；攻击者只需向比特币网络发送少量发起的信息包。试验中发现，放大系数(垃圾信息流大小与攻击发起包大小的比率)接近3,666。这次攻击从两个方面来攻击受害者：(1)使用手机网络服务时，受害者需要支付比特币垃圾信息的费用；(2)受害者的手机耗电96%以上，高于未受攻击的手机。第三次攻击显示了攻击者为什么能够超越其他金融移动程序攻击的限制，针对比特币钱包应用程序用户发起的各种比特币欺诈攻击，下表对本文的发现进行了总结。
还没有评论，来说两句吧...