慢雾安全团队关于 ETC 51% 算力攻击的分析

北京时间 2019 年 01 月 06 日，我们据慢雾区伙伴情报及 BTI(区块链威胁情报)系统的异常情报分析在慢雾区预警了 ETC 网络的 51% 算力攻击的可能性。

次日，得到了  ETC 官方、 Coinbase 官方的回应和分析。

ETC 官方推特发布：

"Chinese blockchain security firm SlowMist sent out an alert that the Ethereum Classic (ETC) network might have been targeted by a 51% attack." Exclusive: One $ETC Private Pool Claimed over 51% Network Hashrate - Reported via @SlowMist_Team

Coinbase 官方博客发布：

Jan. 7, 10:27pm PT：Coinbase 官方已经确定了总共 15 次攻击，其中 12 次包含双花，共计 219,500 ETC（约 110 万美元）

2019 年 01 月 08 日收到消息，Gate.io 官方确认 ETC 网络 51% 算力攻击，共检测到 7 笔交易回滚。其中有四笔总计 54200 ETC 来自攻击者，这四笔交易的 txHash 为：

0xb5e074866653670f93e9fd2d5f414672df9f5c21baa12b83686e136444796338

0xee31dffb660484b60f66e74a51e020bc9d75311d246f4636c0eabb9fdf161577

0xb9a30cee4ff91e7c6234a0aa288091939482a623b6982a37836910bb18aca655

0x9ae83e6fc48f63162b54c8023c7a9a55d01b7085294fb4a6703783e76b1b492a

攻击者拥有和操纵的 ETC 钱包地址有：

0xb71d9CD39b68a08660dCd27B3EAE1c13C1267B10

0x3ccc8f7415e09bead930dc2b23617bd39ced2c06

0x090a4a238db45d9348cb89a356ca5aba89c75256

我们从 2019 年 01 月 06 日开始基于 BTI 系统、相关已披露情报及相关区块浏览器进行了持续的关注与跟踪：

跟踪发现，与恶意钱包地址 

0x3ccc8f7415e09bead930dc2b23617bd39ced2c06

第一次有交叉的地址是：

0x24FdD25367E4A7Ae25EEf779652D5F1b336E31da

在此地址基础上我们继续追踪，追踪到第一个时间点地址：

0x24fdd25367e4a7ae25eef779652d5f1b336e31da

时间：

2019-01-05 19:58:15 UTC

0x3f5CE5FBFe3E9af3971dD833D26bA9b5C936f0bE 是币安钱包地址：

也就是说：

攻击者从币安钱包提了大量的 ETC 到：

0x24fdd25367e4a7ae25eef779652d5f1b336e31da

然后，将币转入账户：

0x3ccc8f7415e09bead930dc2b23617bd39ced2c06

我们根据 AnChain.ai 提供给我们的独家情报：Bitrue 钱包地址是：

0x2c9a81a120d11a4c2db041d4ec377a4c6c401e69

由此我们追踪到攻击：

查询区块高度：7254355

区块：7254430

我们从区块上发现下图这笔原有的交易不存在了：

此时完成了对 Bitrue 的第一次 4000 ETC 的攻击。

剩下对 Bitrue 9000 ETC 的攻击也相同。

Bitrue 官方也在推特上确认：

我们继续向前追踪：

时间点：

2019-01-06 03:26:56 UTC

查询区块：

时间点：

2019-01-06 03:27:11 UTC

查询区块：

完成第一次对 0xD850560ccc2a5E50b5e678031ED2598713eb3E47 600 ETC 的攻击。

这与 Coinbase 博客发布的信息相同：

基于持续跟踪，我们发现，鉴于各个交易所对区块确认数的提高、对恶意钱包地址的封禁等措施下，攻击者对 ETC 的 51% 恶意攻击在 UTC 2019-01-08 04:30:17 (北京时间 2019-01-08 12:30:17 )之后已经停止。我们认为攻击者的每次大型攻击都是有足够的成本及风险考虑，其中涉及到攻击前及攻击过程需要花费的金钱及时间成本，攻击后洗钱的对抗追踪溯源成本。通过我们的情报分析，攻击者的身份，如果各家相关交易所愿意协助，是可以最终定位出来的。

同时，我们认为，鉴于近期区块链资金热度下降导致全网挖矿算力下降，大家已经切实感受到针对 ETC 51% 攻击的影响，可预见未来伴随攻击成本降低此类攻击将快速增多，我们在此特别建议对以下当前有获利空间的币种增加风控机制。

参考地址：https://www.crypto51.app（需要注意的是：这个网站的数据仅供参考，绝对不能草率代表真实攻击情况）

*备注：

Gate.io 钱包地址：

0x0d0707963952f2fba59dd06f2b425ace40b492fe

Gate.io 给出疑似攻击者所拥有和操纵的 ETC 钱包地址：

0xb71d9CD39b68a08660dCd27B3EAE1c13C1267B10

0x3ccc8f7415e09bead930dc2b23617bd39ced2c06

0x090a4a238db45d9348cb89a356ca5aba89c75256

Bitrue 钱包地址：

0x2c9a81a120d11a4c2db041d4ec377a4c6c401e69

涉及矿工或者大户：

http://gastracker.io/addr/0x090a4a238db45d9348cb89a356ca5aba89c75256

http://gastracker.io/addr/0x07ebd5b21636f089311b1ae720e3c7df026dfd72

我们已经第一时间将这些恶意钱包地址及恶意关联地址加入 BTI 系统的恶意钱包地址库并提供给合作伙伴，防止攻击者进一步攻击其他交易所。最后我们建议所有数字资产相关服务平台阻止来自以上恶意钱包地址的转账，并加强风控、保持高度关注，警惕随时可能再次爆发的双花攻击。

有任何问题可以和我们直接联系：

[e-mail]

*BTI( Blockchain Threat Intelligence ) 即区块链威胁情报系统，慢雾安全团队结合过往十多年的网络安全攻防实战经验及安全服务所覆盖的交易所、钱包、DApp 等全球顶级项目经验，通过整合链上链下的威胁情报，并通过社区伙伴的力量，构建一个链上链下安全治理一体化的联合防御体系。详情可点击阅读原文查看 BTI 更多内容：https://www.slowmist.com/bti.html

---

慢雾媒体平台

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

币乎

https://bihu.com/people/586104

知识星球

https://t.zsxq.com/Q3zNvvF