1. 首页
  2. 资讯

imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?

         imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?

出品/Blockeye
文编/宝藏女孩、菜头小子

imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?

提到imtoken丢币问题,还得从八月份的 DEX 说起,圈内人也应该都知道imToken DEX其实在8月18日之前, 几乎是没有多少用户在使用的;但是也不知道为什么,8月18日之后,imToken的数据却呈现了异常的暴增状态。恐怕能在币圈靠短时间内暴增的交易所,扳着手数也找不到一家。

而imToken做到了,还宣传自身用户量暴增424%,并且一举成为了以太坊 DEX 排行榜的第一名;其还并进行了大量的宣传报道。

但根据比特派对 imtoken DEX 区块链上的交易记录的检索,认为imtoken DEX 中99%的日活和大部分交易量都是假的。比特派创始人兼CEO文浩笑称:他们造假挺简单的,甚至连道弯儿也没拐。 
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
为了求证imtoken 是否作假交易的数据,区块天眼也特地跑去询问了圈内比较知名的安全公司,证实如果相关数据信息一旦经过自己的服务器,储存是肯定的,即使不储存,相关公司也能在网络请求过程中拦截且查看用户信息。
 
也就是说imtoken 的安全性很可能是存在漏洞或作假的,但还需大家与小编一同锊一下以下消息的真实性~

01
imtoken搬砖套利

据全球数字资产安全追踪平台CoinHunter反馈,前段时间有用户提交丢币事件反馈称遭受imtoken“交易回滚”诈骗。
 
且钓鱼账号创建假的imtoken官方电报群并充当官方技术人员身份,引导“搬砖套利”被骗用户在指定网站输入私钥进行所谓“交易回滚”操作进行二次诈骗。
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
目前该电报群内人数已达68000人,已有诸多用户遭遇“搬砖套利”及“交易回滚”诈骗。而该问题也恰恰反映了imtoken对于用户的信息存在监守自盗,利用用户的信息进行无耻的诈骗割韭菜。

02
DEX交易数据造假,交易所被指“乌托邦”
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
前不久,有用户在某微信群里指出,imToken DEX在发布的上周交易数据中表示,其DEX交易量与用户量双第一。然根据小编追溯发现,其实在imtoken DEX 中99%的日活和大部分交易量都是假的;且存在的交易数据大部分也是作假伪造的。

而对于这种去中心化交易所,圈内人大多表示“不看好”。

比如节点资本创始人杜均在接受媒体采访时表示,个人不看好DEX,也不会投资DEX,DEX只会成为小众产品,类似乌托邦,看似美好但是无法实现。中心化交易所的高效、优质服务以及品牌不会让我选择DEX。
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
而针对于imToken DEX数据造假一事,小编认为原本去中心化交易所就存在安全方面的问题;但是imToken却顺势而为的就做了下去,对待用户极度的不真诚,这样的imToken是不值得用户们去信任的。

03
用户资产一夜蒸发

今年五月,一名来自海南的炒币玩家江先生,在4月27日的凌晨2点多,自己没有对imtoken进行任何操作的前提下,发现自己账户里的USDT等币种被系数转走,损失近3万元,现在账户里只剩下不到10块钱的资产。

imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?
发现异常的江先生立即联系了imtoken的客服,并提供了被转出地址。客服告知他的币已经被转去了火币,需要联系火币冻结对方的账户。

而火币则说应该让imtoken的团队报警,就在火币与imtoken的踢皮球过程中,黑客已经成功变现了。 
(火币方回复)      imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
(imtoken方回复)       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
江先生意识到事情的严重性,很快报警,然而在配合警方调查期间和立案之后,不知道imtoken是否因为涉案金额太小而没有放在心上,全程也没有提供任何帮助和证明,仅仅靠几封邮件打发了用户。那么江先生损失27780元人民币就这么打了水漂?imtoken在被追问责任时表示:我们是去中心化钱包,对用户的资产没有控制权。 

然而对于近七万用户来说,出现丢币情况恐怕也不是个例, 而让人疑惑的是,imtoken钱包是否足够安全呢?

04
imtoken钱包安全性存疑

首先,我们先用安卓抓包针对imtoken进行分析,这个imtoken是否真的去中心化,不存储用户任何信息,通过导入一个EtH 私钥进行测试。
 
导入私钥

imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?     
输入密码,当然为了隐藏身份,我们在图中打了马赛克

imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
(请求地址https://mainnet-bizapi.token.im/rpc,该地址是IMtoken的服务地址之一。HTTP请求header信息如下图所示)
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       

(header关键字段,authorization: Token eyXXXXXXXXXXXXXXXX,应该是某些参数加密后的产生的,而具体是什么加密算法,我们尚不知晓。)

 
 HTTP请求body信息如下,箭头为测试的地址如下图所示:
  imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?
 
其中http 的请求 header 和 body有什么作用呢?

其实就是把数据传递出去,要不怎么能导入你的资产,那么,其中的数据究竟传递给了谁?我们来看看到底请求了那些URL地址。
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
从中我们可以得出,所有涉及IMtoken钱包的地址都与token.im有关,而从这几个地址起来看,imtoken都没有将私钥发送出去,这是否意味着,imtoken没有对用户的私钥密码等进行存储,钱包是安全的?

那么imtoken又是如何导入我们的钱包的呢?是真的去中心化,还是自有神奇之处,然而,最关键之处在于,我们上面所说的HTTP header里面的参数 ,特别是authorization字段 ,该字段里面是通过别的header信息,body信息,和私钥进行了加密,所以不能直接看到私钥。
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
当把authorization等信息传递到IMtoken钱包服务器上面以后,通过authorization,别的header信息,body信息解密出私钥等密码,从而导入用户钱包。

据之前imToken安全团队收到用户邮件举报,钱包中的ETH被恶意盗取,经分析,所有被盗地址均是使用MGC钱包创建的钱包地址;再加上近期imToken的所作所为来看,imToken存在跑路作弊的动机。
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       
且以目前币圈的行情来看,imToken钱包是很难盈利的,更可况从数据抓包来看,用户的密码登信息是经过imtoken服务器的,也就是说用户们的数据要经过他们自己的服务器。

用户们的数据经过交易所自己的服务器会存在什么安全问题呢?区块天眼的小编特地跑去询问了圈内比较知名的安全公司,证实如果相关数据信息一旦经过自己的服务器,储存是肯定的,即使不储存,相关公司也能在网络请求过程中拦截且查看用户信息;也就说明了用户的信息在imToken是极度的不安全,随时都有被泄露和丢币的危险。
       imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?       

那么,从用户角度出发,imtoken钱包若真的用心保护用户密钥,为什么还有频繁的丢币现象呢?恐怕只有imtoken自己知道了吧。按照币圈常有的割韭菜惯例,在这样的局势下imToken很有可能最先利用用户的信息进行割韭菜,最后消失于币海。

imtoken以“你的第一个智能数字钱包”打入市场,从市场惨淡到一夜爆火,尽管依然有人将希望寄托于去中心化钱包。
 
然接二连三的案例无疑就是在给用户们敲着警钟,imtoken到底是在实行去中心化之路,还是在走币圈镰刀的老路,我们尚不知晓,唯一知道的,就是币圈水深,万事谨慎。
 

imtoken安全性存疑,丢币事件频发,是监守自盗还是内部有人作恶?
-区块天眼-

该内容来自于互联网公开内容,非区块链原创内容,如若转载,请注明出处:https://htzkw.com/archives/14395

联系我们

aliyinhang@gmail.com