【.com速译】去年夏天，阿德里安·贝德纳雷克（ADRIANBednarek）思考如何防止黑客窃取以太坊加密货币。他是一名安全顾问，为加密货币挖矿行业的客户工作。Bednarek被以太坊所吸引，尤其是它难以想象的复杂性和移动端潜在的安全漏洞。他从考虑最简单的问题开始：如果以太坊所有者使用私钥存储他们的数字货币——一个不可预测的78位字符串，用于保护存储在某个地址的货币——私有如果密钥为1会发生什么？出乎贝德纳雷克意料的是，根据区块链以太坊的所有交易记录，即使是极其简单的钥匙也有货币，而且钱已经从它所在的以太坊钱包中取出——早在贝德纳雷克之前，谁能猜到私钥是1？毕竟，就像比特币和其他加密货币一样，如果有人知道以太坊私钥，他们就可以使用该密钥解锁关联的公共地址。然后私钥允许转移到该地址，就好像他们是合法所有者一样。最初的发现引起了Benalek的好奇心，于是他又尝试了几个连续的键：2、3、4等等，几十个键，全部都清空了。然后他和他在一家安全咨询公司的同事编写了一些代码，启动了一些云服务器，并尝试了数十亿次。在此过程中（如一篇已发表的论文中详述），他们发现不仅有数百名用户在过去几年中仅使用容易猜到的私钥来存储他们的数字货币，而且还发现了他们所谓的“区块链强盗”。一个以太账户使用相同的密钥猜测技术一次性吸走了45,000个以太的财富——价值超过5000万美元。“他做的事情和我们一样，但他超越了我们，”贝德纳雷克说。有钥匙。”就好比“沙滩淘金”。要解释区块链大盗的作法，首先要明白，猜到一个随机生成的以太坊私钥的概率是1/115quattuorvigintillion（或者用分数表示：1/2256),分母关于宇宙中的原子数。Bednarek将以太坊密钥的任务比作在海滩上随机挑选一粒沙子并在“十亿粒”海滩中找到相同沙子的概率！但是当Bednarek查看以太坊区块链时，他看到一些人将以太坊存储在更简单、更容易猜测的密钥上进行比较。他认为，这很可能是以太坊钱包的错误结果。由于编码错误，钱包截断了一小部分密钥长度，或者让没有经验的用户自行选择密钥，甚至包含恶意代码，破坏了随机化过程。“小偷”很容易猜出钥匙。Bednarek和他的ISE同事最终为这些弱密钥密码扫描了340亿个区块链地址。他们把这个过程称为“以太淘金”，就像“沙滩淘金”一样，在以太巨大的熵中寻找更多的可能性。他们最终找到了732个可能的密钥，这些密钥曾经被使用过但后来被清空了。然而，根据Bednarek的猜测，732个只是自2015年以太坊推出以来被盗弱密钥总数的一小部分。同样的“强盗”。他们被转移到一个账户——目前持有45,000个以太币。按照今天的汇率，这相当于770万美元。EtherComb,EtherGoBednarek试图将一美元的以太币放入“小偷”先前清空的弱密钥地址中。几秒钟后，它被转移到其他账户。Bednarek然后尝试将一美元存入一个新的、以前从未使用过的弱密钥地址，该地址也在几秒钟内清空，这次存入一个只有几千美元的以太币账户。但Bednarek可以从以太坊区块链上的未决交易中看出，以太坊“强盗”也曾试图夺取它，但在几毫秒内就被击败了。Bandit似乎拥有大量预生成的密钥，并以非人的速度自动扫描它们。事实上，当研究人员查看“区块链强盗”以太账户的历史时，他们发现在过去三年中，该账户从数千个地址中提取了以太，从未留下任何资金。.在2018年1月以太坊汇率的峰值时，劫匪的账户持有38,000个以太币，当时价值超过5400万美元。从那以后的一年里，以太坊的价值暴跌，下跌了85%。“你不心疼他吗？”贝德纳雷克笑着问道。“你有一个小偷，他积累了如此多的财富，然后在市场崩盘时失去了所有财富。”尽管追踪记录，Bednarek并不知道区块链劫匪是谁。弱密钥Bednarek也无法识别生成弱密钥的错误或恶意钱包。相反，他只能看到创建弱密钥的原因以及由此导致的盗窃。“我们可以看到有人被抢劫，但我们无法确定谁是罪魁祸首，”他说。特别是对于区块链盗贼来说，尚不清楚简单的弱密钥是否是主要的盗窃手段。劫匪本可以使用其他技巧，例如猜测“大脑钱包”的密码短语，这些密码由易于记忆的单词保护，比完全随机的密钥更容易破解。一组安全研究人员发现了2017年2,846枚比特币被盗的证据，这些比特币都是从大脑钱包中被盗的，按当前汇率计算价值超过1700万美元。2015年末，一次以太坊钱包盗窃案盗取了40,000个以太币，几乎与区块链劫匪一样多。ISE尚未对比特币区块链进行实验，但Bednarek对100多个弱比特币密钥进行了抽查，发现相应钱包的内容也被盗，但没有一个钱包被以太坊劫匪盗走。同类大鱼偷窃——比特币窃贼之间的竞争很可能比以太坊更加激烈和去中心化。Bednarek认为ISE的教训是，开发人员要仔细审核他们的代码，找出任何可能截断密钥并使其易受攻击的错误。用户应谨慎选择密钥。您不能致电服务台要求他们撤销交易。当钱包消失时，它就永远消失了。人们应该使用受信任的钱包并从受信任的来源下载。撇开货币波动不谈，区块链窃贼不需要更多的捐款。原标题：'区块链强盗'正在猜测私钥并获得数百万，作者：ELENALACEY
