區塊鏈的各類安全事故中，作為加密貨幣流通場所的數字資產交易平臺一直是重災區，API接口遭黑客攻擊、用戶賬戶被盜等安全事件頻出。這一次，黑客盯上了展示行情的第三方組件。
昨日，多家區塊鏈安全平臺預警，一個第三方組件存在名為XSS 0day的漏洞。降維安全實驗室預警時指明，該組件為TradingView，供交易平臺展示行情使用。
公開信息顯示，多家數字資產交易平臺使用了該組件，包括幣安、Bitfinex、火幣Pro和Bithumb等這類大型知名平臺。
慢霧科技預警稱，該漏洞如被惡意利用，會導致數字貨幣交易所等平臺的用戶賬號權限被盜、惡意操作等資產損失。
所幸，這一漏洞預警已被區塊鏈安全平臺下發給TradingView公司和涉及到的一些交易所。但安全人員透露，仍不乏影響力較大的交易平臺輕視了該漏洞。
文|蘇勇
交易所行情展示組件藏漏洞
如果你多打開一些交易平臺的行情頁面，你就會發現，不少行情展示區的左下角都會顯示，行情數據和表格來自TradingView。
據公開信息顯示，TradingView本身是全球最大的圖表技術分析交流社區，後來由TradingView公司開發成為行情展示第三方組件工具，不但大部分數字資產交易平臺在使用，連證券和期貨這些傳統金融交易平臺也是它的用戶。
蜂巢財經查詢後發現，在日交易量排名前十的交易所中，使用TradingView展示行情的包括幣安、Bitfinex、火幣和Bithumb等知名數字資產交易平臺。
這一次，被區塊鏈安全公司視作“高危漏洞”的XSS 0day就藏在這個與用戶天天見面的工具裡。而這一漏洞被定性為“高危”，經歷近半個月的時間。
據慢霧科技消息，前後有兩位白帽黑客反饋了XSS 0day漏洞。9月4日，第一位白帽黑客向慢霧科技反饋該漏洞，並把這個漏洞危害等級定義為“低危”。在相關交易所平臺修復後，慢霧科技也沒特別在意，直到9月18日，第二位白帽黑客和他們再次提及了這個漏洞後，他們開始對所有用戶下發XSS漏洞預警。
“降維安全也在兩個禮拜之前就關注到這個漏洞，並且通過內部通知流程，陸續通知合作方修復。”降維安全實驗室的運營負責人孫越接受蜂巢財經採訪表示，已經有白帽黑客在Github上向TradingView官方報送了此漏洞，目前所有使用該組件且沒有針對存在漏洞的JS文件（JavaScript語言寫就的文件）做修補操作的交易所，都存在這個漏洞。”
從事區塊鏈技術開發的Frozen表示，XSS漏洞是一個跨域漏洞，一旦用戶流量被劫持就十分危險，黑客將用戶的JS文件替換成自己修改過的，就可以為所欲為。
慢霧科技和降維安全實驗室都提到，XSS漏洞一旦被惡意利用，黑客便可以獲得用戶的登陸權限，惡意操縱將帶來資產損失。
已出現用戶賬號被劫持情況
XSS漏洞如此嚴重，為何會長期存在於交易所的TradingView組件中？
對此，孫越解釋，主要原因在於TradingView一直屬於一個第三方前端框架，一般條件下，它的安全不太引人關注。但是一旦使用它的是需要保障高安全性的系統，存在漏洞就會造成巨大危害。
“目前我們並沒有收到直接因為XSS攻擊而造成財產損失的案例，但已經有多起因為這個漏洞而劫持用戶賬戶並進行操作的情況發生。”孫越說，早期也有類似的漏洞發生，但是如此大範圍的存在於數字貨幣交易所場景中還是第一次。
孫越強調，此次安全事件的責任方主要在TradingView公司，但交易所在選擇第三方庫時也應注意其安全性，需要及時關注官方的安全通告和第三方發佈的安全預警。
目前已有部分交易所對此漏洞進行了修復，降維安全實驗室也在第一時間緊急為其客戶推送了修復方案，“但仍有不少交易所輕視這個問題，其中不乏有一些影響力較大的交易所。”對於具體包括哪些大交易所，孫越表示不方便透露。
使用TradingView的火幣Pro更早時間發現了這一問題，相關人員告訴蜂巢財經，他們在8月份時就發現了該漏洞，已經進行修復。
用戶要養成定期修改密碼的習慣
但凡是計算機程序，都會存在BUG，區塊鏈安全問題從來沒有終極解決辦法。對於如何防範類似安全事故發生，孫越認為，第三方公司、交易平臺和用戶應該各自為自己的產品、客戶和資產安全保持警醒。
孫越說，TradingView公司在代碼發佈前應該儘量做完善的代碼審計，避免這種低級錯誤再發生。
而交易平臺要慎重選擇第三方庫，保持對第三方庫安全事件的關注，同時要與安全公司有良好的溝通，及時瞭解這些信息。除此之外，交易平臺安全機制的加強也可以一定程度上保護用戶，緩解漏洞危害。
對於廣大的交易平臺的使用者，孫越提醒，用戶應該選擇那些積極進行漏洞修復的平臺進行交易，養成良好的安全習慣，“定期修改密碼，在離開交易平臺網站後，應從交易所網站手動下線，必要時手動清空cookie，這也能在一定程度上緩解被黑客攻擊的風險。”
區塊鏈技術開發者Frozen也提示，用戶不要輕易連接不明WiFi，不要輕易相信搜索引擎給的某些所謂官網鏈接，更不要輕易點開他人給的鏈接。
為方便交流，請加蜂姐微信（微信號：fengchaocaijing），拉你進入“蜂巢財經反割聯盟”，定期組織嘉賓分享，交流行業乾貨。
閱讀更多 蜂巢財經News 的文章
