im钱包(imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?)
2024-06-01
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/19/de84412aac0f999974b648bb33cbf657.jpg)
出品/Blockeye
文编/宝藏女孩、菜头小子
提到imtoken丢币问题,还得从八月份的 DEX 说起,圈内人也应该都知道imToken DEX其实在8月18日之前, 几乎是没有多少用户在使用的;但是也不知道为什么,8月18日之后,imToken的数据却呈现了异常的暴增状态。恐怕能在币圈靠短时间内暴增的交易所,扳着手数也找不到一家。
而imToken做到了,还宣传自身用户量暴增424%,并且一举成为了以太坊 DEX 排行榜的第一名;其还并进行了大量的宣传报道。
但根据比特派对 imtoken DEX 区块链上的交易记录的检索,认为imtoken DEX 中99%的日活和大部分交易量都是假的。比特派创始人兼CEO文浩笑称:他们造假挺简单的,甚至连道弯儿也没拐。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/50/7b0c6d87e8ba2cbabec6fcd4ca395d0c.jpg)
为了求证imtoken 是否作假交易的数据,区块天眼也特地跑去询问了圈内比较知名的安全公司,证实如果相关数据信息一旦经过自己的服务器,储存是肯定的,即使不储存,相关公司也能在网络请求过程中拦截且查看用户信息。
也就是说imtoken 的安全性很可能是存在漏洞或作假的,但还需大家与小编一同锊一下以下消息的真实性~
01
imtoken搬砖套利
据全球数字资产安全追踪平台CoinHunter反馈,前段时间有用户提交丢币事件反馈称遭受imtoken“交易回滚”诈骗。
且钓鱼账号创建假的imtoken官方电报群并充当官方技术人员身份,引导“搬砖套利"被骗用户在指定网站输入私钥进行所谓“交易回滚”操作进行二次诈骗。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/55/d75d2be9a057873c944deb6241b89c8c.jpg)
目前该电报群内人数已达68000人,已有诸多用户遭遇“搬砖套利”及“交易回滚”诈骗。而该问题也恰恰反映了imtoken对于用户的信息存在监守自盗,利用用户的信息进行无耻的诈骗割韭菜。
02
DEX交易数据造假,交易所被指“乌托邦”
前不久,有用户在某微信群里指出,imToken DEX在发布的上周交易数据中表示,其DEX交易量与用户量双第一。然根据小编追溯发现,其实在imtoken DEX 中99%的日活和大部分交易量都是假的;且存在的交易数据大部分也是作假伪造的。
而对于这种去中心化交易所,圈内人大多表示“不看好”。
比如节点资本创始人杜均在接受媒体采访时表示,个人不看好DEX,也不会投资DEX,DEX只会成为小众产品,类似乌托邦,看似美好但是无法实现。中心化交易所的高效、优质服务以及品牌不会让我选择DEX。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/67/aefc023a6b224ba36697d42a8938430c.jpg)
而针对于imToken DEX数据造假一事,小编认为原本去中心化交易所就存在安全方面的问题;但是imToken却顺势而为的就做了下去,对待用户极度的不真诚,这样的imToken是不值得用户们去信任的。
03
用户资产一夜蒸发
今年五月,一名来自海南的炒币玩家江先生,在4月27日的凌晨2点多,自己没有对imtoken进行任何操作的前提下,发现自己账户里的USDT等币种被系数转走,损失近3万元,现在账户里只剩下不到10块钱的资产。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/60/3030e6ba5a9e4a36d9c7616b9d310e39.jpg)
发现异常的江先生立即联系了imtoken的客服,并提供了被转出地址。客服告知他的币已经被转去了火币,需要联系火币冻结对方的账户。
而火币则说应该让imtoken的团队报警,就在火币与imtoken的踢皮球过程中,黑客已经成功变现了。
(火币方回复)
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/38/31076d507b21be2a997921cc6cd54e62.jpg)
(imtoken方回复)
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/66/3e6f05eaceb3783631c8e462eb787345.jpg)
江先生意识到事情的严重性,很快报警,然而在配合警方调查期间和立案之后,不知道imtoken是否因为涉案金额太小而没有放在心上,全程也没有提供任何帮助和证明,仅仅靠几封邮件打发了用户。那么江先生损失27780元人民币就这么打了水漂?imtoken在被追问责任时表示:我们是去中心化钱包,对用户的资产没有控制权。
然而对于近七万用户来说,出现丢币情况恐怕也不是个例, 而让人疑惑的是,imtoken钱包是否足够安全呢?
04
imtoken钱包安全性存疑
首先,我们先用安卓抓包针对imtoken进行分析,这个imtoken是否真的去中心化,不存储用户任何信息,通过导入一个EtH 私钥进行测试。
导入私钥
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/36/c237d9d5a1c7b8f306672fac4415508c.jpg)
输入密码,当然为了隐藏身份,我们在图中打了马赛克
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/43/862405bdbb8aa18a1623491d17131cf8.jpg)
(请求地址https://mainnet-bizapi.token.im/rpc,该地址是IMtoken的服务地址之一。HTTP请求header信息如下图所示)
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/80/6744662e30b079cadd7903e73ec13e80.jpg)
(header关键字段,authorization: Token eyXXXXXXXXXXXXXXXX,应该是某些参数加密后的产生的,而具体是什么加密算法,我们尚不知晓。)
HTTP请求body信息如下,箭头为测试的地址如下图所示:
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/11/a525ef7913b0c624405ef8097a18f41d.jpg)
其中http 的请求 header 和 body有什么作用呢?
其实就是把数据传递出去,要不怎么能导入你的资产,那么,其中的数据究竟传递给了谁?我们来看看到底请求了那些URL地址。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/41/63dea1cccce38d438130761dee3943e0.jpg)
从中我们可以得出,所有涉及IMtoken钱包的地址都与token.im有关,而从这几个地址起来看,imtoken都没有将私钥发送出去,这是否意味着,imtoken没有对用户的私钥密码等进行存储,钱包是安全的?
那么imtoken又是如何导入我们的钱包的呢?是真的去中心化,还是自有神奇之处,然而,最关键之处在于,我们上面所说的HTTP header里面的参数 ,特别是authorization字段 ,该字段里面是通过别的header信息,body信息,和私钥进行了加密,所以不能直接看到私钥。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/36/8c9708f33684ca0dd3811129a5744db9.jpg)
当把authorization等信息传递到IMtoken钱包服务器上面以后,通过authorization,别的header信息,body信息解密出私钥等密码,从而导入用户钱包。
据之前imToken安全团队收到用户邮件举报,钱包中的ETH被恶意盗取,经分析,所有被盗地址均是使用MGC钱包创建的钱包地址;再加上近期imToken的所作所为来看,imToken存在跑路作弊的动机。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/41/c8ea38de12968a6569feb4207da9f90d.jpg)
且以目前币圈的行情来看,imToken钱包是很难盈利的,更可况从数据抓包来看,用户的密码登信息是经过imtoken服务器的,也就是说用户们的数据要经过他们自己的服务器。
用户们的数据经过交易所自己的服务器会存在什么安全问题呢?区块天眼的小编特地跑去询问了圈内比较知名的安全公司,证实如果相关数据信息一旦经过自己的服务器,储存是肯定的,即使不储存,相关公司也能在网络请求过程中拦截且查看用户信息;也就说明了用户的信息在imToken是极度的不安全,随时都有被泄露和丢币的危险。
![imtoken安全性存疑,丢币事件频发是监守自盗还是内部有人作恶?](http://www.handands.com/uploads/image/20240601/97/2e348aefca6433541e3b8407aa18eaba.jpg)
那么,从用户角度出发,imtoken钱包若真的用心保护用户密钥,为什么还有频繁的丢币现象呢?恐怕只有imtoken自己知道了吧。按照币圈常有的割韭菜惯例,在这样的局势下imToken很有可能最先利用用户的信息进行割韭菜,最后消失于币海。
imtoken以“你的第一个智能数字钱包”打入市场,从市场惨淡到一夜爆火,尽管依然有人将希望寄托于去中心化钱包。
然接二连三的案例无疑就是在给用户们敲着警钟,imtoken到底是在实行去中心化之路,还是在走币圈镰刀的老路,我们尚不知晓,唯一知道的,就是币圈水深,万事谨慎。
- 上一篇:广西沿海铁路(年内开通广西将新增一座“超高颜值”高铁站)
- 下一篇:村寨(村寨)
- 美元兑马币(5月19日最新中国银行人民币兑美元汇率中间价美元兑卢布汇率)
- aud是什么币种(全球外汇市场中成交量最大的5种货币)
- 缅甸币兑换人民币(1000元人民币能兑换22万缅元,能体验什么服务?缅甸姑娘告诉你)
- 人民币日币(三千块人民币能换多少日元,带你走出国门不踩坑,老板还送水喝)
- 瑞波币交易平台(瑞波币一天涨近20%、韩国交易所日交易量高涨30% 投资者押注其上线美国大交易平台)
- 5000韩币(暴增超760%韩国疯狂进口中国大葱,首尔华人:一捆10元涨到一捆26元)
- 人民币兑朝鲜币(一万元人民币能在朝鲜生活多久?当地人给出意外答案,你猜对了吗)
- 币世界快讯(菲律宾跳反东盟十国集体放弃使用美元,美制裁大棒终遭反噬)
- 马币对人民币汇率(新币兑马币,又涨涨涨了)
- 新西兰币汇率(今日汇率(20221213))