AI视频通过人脸识别盗走OKX用户300万刀
本文作者：土澳大狮兄BroLeon | 2024 Reload@BroLeonAus、牛市逃顶指南、BITWU.ETH@BTW0205等。发文时间：2024.6.3。编者注：AI野蛮生长为黑客提供了许多工具，对于个人来说保护隐私非常重要，建议不要在社交媒体发布自己和家人的相关信息。另外加强交易环境基础安全，比如安装防病毒防木马安全软件，注意浏览器安全设置。
刚看到朋友爆料了一个更猛的被盗事件，黑客直接用买到的社工数据做了个假身份证，然后用AI生成了个假头像视频，骗过Okx的人工审查重置了所有验证信息，盗走300多万刀！
这简直匪夷所思了，跟电影里情节一样，太tm恐怖😱
苦主应该很多信息被泄露了，kyc信息，账号 id ，邮箱之类的，都被泄露了。
目前能想出来的应对只能是保护好自己隐私，尽量也别高调炫富了，毕竟今年各行各业赚钱不容易，戾气很重。只要我显得是个穷逼，黑客也会懒得做我的假证吧？
BTW, 也得给各个交易所提个醒，以后密码找回，2FA重置等敏感操作一定要加入过KYC一样的面部识别，不能人工审核了。
牛市逃顶指南发帖：
流程作案大致如下：
1.打开OK网站，点击找回密码
2.输入想要盗取的手机号，然后下一步
3.按照提示，准备好AI制作的视频，视频中包含身份信息和人脸
4.修改密码，修改二次验证，修改所有可以可以修改的东西
5.把币全部提现！！
上面有个关键步骤就是第4步，但是现如今的社会，信息泄露就是家常便饭，不夸张的说，你想拿到指定某个普通人的身份证信息，手机，住址，人脸等，最多1-2百元即可全部搞定
上述流程是还原作案手法，不是让你们去实操！！！，是让大家了解手法才能更好的防御
但是抱歉，我现在自己都想不到任何可以解决的方案，唯一的办法就是把长期不用的资产全部存到冷钱包，助记词用钢板丢保险柜
这个圈子真的就是一个黑暗森林，每个人都是猎手，每个人都是猎物，每个地方都是陷阱！
💥今天大家都在关注的资产被黑事件：钱在自己交易所账户里，都能被黑客利用Cookie操作对敲转走——
更恐怖的是，还有传言——
有可能你的视频被AI合成，在交易所通过认证修改你的密码，这你受得了吗？
说实话，这种事情的出现，真的让人不寒而栗，
行业真么多年，我也遇到过各种各样的盗币事件，自己也被盗过不下三次；
一直以来都深刻认知到，WEB3的黑暗森林：道路千万条，安全第一条！
一般主要的被盗方式就两种：一种是链上资产被盗包括授权和交互；第二类则是交易所资产被盗包括转移和对敲；链上不能给授权，硬件设备则不能被黑被埋雷；
就如@heyibinance说的：电脑如果被黑，神仙也难救！
💡本次事件经过：
X用户 Nakamao 发文表示，其遭遇了一起黑客攻击，导致交易所账户内的100万美元加密资产被盗。黑客通过挟持用户的浏览器Cookies，绕过了密码和2FA验证，进行了一系列对敲交易：
事后调查发现，问题源于一个恶意Chrome插件Aggr上。 此前慢雾创始人
@evilcos
曾提醒，注意名为“AggrTrade”的浏览器扩展插件，该扩展插件偷窃用户交易所的Cookies等权限信息，如果安装了，尽快删除，并修改各平台账号密码及2FA、重置交易API等。
💡 chrome 浏览器扩展为什么存在风险？
我们到底应该如何保护自己隐私和安全，如何更好的进行数据的清理？
过程：黑客通过恶意浏览器插件“AggrTrade”偷了用户交易所的Cookies等权限信息，通过伪装验证身份的方式登录了交易账户，用对敲方式榨干了用户的币并获利。
大家现在快速访问 chrome://extensions/ ，检查一下已安装的插件，如果安装过「AggrTrade」插件的，尽快删除，并修改各平台账号密码、2FA，重置交易API等！
不常用的扩展也先删掉，如果插件后面被植入了恶意木马，也会变得危险。
为了降低 cookie 泄露的风险，还有几点浏览器安全知识需要注意——
1⃣限制 Cookie 使用：
– 在浏览器设置中禁用第三方 cookie，防止无关网站追踪在线行为。
– 允许站点仅存储和读取运行其服务所必需的 cookie。
2⃣ 使用“无痕浏览”或“隐私浏览”模式，这种模式下浏览器不会持久保存任何浏览历史、临时互联网文件或 cookie。
3⃣ 在 Chrome 浏览器中，进入设置 > 安全和隐私设置 > Cookie 和其他网站数据，可以选择“阻止所有 cookie”，或者为 cookie 设置更严格的过滤规则。
4⃣定期清理浏览器缓存和 cookie 数据，特别是对于那些不是必要的 session cookie。
5⃣仅允许从 HTTPS 网站接收受到加密保护的安全 cookie。
希望大家注意安全，这并非孤立事件，现现在各种盗币手段层出不穷，利用浏览器漏洞和插件植入：
甚至利用AI变脸技术来修改密码——
听说另一个交易所一大户，300万美金就是被AI人脸视频来修改密码盗走，而人脸验证安全性应该是平台的最高级别，这一点就非常吓人了！
所以，总之记住一点：
一定不能乱点任何可疑链接，下载任何可以软件，可以的话，平时浏览用的电脑和手机，最好和交易的设备，分开来使用，大资金还是放到冷钱包去，尽量不动他了才是王道，这也是我目前在使用的方式：
不是每一分钱都要赚的，不是每一个领土是都是我们想象的那么安全的，做好配置，才能在最后留下一些东西！
相关文章
