Uniswap和Lendf.me遭黑客攻击，损失2500万美元；德国政府遭COVID-19钓鱼攻击损失数千万欧元
发布时间 2020-04-211.FPGA芯片Starbleed漏洞，影响赛灵思多个产品
研究人员发现FPGA芯片存在Starbleed漏洞，影响了赛灵思7系列的Spartan、Artix、Kintex、Virtex子系列多个产品。由于漏洞为硬件级别漏洞，因而只能通过更换芯片来修复漏洞。安全研究人员发现可以通过解密被加密的比特流来访问和修改用于编程的文件。因此，黑客可以利用该漏洞完全控制FPGA芯片，并且可能盗取比特流中的知识产权。德国Max Planck研究所的Christof Paar教授表示，攻击者甚至可以进行远程攻击，或是向FPGA芯片植入硬件木马。
原文链接：
https://www.helpnetsecurity.com/2020/04/20/starbleed-vulnerability/
2.Uniswap和Lendf.me遭黑客攻击，损失2500万美元
黑客攻击了Uniswap交易所和Lendf.me借贷平台，盗取了价值超过2500万美元的加密货币。此次攻击分别发生在周六和周日，调查人员认为这两次攻击很可能是同一个团伙发起的。据调查，黑客结合了不同区块链技术中的多个漏洞构成了一次复杂的重入攻击，在原始交易被批准或拒绝之前不断地取钱。据称黑客在此次攻击中使用了OpenZeppelin公司于2019年7月在GitHub上发布的漏洞利用。直到本文发布时，Uniswap总共损失了30万美元至110万美元，而Lendf.me损失了超过2450万美元。目前，这两个网站均已关闭，以防止进一步的攻击。
原文链接：
https://www.zdnet.com/article/hackers-steal-25-million-worth-of-cryptocurrency-from-uniswap-and-lendf-me/
3.CISI官网被植入恶意代码，用户财务信息被窃
英国特许证券投资协会（CISI）已确认其官网被植入恶意代码，用户的财务信息可能被窃。CISI在咨询公司毕马威（KPMG）的帮助下对此事开展了调查，发现攻击者通过第三方应用程序得到了CISI网站的访问权限并向网站植入了恶意代码，然后在用户在线支付时盗取其财务信息。CISI表示攻击可能发生在2020年2月中旬，他们已经联系了5785个在2020年2月1日至2020年4月15日之间发生过交易的客户，并预计此事件会影响到近1000名用户。
原文链接：
https://international-adviser.com/cisi-payment-breach-leaves-members-vulnerable-to-fraud/
4.德国政府遭COVID-19钓鱼攻击损失数千万欧元
德国北威州政府因为其用来分发Covid19救助金的网站的不安全性，损失了数千万欧元。由于该网站仅要求当地居民和公司填写表格，而没有采用任何额外的身份验证，使得黑客可以进行钓鱼攻击。据悉，黑客伪造了该官方网站，并通过发送电子邮件的方式诱使用户登陆此伪造网站以窃取其个人信息。之后利用真实用户的个人信息向政府提出申请救助金的请求，并将汇入资金的银行帐户修改成他们自己的账户。据Handelsblatt报道，政府已收到38万份要援助申请，并已经同意为其中的36万份付款。据德国电视台Tagesschau报道，其中有3500至4000份申请是假的，粗略估计北威州政府目前的损失至少为3150万欧元（3425万美元），最高可能为1亿欧元（1.09亿美元）。
原文链接：
https://www.zdnet.com/article/german-government-might-have-lost-tens-of-millions-of-euros-in-covid-19-phishing-attack/
5.荷兰COVID-19跟踪应用Covid19 Alert泄露患者信息
据RTL Nieuws网站报道，荷兰拟用来跟踪COVID-19患者的应用程序Covid19 Alert意外泄露用户信息。Covid 19 Alert的发言人表示，在他们将源代码发送给专家进行分析时，不小心将用户数据放在了网上。这些源文件中包含Immotef应用的数据库，里面存放有荷兰用户的数据，包括近200个用户的姓名、电子邮件地址和哈希密码。Covid19 Alert开发团队表示该事件已报告给荷兰数据保护局，并且正在努力解决此安全和隐私问题。
原文链接：
https://securityaffairs.co/wordpress/101914/digital-id/coronavirus-contact-tracing-app-data-leak.html
6.研究机构发现针对政府经济刺激计划的恶意域名激增
Check Point的研究人员表示，近几周针对政府经济刺激计划和救济计划的恶意域名急剧增加，旨在骗取用户的个人信息进行欺诈。从3月16日美国政府提出了经济刺激计划开始，新恶意域名的注册数量随之增加到前几周的3.5倍，而钓鱼攻击的次数猛增至每日14000次，约为之前的6倍，4月7-14日更是激增至每日20000次。自1月份COVID-19爆发以来，已经有约68000个与冠状病毒相关的新域名被注册，其中4月2日后新注册了17000个域，其中2％是恶意域名，而21％为可疑域名。研究人员表示，这些恶意网站企图利用Covid-19经济刺激计划的新闻来诱使用户登陆该网站，并且窃取受害者的个人信息并且发起财务欺诈等攻击。
原文链接：
https://www.jpost.com/israel-news/israeli-researchers-hackers-aiming-to-exploit-government-financial-aid-625218
京公网安备11010802024551号