PDF《您的数字资产钱包》

100 C ∑ (风险分值) 名称 评分项 漏洞 等级 是否 存在 可能性 (0-1) 风险 分值 App安全 私钥安全 私钥的生成算法是否采用可预测的加密因子 严重 不存在 助记词安全 助记词生成过程中是否会以明文形式进行网络传输 高 存在 0.5

10 密码安全 交易密码输入过程中是否可以被复制/粘贴 中 存在 0.3

3 Keystore安全 keystore是否明文存储在客户端本地缓存 中 不存在 客户端自身安全 应用进入后台时,是否删除视图中的敏感数据 低 不存在 本地数据存储 安全 是否会将钱包登录密码/手势密码明文保存至本地 缓存 低 不存在 合计总分: App安全总分 =

100 C ∑ (风险分值)

87 数字资产钱包 黑盒测试 我们的区块链安全研究人员对市场上一些数字资产钱包 进行了安全性黑盒测试, 对发现的风险进行相关的统计, 整体风险分布图如下所示: 静态密钥解密私钥 我们的安全研究人员在测试时发现, 有些数字资产钱包, 私钥在内存中解密的过程, 不是采用 主流的交易密码去解密Keystore文件得到私钥的方式, 而是采用一个静态的密钥去解密Key- store得到私钥, 静态的密钥被写死在代码中, 安全研究人员可以通过逆向手段, 分析代码流 程, 找到静态密钥. 代码未进行混淆加固 我们的安全研究人员在测试时发现, 有许多的数字资产钱包Android版本的源代码未进行任何 的混淆加固, 对Android客户端采用反编译的手段可以得到源代码, 没有采用任何加固保护, 使 得攻击者可以很顺利地阅读源代码, 从源代码中寻找代码流程方面的漏洞. 无密码转账 我们在测试过程中, 还发现有些数字资产钱包在设计流程上也存在一些安全性问题. 比如我们 发现有些钱包在转账的过程中不需要输入交易密码或者其他任何凭证即可转账成功, 这不仅 大大降低了攻击者在分析解密私钥时的难度, 也使得当用户离开手机的时候, 数字资产被攻击 者转走的可能性增加. 助记词保护不足 助记词相当于银行卡号+密码, 一旦失窃将造成钱包被攻击者窃取. 然而我们在测试的过程中 发现, 多数的数字资产钱包对于助记词的保护不足, 可以有多种针对助记词的攻击;

有些数字 资产钱包将助记词传输至应用日志, 攻击者也可以在内存中获取助记词;

在输入助记词导入钱 包的过程中, 许多钱包存在未有效防止键盘记录、 截屏等风险. Keystore本地明文存储 我们区块链安全测试人员发现, 有些钱包会将Keystore文件明文存储在本地. 这样增加了 Keystore文件泄露的风险, Keystore文件一旦被攻击者破解, 就相当于私钥的泄露. 主流数字资产钱包评分 普华永道中国的区块链安全研究人员根据上述数字资产钱包安全评分体系对市场上几款主流 的数字资产钱包进行了评分, 汇总了各钱包的安全优势和待改进项. 选取的主流的6种钱包, 在 此做了匿名化处理. 本次公开的评分仅针对App安全: 42% 33% 25% 高中低经过上述数字资产钱包测评之后, 我们的区块链安全团队发现多数钱包在对私钥安全和本地 数据存储安全方面做的相对较好, 但是对于助记词的保护稍显不足. 由于有用户操作的部分 参与在内, 助记词安全的保护相比私钥要更为复杂, 一旦用户操作不当就可能导致助记词的泄 露, 所以助记词的安全需要引起更多的重视;