知名数字钱包安全漏洞：加密数字货币资产存在被盗风险

加密数字货币资产的安全性完全基于加密数字钱包本身私钥的安全性，而私钥是唯一的数字资产凭证。因为私钥一旦创建就无法修改或重置，只要私钥不丢失，资产就不会丢失。因此，整个加密数字资产的安全话题围绕着私钥的存储和使用展开。对于目前手机钱包采用的轻钱包模式，用户终端私钥存储的安全性是一个非常核心和关键的问题。设计不当可能导致私钥丢失和资产被盗。

基于猎豹移动发布的《2018全球加密数字货币钱包安全白皮书》内容，我们首先对市面上数字钱包产品的私钥存储问题进行了安全分析，发现比特币钱包和Jaxx区块链钱包是私钥存储区的两款产品。存储中有巨大的安全漏洞。

比特币钱包是一个非常有名的比特币钱包，拥有超过 500,000 的用户安装和良好的声誉。但在分析过程中发现，比特币钱包助记词以明文形式存储在系统的/data/data/com.bitcoin.mwallet/files/profile文件中。

也就是说，比特币钱包已经将资产的安全性完全委托给系统进行保护，但我们知道，系统本身非常复杂，充满了各种安全漏洞。只要利用一个漏洞，就能瞬间获得比特币钱包的帮助。注意单词和私钥。例如：只要你手机中的任何APP利用漏洞获得了系统的ROOT权限，那么APP就可以即时获取钱包的助记词，从而可以随时盗取数字资产，而上述动作在后台是完全可以的。发生了什么，用户完全不知道；更可怕的是，即使应用没有ROOT权限，

根据猎豹移动提供的白皮书，存储在用户设备中的私钥/助记词必须使用安全的加密方式进行加密。作为众所周知的数字钱包pi币骗局，比特币钱包无法正确加密并存储在用户的设备中。钱包的私钥/助记词让超过 50 万用户面临巨大的安全风险。

Jaxx 是另一个著名的移动加密货币钱包，具有大量功能，包括支持多种货币类型，以及最近添加的数字货币兑换平台，允许用户在钱包内兑换比特币、以太坊和 ERC20 代币。

在检查 Jaxx 的数据备份机制时，我们发现了比比特币钱包更严重的安全漏洞。事实上，存储在 Jaxx 中的私钥很容易被黑客窃取。

获取JAXX的私钥文件，需要完成2个步骤：1)获取存放私钥的数据文件；2)解密存放私钥的数据文件

第一步：获取存储私钥的数据文件

我们有两种方法来获取存储私钥的数据文件：

方法1)利用系统的备份机制，通过adb备份命令或者BackupManagerService提供的API，可以得到保存在JAXX中的私钥的数据文件。此类安全漏洞的发生是因为JAXX开发团队忽略了Android APP的一个重要安全设置参数android:allowBackup的使用，没有正确设置android:allowBackup参数，从而导致了安全漏洞的发生。在猎豹移动发布的2018年加密货币数字钱包安全白皮书中，数据备份的安全风险是一个很容易被忽视的内容。

方法2)利用系统漏洞，绕过系统的安全边界，获取用于存储私钥的数据文件。

第二步：解密存储私钥的数据文件

JAXX 使用 AES 算法对存储私钥的数据文件进行加密。在密钥长度满足一定条件、算法正常使用的情况下，AES加密的文件基本上是不可能被破解的。但是，JAXX 团队在使用 AES 加密算法时有一个重大错误，没有正确使用 AES 加密算法。JAXX 的 AES 加密中使用的关键参数是硬编码在代码中的，而不是根据某些安全规则随机生成的。因此，只需通过简单的逆向分析能力就可以得到AES加密参数，进而分析存储私钥的数据文件的内容。解密。下图显示了 JAXX 产品中使用的固定 AES 加密参数：

完成以上两步后，JAXX钱包的私钥文件就可以很容易被攻击者获取并轻松解密。

自 JAXX 发布以来，已经有超过 100,000 名用户在使用它，并且最新的更新还增加了对交易所的支持。可见，用户还是很喜欢 JAXX 的。但是，由于没有使用正确的安全设计理论，JAXX 的 10 万用户已经处于非常高的安全风险之中。

猎豹移动发布的加密数字货币钱包安全白皮书，一方面让用户更加清晰地了解和了解数字货币钱包的安全问题pi币骗局，提高警惕；另一方面，通过提出数字货币钱包安全标准，在行业内推广同类产品。安全升级，共同保护用户资产安全。我们认为比特币钱包产品团队和 Jaxx 区块链钱包产品团队可以在短时间内完成漏洞修复，但由于私钥已经存在泄露风险，这两款产品的用户应该在开发者升级版本前立即切换到其他安全加密数字钱包应用，如猎豹移动发布的SafeWallet，重新创建一个新的钱包地址，通过转账将旧地址的资产转移到新地址，最终使旧地址失效。只有这样，才能保证数字资产的安全。