本周二晚，全网最知名的以太坊钱包查看网站MyEtherWallet在部分地区被谷歌DNS劫持，导致大量用户访问该地址并跳转至钓鱼网站，损失超过30万美元数字资产。
具体细节我就不多说了。 简单来说，黑客利用互联网运营商网络协议中存在已久的漏洞，干扰“网站导航器”，导致用户在访问A网站时，却转到了B网站。如果B网站是模仿A网站的钓鱼网站，那么，用户将很难辨别真假，B网站的任何操作都会被黑客记录，包括账户密码、上传的文件、操作行为等。
早在3个月前就暴露安全风险的Blue Protocol今天凌晨再次发布安全警告。 MyEtherWallet 网站的 DNS 劫持仍在继续。 请不要访问。
针对此事件，BlockBeats（ID：BlockBeats）与区块链安全团队PeckShield和imToken钱包技术专家进行讨论，认为MyEtherWallet用户资产钓鱼事件的主要责任在于用户和运营商、用户和项目方的安全意识有待提高。
但该事件也宣告了网络钱包工具即将消亡。
MyEtherWallet 是一个什么样的网站？
2017年进入币圈的用户应该熟悉这个网站，这是一个基于网页的用于生成和查看以太坊钱包的工具。 在钱包应用还没有流行的时候，大家要么使用客户端版的钱包，要么使用网页版的MyEtherWallet。
用过的人都知道，MyEtherWallet 对于重视用户体验的中国人来说非常不友好。 但这并不妨碍MyEtherWallet成为最大的以太坊网络钱包应用程序。
BlockBeats（ID：BlockBeats）发现MyEtherWallet的月PV为1400万，用户数量非常多，停留时间也非常长，达到4分半钟。
从MyEtherWallet的接入地区来看，美国、俄罗斯、越南、日本是主要的。 这些国家没有非常受用户欢迎的钱包应用程序，这是他们使用网络钱包的主要原因之一。
MyEtherWallet的流量来源中，75%的流量是直接访问，即直接在浏览器的地址栏中输入或点击浏览器的收藏夹进行访问。 直接访问，符合MyEtherWallet时刻提醒用户的安全准则。
保安公司4个月前发出警告，却被质疑为骗子
今年年初飙升的价格让MyEtherWallet团队无法忍受任何批评，不愿承认他们的网站面临被DNS劫持的风险。
今年1月9日，去中心化两步验证团队Blue Protocol在推特上连续发布多条针对MyEtherWallet的DNS安全警告，称多个地区的用户表示在访问MyEtherWallet时会被导航到假冒的MyEtherWallet网站。
此时引发了不少讨论，MyEtherWallet 团队回应称“打击谣言传播”，并配上鸡汤文“黑暗后总会有阳光破晓”。
以太坊基金会的 Hudson Jameson 甚至称该团队“令人厌恶”，因为“散布谣言以引诱用户使用他们的服务”。
但现在，反驳这条安全警告的两人却被网友打脸了。
为什么MyEtherWallet团队如此有信心？ 也许是受到流量激增的影响，MyEtherWallet 的网站流量在 1 月份创下历史新高，成为网络钱包工具中访问量最大的网站。
他们天真地认为传统互联网中存在的黑客套路不可能出现在区块链上，却忘记了即使是区块链网络也需要接入运营商网络，技术再先进也难逃打击的降维。
MyEtherWallet 已履行通知义务
用户每次登录时，页面上任何可以放置提示信息的地方都会为用户填充安全提示信息。 几乎每时每刻，MyEtherWallet 都会提醒用户：MyEtherWallet 不是银行，我们不会为您保存任何资产。 您必须了解区块链数字资产的含义，并了解您在这里使用的不是“钱包”。 授权我们的网站，记得安装metamask插件，亏钱是你自己的问题。
但用户根本不使用metamask，也不了解区块链上数字钱包的具体含义，也不看浏览器地址上的绿条。 他们只关心今天赚了多少钱、亏了多少钱。
然而，这些努力在DNS劫持面前毫无意义。
网络钱包的缓刑
毫无疑问，同样的问题已经发生过不止一次，在MyEtherWallet上至少发生过2次。 而这种因运营商网络漏洞引发的DNS劫持还将持续下去。 截至发稿，MyEtherWallet的DNS劫持依然存在。
MyEtherWallet 团队发表声明，要求用户在官方确认可以使用之前不要尝试使用 MyEtherWallet 的网络钱包。
对于这种永远不知道什么时候发生、什么时候停止的安全问题，一旦被蛇咬了十年，就怕井绳。 即使MyEtherWallet官方声明问题已经修复，你还敢用吗？
安全专家怎么说
针对MyEtherWallet发生的安全事件，BlockBeats（ID：BlockBeats）与安全团队PeckShield创始人江绪贤、imToken团队CSO Blue进行了沟通。
姜旭贤表示，对于区块链行业来说，近期发生的安全事件可以有效引导从业者提高对区块链安全问题的认识。 同时，也有助于提高公众对区块链数字资产的认知。
据了解，许多区块链团队已经计划分配部分预算来寻找安全团队或安全解决方案。 imToken团队的CSO Blue表示，DNS劫持不易防范，网页钱包在收到警告后应向用户发出安全提醒。 面对DNS劫持，网页版钱包毫无招架之力。 经历了相关事件之后，估计大家对此都会更加悲观。
对于用户来说，冷钱包或者相对安全的App钱包比网页钱包更安全。 整个行业也需要加强对用户的安全教育，普及区块链数字资产的安全教育知识，为区块链的安全生态做出贡献。
相关文章
