推特被黑得最惨一次侵入名人账号骗走总价11.6万美元比特币

新浪财经综合2020-07-20 11:59:320阅

原标题：推特被黑得最惨一次：4个人干的黑客侵入比尔·盖茨、奥巴马等名人账号短时间骗走总价11.6万美元的比特币

来源：潇湘晨报

{image=1}

网友调侃推特的安全性不足，技术防御形同虚设。

{image=2}

网友调侃推特的技术维护现状。

{image=3}

推特被黑扫描二维码看推特被黑事件及网友调侃

“每个人都在要我回馈社会，是时候了。接下来的半小时，我的比特币账户收到的钱，我都会双倍奉还。”比尔·盖茨的推特号7月15日发出消息。不光是他，美国前总统奥巴马、前副总统乔·拜登、全球首富杰夫·贝索斯、说唱歌手“侃爷”，以及巴菲特、埃隆·马斯克等亿万富豪的推特都发了类似消息。

看起来是一场大规模慈善活动？不，他们的账号都被黑了，黑客很短时间内就骗走总价11.6万美元的比特币。这是推特被黑得最惨一次，然而这一切的幕后团队只有4个人，纽约时报7月17日发表了他们的自述，如何黑掉推特。

“只要给特定账号汇入相当于1000美元的比特币，就能获得双倍返还。”7月15日晚众多政商名流的推特都发了这一消息。亚马逊公司首席执行官杰夫·贝索斯、微软公司创始人比尔·盖茨和特斯拉公司首席执行官埃隆·马斯克位列全球十大富豪榜，在推特上的粉丝数以百万计。据《福布斯》杂志估算，这3人的合计资产达到3620亿美元。

此外，苹果公司、优步公司等公司账号均被黑客侵入，还有多家以虚拟货币业务为主的企业遭殃。推特以及美国联邦调查局（FBI）的调查仍处于早期阶段。4名参与这一攻击事件的黑客对纽约时报讲述了他们是如何策划攻击推特的，并分享了他们的对话记录和截图，曝光了他们在入侵攻击曝光前后所从事的活动。

入侵计划从两名黑客闲聊开始

这场针对政客、企业以及文化精英的推特入侵计划始于7月14日晚些时候。当时，两位黑客在网络消息平台Discord上互相调侃。Discord是一个玩家和黑客们常用的消息平台。

这次攻击的关键人物是一位名叫“Kirk”的用户。“嘿，兄弟，”对话截图显示，“我在推特工作，不要把这些给任何人看，真的。”

随后，Kirk演示了他可以控制一些重要的推特账号。这一过程需要内部人士访问推特的计算机网络。

收到这一消息的黑客使用的账号名为“lol”。他在接下来24个小时内认定，Kirk实际上不是为推特工作，因为Kirk过于愿意伤害推特了。但是，Kirk确实能够访问推特最为敏感的工具，从而几乎能够控制任意推特账号，包括美国前总统奥巴马、特斯拉CEO埃隆·马斯克和其他众多名人。

黑客与纽约时报的对话显示，发动此次攻击的并不是国家力量或者经验丰富的黑客组织。相反，它是由一群年轻人完成。他们之间彼此认识是因为他们十分迷恋一些早期或者不同寻常的用户名，尤其是单个字母或者数字，例如@y或者@6。

纽约时报证实，这4名黑客的社交媒体和加密货币账号，能够和15日发动入侵推特攻击的账号相匹配，从而证明他们确实和这起事件存在关联。他们还提供了参与这起攻击的确凿证据，例如他们在Discord和推特上的对话记录。

最年轻的19岁，和妈妈同住

这起攻击事件的核心人物是Kirk。纽约时报在区块链分析公司Chainalysis的协助下对比特币交易的分析显示，随着时间的推移，Kirk掌控了同一个比特币地址内的资金进出。

但是，Kirk的身份、他的动机以及是否与其他人分享了他的推特权限依旧是一个谜，就连与他一起参与攻击的黑客也不知道。

lol和另外一位一起合作的黑客“eversoanxious”（意思是非常焦虑）对纽约时报表示，他们讨论与Kirk合作，只是为了15日稍早时候对不出名的推特账号的购买和接管提供便利。Kirk在美国东部时间15日大约15时30分（北京时间16日3时30分）开始实施更为引人关注的攻击时，他们不再与Kirk合作。

“我只想告诉你们我的故事，因为我认为你们或许能够帮我和‘eversoanxious’澄清一些事情，”lol在Discord上的对话中表示。他分享了自己与Kirk的所有对话记录，证明他拥有此前用于与Kirk交易的加密货币账号。

lol无法证实他的真实身份，但表示他生活在西海岸，20多岁。“eversoanxious”说他今年19岁，与他的妈妈住在英格兰南方。

调查这起攻击事件的调查人员称，这些黑客提供的多个细节与调查人员目前所掌握的信息一致，包括Kirk同时参与了周三稍早时候的低调攻击和晚些时候的重大入侵活动。

纽约时报一开始通过加州安全研究人员哈西卜·阿万（HaseebAwan）联系上了这些黑客。据阿万介绍，他之所以能够与黑客们进行沟通，是因为许多黑客曾经把阿万和他曾经拥有的一家比特币相关公司当作攻击目标。而且，黑客们还曾经对阿万目前的安全手机服务提供商Efani发动过攻击，但是没有成功。

买卖社交网络靓号，一个号卖出1500美元

在7月15日之前，Kirk在黑客圈里并没有多大的名气。他在Discord上的资料在7月7日才刚刚建立。

但是lol和“eversoanxious”在黑客网站OGusers.com上已经众人皆知。安全专家称，多年来，黑客们都是在OGusers碰头，购买和出售有价值的社交媒体用户名，也就是靓号。

对于网络玩家、推特用户以及黑客们来说，所谓的靓号十分抢手。该用户名通常是一个短字，甚至是一个数字。这些吸引眼球的靓号通常会被一个新在线平台的早期使用者、新应用的元老级人物所抢占。

对于新用户来说，他们常常渴望获得一个靓号所带来的威信，愿意向黑客支付数千美元购买后者从原始所有者盗来的靓号。

Kirk先是在14日晚些时候通过Discord联系了lol，然后又在15日联系了“eversoanxious”，问他们是否想成为自己的中间人，在网络黑市出售推特账号，并且从每笔交易中抽成。

根据他们达成的首批交易记录，其中的一笔，lol安排了一笔交易，有人愿意以价值1500美元的比特币购买名为@y的推特用户名。比特币交易的公共账本显示，这笔钱所进入的比特币钱包与Kirk后来从入侵推特名人账号所获得的款项使用的比特币钱包相同。

他们在OGusers.com网站上发布了一条广告，出售推特靓号以换取比特币。“eversoanxious”拿下了@anxious，这是他梦寐以求的用户名。

“我觉得，拥有一个其他人想要的用户名是一件很酷的事情。”“eversoanxious”在与纽约时报的对话中称。

周三早晨过后，抢购靓号的顾客蜂拥而入，Kirk所要的价格也水涨船高。他还演示了自己拥有多大的推特系统访问权限。他能够迅速改变任何用户名的最基本安全设置，并发布了推特内部后台截图，以证明他掌控了顾客索要的账号。

他们先后卖出了@dark、@w、@l、@50、@vague以及其他许多推特靓号。其中一位顾客就是黑客圈买卖用户名的另外一位知名人物，他就是名为“PlugWalkJoe”的年轻男子。

为赚更多钱，黑了多家公司

7月16日，“PlugWalkJoe”成为网络安全记者布莱恩·科雷布斯（BrianKrebs）所发布一篇文章中的主角。科雷布斯认定，“PlugWalkJoe”就是推特被入侵事件的关键人物。

Discord上的聊天日志显示，“PlugWalkJoe”通过“eversoanxious”获得了推特账号@6，并略微进行了个性化处理。“PlugWalkJoe”自称他的真名为约瑟夫·奥康纳（JosephO’Connor）。他在接受纽约时报采访时称，当攻击事件发生时，他一直在西班牙目前的家中附近做按摩。

“我不在乎，”奥康纳称，他今年21岁，是英国人，“他们可以来抓我。我会嘲笑他们，因为我没做过任何事情。”

奥康纳称，其他黑客通知他，当Kirk找到方法进入推特内部Slack聊天频道时，看到了推特员工在聊天频道里发布了的访问凭证，而且还有一项能够让他访问推特服务器的服务。调查人员称，这与他们目前所掌握的信息一致。推特发言人以正在调查为由拒绝置评。

涉及lol与“eversoanxious”的所有交易都发生在推特入侵事件被曝光前。但是就在快要到美东时间15日15时30分时，Coinbase等大型加密货币公司开始发布推文，要求人们向cryptoforhealth.com捐赠比特币。

“我们刚刚攻击了Coinbase，”Kirk在Discord上对lol说道，当时距离Kirk接管Coinbase的推特账号刚刚过去一分钟。

3位调查人员称，比特币交易的公共账本显示，用于付款建立cryptoforhealth.com网站的比特币钱包就是Kirk整个早晨一直在使用的钱包。

在周三早晨发布的多条信息中，“eversoanxious”说他需要睡会觉，因为英格兰时间当时已经是晚上了。他向自己的女友发布了一条短信，“小睡一会”，然后就从Discord聊天记录中消失了。

名人被黑，推特技术支持中招

黑了多家加密货币公司账号后，Kirk没有满足，迅速升级了他的攻击。从奥巴马、拜登等，到比尔·盖茨、贝索斯等科技大佬，再到“侃爷”、金·卡戴珊等艺人，推特账号发出了同一条信息。

于是，人们看到，奥巴马的推特说，“因为新冠疫情，我要回馈社会！所有打到我账上的钱，都将以双倍返回。如果你打给我1000美元，我将给你2000美元！（一串比特币钱包地址）活动只在接下来30分钟进行！祝大家玩得愉快。”过了一分钟，奥巴马的推特说，“刚刚送出去40000美元！”

推特技术支持的账号发布消息，意识到出现安全问题。讽刺的是，这个号随后也被黑了，发布同样的“1000美元双倍返还”消息。

当“eversoanxious”在英国当地时间16日2时30分醒来后，他在网上看到了所发生的一切，然后向他的中间人lol发送了一条信息。

“真是悲哀，让人生气，我的意思是说他才赚了20个比特币。”他指的是Kirk从比特币骗局中获得的比特币。据报道，黑客似乎是“从大约300人手中骗走了约11.6万美元”。