尽管用户绑定了 GA,但校验时允许切换到低安全等级的校验方式,导致 GA 校验被绕过,用户绑定 GA(Google Authenticator),就是考虑到 GA 的安全等级更高更安全。但 OKX 在对用户敏感操作做校验时,比如添加白名单地址、提币、各类验证项设置变更等,可以直接切换为低安全等级的校验方式,比如短信。
用户敏感操作发生时,比如:关闭手机校验、关闭 GA 校验,修改登录密码,均不会触发 24 小时禁止提币的风控措施。其中修改登录密码的风控措施采取了折衷的方式,在新设备上登录才会触发。
OKX CEO Star 回应:目前没有任何一起用户资损案例是通过 GA (谷歌验证器) 切换到 SMS (短信) 完成的。免认证地址是为 API 用户自动化提币需求设计,设置限额不符合实际需求。可以考虑引入沉默的免认证地址自动过期的机制。GA 安全级别确实略高于 SMS,但不是绝对安全。盗取用户 SMS 的方法有设备木马植入、SIM 卡复制、伪基站、通过 SMS 服务商盗取等手段。黑客盗取用户 GA 可以在用户设备上植入木马或盗取 google 账户(开启云同步)。对于 OKX 自身原因导致的资损将全额赔偿。
OKX 发布关于近期个别客户账户出现安全事件的情况说明: 已经核实有人伪造司法调证文书,获取了极个别客户的信息。此事已经在司法机关立案调查中,具体细节我们无法透露更多。我们已经优化了司法协作的流程,引入核实机制,加强了 AI 刷脸的安全级别,后续会对地址薄里认证地址引入过期机制,杜绝此类事件再次发生。
Star Xu 表示,OKX已经对重置安全项 升级了新一代的AI刷脸检测,同时对于余额大于某个限额的账户所有重置安全项的请求引入双重人工复核,可以确保这类AI换脸攻击不会再发生。对于伪造调证手续获取用户信息的几位客户,我们已经实施了对客户账户的监控,确保资产安全。
事情还没有结束。新加坡做市商 QuantMatter 自称其 OKX 机构账户 1160 万美元在 5 月 30 日突然被盗,黑客新增了多个白名单地址,资金被换成 BTC ETH USDC USDT 转走至链上地址,目前资金没有移动。与此前多起案件不同,该做市商对吴说表示设置了离线谷歌验证器,提币需要邮箱与 GA 双认证,由创始人与合伙人两人保管。这也意味着大概率黑客盗币使用了离线 GA 验证以及做市商的 GA 被盗。尽管经过了十多天,被盗原因目前做市商自身、安全机构、OKX 等均无法确定,还需要进一步调查。该做市商已经在新加坡报警,并且联系了超过 5 家安全机构进行检查。
Star Xu 对此回应:该账户与其他案例没有共同点,时间也完全不一样,目前还在深入调查中。可以确定的是,有完整的日志表明提币由网页端发起,提币请求输入了完整的GA和email验证码。
在你将这种吸引力视为机器人空投盛宴之前,请考虑每个链上用例都由机器人主导。大部分的代币交易是由机器人完成的。加密游戏也是由机器人玩的,因为它们仍然主要由金融激励驱动。NFT 市场做市也是由机器人完成的。AI 代理(更聪明的机器人)开始参与链上经济。即使是我们的社交金融宠儿也严重依赖机器人,使社交金融更不社交化。加密是关于激励和资源协调,到目前为止,机器人已被证明是出色的目标用户,用于收获链上激励。未来,代理 DAO 和 UBI ,已经比我们所设想的距离更加接近。