駭客竊取MyEtherWallet網站用戶乙太幣事件過程整理

我在ITHOME得知這個事件。綜合Doug Madory，還有Louis Poinsignon的這兩篇文章，我來整理發生了什麼事。

「中島公園」的秋意濃
日本札幌市

【駭客的目標】

駭客想要欺騙MyEtherWallet.com網站的用戶，改連接到駭客另外準備好的網站。我用瀏覽器作為例子，當不知情的用戶，瀏覽器網址列輸入「MyEtherWallet.com」打開的時候，會以為連接到官方的伺服器。實際上，連線到駭客自己準備好了的伺服器。

另外一個背景資訊是，MyEtherWallet.com網站的服務，是架設在Amazon AWS雲運算服務上面的。他們DNS的地址解析，也是直接租用Amazon AWS上面的 Route 53服務。


【什麼是Amazon Route 53?】

對於一般的用戶來說，Amazon Route 53就是DNS解析服務。但是對於網站業者來說，Route 53是一個智慧型的DNS解析服務。網站伺服器通常都分布在全世界各地。Route 53能夠動態地針對目前各網站伺服器的負載、是否在線的狀態，或是所指定好的規則，針對不同的用戶端DNS請求，回應不同的IP地址。簡單的說，就是Amazon所提供的，全世界都可連接的負載均衡(Global Server Load-balancing)服務。

補充一個背景資訊，提供Amazon Route 53服務的伺服器本身的主要公開IP地址，是包含在下面這五個公開地址段裡面。

• 205.251.192.0/24
• 205.251.193.0/24
• 205.251.195.0/24
• 205.251.197.0/24
• 205.251.199.0/24

換句話說，任何用戶的電腦，在解析MyEtherWallet.com的時候，都會向這五個地址段裡面的DNS伺服器，發出DNS解析請求封包。

【BGP協議快速回顧】

BGP協議所執行的工作，就是網路業者內部、或不同業者和業者之間的網路硬體，來交談和探知不同的IP地址段(IP Prefix)，分別由那些網路業者所擁有。

這個IP地址段誰擁有的資訊，可以讓網路業者的網路硬體，知道不同目的地地址的封包，應該分別往哪個下一站送出。簡單地說，例如網路業者A宣稱擁有IP地址段X，所有參與BGP協議的網路硬體，都會將封包往趨近業者A的方向送出。

因此，如果這個資訊是錯誤的，封包就會被往錯誤的方向送出。

【駭客做了什麼】

駭客想辦法讓美國eNet這家網際網路業者，透過BGP協議，偽冒Amazon的身分，宣稱擁有前面提到的Amazon Route 53的五個IP地址段的路由資訊。換句話說，受害用戶的解析DNS請求，會改成往eNet這家業者的網路送出。

我的判斷，eNet業者網路裡面，一定也存在駭客準備好的DNS解析伺服器，IP地址剛好就設定成前面提到的五個地址段內的地址，因此，這些伺服器，可以攔截到受害用戶的DNS解析請求。當然，駭客伺服器回應的解析結果，就是駭客自己準備好了的網站伺服器IP地址。目前已知，這些駭客準備好的網站伺服器，都不在美國國內。

另外，只要相信了eNet所宣稱資訊的其他業者，他們的網路用戶，只要打開MyEtherWallet.com網址，受害的結果都是一樣的。

因此，駭客的確達到他們設計的目標。


One more thing…

雖然還沒有足夠證據明確指控，我幾乎可以確定，駭客已經差不多控制了 eNet這個網路業者。不只是能夠產生偽冒的BGP資訊，同時還在eNet網路內部植入了有問題的DNS名稱解析服務。因此，選擇足夠安全的網際網路業者，其實遠比想像中重要。

另外，MyEtherWallet.com雖然租用了Amazon.com的各種服務，整個駭客的過程，其實都跟Amazon無關。封包根本就還沒有進入Amazon，就被往駭客的DNS服務送過去。