—

撰文 |?大掌柜

我们每天享受着数据传输给生活带来的便利，但隐私泄露问题也随之而来。尤其数字货币领域，敏感数据的泄露会带来两大难题：丢币；且基本无法找回。

早在17年，315就披露过“恶意充电桩”事件。手机一旦连接到这种被改装过的充电桩，便会被植入木马并在后台自动运行。

之前掌柜有分享过为什么不推荐用手机摄像头生成随机数，原因有两个：① 手机摄像头生成的随机数属于传感器随机，而传感器随机性非常差；② 手机摄像头存在被攻击的风险敞口。

掌柜这些年很深的一个感悟，就是这个世界最不缺的就是牛人。国外就有一名黑客（Twitter@_MG_）自制了一款苹果手机数据线，并给它命名为“O.MG Cable”。OMG数据线两头的电路板里被塞了一个WiFi发射器，当手机通过这条数据线连接电脑时，攻击者可以在WiFi覆盖范围内（约30米）远程控制OMG数据线连接的两台设备。

攻击方式包括：通过远程运行命令控制设备锁屏，诱导被攻击者重新解锁，以此来收集密码信息；发送一些以假乱真的钓鱼网站到电脑屏幕；等等。

如果你认为这种攻击方式只能被用在苹果数据线，那就太naive了。人家只是觉得苹果数据线块头更小，挑战性更大，更能证明实力。也就是说，改装安卓数据线的难度更低。

总结下攻击条件：

?使用改装过的数据线连接电脑：用电脑给手机充电、传输资料的场景非常常见，攻击者只要成功替换数据线并诱导被攻击者使用即可；

?允许手机信任电脑：最常见的场景就是连接手机到自己的个人电脑，大概率会选择信任；

?攻击者和被攻击设备在同一网络环境下，物理距离不超过WiFi覆盖范围（实际在附近WiFi的覆盖范围内也是有风险的）

而且当反应到信息被泄露时，大多数人会认为是某平台出售了用户资料或者怀疑自己访问了某些钓鱼网站等，几乎不会想到是数据线的问题。

所以，使用离线手机或者电脑作为冷钱包，或者用通过USB数据线传输信息的硬件钱包，并不能完全避免私钥触网这一风险敞口。掌柜在《离线手机或电脑VS专业硬件钱包》中还分享了分别针对离线电脑、离线安卓手机、离线苹果手机的一些其他攻击手法。

最后，掌柜给到大家一些预防离线手机冷钱包泄露敏感数据的建议：

1. 安卓手机连接电脑时，不要打开USB调试，苹果手机连接电脑时，选择“不信任”此电脑（当然最好不要连接电脑）；

2. 不要使用不明来源的数据线、耳机、充电宝等；

3. 不要在公共网络环境下操作使用；

4. 使用二维码交互的硬件钱包（如Cobo金库）作为数字资产管理工具。

最后的最后，愿所有囤币党都能达到?这种?境界，共勉！

参考链接：

[1]https://techcrunch.com/2019/08/12/iphone-charging-cable-hack-computer-def-con/?guccounter=1

头图：Photo by Milin John on Unsplash