研究：骇客挟持Tor流量以窃取比特币

一名代号为Nusenu的独立安全研究人员在本周指出，Tor网络中存在着大量的恶意出口节点，借由SSL Strip中间人攻击取得HTML流量，而且只在发现造访目标为Bitcoin Mixer服务时发动攻击，并将使用者所输入的钱包位址置换成自己的。

Tor网络是个开源的匿名传输架构，借由3道加密程序与3个节点来传送流量，这3个节点依序是入口节点、中继节点与出口节点，从使用者端到出口节点之间的流量都是加密的，只有入口节点知道流量的来源，也只有出口节点知道流量的目的，且从出口节点到目标网站之间的连结并未加密。Tor网络上的节点是由志工组成，估计全球至少有7,000个节点。

然而，Nusenu却发现，由于Tor专案并未严格审核该网络上的节点，使得骇客得以部署恶意的出口节点，挟持使用者连至网站的流量，在今年5月下旬时，骇客控制了Tor网络上24%的出口流量，即便是在他提出警告之后，截至今年的8月8日，仍有超过10%的出口流量被骇客操纵。

骇客只透过SSL Strip手法攻击那些连向Bitcoin Mixer服务的流量，Bitcoin Mixer服务让使用者把比特币从一个钱包转移到另一个钱包，但当中会先将比特币打散，先传输到数以千计的临时钱包，再转移到目标钱包；SSL Strip指的是骇客介入了将HTTP流量变更为HTTPS流量的过程，移除了将HTTP流量重新定向为HTTPS流量的能力，让骇客得以存取未加密的HTTP流量，置换Tor用户所输入的目标钱包位址，用偷天换日的方式盗走比特币。

Nusenu说，他在去年底就曾知会Tor专案，当时该专案原本要指派专人来改善此事，然而，随着武汉肺炎（COVID-19）疫情的爆发，人力的裁减让该计划不了了之。

由于最终连向Bitcoin Mixer服务网站的流量是采用HTTP协定，因此只要这些网站启用HSTS（HTTP Strict Transport Security）或HTTPS Everywhere，都能避免相关的攻击，但在Nusenu察觉攻击行动的当下，并未有任何Bitcoin Mixer网站采行HSTS与HTTPS Everywhere政策。