Cybernews 研究团队发现，ByteX 旗下的集中式加密货币交易所 GokuMarket 留下了一个开放实例，泄露了几乎所有用户的详细信息。

此次泄露是在该团队发现一个未受保护的 MongoDB 实例之后发生的，该实例存储了 GokuMarket 加密货币交易所用户的信息。

企业使用 MongoDB 来组织和存储大量面向文档的信息，在 GokuMarket 的案例中，存储了超过一百万客户和管理用户的详细信息。

GokuMarket 是一家加密货币交易所，最近被加拿大加密货币交易所 ByteX 收购。此举是在当时拥有约 100 万用户的 GokuMarket 在 2022 年年中（对加密货币来说是灾难性的一年）拒绝用户提款选择后几乎破产之后发生的。

GokuMarket 暴露的数据库于 2023 年 10 月被发现，并在研究人员发送负责任的披露说明后的第二天就得到了保护。

然而，该数据库暴露在网络上一段时间了，这意味着任何人都可以访问它。与此同时，开放实例保存着超过一百万用户的大量敏感数据。数据包括：

• 用户IP
• 国家
• 电子邮件地址
• 加密密码
• 用户加密钱包地址
• 出生日期
• 名字和姓氏
• 手机号码

研究人员认为，对于持续攻击者来说，有足够的信息来开展鱼叉式网络钓鱼活动，其目的很可能是耗尽用户的加密货币资金。

此外，该团队发现该数据库拥有 35 个具有完全管理访问权限的帐户，包括私人 Telegram 频道 ID、交换平台秘密令牌、密码和其他极其敏感的信息。

虽然个人用户数据可能会被利用来通过撞库攻击来瞄准其他平台上的暴露用户，但管理访问详细信息会带来更可怕的蠕虫病毒，攻击者可以获得集体诈骗的能力，并个人会面临资金未经授权被转移的风险。

---

转自安全客，原文链接：https://www.anquanke.com/post/id/291973

封面来源于网络，如有侵权请联系删除