2019年至今，黑客如何从交易平台窃取价值4亿的数字货币？

摘要：谁能保护您的数字资产？

近期，数字货币交易平台被盗事件，登上了各大媒体的头条。其中，全球排名前十的数字货币交易平台币安被黑客盗取了7000 BTC（当时市场价格为4000万美元）。这一重大安全事故瞬间引起了科技媒体的关注，让久违的数字货币交易平台安全问题重新回到了公众视野。哪些漏洞导致这些交易平台被盗？谁能保证用户的资产安全？

一、交易平台失窃事故回顾

2019年以来，官方宣布被盗的数字货币交易平台已有8家，正式付费用户仅3家，平台自有资产1家。其中，安全问题突出的Cryptopia一个月内被盗两次，目前正在维护中。

平台被盗的原因包括交易平台官方钱包被入侵、hard_fail、验证码劫持、私钥被盗、多种攻击方式组合。归根结底，交易平台被盗的原因主要分为两类。一是平台自身技术风控和防御体系的缺陷。黑客利用安全漏洞入侵平台窃取数字货币；二是平台内部制度缺失，导致用户个人信息被盗。个人信息现象。

二、平台风控防御系统缺陷

数字货币交易平台技术风控体系的缺陷主要是缺乏安全攻防测试，缺乏安全防御系统部署。对于Mercatox等没有经过安全测试的数字货币交易平台，黑客通过hard_fail转账交易来获取平台服务器的“信任”。不难看出，平台缺乏技术审计和测试能力会导致此类低级安全事件。如果平台在合约上线前寻求第三方机构进行安全测试，数千个EOS不会被盗。当然，只有少数交易平台在安全测试方面存在缺陷，但这个环节需要更多的关注。

大多数交易平台主要在风控和防御系统的部署方面存在不足，例如BiKi和Binance。BiKi事后官方公告指出，黑客通过劫持用户第三方服务商验证码短信的方式，攻击部分未绑定谷歌验证码的用户。在这里，其自身的风险控制系统存在问题。首先，它忽略了对单个验证用户的劫持。二是不对修改登录密码和交易密码的账户设置一定时间的提现和交易限制。三是没有树立用户安全意识。. 好在BiKi当时并没有完成这些提款的审批，否则损失会进一步扩大。

与互联网金融公司相比，数字货币交易平台在风控和防御系统方面存在不足。以币安为例，虽然币安使用SAFU基金承担了本次事故的全部损失3月1日虚拟币出金冻结银行卡，避免了用户的损失，但这种赔偿并不完美，无法应对更广泛的安全事件的赔偿。这起事故的主要原因是风险控制和防御体系存在缺陷。首先，币安的防御能力不足以应对大规模的系统性攻击。黑客是如何获取大量用户的 API 密钥和谷歌验证码的？大量用户密钥不是一天获取的。如果黑客通过网站钓鱼获取用户账号、密码等信息，为什么币安没有早点找到假币安网站的URL地址和页面内容，或者没有发现黑客使用了币安？官网服务器程序中存在将危险的 HTML 代码插入网站某些页面的漏洞怎么办？此外，叠加病毒等其他攻击方式的复合攻击防御技术也存在不足。

其次，币安的风控存在很大问题。虽然被盗的 7000 BTC 仅占币安官方公布的 BTC 总持仓量的 2%，但这并不能掩盖币安平台在提现、审批、转账等环节的风控问题。

三、内部制度缺失的问题

此前，在《IPO前后的巨变，交易所为何寻求“合规”》一文中指出，数字货币交易平台具有多重身份。Bithumb平台被盗也反映了多重身份下内部系统功能缺失。Bithumb官方平台表示，异常提现并非外部攻击，初步认定为内部员工盗用数字货币“私钥”。这种情况反映了过多的权力集中在Bithumb平台内部的功能岗位上，内部没有进行必要的功能分解，建立了必要的监督和制衡体系，这将导致内部员工使用他们拥有的完整“私钥”来转移数字货币资产。行为的行为。

这并不是数字货币交易平台权力过度集中的孤立案例。加拿大数字货币交易平台 QuadrigaCX 因创始人 Gerald Cotton 去世欠客户1.9 亿美元，大部分资金无法使用，最终破产，这就是过度使用造成的危害。数字货币交易平台职能岗位的权力向平台和用户集中。

另一方面，也可以看出Bithumb内部责任制的缺失，并没有阻止不负责任的员工或离职员工利用自己需要获取的信息损害平台。内部人员获取和使用内部数据应申请审核授权并注册备份。谁滥用内部数据损害平台3月1日虚拟币出金冻结银行卡，将承担此类行为的后果。

四、个人应该如何防止账号密码被盗

数字货币交易平台除了需要完善风控防御体系、完善内部制度外，个人投资者应该如何防止账户密码被盗，甚至导致数字资产流失？针对此问题，RatingToken安全技术人员指出，个人投资者需密切关注以下6点：

1.登录银行、交易所、钱包等网站时，始终使用以https开头的安全链接；

2.手机、电脑、硬件钱包等联网设备请勿随意使用第三方未知Wifi；

3.如果前提允许，必须安装杀毒软件，拒绝“裸奔”；

4. 当网页和APP出现异常情况时，及时确认并终止重大操作；

5. 不要打开来历不明的插件、邮件、链接；

6. 应尽可能将大量数字货币资产转移到知名可靠的冷钱包中。