BIT:2019年13家交易所被“黑” ：邪惡的幽靈真的無法避開？_upbit交易所官網

9月2日，BITKER交易所的用戶群里傳來一條消息：

BITKER交易所于2019年5月28日不幸遭遇黑客攻擊，盡管我們進行了長達3個月的補救工作，但很遺憾最終未能改變現狀。由于資不抵債，我們決定關閉交易所。

投資不易，且行且珍惜。

公開資料顯示，BITKER于2017年12月成立于新加坡，專注于打造“一站式數字資產交易所”，其在非小號的綜合排名最高到達11名，今年5月遭遇黑客攻擊停運，BITKER的記錄最終停止在了9月3日。

誠然，交易所作為加密貨幣領域的基礎設施，自誕生以來便是兵家必爭之地，但同時也是常受黑客光顧的領地之一。根據BCSEC數據顯示，從2011年到現在統計的易受攻擊點被攻擊次數中，交易平臺排在第2位。

2019年已有13家交易所被攻擊

悉數歷史上的各大交易所，在被黑客攻擊之后，他們都做了什么？后來又怎么樣了？面對這些看不見的對手、邪惡的幽靈，交易所究竟是坐以待斃還是主動出擊？

破產倒閉

說起破產倒閉的交易所，最著名的當然還是Mt.Gox。

2014年2月7日，當時規模最大的交易所Mt.Gox發布公告稱“系統出現漏洞，不解決這個漏洞的話，交易細節可能會被篡改，比如，在沒有比特幣轉賬的情況下，系統中可能會顯示用戶將比特幣轉入可電子錢包。”

同年2月24日，Mt.Gox宣布暫停所有交易活動，當時訪問Mt.Gox網站只留下一個空白頁面。

報告：2022年數字資產投資產品凈流入4.33億美元，為2018年以來最低水平:1月4日消息，據 CoinShares 報告顯示，2022 年全年數字資產投資產品凈流入 4.33 億美元，為 2018 年（2.33 億美元）以來最低水平，明顯低于 2020 年（66 億美元）和 2021 年（91 億美元）的流入量。此外，2022 年做空比特幣產品流入 1.08 億美元，占比特幣投資產品總資產管理規模的 1.1%。[2023/1/4 9:52:12]

不過，根據當時網絡上流傳的一份文件顯示，Mt.Gox被黑客盜取了744408枚比特幣，這一損失多年來都未被發現。此外，除了這近75萬枚比特幣之外，平臺自身的10萬枚比特幣亦被盜，合計丟失了將近85萬枚比特幣。按當時的幣價，這波損失約在4.7億美元左右。之后，2月28日Mt.Gox無奈申請了破產。

從出現問題到倒閉，Mt.Gox只堅持了21天。時至今日，法院還在對其進行破產清算，并最終決定對客戶的賠償措施。

除了Mt.Gox之外，還有許多因為黑客攻擊而受到毀滅性打擊的交易所。BitFloor便是其中之一。

BitFloor自2011年開始運營，在當時可以算得上是全球第四大美元交易所。2012年9月4日，BitFloor的運營商報告了安全漏洞，2.4萬枚比特幣被盜。次年4月，其創始人決定關閉BitFloor，并向客戶退還存款。

Glassnode：交易所BTC余額外流仍在繼續，已觸及2018年2月水平:金色財經報道，根據區塊鏈分析公司Glassnode數據顯示，上周加密貨幣交易所BTC余額繼續下降（約占流通供應的13.0%）并達到多年來新低，目前已經回到了2018年2月的水平，當時比特幣價格在6千至1萬美元之間。上周，交易所凈流量呈深度負值（流出）正面支持了上述觀察，目前比特幣流出的速度為-9.2萬枚/月。實際上，加密市場在2020年3月后明顯轉變了模式，從交易所凈流入主導轉變為交易所流出占主導的模式。

Bittrex、Bitfinex、Kraken、Gemini和Binance在2020年和2021年的大部分時間里表現出流入和余額增長的特點，反映出在持幣量方面的主導地位不斷上升；Bitstamp、OKEx、Huobi和Coinbase自2020年3月以來，資金外流一直持續，最近幾周外流速度更快了。總體而言，隨著5月份的流入量被市場吸收并轉移到投資者的錢包中，各交易所的比特幣凈余額繼續下降。[2021/9/22 16:57:48]

與之類似的還有Bitcoinica、Vircurex，以及文章開頭提到的BITKER。

苦盡甘來

除了那些因遭受攻擊而黯然消失的交易所，還有很多交易所雖然遭受了黑客攻擊被盜幣，但是并沒有走上破產之路，而是頑強地生存了下來。

這里最典型的是Bitfinex。

動態 | 2019年阿里巴巴有526條區塊鏈專利申請數據:金色財經報道，通過國家知識產權局進行專利檢索發現，有關“區塊鏈”的專利多達12204條數據。專利申請人方面，2019年以來，阿里巴巴集團有526條專利申請數據，騰訊科技有202條專利申請數據，中國平安有373條數據（合并統計，其中平安科技有187條申請數據，深圳壹賬通有186條申請數據），中國聯通有123條申請數據，百度在線有106條申請數據。2018年，中國聯通100條，阿里巴巴集團86條，百度在線51條，騰訊科技50條。2017年，阿里巴巴集團47條，中國聯通17條。落地應用方面，據不完全統計，此前86家A股區塊鏈概念股對應的上市公司中，有21家在半年報中不僅提及區塊鏈技術，還公布了具體的落地應用領域。[2019/12/27]

2016年8月，最大的比特幣交易所之一Bitfinex被黑客避開了多重簽名之后盜走了119756個比特幣。這是繼Mt.Gox熱錢包被盜后發生的第二大交易所被盜事件。諷刺的是，Bitfinex進行軟件升級本是為了提高安全，卻沒想到軟件內含有漏洞。

時至今日，沒人清楚黑客是如何避開多個簽名盜走比特幣的，最主流的解釋是Bitfinex服務器安裝了不合適的軟件。Bitfinex當初使用的是BitGo提供的多簽交易軟件。

不過這件事情中，最受爭議的是Bitfinex在被盜之后的處理方案——平臺被盜損失必須先平攤到所有用戶賬戶，即每個在Bitfinex擁有賬戶的用戶將會被扣除36.067%資金，而不管這個賬戶的比特幣是否受到損失。同時，Bitfinex會給每位受損用戶相應數量的BFX代幣，每個代幣能代替1美元，未來可向Bitfinex全額贖回損失款項，也可選擇交換Bitfinex母公司iFinex的股票。

聲音 | 畢馬威：香港有望成為2018年全球最大IPO市場 礦機商排隊上市:據新華社消息，畢馬威20日發布了2018年三季度IPO市場分析，由于香港IPO市場三季度表現強勁及眾多企業輪候上市，畢馬威中國將香港2018年IPO集資總數預測由港幣2500億元上調至超過港幣3000億元，并預計香港有望成為2018年全球最大的IPO市場，眾多礦機商正在排隊上市。[2018/9/21]

盡管這個決定在當時受到了用戶的強烈反對，但是通過代幣進行股權融資，并使用營業額按月賠償客戶后逐步彌補虧空的Bitfinex，最終熬了過來。

類似的還有新加坡交易平臺Bitrue。據Bitrue官方推特發文，在6月27日凌晨1點左右，一名黑客利用了其風險管控團隊在對平臺系統進行第二次核查時的漏洞，侵入了近90個Bitrue用戶的資金賬戶，共損失價值約420萬美元的瑞波幣和艾達幣。

比較有意思的是，作為國人運營的交易平臺Bitrue在之前并不被中國地區的用戶所熟知，而是在北美、歐洲等地區擁有大量忠實、高端的用戶。被盜事件發生后的一周，Bitrue進行安全整頓升級并對受害者提供賠償。因禍得福，Bitrue依靠過往的口碑以及處理該事件的態度促使它開始進入國人視線。

安全一再升級

所謂“樹大招風”，一些頭部交易所也因此成為黑客攻擊的重點對象。

今年5月8日，全球頭部加密貨幣交易平臺Binance幣安被盜7074枚比特幣，按實時幣價估算，損失超過4100萬美元。根據區塊鏈數據和安全服務商PeckShield的分析，此次事件的攻擊手法是黑客通過釣魚等方式搜集幣安用戶賬號信息，然后采用71個賬號并發API提幣操作于塊高度575013處實施了攻擊。事后Binance幣安立刻宣布全額賠償用戶損失，并對相關的安全措施、程序和操作進行重大完善。

證券時報：萬家新三板掛牌公司完成2017年報披露工作 約半數公司科研范圍涉及區塊鏈技術:據證券時報消息，新三板掛牌公司2017年年報已經基本披露完畢，中國證監會新聞發言人高莉于11日表示，截至目前，共有10764家掛牌公司完成2017年年報披露工作。掛牌公司2017年簽訂重大技術開發合同金額合計255.05億元，同比增長406.76%。約有半數公司通過設立下屬研究院、與研究院合作科研項目、引進具有科研院所背景人才的方式深入開展科研，科研范圍涉及區塊鏈、人工智能等前沿技術。[2018/5/14]

事實上，這并不是幣安第一次被黑客攻擊。

2018年3月，黑客通過非法入侵幣安用戶的賬戶，將用戶各種各樣的代幣即時幣幣交易換成比特幣，將加密貨幣全部幣幣交易換成BTC，數量達1萬個BTC以上。黑客使用API交易機器人用這些BTC大量買入VIA幣，VIA的價格直接被拉高了100倍以上，然后拋售來控制幣價。

同年7月，幣安第2次遭遇黑客攻擊，攻擊方式類似第一次。慶幸的是，這兩次攻擊事件沒有給幣安及其用戶帶來實質性的損失。

除幣安之外，韓國最大的交易所Bithumb近年來也頗受黑客“青睞”，2017年6月、2018年6月和2019年3月都曾被盜幣，損失慘重。

邪惡的幽靈：交易所是坐以待斃還是主動出擊？

細數過往被黑客攻擊過的交易所，他們被攻擊的形式和原因各不相同。面對這些看不見的對手、邪惡的幽靈，交易所究竟是坐以待斃還是主動出擊？

OKEx認為，黑客攻擊主要來源有兩個方面，一方面是針對外部的網絡和服務的攻擊，另一方面是針對內部員工的apt攻擊等。

針對外部的網絡和服務的攻擊：

針對外部攻擊，首先要規劃好網絡環境，做好隔離，防止因為一臺機器被攻擊，導致交易所被一鍋端。同時以攻擊面最小化原則，嚴格控制對外開放的IP、端口和服務等。有能力的交易所還是要定期請專業的安全公司，做好代碼審計和滲透測試，及時發現、修復安全漏洞，避免漏洞被黑客發現并利用。

其次要做好業務安全，對用戶身份進行嚴格的校驗，注重用戶隱私保護，防止用戶因信息泄漏，被欺詐等。還要依托內外部的力量，及時發現像釣魚網站、資金對敲等攻擊行為，及時封禁止損。

針對內部員工的apt攻擊防范：

如果是對內部員工的apt攻擊，則需要從客戶端安全，網絡劃分，安全意識，權限管理，管理制度等多個層面進行防御：對員工進行信息安全教育，減小員工被釣魚，社工手段騙取賬號，權限等的幾率，減少員工信息泄漏的風險。員工辦公電腦安裝必要的防病軟件，防止員工電腦被掛馬，勒索等。公司內網做好網絡劃分和隔離，防止員工電腦被黑客控制后進行橫向移動，可以有效控制被攻擊范圍。公司辦公網接入，vpn等使用雙因素認證等，防止用戶賬號泄漏導致黑客直接撥入辦公網。

內網重要的服務器要做好隔離，登錄雙因素，權限控制等，賬號權限回收等，防止因為權限過高導致的信息泄漏。

同時各項審計和監控也要做好，對日志進行集中存放，處理，告警等，以方便事后進行排查，確認被攻擊情況。

BHEX創始人&CEO巨建華對金色財經表示，

交易所的安全是一個非常復雜的問題，因為加密資產匿名性導致損失的資產不可追回，所以交易所的安全風險要遠超過一般互聯網公司和傳統金融公司。大的方面來說，交易所安全問題主要分為技術和業務兩方面，技術方面的安全問題，主是區塊鏈錢包安全、軟件系統安全、服務器網絡安全這三方面；業務方面的安全問題，則主要是業務過程安全和內部治理安全。

目前一般中心化交易所保障安全的方式，還是通過完善業務風控系統，通過冷熱分離、三方多簽等技術來實現加密資產的安全保障。

一般中心化交易所發現被攻擊，多數會停止提幣核查損失，并通過損失的規模來制定來應對方式，如果已經發生的資產損失過大導致交易所無法繼續運行業務，一般都會走破產清算程序。比如兩大知名交易所Mt.Gox和Bitfinex應對風險的方式就完全不同：Mt.Gox因為損失過大，只能通過走日本法院的破產清算程序實現退出；而Bitfinex則是在發生大額被盜后，還能保持營運，采用了債轉股的方式，將用戶的損失轉為了交易所的股權來實現了賠償。其他出現安全問題的交易所就沒這么幸運了，多數出現安全問題的交易所都默默消失在了市場上，用戶的損失永遠無法得到賠償。

交易所安全還有一個很大的問題，就是當出現安全風險和資產后，交易所無法自證清白，不能證明這些資產是真實被盜還是監守自盜，這對交易所的管理和運營方提出了非常大的挑戰。

目前看來，完全去中心化的交易所，將能有效緩解交易所安全技術和業務方面問題，但是易用性和成本的問題將會導致去中心化交易所的用戶規模會長期低于中心化交易所。

計算機行業的安全問題，是從計算機誕生以來就一直伴隨的問題，任何技術防范，都只能減少安全風險發生的可能性，但是無法保證絕對的安全，有效的風險控制措施才是正確的應對之道，當發生安全問題后，能將問題控制在可接受的范圍內，是目前交易所安全方面最正確的做法。

降維安全實驗室給出了更為具體的技術層面的防御措施：

1、使用國際大廠的DDoS防御及CDN分發服務，譬如Cloudflare

使用Keyless服務，保護好自己的私鑰，避免服務提供商竊取敏感數據

隱藏好真實ip地址，避免繞過CDN進行攻擊

2、網站上線前或重大改版后，找專業公司進行滲透測試

3、使用“寬進嚴出“規則，提現進行嚴格審核

4、服務器接入第三方waf服務和其他安全加固服務，防御常見攻擊方式

5、使用“陷阱防御”系統，在黑客攻擊路徑上埋陷阱，及時發現黑客，譬如“面壁人”

6、進行內外網隔離

此外，降維安全實驗室還列出了除黑客攻擊之外的交易所安全風險，如圖：

降維安全實驗室方面表示，要做好多重安全防護以此減輕風險：

1、第一重防護：平臺安全防護。業務上線前必須通過安全測試、內部滲透測試

2、第二重防護：賬戶安全防護。

賬戶安全檢測：防止賬戶被暴力破解；

雙重認證及預警機制，保障用戶資金安全；

大額提幣實行人工審核。

3、第三重防護：錢包安全防護，做好冷熱錢包隔離，保護好冷錢包資產。

4、第四重防護：加強源頭管控，員工接受安全培訓。

結語：

未雨綢繆也好，主動出擊也罷，活下去。畢竟，只有活下去，才能見證未來盛世。

Tags：BIT比特幣ITFNEXupbit交易所官網比特幣市值1萬億美元fitfi幣前景最高價Nexum

SOL