Chainalysis 2020加密犯罪報告：交易所安全有提升，但黑客也更老練_SGR:加密貨幣

Odaily譯者|Moni

所謂”道高一尺魔高一丈“，2019年，加密貨幣交易所與黑客之間的較量愈演愈烈，雖然黑客實施的攻擊數量越來越多，但相比于2018年，他們似乎并沒有從交易所那里竊走太多資金。

上圖是量化的2019年受攻擊的加密貨幣交易所統計，每個條狀欄上的不同顏色代表了當年各個獨立黑客盜竊的加密貨幣量，涉及的加密貨幣包括：比特幣、比特幣現金、以太坊、萊特幣、瑞波幣、ADA、EOS、NANO、NEM、USDT等。從上圖數據來看，2019年發生的加密貨幣黑客攻擊數量超過了過去的任何一年。但是在去年發生的11次攻擊事件中，并沒有“太多”資金被盜——這意味著，盡管攻擊次數增加，但從加密貨幣交易所中被竊的加密貨幣總價值“只有”2.83億美元，要知道2014年“頭門溝”的攻擊就損失了4.73億美元，而2018年Coinchek在黑客攻擊中的損失更是高達5.34億美元。鑒于媒體和其他消息源可能報道不同的數字，因此讓我們先解釋一下是如何得出2019年加密貨幣交易所攻擊數據的：1、我們統計的范圍包括：1）涉及利用技術漏洞的黑客攻擊；2）通過社會工程或其他形式欺詐手段實施的攻擊。2、我們統計的攻擊僅包含允許不良行為者訪問屬于加密貨幣交易所資金，不包括支付處理商、錢包服務提供商、投資平臺、或是針對其他類型服務訪問的攻擊。3、我們沒有統計加密貨幣交易所退出欺詐或用戶利用加密貨幣交易所漏洞的情況，比如Synthetix用戶利用交易中的價格差異”漏洞“凈賺了10億美元。4、我們僅包含了通過多個數據源衡量并公開確認被盜金額的攻擊，這意味著其中不會包含加密貨幣交易所用戶數據遭到破壞、但沒有加密貨幣被盜的事件。此外，我們還排除了那些私下向我們舉報的黑客攻擊事件，這些事件應該不會對本文分析的數據產生較大影響。在上述這些框架之下，我們還剔除了那些針對較小金額數量的加密貨幣黑客攻擊，雖然這么做可能會使加密貨幣交易所黑客攻擊的損失金額估算降到一個較低的界限，但其實并不會對統計產生太大影響。量化2019年加密貨幣交易所攻擊

Lookonchain：某聰明錢地址買入11萬億枚LADYS獲利143萬美元:金色財經報道，Lookonchain監測數據顯示，0x770c開頭的聰明錢地址在馬斯克發推之前，花費10.45枚ETH（19,569美元）以0.000000001775美元購買11T 枚LADYS，并以0.00000009689美元價格賣出3T(29.3萬美元) 枚LADYS獲得159.65 枚ETH。該地址目前仍持有8T(116萬美元) 枚LADYS，利潤為143萬美元，收益是73倍。[2023/5/11 14:57:22]

上圖表量化了2019年加密貨幣交易所遭受攻擊的情況，涉及的加密貨幣包括比特幣、比特幣現金、以太坊、萊特幣、瑞波幣、ADA、EOS、NANO、NEM、USDT等。在Coinbene遭受超過1.05億美元被竊之后，我們沒有發現規模更大的黑客攻擊事件了，雖然過去三年時間里每年黑客攻擊數量都有所增長，但是在2019年黑客攻擊的平均金額和中位數金額等指標均出現大幅下降。與2018年的黑客攻擊相比，我們在2019年觀察到的黑客攻擊中，只有54％的被竊金額超過了1000萬美元。盡管個體黑客數量有所增加值得我們關注，但根據數據表明，加密貨幣交易所在維護資金不受黑客攻擊影響方面已經取得了較好的進步。黑客攻擊之后，資金都流向了哪里？

使用區塊鏈分析，我們可以追蹤黑客竊取的資金流向，并了解他們會如何清算這些非法獲取的資金。下面，我們將按照年度細分來看看加密貨幣交易所被盜資金都流到了哪些最常見的目的地。

Chainlink回應：未干預觸發LUNA/USD Price Feeds的最小精度熔斷，系防御機制自動觸發:5月13日消息，5Chainlink 官方團隊發布關于 Chainlink LUNA/USD Price Feeds 情況的聲明：昨晚加密資產市場經歷了前所未有的震蕩，LUNA/USD Price Feeds 的最小精度熔斷機制被自動觸發。該熔斷機制被嵌入聚合合約中，是 Chainlink 深入防御策略的一部分，目的是為了保障安全并防止閃崩以及其他形式的市場操控行為。節點運營商、Chainlink Labs 或其他第三方都沒有手動干預觸發此次熔斷。

一些用戶自己主動暫停了應用，而其他用戶則是被告知喂價受到影響，并收到提醒應根據 Chainlink 文檔中列舉的最佳實踐，立即暫停在應用中使用該喂價。

LUNA/USD Price Feeds 目前仍在運行中，但鑒于該資產的風險狀況，Chainlink不建議用戶采用。Chainlink 會從此次事件中吸取經驗教訓，并持續改進協議中各個預言機網絡的熔斷參數以及其他安全層。[2022/5/13 3:13:09]

實際上，遭受黑客攻擊的加密貨幣交易所大部分被竊資金最終都被發送到了其他加密貨幣交易所，然后在那里被轉化為法定貨幣。但是仍有很大一部分盜竊資金沒有任何“動靜”，有時黑客會等待數年時間才會偷偷轉賬。不過在這種情況下，執法部門仍有機會沒收被盜資金，我們會在后文中做進一步探索。有一小部分被盜資金會通過第三方混合器或CoinJoin錢包進行轉移，以掩蓋其非法來源，但是這部分資金在2019年已經有所增加。需要說明的是，上表中所有混合資金都是根據混合發生之后被發送至的最終目的地進行分類的。針對加密貨幣交易所升級的安全措施，黑客又有什么“新招”應對呢？

為了更好地保護客戶資金免遭黑客攻擊，加密貨幣交易所已經取得了長足的進步，通過因為黑客攻擊的損失金額急劇減少就可以看出，交易所的努力已經取得了一定程度的成功。現在，許多加密貨幣交易所只會把很小比例的資金保存在安全性較低的熱錢包里，僅僅為了滿足客戶的提款授權。此外，越來越多加密貨幣交易所已經開始更密切地監視交易以便甄選出可疑活動，并較早發現潛在黑客行為。通過調查2019年加密貨幣交易所黑客攻擊情況，我們還發現如今在面對黑客攻擊的時候，不少加密貨幣交易所會選擇主動出擊，而不是像過去那樣“被動挨打”，而且他們也更愿意與其他加密貨幣社區共享詳細信息，使追查被盜資金變得更加容易。與此同時，不管是實施黑客攻擊，還是后續的洗錢，黑客也在變得越來越老練。雖然這種情況不是什么好兆頭，但從另一個角度來看，也表明此前加密貨幣交易所采取的保護措施收到了一定成效，也正是因為如此，才會迫使黑客研究、采取新的攻擊手段。正如我們將向您展示的，加密貨幣交易所和執法機構其實可以采取一些具體措施來應對黑客的新型攻擊策略。在此，就讓星球君和大家分析一個知名網絡犯罪組織LazarusGroup的黑客活動，然后看看如今的黑客采用了哪些新型攻擊策略吧。LazarusGroup在2019年的攻擊手段變得越來越“先進”了

Revoke.cash與Covalent合作，新增支持BNB Chain、Avalanche等網絡:金色財經消息，代幣余額與權限查詢協議Revoke.cash與區塊鏈數據查詢平臺Covalent合作，新增支持BNB Chain、Avalanche、Polygon、Arbitrum、RSK、Fantom、Harmony網絡。此外還和區塊鏈開發平臺Alchemy合作，以支持Optimism網絡。[2022/4/27 2:34:35]

LazarusGroup是一個臭名昭著的網絡犯罪集團，也被網絡安全專家視為威脅級別最高的黑客組織，人們普遍認為2014年SonyPictures被攻擊、以及2017年WannaCry勒索軟件攻擊和許多其他加密貨幣交易所攻擊都與LazarusGroup有關。在Chainalysis于2019年發布的《加密犯罪報告》里，研究人員分析了LazarusGroup針對加密貨幣交易所的黑客活動，并將其冠以“BetaGroup”的非法組織稱號。為了經對加密貨幣交易所的安全措施，2019年，LazarusGroup對其黑客和洗錢策略實施了三大重要更新：1、更復雜的網絡釣魚策略。LazarusGroup過去一直依靠社會工程學來攻擊加密貨幣交易所，他們通常會誘使交易所員工下載惡意軟件，從而使其可以控制、使用用戶的資金。但是在去年的一次加密貨幣交易所攻擊中，LazarusGroup使用了設計更為“精妙”的策略，并執行了一個設計無比精心的網絡釣魚方案，我們已經發現這種方案的確奏效，而且很容易就控制并竊取用戶的資金。2、越來越多地使用混合器和CoinJoin錢包。2019年，越來越多黑客通過使用混合器發送從加密貨幣交易所竊取的資金。更具體地說，對于LazarusGroup這家黑客組織而言，他們使用了CoinJoin錢包。混合器通過匯集多個用戶的加密貨幣來混淆資金流向，并從每個用戶池中返還其最初投入相等的金額。每個人的資金都會于其他人投入的資金“混合”起來，這使得追蹤某個特定用戶的資金輸入和輸出關系變得更加困難。許多犯罪分子使用混合器隱藏非法加密貨幣的來源，然后再將其轉移到其他服務里。以底層CoinJoin協議命名的CoinJoin錢包——比如WasabiWallet，該服務允許多個用戶將其付款不信任地加入到具有多個收件人的單個交易中。3、非法資金的清算速度更快了。相比于2018年，我們還發現像LazarusGroup這樣的黑客轉移清算盜竊加密貨幣交易所資金的速度更快了。這種趨勢表明，黑客在2019年的洗錢能力有所提升，而且在處理盜竊資金的時候優先考慮的就是速度。接下來，讓我們來看看LazarusGroup是如何會運用這些新策略的。策略一：LazarusGroup如何利用虛假公司誘騙網絡釣魚

Argo?Blockchain：在7月份挖出225個比特幣或比特幣等價物，6月份為167個:加密貨幣采礦公司Argo?Blockchain透露在7月份挖出225個比特幣或比特幣等價物，6月份為167個。[2021/8/3 1:31:54]

2019年3月，黑客入侵了新加坡加密貨幣交易所DragonEx，竊走了價值大約700萬美元的加密貨幣，包括比特幣、瑞波幣和萊特幣。DragonEx迅速做出反應，在各種社交媒體平臺上宣布遭到黑客攻擊，并發布了其資金已轉移到的20個錢包地址列表。這樣一來，其他加密貨幣交易所就可以標記這些錢包地址并凍結與它們相關的帳戶，從而使攻擊者更難轉移資金。不僅如此，DragonEx還迅速聯系了Chainalysis，并與法律機構一起尋求幫助。盡管DragonEx黑客攻擊的規模相對較小，但值得注意的是，LazarusGroup是以一種復雜的網絡釣魚攻擊方式滲透進了該加密貨幣交易所的系統，他們創建了一家虛假公司，聲稱可以提供一個名為“Worldbit-bot”的自動化加密貨幣交易機器人，而且配備了可滿足員工需求的華麗網站頁面和社交媒體賬戶。

LazarusGroup甚至開發出了一個銷售交易機器人的軟件產品——當然，他們在軟件中嵌入了惡意軟件，從而使黑客可以訪問下載該程序用戶的計算機。LazarusGroup的黑客們向DragonEx員工提供了該軟件的免費試用版，并說服該交易所里的人將其下載到包含錢包專用密鑰的計算機上，最終黑客成功竊取了密鑰并盜走了價值數百萬美元的加密貨幣。大多數網絡釣魚只會依賴電子郵件或小型網站，但LazarusGroup設計“Worldbit-bot”加密貨幣自動化交易機器人官網顯然專業度更高，這也從側面顯示出他們可支配的時間和資源豐富，而且對交易參與者如何訪問加密貨幣生態系統有非常深入的了解。策略二：混合器使用率開始提高，兌現非法資金速度加快，凸顯LazarusGroup洗錢策略變化

Riot Blockchain比特幣挖礦平均每日運轉率增長147％:金色財經報道，在納斯達克上市的加密貨幣礦業公司Riot Blockchain透露，其2月份挖掘比特幣的平均每日運轉率顯著增長。與去年2019年12月相比，平均每日運轉率增長了147％。Riot將此歸功于其挖礦設備的升級。本月初，該公司擁有2940臺比特大陸S17和1751臺S9礦機，而到月底，其正在運行4000臺S17。[2020/3/6]

在去年發布的《加密犯罪報告》中，Chainalysis分析了2018年加密貨幣交易所黑客洗錢的操作手法，但是現在LazarusGroup并沒有像其他知名黑客組織那樣使用混合器等復雜的洗錢技術來快速“清算”和取出被盜的加密貨幣。相反，他們反而會把被盜資金存放在錢包里一段時間，比如12-18個月，然后當風平浪靜之后再偷偷把被盜資金轉移到KYC合規要求較低的加密貨幣交易所。我們得出的結論是：LazarusGroup這種做法主要處于財務上的考量，盡管其他知名黑客組織似乎還是傾向于通過混淆交易目標以避免被發現，但LazarusGroup的行為表明他們更愿意將被盜的加密貨幣轉化為現金，即便這種做法需要等待更長時間，還需要通過加密貨幣交易所且容易追蹤。按照美國政府報告的說法，朝鮮利用來自加密貨幣交易所黑客和其他金融犯罪的資金為其大規模殺傷性武器和彈道導彈計劃提供了支持，而這其實也是LazarusGroup開展攻擊的目標。雖然我們不知道LazarusGroup在2019年的攻擊動機是否發生了變化，但可以確定的是，他們在轉移和套現從加密貨幣交易所盜竊資金的手段已經發生了變化，其中最顯著的就是他們轉移到混合器里的資金比例已經越來越高了。

上圖：2017-2019年被LazarusGroup竊取的加密貨幣交易所資金目的地2018年，在所有LazarusGroup從加密貨幣交易所竊取的資金中，有98%最終被轉移到了加密貨幣交易所，而沒有一個流入到混合器或CoinJoin錢包里，但這些交易所有一個共同點，那就是：對KYC的合規要求都非常低。但是在2019年，LazarusGroup所有從加密貨幣交易所竊取的資金中有48%轉移到了CoinJoin錢包，50%的資金依然存放在黑客的原始錢包里，沒有任何動作。我們可以使用ChainalysisReactor來查看此數據，以比較LazarusGroup自2018年以來和自2019年以來的相關的非法加密貨幣交易活動。ChainalysisReactor：2018年LazarusGroup攻擊加密貨幣交易所獲得資金的轉移行為

從上圖中，我們可以看到LazarusGroup在2018年的一次加密貨幣交易所黑客攻擊之后是如何轉移被盜資金的。由于交易數量眾多，上圖可能會看起來非常復雜，但只要理清思路其實理解起來并不困難。上圖的最左側是受到攻擊的加密貨幣交易所錢包地址，資金就是從這個地址離開的，之后資金經過了兩個中間錢包，然后分散到了右側的四個不同的加密貨幣交易所，而兩者之間的眾多跳躍點代表了資金只是從一個錢包轉移到一個交易所，并沒有任何支付變化——盡管資金路徑看上去很長，但追蹤起來其實并不困難。ChainalysisReactor：2019年LazarusGroup攻擊加密貨幣交易所獲得資金的轉移行為

上圖ChainalysisReactor分析展示了LazarusGroup如何在2019年DragonEx加密貨幣交易所遭受攻擊之后黑客是如何轉移資金的。在這種情況下，以太坊和萊特幣等被盜的山寨幣被轉移到了加密貨幣交易所，之后又被兌換成了比特幣。接下來，黑客又從加密貨幣交易所的各種本地錢包里把比特幣取出進行洗錢，最終將其轉移到最右邊的WasabiWallet，并通過CoinJoin協議混合盜竊資金。

上圖是四個攻擊對比，旨在展示黑客如何在攻擊加密貨幣交易所之后“清算”盜竊資金。據悉，LazarusGroup還將盜竊的資金轉移到了可以清算的服務中，而且他們在2019年的轉移速度顯然快了很多。在2018年，LazarusGroup平均花費長達500天的時間才將盜竊資金從最初的私人錢包轉移到清算服務中，而在2019年，他們只花費了250天時間。我們發現，黑客的轉移資金速度在2019年發生了巨大變化，尤其是有兩次攻擊，LazarusGroup只用了60天時間將把所有被盜資金轉移到了清算服務里，而且其他黑客組織群體也開始遵循這一趨勢。LazarusGroup的黑客攻擊手段越來越復雜，洗錢的速度也變得越來越快，這給情報機構和加密貨幣交易所帶來的壓力也與日俱增，更要求他們在遭受網絡犯罪攻擊的時候不得不更快速地采取行動。加密貨幣交易所依然需要優先考慮安全性

在過去的幾年中，為了對抗黑客攻擊，許多加密貨幣交易所都提高了安全性門檻，但同時我們也發現，像LazarusGroup這樣的黑客也在不斷改變攻擊策略，這使得加密貨幣交易所不得不進一步提升安全維護成本——他們需要時刻保持警惕，并繼續以他們已經取得的成績為基礎，始終保持能比黑客領先一步。我們建議加密貨幣交易所可以設置防護欄，以確保可疑交易在完成之前被標記，同時還要采取措施防止員工下載可能危害其網絡并允許黑客訪問交易所私鑰的惡意軟件。萬一加密貨幣交易所真的受到黑客攻擊，需要立即向執法部門報告，并提供關鍵信息：例如被盜資金轉移到的地址等。除了保護自己免受黑客攻擊之外，加密貨幣交易所還有責任確保不會被犯罪分子利用，“幫助”他們提取竊取的資金。我們建議，一旦加密貨幣交易所發現從混合器或CoinJoin錢包出現大筆存款，就需要立即提高警惕。盡管混合器有合法用途，但數據清楚地表明，越來越多的黑客開始使用這種工具來混淆之前盜竊的加密貨幣路徑，并繞過監管來套現。在這種情況下，加密貨幣交易所其實可以停止其中一些套現交易，并通過中止來自混合器的可疑交易來幫助執法部門追回被竊資金。就目前而言，幣安已經開始這么做了，因此這種模型其實可以成為其他加密貨幣交易所效防的案例。最后，我們認為強執法機構之間的跨境合作可以大大減少加密貨幣交易所被黑客入侵的風險。如果全球的金融情報部門可以在黑客實施攻擊之后迅速共享從加密貨幣交易所獲得的信息，那么就能立刻凍結被竊資金，黑客也就無法將其轉移到混合器或是KYC合規要求較低的加密貨幣交易所了。

Tags：加密貨幣GROSGRUSG加密貨幣市場分析YFI CREDITS GROUPSGRV2幣USG價格

Uniswap