半年時間，黑客大盜們是如何盜走交易所4億價值的數字貨幣的？_虛擬資產:TIN

最近，數字貨幣交易平臺此起彼伏的被盜事件強制霸屏各家媒體頭條，其中全球排名前十的數字貨幣交易平臺幣安更是被黑客盜取7000BTC，這一重大安全事故瞬間引起了科技媒體的注意，讓久違的數字貨幣交易平臺安全問題再次回歸大眾視野。哪些漏洞導致了這些交易平臺被盜呢？又有誰能保證用戶的資產安全呢？一、交易平臺被盜事故復盤2019年至今數字貨幣交易平臺官方公布被盜的共有8家，只有3家對用戶進行了官方賠付，1家為平臺自有資產。其中安全問題突出的Cryptopia一個月內被盜2次，現正處于維護狀態。

平臺被盜原因有交易平臺官方錢包遭侵入、hard_fail、驗證碼劫持、私鑰被盜、多種攻擊手段混合等，歸根結底被盜交易平臺的原因主要分為2大類。一類是平臺自身的技術風控防御系統缺陷，黑客利用安全漏洞入侵平臺偷盜數字貨幣；另一類是平臺內部制度缺位問題，造成用戶個人信息被竊取，特別惡劣情況下，甚至出現泄露買賣個人信息現象。二、平臺風控防御系統缺陷數字貨幣交易平臺技術風控系統缺陷，主要是沒有進行安全攻防測試，以及沒有布署安全防御系統。沒有進行安全測試的數字貨幣交易平臺比如像Mercatox，黑客就利用hard_fail轉賬交易獲得平臺服務器“信任”，不難看出平臺方的技術審核測試能力不足，才會導致發生此類低級安全事故。如果平臺在合約上線前尋求第三方機構做好安全檢測，數千枚EOS也不至于被盜。當然安全測試存在缺陷的交易平臺只是極少數，不過這一環節還需加強重視。

香港證監會：散戶最快下半年可在發牌交易平臺買賣虛擬資產:5月23日消息，香港證監會中介機構部臨時主管蔡鐘輝表示，暫時未有平臺可給予散戶投資者買賣虛擬資產，預料在指引生效后，散戶最快在今年下半年，可于獲發牌的交易平臺進行買賣。蔡鐘輝強調，若本地虛擬資產平臺并非在條例實施前已經運作，或者海外平臺在指引實施后仍沒有牌照，都不能在香港進行虛擬資產交易業務，亦不能在港宣傳推廣，否則需負上刑事責任；而現正營運的平臺可于條例指引生效后 9 個月內申請牌照。他又指，獲發牌的平臺亦需確保其客戶有沒有透過“翻墻”進行交易，并確保 IP 地址是否來自不能買賣虛擬資產的地區，強調需要遵守相關地區的規定。[2023/5/23 15:21:03]

大部分交易平臺主要在風控防御系統部署上存在不足，比如幣BiKi、幣安等。BiKi事后官方公告中就指出，黑客通過劫持用戶第三方服務商驗證碼短信，從而攻擊部分沒有綁定谷歌驗證碼的用戶。這里就暴露其自身風控系統存在問題，一是忽視單一驗證用戶被劫持情況，二是沒有對修改登錄和交易密碼的賬戶進行一定時間段的提現和交易限制，三是沒有樹立用戶安全防范意識。所幸的是BiKi當時沒有對這些提現審批完成，不然損失將進一步擴大。數字貨幣交易平臺與互聯網金融企業相比風控防御系統存在不足。以幣安為例，雖然幣安使用SAFU基金承擔本次事故全部損失避免了用戶的損失，但是這種賠付并不完善，無法應對更大范圍的安全事故賠付，此次事故發生的主要原因是風控防御系統存在不足。首先幣安應對大規模系統性攻擊防御能力不足，黑客如何獲取大量用戶API密鑰谷歌驗證碼的呢？大量用戶密鑰被獲取非一日之功，如果黑客是網站釣魚獲取用戶賬號、密碼等資料，幣安為何早前沒有發現仿冒幣安的網站URL地址以及頁面內容，還是說沒有發現黑客利用幣安官方網站服務器程序上的漏洞在站點的某些網頁中插入危險的HTML代碼呢？此外疊加病等其他攻擊手段的復合型攻擊防御技術手段不足。

韓國多個大型券商均擬于明年上半年設立加密資產交易所:8月22日消息，為了在明年上半年設立虛擬資產（加密資產）交易所，韓國未來資產證券、NH、KB、新韓投資證券均已開始向金融當局提交初步許可及設立法人申請。一家證券公司的負責人表示：目前在內部已經結束了成立所需的討論。今年第四季度政府公布了包括放寬虛擬資產相關法律條款及限制規定等內容后，才可能制定出具體的內容。

未來資產證券正準備通過在其關聯公司Mirae Asset Consulting下設立子公司來開展虛擬資產業務。為此，該證券公司正在招聘比特幣、以太坊、NFT等數字資產機構服務的研發人員。未來資產證券沒有直接推進虛擬資產事業，而是以參與未來資產集團下屬特別工作小組(TF)的方式與集團步調一致。三星證券也正在研究如何進入基于區塊鏈的證券代幣業務。

報道稱，證券公司進入虛擬資產交易業務與尹錫悅政府放松加密貨幣監管是一致的。該國金融服務委員會計劃推動制定“加密貨幣商業權利法案”。FSC計劃修訂相關法律并推進《數字資產框架法》，以便在分為證券型代幣和非證券型代幣的一個受監管框架內進行管理，同時表示將審查該國虛擬資產是否為證券。（Newspim）[2022/8/22 12:40:33]

其次幣安的風控存在重大問題。被盜的7000BTC雖然只占幣安官方公布總持有量BTC的2%，但這并不能掩蓋幣安平臺在提現審批轉賬上的風控問題。三、內部制度缺位問題此前在《IPO前后大轉變，交易所為何尋求“合規”》一文中指出，數字貨幣交易平臺擁有多重身份。Bithumb平臺被盜更反映出在多重身份之下，內部制度上存在職能缺位問題。Bithumb平臺官方表示此次異常出金事件不是因為遭受外部的攻擊，初步認定為內部員工盜用保管數字貨幣的“私鑰”。這種情況反映出Bithumb平臺內部職能崗位集中過多權力，內部沒有進行必要的職能分解，建立必要的監管制衡制度，才會導致內部員工利用掌握的完整“私鑰”轉移數字貨幣資產，發生監守自盜行為的行為。

Gate.io 2020年上半年GT專屬活動福利金額高達10,452,431USDT:據官方公告，Gate.io 發布2020年上半年GT專屬活動總結報告。報告顯示：2020年上半年期間，Gate.io共舉辦了6場8折主流幣福利回饋、13場PK投票上幣空投、7場單幣投票空投、2場Startup首發認購活動和7場主流幣持倉理財福利，共計為GT持倉用戶提供了價值10,452,431USDT的福利回饋。詳情見原文鏈接。[2020/7/30]

這并不是數字貨幣交易平臺權力過于集中的孤例，加拿大數字貨幣交易平臺QuadrigaCX就因創始人杰拉爾德·科頓去世，欠下客戶1.9億美元，大部分資金已無法訪問，最終破產，這都是數字貨幣交易平臺職能崗位權力過于集中給平臺和用戶帶來的傷害。

動態 | 韓國加密征稅法案有望在2020年上半年出臺:1月2日消息，監管韓國經濟政策的韓國經濟財政部(Ministry of Economy and Finance)已正式宣布，在現行稅法下，個人投資者通過加密交易獲得的利潤不能被征收所得稅。雖然目前韓國的個人加密貨幣利潤免稅，但經濟財政部一直在努力修訂稅法，以便對他們征稅。該部官員表示，已經在進行討論，并補充說修訂后的法案有望在2020年上半年出臺。該部門強調加密貨幣需要法律地位才能加入法律，并詳細說明：我們正在制定虛擬資產的稅收計劃，全面審查主要國家的稅收、會計準則的一致性，以及防止洗錢的國際討論的趨勢。（news.bitcoin）[2020/1/2]

另一方面也可以看出Bithumb內部責任制度缺失，未防止不負責任的員工或離職員工利用職務工作所需獲取的資料危害平臺。應對內部人員獲取使用內部資料進行申請審核授權并登記備份，誰濫用內部資料危害平臺，誰就要為這種行為的后果承擔責任。四、個人應如何防范賬戶密碼被竊取除了數字貨幣交易平臺需要提升風控防御系統和改善內部制度以外，個人投資者又應該如何防范賬戶密碼被竊取，甚至導致數字資產損失呢？就這一問題，RatingToken安全技術人員指出個人投資者需要密切注意以下6點：1.在登錄銀行、交易所、錢包等網站時，一律使用帶https開頭的安全鏈接；2.手機、電腦、硬件錢包等聯網設備不隨意使用第三方不明Wifi；3.前提許可的情況下，必須安裝防護殺軟件，拒絕“裸奔”；4.網頁、APP出現異常情況時，及時確認和終止重大操作；5.不打開來路不明的插件、郵件、鏈接；6.大額數字貨幣資產盡量轉到知名可靠的冷錢包。技術合作伙伴：官網：ratingtoken.ioRatingToken基于區塊鏈項目數據對數字貨幣和ICO評級,提供最新最全的數字貨幣和ICO的排行榜單,以及虛擬貨幣的研究報告和加密貨幣的新聞。RatingToken安全團隊已有50多人規模,其中大數據、人工智能和區塊鏈研發人員占比90%以上。團隊成員大多來源于著名安全殺軟件金山霸團隊。RatingToken延續金山安全的技術實力,致力于區塊鏈安全領域,提供智能合約審計等安全服務。

Tags：數字貨幣虛擬資產INGTIN2023年數字貨幣全國使用虛擬資產包括哪些BiKingMartin Shkreli Inu

比特幣交易