從 KuCoin 被盜聊起,盤一盤那些年我們丟過的幣

買賣虛擬貨幣
烤仔觀察開放的精神、獨特的視角、認真的態度,觀時事、察熱點,闡態度,《烤仔觀察》站在不一樣的角度,陪你看世界。KuCoin 的驚魂 48 小時
9 月 26 日凌晨 2 點 51 分,加密貨幣交易所 KuCoin 收到資料庫風險警報;3 點 01 分,KuCoin 收到風控系統餘額監控的警報;3 點 04 分,KuCoin 收到風控系統 XPR 轉出異常警報;
3 點 05 分,KuCoin 收到熱錢包餘額不足的警報;3 點 10 分,KuCoin 收到 BPC 異常;3 點 05~14 分,KuCoin 陸續收到其他 Token 警報;
3 點 15 分,KuCoin 建立緊急溝通小組,開始排查行為邏輯;3 點 20 分,KuCoin 運維關閉錢包伺服器,關閉後依然發生異常, 此時定位到私鑰被洩露;4 點,KuCoin 貨幣應急小組到位;
4 點 20 分,KuCoin 錢包團隊轉移剩餘資金到冷錢包;4 點 25 分,KuCoin 開始更新修復程式;4 點 50 分,KuCoin 熱錢包資金完成轉移到冷錢包,開始與客戶進行解決方案溝通;

5 點,KuCoin 初步定位到原因,聯絡各大交易所封鎖涉黑交易地址。同時進行了多國的報警,隨後釋出懸賞,駭客地址隨後公佈。

KuCoin 交易所的執行長 Johnny Lyu 隨後在 YouTube 直播中表示:駭客透過某些渠道獲得了 KuCoin 交易所熱錢包的私鑰,導致在熱錢包中的使用者資產被盜走。KuCoin 交易所將剩下的使用者資產將轉移到了新的平臺熱錢包中,同時關閉了使用者的充提幣渠道。

他還提到 KuCoin 交易所將在一週內逐步開放充幣和提幣功能,使用者的資產損失將由 KuCoin 承擔。

據 Decrypt 報道,被 KuCoin 標記為異常的地址從 9 月 26 日凌晨至今已累計接收到 11486 枚 ETH、458866 枚GLA、28443 枚 HAT、21660273 枚 OCEAN、29999 枚 CHR,以及一定數量的 ARPA、AOA、ORN、SNX 等代幣。

雖然 KuCoin 一直強調失竊總金額在其加密貨幣總持有量中佔比較小,同時承諾會一力承擔所有損失,但如此大數額的被盜資產量,很難讓人無動於衷,更何況部分代幣的被盜數量在相關幣種當前總流通供給量內還佔據著不小的份額。

與以往的駭客不斷拆分資產並試圖以各種方式洗錢的畫風不同,這次駭客在 KuCoin 交易所盜幣成功後,進行了大規模被盜資產轉移,直接將 USDT 分散充入交易所,企圖快速變現。

面對駭客“愣頭青”一般的動作,KuCoin 則有針對性地發文面向各大交易平臺尋求協助。

接到 KuCoin 訊息的各大交易平臺陸續作出了響應,MXC、幣安等交易所迅速凍結了流入該平臺的資產,隨後 Bitfinex、一向“高冷”的 Tether 也相繼凍結 KuCoin 攻擊地址上約 3,300 萬 USDT。

CeFi “聯‘凍’”已成態勢,但是總有一些交易平臺是無法掌控的。

面對手段稍顯稚嫩的駭客,網友們吃瓜不嫌事大,調侃的同時還紛紛出謀劃策,給出了銷贓的新思路。

出人意表的是,駭客居然也是個從善如流的人。

據資產追蹤平臺 CoinHolmes 資料顯示,27 日下午,標記為“KuCoin Hacker”的多個地址持續將大量 OCEAN 代幣轉入 Uniswap 進行砸盤出貨,直接導致了與 OCEAN 關聯的交易對價格大幅波動,僅在 3 個小時內就直線下跌 10 個百分點。

去中心化資料共享協議 Ocean Protocol 迅速做出迴應,同日 19 時宣佈暫停 OCEAN 智慧合約以保護使用者資金安全。且在 28 日中午發出公告,表示系統已完成合約硬分叉,持幣者只需等待錢包完成更新,便可立即使用新的 OCEAN 代幣進行交易。

也有不少人認為 Ocean Protocol 團隊這種硬分叉的做法,與去中心化金融協議的理念相悖,過於簡單粗暴。

無獨有偶,被盜取近 1/4 流通量的 Ampleforth 也在 28 日下午發文,稱為有效阻止 KuCoin 攻擊者轉移被盜的 AMPL,已部署智慧合約升級。

根據 Chainsmap 的追蹤,截至 28 日上午,駭客已完成套現約 4,300 枚 ETH。

Etherscan 的資料顯示至 28 日,KuCoin 駭客錢包內有包括 AMPL、ORN、VIDT 在內的 150 多種代幣,價值約為 1.74 億美元。

截至發稿前,KuCoin 執行長 Johnny Lyu 在 9 月 30 日凌晨“關於熱錢包異常轉賬事件進展”直播中表示,KuCoin 現已聯合 ORN、VELO、KAI、AMPL、USDT、OPQ、NOIA、COV、SNTR 和 VIDT 10 個專案方,共計追回了 1.4 億美元資產。

在漫長的歲月裡,我們手中的“ 飽經滄桑”的加密數字貨幣,究竟都經歷了哪些跌宕起伏?

那些年,我們被盜過的幣

每年,由於駭客攻擊造成的全球經濟損失平均高達幾十億美元,其中很多受害者都是加密數字貨幣和區塊鏈技術領域的投資者和使用者。

大概是一個魔咒,每一輪“牛抬頭”都會有至少一個平臺出事。

2011 年 10 月,位於日本東京的世界上最大的比特幣交易商 Mt.Gox(暱稱“門頭溝”)被盜,駭客從平臺盜走了約 2,609 枚比特幣,原因是駭客盜取了伺服器上的 wallet.dat 檔案,拿到了 Mt.Gox 的熱錢包私鑰。

如果事情就此結束,那麼後人回顧“門頭溝被盜”事件時,也不會用上“臭名昭著”這四個字。

2014 年 2 月 7 日,Mt.Gox 突然釋出官方宣告:“系統出現漏洞,若不解決這個漏洞,交易細節有可能會被篡改”,並單方面暫停了所有比特幣提幣服務。

2 月 23 日,Mt.Gox CEO Mark Karpelès 辭去比特幣基金會董事會成員職務。同一天,Mt.Gox 刪除了其 Twitter 賬戶上所有的帖子。

在這將近一個月的時間裡,Mt.Gox 提幣服務一直沒有恢復。

2 月 24 日,Mt.Gox 關停了所有交易活動,完全下線了交易平臺。隨後,Mt.Gox 官網聲稱是遭到了“一次蓄謀已久的駭客攻擊”。同一時間,有洩露出的內部檔案稱,此次被駭客盜取了約 85 萬枚比特幣,Mt.Gox 已經資不抵債。

這一次,Mt.Gox 丟失的比特幣數量佔到了世界比特幣總值的 7%。訊息公開後,比特幣的價格暴跌了 36%。

4天后,Mt.Gox 在東京申請破產。3月9日,Mt.Gox 又在美國申請了破產保護。

在這個魔幻的世界裡,反轉也許會遲到,但絕不會缺席。

僅僅過了一個月,Mt.Gox 便聲稱在一箇舊賬戶裡找到了 20 萬枚比特幣,總損失由最初的 85 萬枚比特幣,降為 65 萬枚比特幣。

面對這“失而復得”的 20 萬枚比特幣,丟幣使用者為主的債權人與法院指定的 Mt.Gox 受委託人之間開始了冗長的賠償訴訟糾纏。

Mt. Gox 關閉後,曾啟動民事破產程式。

後來,由於比特幣價格上漲,以日元計價的資產規模超過了其負債,破產程式被終止。隨後啟動了以受託人日本律師小林伸明(Nobuaki Kobayashi)為主導的民事再生程式,以清償 Mt. Gox 的使用者資產。

根據 2019 年 3 月東京地方法院的調查報告書顯示,Mt.Gox 現金存款為 695.5 億日元,數字資產為 14.2 萬枚比特幣、14.3 萬枚 BCH 及 BSV,這些財產將被清償給債權人。

根據檔案中法院對交易所進行的二次債權認定顯示,交易所被認定的債權為 6857.3 億日元,摺合約 66 億美元,未被認定的債權為 2162.1 億日元,摺合約 19.5 億美元。

或許是雙方無法就清償方案達成一致,2019 年 10 月,東京地方法院下令將重整計劃的截止日期延長至 2020 年 3 月 31 日。

2020 年 3 月,受託人小林伸明(Nobuaki Kobayashi)律師與債權人分享了補償方案的綱要,小林伸明在綱要中表示,目前的策略是“不購買額外的 BTC 或 BCH”。因此,現有的 BTC/BCH 持有量依然不足以償付 BTC 和 BCH 的索賠。所以綱要中指出:“除 BTC 和 BCH 之外的所有加密貨幣將盡量以現金的形式清算。”同時,小林伸明還表示:“清算程式中的法幣索賠會優先得到支付,以確保法幣索賠方的利益。”

緊接著,計劃於 3 月 31 日提交的清算賠償計劃推遲到了 7 月 1 日。到期後,再次推遲三個多月,最新的提交時間為 2020 年 10 月 15 日。

與看起來遙遙無期的清償日期不同的是,Mt.Gox 前 CEO 居然很有可能在接受法律懲罰之後變成一名億萬富翁。

6 月,東京高等法院對加密貨幣交易所 Mt.Gox 前 CEO、被告 Mark Karpelès 進行了上訴判決,藤真理子審判長支援了有期徒刑 2 年 6 個月、緩刑 4 年的一審判決,駁回了辯護方的上訴。Mark Karpelès 則表示,還沒有決定是否繼續上訴,正與法律團隊商議處理辦法。

而據英國《金融時報》報道,Mt.Gox 前 CEO Mark Karpelès的公司 Tibanne 擁有 Mt.Gox 約 88% 的所有權。破產清算完成之後,Mt.Gox 將得到價值超過 9.77 億美元的比特幣,而其中的 88% 屬於 Karpelès。

究竟是駭客作祟?還是監守自盜?或許等到賠償正式結束的時刻,Mt.Gox 的時代才算是真正落幕。

金錢永不眠。

Mt.Gox 的慘劇讓世人看到了加密數字貨幣的潛能,也讓一些人看到了不勞而獲也能嚐到甜頭。

2014 年 3 月,駭客盜走了加密貨幣交易所 Poloniex 平臺 12.3% 的比特幣。駭客發現同時發起多筆提幣時,後臺會顯示賬戶餘額為負數,提幣記錄卻可以成功寫入資料庫,提幣程式居然也可以成功執行,駭客利用此程式碼漏洞把資金偷走了。

2014 年 8 月 15 日,駭客從國內著名的山寨幣交易所 BTER 盜走了 5,000 萬個 NXT 幣,價值約為 1000 萬人民幣。原因是 BTER 平臺將所謂的冷錢包私鑰放在了伺服器上,使得 NXT 並沒有實現冷儲存,獲得錢包私鑰的駭客將幣取走。當時 BTER 和駭客談判,表示願支付 110 個比特幣贖金贖回丟失的平臺幣,但結果仍是與虎謀皮,駭客拿走了比特幣,卻沒有歸還 NXT 。

2014 年 12 月,駭客 Johoe 從線上錢包服務商 blockchain.info 錢包裡“盜取”了 300 枚 BTC。原因是在錢包軟體升級過程中產生了技術問題,導致臨時性安全漏洞出現,這個安全漏洞僅僅存在了 2 個多小時,但還是給了 Joheo 機會。事後,Johoe 如數歸還了盜取的比特幣,成為了加密數字貨幣被盜史上難得的“白帽駭客”。

蒼天饒過誰。2015 年 1 月,駭客透過入侵交易所熱錢包,盜走了曾經是最大的比特幣交易平臺之一、Mt.Gox 的競爭對手——Bitstamp 約 19,000枚比特幣。 

2015 年 2 月,又又又是 BTER,駭客利用 BTER 從冷錢包填充熱錢包的瞬間,盜走了 7,170 枚比特幣。

2016 年 8 月,駭客盜取平臺熱錢包,從知名的老牌交易平臺 Bitfinex 盜走了 119,756 枚比特幣。

2017 年 6 月,駭客入侵了韓國大型加密貨幣交易平臺 Bithumb 某僱員的個人電腦,獲取了Bithumb 近 31,800 名使用者的個人資訊,包括姓名、手機號碼以及郵件地址。使用者資料洩漏,駭客盜走了某使用者時價 1,000 萬韓元的比特幣。

2017 年 7 月,駭客利用 Parity 錢包中,多重簽名技術中的“關鍵”漏洞,盜走了 15.3 萬枚以太坊,時價約為 3,260 萬美元。

2018 年 1 月,日本交易所 Coincheck 將 NEM 幣儲存在了熱錢包中,駭客盜取了熱錢包私鑰,將交易所全部 NEM 轉走。

2018 年 3 月,駭客透過 unicode 釣魚網址,盜取了數字資產交易平臺幣安部分使用者的 API Key。然後透過 API 介面,入侵幣安交易所,使用 API 交易機器人大量買入 VIA 幣,然後拋售,控制幣價。

2019 年 3 月,Bithumb 遭受攻擊,大量 EOS 和 XRP 被盜,平臺損失 1,900 萬美元。

2019 年 5 月,幣安因駭客攻擊技術,被盜 7,000 個比特幣,當時價值約 4,000 萬美元。幣安 CEO 趙長鵬稱其遇到了非常聰明並且長期潛伏的駭客,駭客團體使用了複合型的攻擊技術,繞過了幣安的風控系統,提走了 7,000 個比特幣(約佔幣安 BTC 總持股量的 2%)。

2019 年 7 月 12 日,日本持牌加密貨幣交易所 BITPoint Japan 釋出公告稱,東京時間 7 月 11 日發生加密貨幣熱錢包不法侵害事件,損失金額換算約 35 億日元(約人民幣 2.23 億元),其中客戶資產約為 25 億日元,BITPoint Japan 自有資產約為 10 億日元。

2019 年 11 月 27 日,韓國頭部虛擬貨幣交易平臺 Upbit 釋出公告稱,在當地時間午時 13 時,共計 34.2 萬枚以太坊從 Upbit 以太坊熱錢包轉入匿名錢包地址。慢霧科技曾推測,Upbit 可能是遭遇 APT(高階持續性威脅)攻擊,但也不排除內鬼的可能性。

顯然,程式碼可以審計,但人性無法審計。在每一個被盜事件的背後,都是人性的陰暗面在蠢蠢欲動。

我們期待未來的金融應用可以更安全開放,但我們也知道,新生事物的誕生總是伴隨著迭代和完善,這並不是一蹴而就的簡單過程。對於現有金融體系的挑戰和顛覆,這個過程註定漫長,且坎坷。

人造的系統永遠有被攻克的可能,安全問題已經成為交易所的阿喀琉斯之踵,會伴隨行業永遠存在。

對風險常懷敬畏之心,是經歷了這些跌宕起伏之後的,水落石出的人生智慧。


免責聲明:

  1. 本文版權歸原作者所有,僅代表作者本人觀點,不代表鏈報觀點或立場。
  2. 如發現文章、圖片等侵權行爲,侵權責任將由作者本人承擔。
  3. 鏈報僅提供相關項目信息,不構成任何投資建議

推荐阅读

;