【财讯】2019年13家交易所被黑客攻击

原标题:年13的交易所是“黑”:邪恶的幽灵真的不可避免吗？

资料来源:金色财经作者:罐子

9月2日，bitker交易所的客户小组发来了消息。

bitker交易所于去年5月28日不幸受到黑客攻击，进行了长达3个月的救济事业，但遗憾的是没能改变现状。 因为无法偿还钱，所以我决定关闭交易所。

投资不容易，也要珍惜。

根据资料，bitker于去年12月在新加坡设立，重点是构筑“一站式数字资产交易所”，在小号以外的综合排名中最高达到第11位，今年5月遭遇黑客攻击停止，bitker的记录最终

确实，交易所作为密码货币行业的基础设施，是诞生以来兵家争论的地方，但也是经常访问黑客的领土之一。 根据bcsec的数据，从年到现在容易受到攻击的点被攻击的次数中，交易平台排名第二。

历史上各交易所被黑客攻击后，他们做了什么？ 后来怎么样了？ 这些看不见的对手，面对邪恶的幽灵，交易所到底是坐以待毙还是积极出击？

破产。

说到破产的交易所，最有名的当然是mt.gox。

年2月7日，当时最大规模的交易所mt.gox (解决的比特币交易占世界的70% )表示:“系统存在漏洞，如果不处理这种漏洞，交易的细节可能会被篡改。 例如，如果没有比特币转账，系统可能会有客户把比特币存入电子钱包。 ”。

同年2月24日，mt.gox宣布中止所有交易活动，当时访问mt.gox网站留下了空白页。

但是，根据当时网上流传的文件，mt.gox被黑客偷了744408枚比特币，这个损失多年来一直没有发现。 另外，除了这近75万枚比特币外，平台本身的10万枚比特币也被盗，总共损失了近85万枚比特币。 当时的货币价格，这笔损失约为4亿7千万美元左右。 之后，2月28日mt.gox不得已申请破产。

从问题出现到破产，mt.gox只有21天。 现在法院也进行破产清算，最终决定对顾客的赔偿措施。

除了mt.gox，还有多个交易所因黑客攻击而受到毁灭性打击。 bitfloor就是其中之一。

bitfloor从年开始运营，当时可以说是世界第四大美元交易所。 年9月4日，bitfloor运营商报告了安全漏洞，2.4万比特币(当时约25万美元)被盗。 第二年4月，创业者关闭了bitfloor，决定把存款返还给顾客。

同样，也有bitcoinica (去年3月、5月、7月黑客继续攻击bitcoinica，遭遇“3连击”的bitcoinica最终宣布关闭)、vircurex、复印开头所述的bitker。

苦尽甘来

除了受到攻击而黯然消失的交易所以外，虽然受到黑客攻击货币被偷了，但很多交易所没有走破产之路，而是顽强地生活着。

这里最典型的是bitfinex。

年8月，最大的比特币交易所之一bitfinex在被黑客避免多重签名后，被偷了119756枚比特币(当时7200万美元)。 这是mt.gox热钱包被偷后发生的第二个交易所被偷了。 讽刺的是，bitfinex升级软件是为了提高安全性，但我没想到软件有漏洞。

至今为止，没有人知道黑客是如何避开多个签名偷比特币的，但最主流的解释是bitfinex服务器上安装了不合适的软件。 bitfinex最初采用了bitgo提供的多签名交易软件。

但是，这个事件中最有争议的是bitfinex被盗后的解决方案。 平台被盗的损失必须首先平均到所有的客户账户.。 也就是说，在bitfinex上拥有帐户的每个客户都将扣除36.067%的资金，无论此帐户的比特币是否丢失。 此外，bitfinex还可以给每个受害的客户相应数量的bfx令牌，每个令牌将代替1美元，将来向bitfinex全额赎回损失金，也可以更换bitfinex母公司ifinex的股票。

这个决策当时受到了顾客的强烈反对，但通过代币进行的股票融资和使用销售额每月赔偿顾客后，逐渐弥补赤字的bitfinex最终沸腾了。

同样还有新加坡交易平台bitrue。 据bitrue官方推特报道，6月27日凌晨1点左右，一名黑客利用风险管理团队第二次检查平台系统时的漏洞，入侵了近90名bitrue用户的资金账户，共计约420万美元的瑞波货币和艾斯

有趣的是，作为国人运营的交易平台的bitrue，至今为止对中国地区的顾客一无所知，在北美、欧洲等地有很多忠实的高端顾客。 盗窃发生一周后，bitrue进行了安全维修升级，为受害者提供了赔偿。 由于灾祸祝福，bitrue开始依赖于过去的口碑和解决它的态度进入国民的视线。

安全升级。

所谓的“树在刮风”，是因为有点头脑的交易所也是这种黑客攻击的要点对象。

今年5月8日，世界头部加密货币交易平台binance货币贬值7074枚比特币被盗，按实时货币价格推算，损失超过4100万美元。 根据区块链数据和安全提供商peckshield的分析，这次攻击方法是黑客通过网络钓鱼等方法收集货币贬值客户账户的消息，使用71个账户同时使用api在区块高度575013进行攻击 之后，binance货币贬值立即宣布全额赔偿客户损失，对相关的安全措施、程序和操作进行了重大完善。

其实，币安不是第一次被黑客攻击。

年3月，黑客非法侵入货币贬值顾客的账户，把顾客各种令牌的即时货币交易转换成比特币，把密码货币的所有货币交易转换成btc，一万多个btc。 黑客使用api交易机器人在这些btc上大量购买via货币，via的价格直接提高到100倍以上，出售后控制了货币价格。

同年7月，币安第二次遭遇黑客攻击，攻击方法与第一次相似。 幸运的是，这两次攻击没有给货币贬值及其顾客带来实质性的损失。

除了货币贬值，韩国最大的交易所bithumb近年来也受到黑客的欢迎，年6月、年6月、年3月货币被盗，损失很大。

邪恶幽灵:交易所是坐着等死还是积极出击？

数一下过去被黑客攻击的交易所，被攻击的形式和原因各不相同。 这些看不见的对手，面对邪恶的幽灵，交易所到底是坐以待毙还是积极出击？

okex认为黑客攻击的主要来源有两个方面，一是比较外部互联网和服务的攻击，二是内部员工的apt攻击。

比较外部互联网和服务攻击:

与外部攻击相比，首先要规划网络环境，隔离，防止一台机器被攻击，交易所放在锅边。 然后用攻击面的最小化大体上严格控制对外开放的ip、端口和服务等。 有能力的交易所必须定期委托专业的安全企业进行代码审计和渗透测试，及时发现和修复安全漏洞，防止漏洞被黑客发现和利用。

其次，要确保业务安全，严格检查顾客身份，重视顾客隐私保护，保护顾客免受新闻泄露、诈骗等。 依靠内外力量，及时发现钓鱼网站、打击资金等攻击行为，及时禁止止损。

内部员工防止apt攻击的比较:

如果是对内部员工的apt攻击，就必须从客户端安全、互联网区分、安全意识、权限管理、管理制度等各个层面进行防御。 对员工进行新闻安全教育，减少员工被钓鱼、社工手段欺骗账户、权限等的概率，降低员工泄露新闻的风险。 在员工的办公室电脑上安装必要的杀毒软件，避免员工的电脑被马卡住或威胁。 企业内部网络对互联网进行区分和隔离，防止员工的计算机在被黑客控制后横向移动，更有效地控制被攻击的范围。 企业对办公室网络的访问、vpn等采用双因素认证等，防止因客户帐户泄露而导致黑客直接拨号到办公室网络。

内部网的重要服务器必须进行隔离、登录2要素、权限控制等帐户权限的回收等，防止权限过高引起的新闻泄露。

另外，必须进行各种审计和监视，集中保管、解决日志，进行警告等，事后进行故障诊断，确认被攻击的状况。

bhex创始人ceo巨建华对金色财经说。

交易所的安全是非常复杂的问题，由于加密资产的匿名性而损失的资产无法收回，因此交易所的安全风险远远高于通常的网络企业和以前传给金融企业的。 大部分来说，交易所的安全问题主要分为技术和业务两个方面，技术方面的安全问题主要是区块链钱包的安全、软件系统的安全、服务器互联网的安全三个方面。 业务安全问题是业务流程的安全和内部治理安全.。

现在中心化交易所保障安全的方法还是通过完整的业务风控制系统，通过冷热分离、三方多签名等技术实现加密资产的安全保障。

通常，中心化交易所发现受到攻击，大多停止提取货币，制定按损失规模应对的方法，如果已经产生的资产损失太大，交易所无法继续进行领域业务，则进行破产清算程序。 例如，两个著名交易所的mt.gox和bitfinex处理风险的方式完全不同。 mt.gox损失太大，所以只能进行日本法院的破产清算程序退出。 bitfinex在发生大量盗窃后仍保持运营，使用债转股的方法将客户损失转换为交易所的所有权，从而实现了赔偿。 其他发生安全问题的交易所这么不幸运，发生安全问题的交易所大多默默地消失在市场上，顾客的损失永远无法赔偿。

交易所的安全还有一个大问题。 安全风险和资产发生后，交易所无法证明无辜，无法说明这些资产是实际被盗还是自己被盗，对交易所的管理和运营者提出了非常大的挑战。

现在完全中心化的交易所看起来可以比较有效地缓解交易所的安全技术和业务方面的问题，但易用性和价格的问题是去中心化交易所的顾客规模长期低于中心化交易所。

计算机领域的安全问题是计算机诞生以来一直伴随的问题，任何技术预防都只能减少安全风险的发生可能性，但不能保证绝对的安全，比较有效的风险控制措施是正确的应对措施，发生安全问题

降维安全实验室提供了更具体的技术水平防御措施。

1、采用国际大厂的ddos防御和cdn，发送一项一项的服务，如cloudflare

(采用keyless服务，保护私钥，避免从服务提供商那里窃取机密数据。

(2)隐藏实际ip地址，绕过cdn不攻击

2、网站上线前或重大改版后，委托专业企业进行渗透测试。

3、采用“宽进严出”规则，现提出进行严格审查

4、服务器访问第三方waf服务和其他安全增强服务，防御常见的攻击方法

5、采用“陷阱防御”系统，在黑客攻击路径中埋下陷阱，适时发现黑客，如“面壁人”

6 .进行内外网隔离

降维安全实验室还列出了黑客攻击以外的交易所的安全风险.。 以下是一个例子。

降维安全实验室方面表示，为了降低风险，将进行多项安全防护。

1、第一重防护:平台的安全防护。 开始业务前必须通过安全测试、内部渗透测试

2、第二双重防护:账户安全防护。

账户安全检查:防止账户被暴力打破。

双重认证和预警机制，确保客户资金安全

出一大笔钱实施人工审查。

3、第三重防护:钱包安全防护、冷热钱包隔离、冷钱包资产保护。

4、第四重防护:加强源头管理，员工接受安全训练。

结语:

无论是没有摔倒的拐杖，还是出击，都要活下去。 毕竟，只有活着，才能看到未来的繁荣。

全天候滚动播放最新的财经信息和视频，越来越多的粉丝福利扫描二维码备受关注( finance )。