黑客緊盯幣圈交易所：5 家被擊垮，8 家成「老賴」

數位貨幣正成為黑客們的一方「沃土」，熱門交易所無疑就是個巨大「金礦」被被黑客時刻盯著，伺機下手。

5 月 8 日凌晨，全球頭部加密貨幣交易平台 Binance 幣安被盜 7,074 枚比特幣，按實時幣價估算，損失超過 4100 萬美元。根據區塊鏈數據和安全服務商 PeckShield 的分析，此次事件的攻擊手法是黑客通過釣魚等方式蒐集幣安用戶賬號信息，然後採用 71 個賬號並發 API 提幣操作於區塊高度 575013 處實施了攻擊。事後 Binance 幣安立刻宣布全額賠償用戶損失。

一石激起千層浪，此事不僅造成當日數位貨幣一度全線下跌，甚至還登上了彭博社的終端首頁，要知道，以往彭博終端的首頁一般都是有關各國央行動向的新聞。而 Binance 幣安創始人趙長鵬之後發 Twitter 提及的「區塊重組」也有引發社區就比特幣/區塊鏈不可篡改性等內核精神進行大討論的趨勢。

然而此次並非 Binance 第一次被黑客攻擊，2018 年 3 月和 7 月，Binance 也曾遭遇過黑客攻擊，不過當時因黑客提取大量比特幣時觸發了其風控系統，賬戶被凍結，Binance 也因此僥倖逃過兩劫。

其實黑客攻擊交易所的安全事件屢見不鮮，Binance 不是唯一一個受害者，也不是最慘烈的受害者，那麼歷史上誰被黑客攻擊的次數最多？誰損失最慘重？誰因黑客倒閉關門？誰在攻擊之後成了「老賴」？PAData 通過整理網絡上的公開資料 ^[1]回顧交易所安全事件的全景。

被盜一次後還會接著倒霉嗎？

三家交易所曾被盜 3 次。

PAData 收集了 2010 年以來發生的 26 次交易所被盜事件，涉及 18 家主流交易所。其中 13 家公開承認遭受過 1 次被盜事件，其餘 5 家交易所則要倒霉一點，其中 Mt. Gox 和比特兒 BTER 被盜過 2 次，而 Binance 、 Bitcoinica 和 Bithumb 則被盜過 3 次。

相比之下，Binance 比 Bitcoinica 和 Bithumb 要稍微「走運」那麼一點，3 次攻擊中只有 1 次被黑客得手，即 5 月 8 日被盜 7074 枚比特幣的這次。 Bitcoinica 遭遇的 3 次被盜事件在時間上更有戲劇性，黑客根本沒給 Bitcoinica 喘息的機會，連續於 2012 年的 3 月、 5 月、 7 月發起攻擊，遭遇「三連擊」的 Bitcoinica 最終宣布關閉。韓國最大的交易所 Bithumb 近年來也頗受黑客「青睞」，2017 年 6 月、 2018 年 6 月和 2019 年 3 月都曾被盜幣，損失慘重。

從 26 次被盜事件涉及的幣種來看，黑客最愛盜比特幣。這可能是因為比特幣作為最主流的加密貨幣，在流通的廣度和深度上都遠優於其他加密貨幣，這幾乎意味著各家交易所裡的比特幣都是價值最高的幣種，同時也意味著黑客在得手之後能立刻脫手。從公開資料來看，18 家交易所中有 10 家交易所的比特幣曾被盜過，其中導致 Bitcoinica 倒閉的 3 次盜幣事件都是比特幣被盜，導致 Mt. Gox 至今還麻煩纏身的 2 次盜幣事件也是比特幣被盜。

另外值得關注的是，最近一年在被盜幣種方面還出現了一種新的情況，有 5 家交易所遭遇了多幣種被盜，其中 Bithumb 發生過 2 次多幣種被盜事件， Coinrail 、 Cryptoia 、 DragonEx 和 Zaif 分別遭遇過 1 次多幣種被盜事件。同時 Bithumb 也是最早遭受多幣種被盜事件的交易所，2018 年 6 月，Bithumb 被盜 11 種加密貨幣，但官方未公佈具體幣種。 2019 年 3 月 24 日，DragonEx 官方宣布被盜超過 20 種加密貨幣，這可能是目前被盜幣種最多的一次攻擊。

4000 萬美元損失是「最慘烈」的嗎？

還有 2 家交易所損失超 4 億美元。

Binance 被盜 7074 枚比特幣，按昨天的實時幣價 ^[2]來估算，損失大約為 4124 萬美元，是此次收集到的公開資料中，交易所因被盜損失第 9 大的安全事件。但更慘烈的還要算 Mt. Gox 和 Coincheck，兩者損失是 Binance 此次被盜事件的 10 倍，達到 4 億美元以上。

2014 年 2 月，Mt. Gox 被黑客盜走了約 85 萬枚比特幣，按照當時幣價折算，相當於損失 4.579 億美元，是迄今為止因被盜而損失最慘烈的交易所。其次是 Coincheck，2018 年 1 月 26 日，Coincheck 被盜 5 億枚 NEM，按照當天約 0.84 美元的幣價折算，相當於損失 4.1999 億美元。 Mt. Gox 和 Coincheck 都曾是日本最大的加密貨幣交易所之一。

另外損失慘重的交易所還有意大利加密貨幣交易所 BitGrail，2018 年 2 月 11 日，BitGrail 被盜 1700 萬 NANO 幣，按照當日按幣價折算，相當於損失約 1.4127 億美元。韓國加密貨幣交易所 Bithumb 在 2019 年 3 月 29 日被盜包括 EOS 、 XRP 在內多種加密貨幣，官方未公佈具體損失，按照 PeckShield 估算，損失大約在 9000 萬美元左右。 Bitfinex 、 Zaif 、 Coinrail 因盜幣遭受的損失也都在 5000 萬美元以上。

交易所不賠還能怎麼辦？

曾出現用戶平攤、法院介入、代幣發行發賠償。

昨天被盜事發後，Binance 第一時間宣布將自己承擔 4000 萬美元的損失，全額償付用戶。除了 Binance 以外，Coincheck 、 Bitstamp 、 Biki.com 和 Poloniex 也都全額償付了所有盜幣攻擊的損失，其中 Coincheck 承擔了超過 4 億美元的損失，Bitstamp 、 Biki.com 和 Poloniex 分別承擔了 473 萬、 28 萬和 6 萬美元的損失。另外 Bithumb 只全額承擔 3 次盜幣損失中的 1 次，2018 年 6 月被盜幣後，Bithumb 宣布全額承擔 1689 萬美元的損失。比特兒 BTER 只全額承擔了 2 次盜幣損失中的 1 次，2015 年 1 月被盜幣後，比特兒 BTER 宣布全額承擔 184 萬美元的損失。另外還有 3 家交易所則是部分償付了用戶的損失，分別是 Bitfloor 、 Youbit 和 Zaif 。

除了這些有財力勇於承擔損失的交易所之外，還有不少交易所成了「老賴」。「失信被執行人」，俗稱老賴，是指經中華人民共和國各級人民法院認定的「被執行人具有履行能力而不履行生效法律文書確定的義務」的人員。根據相關規定，所有被人民法院納入「失信被執行人名單」的人員，在高消費及非生活或者經營必需的有關消費會受到限制

比如最著名的「老賴」Mt. Gox，兩次盜幣事件後都沒有承擔損失，因為還不起超 4.5 億美元直接宣布破產，至今日本法院仍在對其進行清算。另一家也被法院介入賠償事宜的交易所是意大利交易所 BitGratil，公開資料顯示，意大利法庭沒收其創始人的個人財產用於償付用戶損失。

但這並不是最「賴」的方式，畢竟法院介入後，用戶還有拿到賠償的可能性。另外還有 4 家交易所未償付損失，分別是比特兒 BTER 、 Coinsecure 、 DragonEx 、 Bithumb；2 家交易所聲稱要全額償付但未有後續報導證明已經償付，暫歸為未知，分別是 Bitcoinica 和 Cryptopia 。

此外在公開資料中還顯示 2 種套路清奇的償還方式。 2016 年 8 月，Bitfinex 被盜 119,756 枚比特幣後強制要求平台所有用戶平攤總價值超過 6,900 萬美元的損失。 2018 年 6 月，Coinrail 在被盜包括 ETH 、 NPXS 、 ATX 、 DENT 以及其他部分虛擬貨幣後並未償付用戶損失，而是由代幣發行發選擇是否賠償，據報導 DENT 的發行發曾宣布過將全額賠償。

發生過盜幣事件的 18 家交易所中只有 3 家關閉，2 家正在破產流程中，其餘 13 家全部正常運營。不僅像 Binance 和 Coincheck 這樣的大所能一力承擔數千萬美元甚至數億美元的損失，像 Bithumb 和比特兒 BTER 這樣遭遇多次攻擊之後依然還能正常運營。交易所掌握著幣圈的流量，分享了加密貨幣經濟帶來的紅利，確實已經賺的盆滿缽滿，這些交易所也許比很多人想像中的更有錢，更能抵抗風險。

黑客入侵平台熱錢包最常見

PAData 根據公開資料整理和簡單歸納後可以發現，黑客通過獲得私鑰、惡意代碼等手段入侵平台熱錢包是最常見的攻擊手法，26 次中有 11 次都可能是此種方式。

比如 2016 年 8 月 Bitfinex 被盜 119,756 枚比特幣就是因為黑客避開多重簽名，入侵平台熱錢包；2018 年 6 月，韓國加密貨幣交易所 Bithumb 和 Coinrail 的盜幣事件經韓國科學技術信息通信部調查後被確認為黑客通過惡意代碼攻擊了交易所的熱錢包所致；2019 年 3 月 24 日，DragonEx 官方宣布盜幣事件是因為平台錢包遭受黑客入侵。

另外，黑客通過獲得用戶數據後實施攻擊的得手次數也比較多，26 起交易所盜幣事件中共有 8 起是因這一原因導致的。此次 Binance 被盜之後，PeckShield 就確認黑客的攻擊手法是通過釣魚等方式蒐集幣安用戶賬號信息，然後使用 71 個賬號並發 API 提幣操作來實現的。

Binance 早前 2 起盜幣未遂的安全事件也是由於黑客獲得了用戶的 API Key，黑客通過 unicode 釣魚網址盜取了部分 Binance 用戶的 API Key，然後通過 API 接口入侵 Binance 交易所。另外 Bitcoinica 、 Bithumb 、 Cryptopia 和 BiKi.com 也遭受過此種攻擊。

除此之外，已發生的交易所盜幣手法還有 DDoS 攻擊、欺詐交易、利用交易代碼漏洞等。

釣魚、撞庫…互聯網黑產軍團轉移到數字貨幣領域，試圖拿到大戶們的私鑰或者交易所密碼，有黑客曾預計，2018 年下半年針對數字貨幣的黑產鏈條將徹底形成，屆時絕大部分幣民將處於安全危機下。

「黑客圈有句話，100 萬美元代價可以攻破所有的網站所有的安全方案，都不能防止自己不被攻破。」DGroup 創始人趙東在微博上表示。對於深入弱勢的散戶投資者而言，唯一能做的就是看緊你的數位錢包，防止網站釣魚。

數據說明：

[1] 此次蒐集的交易所安全事件以交易所官方承認的安全事件為基礎，即交易所不承認為黑客攻擊的安全事件不計入統計，其餘各項維度數據的取信標準是：如果有官方公告則以官方公告為準，如果沒有官方公告則以業內知名安全公司，如 PeckShield 等發布的消息為準。如果以上較為可靠的信源沒有提供有效信息，則輔助參考其他媒體報導，此種情況下，PAData 會比對兩篇及以上不同來源的報導，如果數據存在偏差，以媒體中（傳統媒體> 門戶網站> 主流行業垂直媒體，其他媒體信源不予考慮）時間最近的多數報導為準。儘管如此，但考慮到區塊鏈依然是一個小眾領域（缺乏主流媒體報導），行業媒體存在互相借鑒的可能性，因此不排除數據有少量偏差的可能性。

[2] 如果攻擊發生事件可考至日，實時幣價記為 CoinMarketCap 上當日收盤價，如果攻擊發生的日期不可考，這可能是因為發生比較較早尚無報導，也可能是因為攻擊發生時間為連續的幾天，那麼實時幣價記為 CoinMarketCap 上當月收盤價的平均值。其中比特幣 2013 年 4 月以前的幣價數據在 CoinMarketCap 是缺失的，固這部分數據參考 BitInforCharts 。在比特幣部分價格缺失的情況下依然採用 CoinMarketCap 的數據是考慮到其他小幣種幣價在 BitInforCharts 不可考，因此為了最大程度保持價格來源一直，採用此種方法統計。如果未公佈具體損失，則記為 0 。基於此幣價計算方法得到的實時預估損失為估計值，以 E 表示。