交易所老板的真实生活:遇盗惊魂,夜不能寐
“徐明星曾经梦见有人绑架了他,让他交出比特币。在梦中惊醒的他,第二天重新设计了交易所的安全机制。”
自从开了交易所,每天睡不着,担心客户的资产被盗。
就连 OK创始人徐明星,在创业初期也曾同样经历过这种心情。现在交易所的创始人们也不例外。
牛市来了,他们眼中最大的空头,可能是黑客。
毕竟趁牛市卖币赚得多。如区块链安全公司 PeckShield (派盾)副总裁吴家志所言,攻击交易所的黑客,都是熟悉交易所系统、了解加密货币的一群人,因此卖盗来的币也讲究时机。“比特币站上 8000 美元之后,之前监控的黑客地址又开始活动了,其中的币经数度转手之后往往流入交易所套现。”
随着行情而来的,是交易所资金体量的成倍上涨。自然,这个兵家必争之地又成为创业者和资本追逐的热点,同时也成为了黑客的目标。
慢雾统计,2019 年二季度以来,包括币安、Coinbase在内的近10家交易所已被黑客成功攻击,损失超 7600 万美元。
多家无名的交易所因被黑客攻击而关停,没有关停的,可能只是因为赔得起钱。
交易所们熬过了熊市的惨淡,却没躲过牛市的黑客。
盗币惊魂,创始人寝食难安
币创走了,留下一句“交易所的坑,实难为继”。令人感慨。
业内人士透露,在币安被盗7000枚比特币(5月初)前后,不少交易所也惨遭黑客洗劫,因此而承受关停压力的小交易所不少。
一家小交易所的创始人,此后压力巨大。“虽然后来把窟窿填上了,但据说创始人自此之后常失眠睡不着,精神几近崩溃。坚持了几个月实在不行,遂决定关站。”
OK创始人徐明星曾经梦见有人绑架了他,让他交出比特币。投中网报道,在梦中惊醒的他,第二天重新设计了交易所的安全机制,将冷钱包密钥交给多人管理,建立异地备份。
交易所安全的历史上不乏前车之鉴,门头沟、Bitfinex 被盗 10 万比特币的惊天窟窿,至今仍深刻影响着相关当事人。
每一个坐上交易所 CEO 位置的人,就好比突然获得王位的达摩克利斯。摆在他面前的,除了眼前的美酒佳人,还有王位上方仅用一根马鬃悬挂着的利剑。对于交易所而言,这支利剑就是随时面临的黑客攻击,亿万财富也可能在一夕之间拱手送人。
“所有开交易所的最担心被盗币。没有最安全,只能更安全一点,再安全一点。”HB.top 交易所创始人姚远坦言,“黑客和政策禁令一样,是交易所最关注的两大问题。”
在每次发生盗币时,都会刺激姚远的神经。币安被盗的第二天,赵长鹏在线上直播中安抚用户、细述赔偿方案。“看得出他一晚上都很憔悴。发生了这种事,不得不买单。很担心发生在我身上。”姚远坦言。
别人的钱包不敢用,自己做的也不敢用
交易所每天需要准备足够的流动性用于提币。据业内人士透露,一些交易所走账、提钱,是几个创始人每天早上一起操作,“想想还是很手工的,战战兢兢的,一不小心钱没了咋整?”
这样的仪式感,每天都在提醒,他们是行业最大的中心,也是最大的靶子。
“不止一个交易所创始人对我们说过,自己很担心、睡不着,然后也多次在交流中嘱托我们要做好检测,加强系统安全。”慢雾科技合伙人兼安全负责人海贼王告诉Odaily星球日报。
一位交易所领域的创业者表示,“中心化交易所对创始人的折磨其实挺大的,毕竟能赔的起钱的屈指可数。交易所要自己做钱包,别人的钱包不敢用,有的连自己人做的钱包也不敢用。”
创始人们的焦虑并非没有来由。据慢雾团队提供的数据,2019 年二季度以来,包括币安、Coinbase 在内的近 10 家交易所已被黑客成功攻击,损失超 7600 万美元。
每天,姚远都能从自家交易所购买的阿里云和亚马逊云上,看到分析日志中提交的恶意扫描和攻击服务器的报告。“看着很焦虑,我们不得不每天打起 12 分精神、谨小慎微的运营,反复查验系统的健康指标。虽然枯燥但很重要。”
在恐惧的支配下,一些头部交易所不惜重金挖掘资深安全人员。
“安全人员的行业平均工资,相比于同等资历的程序员通常高出一倍。对于有特殊能力的人甚至不设上限,给出的 Offer 超过老板也有可能。“吴家志告诉 Odaily星球日报。
吴家志坦言,有段时间几个合伙人先后收到了猎头发出的 Offer,“大家一交流才发现都是同一家头部交易所发出的”。
除了人员投入,还有钱包和托管服务等投入。根据 Coinbase 一年前公布的报价,其托管服务会一次性收取 10 万美元,在此基础上每月增加 10 个基点,而且要求客户的加密资产余额不得低于 1000 万美元。
安全成本之高,确实不是一般的交易所能承担。币创创始人在微博表示,安全成本是选择关停的原因之一:“小团队开发资源极其有限,实在无法在保持功能进度的前提下,倾斜大量精力在安全上。”
交易安全的坑,数不胜数
如此之高的安全素养,都是交易所踩过的坑给教的。
1、耐心黑客卧底半年终收网
5 月初,币安被盗。北京链安分析认为,问题出在了,币安内网遭到黑客长期渗透,由此轻松获取用户密钥及其他相关信息,进而将其中的币提走。
而在此之前的一个多月,DragonEx、BiKi 等平台刚被黑客组织 Lazarus 采取类似手法“渗透”。
据 360安全专家介绍道,Lazarus 通常会用半年的时间将交易所内部架构调查清楚,而后伪装身份与交易所人员进行长期的沟通交流。
“都是朋友了,谁会有那么强的防备心?”360安全专家介绍说。等时机成熟后便向交易所人员推荐加入恶意代码的自动交易软件等。交易所人员一旦中招,黑客便可在云端控制该台电脑,获得自己想要的信息和权限,为所欲为。
“从去年 10 月开始准备,终于在今年 1 月和 3 月收网。”耐心的 Lazarus 在收网时,仅 DragonEx 一家便获利 4000 万元。“面对这类长时间、精心设计的陷阱,大多企业都顶不住的。”360安全专家补充道。
2、挑安全人员意志薄弱时下手
平常的黑客,即使没有 Lazarus 如此耐心,为提高成功率,在前期测试好之后,也会埋伏至适当时机再下手。
姚远最不喜欢逢年过节,因为此时最是危险、要全力防着这些人。“黑客全年无休地盯着你个小金库,即使在大年初一初二也有人被盗。黑客还昼伏夜出,凌晨两点到五六点间也要有人值班监控。“故此,仅有 10 人团队的 HB.top,安全人员就占了 3 个。”
3、不要随便吹自己安全做得多好
安全无小事,一出出大事。但仍有交易所忽略这条箴言。
安全行业从业者 Ken 告诉 Odaily星球日报,交易所忌高调浮夸。有的交易所可能上线没多久,没出过问题,于是在社交媒体上吹捧自己的技术如何强大安全。
“什么?那我得挑战一下。黑客看到后很可能就来劲了。所以,安全事宜要默默做,用少漏洞、零损失说话。”Ken 说道。
4、被盗币还不知道为啥才最惨
风险预警只是安全攻防中的前半场,另一半场发生在黑客攻击后的处理能力,如处置妥当无疑能将损失降到最低甚至是零。
派盾团队有时会遇到被攻击的客户寻求帮助。这时令人头疼的是,知道被攻击的事实,却不知道问题出在了哪儿。
“刚开始从业的时候会觉得很懵、压力很大,有时需要连续熬个一两个夜才将问题排查好,后来慢慢习惯了。”吴家志表示。
去年 7 月,HB.top 发现钱包中少了几百个 USDT,于是迅速排查,发现有黑客在发动假充值攻击,也即黑客向交易所账户中假装冲入 USDT,实际却利用交易所的机制漏洞(在 USDT 还未到账时便给了假充值账户提币权),让黑客在数分钟内提现,于是造成了亏空。
发现问题后,HB.top 立即对黑客账户进行排查,并调整机制,在核准到账记录后才开放提币,由此阻击了黑客更大金额的假充值。
后来的事实证明,黑客的这种“创新”攻击手法,将大量交易所攻陷了,某些交易所为此损失多达数百万 USDT。
总结起来,很多从业者都认为,在交易所安全的各个环节里,最脆弱的是人。
首先是当老板的安全意识有多高,在私钥保存时愿意相信的人的范围有多大。其次,在安全投入、机制设置和安全教育上有没有做到位。
正如姚远所言,人性薄弱的地方,就应该用制度来约束。譬如一些公司设置了内外网关卡,实行网断隔离,还规定所有员工均需安装杀毒软件、不要点开未知链接,等等。
丢币不可怕,可怕的是交易所没钱赔
交易所自身安全,是一方面;资产安全的另一方面,则是交易用户。
上述创业者认为,用户在选择交易所时并不会太多评估其安全性如何,毕竟大所也会被盗。
那么用户主要看什么呢?
关键是看交易所在丢币之后能不能赔得起这个钱。这个涉及到交易所是否设立盗币赔付基金,并在攻击发生后的行动。若交易所赔付金准备到位,被盗币也有可能为品牌价值锦上添花。“大交易所安不安全我不知道,但是我知道他不会跑路。”
目前来看,大小交易所在丢币后都倾向于全额赔付。
但在安全从业者看来,有一类交易所的安全性会让人颇为顾虑——那些突然间火起来的交易所黑马。
很多交易所早期并不注重安全防护,在快速发展起来后也容易成为黑客眼中的 Easy Girl。我们看到,3 个月以来,像 Biki、抹茶这样的交易所新贵就曾先后被黑客洗劫。
吴家志坦言,相比于两年前,现在从业者的安全意识和防护技术确有提高。部分交易所甚至购买了价格不菲的服务,譬如托管钱包和 AWS 的密钥托管服务(KMS)等。
在多措并举的情况下,我们可以看出被盗交易所的数量明显下降。
数据来自:慢雾
但安全从业者都知道,人造的系统有各种被攻克的可能。换言之,安全问题乃是交易所的阿喀琉斯之踵,会伴随行业永远存在。
来源:Odaily星球日报
比推快讯
更多 >>- Terraform 律师反驳 SEC,称代币销售大部分发生在美国境外
- Coinbase 第一季度营收 16 亿美元,较上一季度增长 72%
- Block:拟每月将比特币产品毛利润的 10% 用于投资 BTC
- Tether与Chainalysis 合作开发用于监控二级市场活动的可定制解决方案
- 价值超7600万美元ETH从未知钱包转移到Coinbase Institutional
- Magic Eden宣布其BTC Diamond Retro申领已上线
- 以太坊 NFT 4 月份销售额 2.41 亿美元,为2023 年 10 月以来最低
- Jito 成为 Solana 上TVL最大的协议, 达 14 亿美元
- 摩根大通:加密市场抛售是由散户投资者推动的
- USDC Treasury新增铸造5000万枚USDC
- 一巨鲸以0.051美元价格购买193万枚SC,SC 上涨约 200%
- Coinbase国际交易所将增加对 Arweave、Hedera 和 Theta 永续合约的支持
- 某以太坊ICO参与者在休眠8.8年后转出1,960枚ETH,价值587万美元
- 今日美国9只现货比特币ETF净减持8107枚BTC,约4.7亿美元
- 法国巴黎银行持有约4.1万美元的贝莱德现货比特币ETF敞口
- RWA 平台 Untangled 在 Celo 上开设其首个 USDC 借贷池
- MoonPay 集成 PayPal,允许美国用户通过 PayPal 买卖 110 多种加密货币
- RWA市场Ironlight完成1200万美元的融资,拟在美SEC注册
- 截至4月1日Yield Guild Games财库持有资产总规模约6700万美元
- 彭博ETF分析师:需要重新调整对香港虚拟资产ETF市场的看法
比推专栏
更多 >>- 每月动态 | Web3 安全事件总损失约 9081 万美元
- 脱水大字报:牛市行情或延迟类似2016年
- 矿工日收入突破亿创纪录,比特币符文能否接力铭文?
- 获比特大陆投资且被币安首个接入的BTC L2项目BEVM有何亮点?
- 为什么这轮牛市无法复制 2021 年的山寨季?
- 独家!种子轮融资200万美金+AI叙事的项目
- IOSG Weekly Brief|MKR的涅槃重生:新公链和RWA稳定币与Spark借贷独角兽 #223
- Kusama 上的 Coretime 交易已开始,平行链时代谢幕
- 100亿美元开发投资,红杉资本入局,特斯拉要搞波大的…
- Chainlink Q1产品更新;CCIP正式进入全面可用阶段;Consensus2024来啦|Chainlink 周报
观点
项目
比推热门文章
- 【比推每日新闻精选】Block拟每月将比特币产品毛利润的 10% 用于投资 BTC;Coinbase 第一季度营收 16 亿美元,较上一季度增长 72%;Jito 成为 Solana 上TVL最大的协议, 达 14 亿美元
- Terraform 律师反驳 SEC,称代币销售大部分发生在美国境外
- Coinbase 第一季度营收 16 亿美元,较上一季度增长 72%
- Block:拟每月将比特币产品毛利润的 10% 用于投资 BTC
- 【比推每日市场动态】 先抛为快!散户领头!现货比特币 ETF 现最大单日资金外流
- Tether与Chainalysis 合作开发用于监控二级市场活动的可定制解决方案
- 价值超7600万美元ETH从未知钱包转移到Coinbase Institutional
- Magic Eden宣布其BTC Diamond Retro申领已上线
- 以太坊 NFT 4 月份销售额 2.41 亿美元,为2023 年 10 月以来最低
- Jito 成为 Solana 上TVL最大的协议, 达 14 亿美元