SheKnows | 暴雷，攻击，漏洞！拿什么来保护你，我的BTC？

刚刚过去的2月，交易所暴雷、遭受攻击，私钥被窃，DeFi项目出现漏洞和人为失误，一系列的安全事件，给区块链项目的管理敲响了警钟。

3月6日下午，SheKnows直播间迎来区块链安全专场，邀请了慢雾科技合伙人启富、比特派创始人文浩、DDEX联合创始人王博闻，围绕区块链安全的话题展开讨论，在不安全的世界里寻找安全感。

昨天 VS 今天：区块链行业是否越来越安全？

SheKnows：现在的区块链行业比以前更安全了吗？

启富： 安全的本质是信任，安全的核心是攻防对抗，攻防的核心又是成本对抗。安全是动态的，随着业务的发展也可能会引入新的安全问题。安全也不是绝对的，从来不存在一家100%安全的公司或项目。随着行业的发展，需要大家不断地提升安全意识，才能有效的避免出现更多被黑事件。

文浩： 虽然看起来到今天仍然是此起彼伏的黑客事件、安全事故、盗币案例，但相比起当年（比如说 Mtgox 时代），其实是安全了很多个量级了，具体理由如下：1. 硬件冷钱包技术和方案有了长足的发展；2. 开始出现了越来越多的专业的安全团队；3. 币圈企业（尤其是交易所）更有钱了，更有钱其实也很重要，因为有钱了就能在安全方面投入更大的资源。虽然行业更安全了，但其实行业所面临的安全复杂度则高了很多倍，比如说智能合约安全、多链资产的管理等等的，都给今天的行业安全带来了更多的挑战，所有这些都需要行业内的大家一起努力。

王博闻： 区块链行业安全其实是一个黑盒子，每年都会有不同的平台出现被盗的事件，从最早的门头沟，到韩国Upbit 被盗5000万美金, 币安7000比特币的被攻击，到Fcoin内部亏空。包括最近出现的DeFi 智能合约的一些攻击，就比如说我上周分析的bzx 的闪电贷攻击，和SNX的套利。每年的智能合约安全的需求都在成倍的增长 。

IOTA被盗，巨鲸丢币，普通用户该不该担心？

背景：

事件1：黑客利用 IOTA 官方钱包应用 Trinity 的漏洞窃取资金，随后官方宣布关闭整个网络。

事件2：论坛名为“zhoujianfu”的巨鲸称，丢失1547 BTC和近60000 BCH。SIM卡攻击，疑似使用Blockchain.info服务。

SheKnows：针对事件1，之前看到慢雾分析的结果是，新版本的官方钱包里的一个交易模块出了问题。能否具体讲讲？

启富： 原因是IOTA官方钱包引入了第三方的组件，然后第三方组件被黑，间接影响了他们官方钱包的很多用户，导致他们的私钥、密码被盗。已经统计出来的损失，被盗的IOTA大概是855万枚，价值大概230万美金。技术上具体展开来说就是，IOTA官方钱包内置了一个第三方交易模块 MoonPay，等于钱包内有一个交易所的功能。攻击者盗取并利用 MoonPay 的 Cloudflare API Key 发起中间人劫持攻击，在IOTA钱包引用的 MoonPay JS文件 中注入恶意 JavaScript，盗取用户的种子、密码等。

SheKnows：怎么看待Trinity 钱包被盗导致主网关停这件事？

文浩： 其实应该是MoonPay模块的问题，MoonPay是一个第三方交易模块，用来帮助海外用户买卖币的第三方服务，除了Trinity其实还有一些其它的钱包在用Moonpay。攻击者是利用了MoonPay的Cloudflare API key完成了一系列劫持攻击，注入了恶意的JavaScript代码，详细的报告大家可以去找下慢雾的文章。其实这就是过去这些年我们一直强调的“JavaScript 钱包的安全天花板其实非常低”的原因。

SheKnows：巨鲸由于SIM卡攻击而丢失巨额资产，其他的普通用户会不会遭受这种攻击？什么样的钱包算是安全的？

启富： SIM卡攻击手法，其实是挺流行的，但是在国内大家可以不用太担心，因为国内已经度过了早期运营商各种混乱，甚至运营商内部做恶这些情况，包括我们相关的一些法律以及监管，大家的手机号不会轻易被别人给复制。在我们国家大概10年前，这个现象还是挺普遍的。但是在国外运营商的实力，不一定有我们国内的这么强，大家都知道我们国家基建的水平是非常强的。而很多海外运营商属于私人企业在运作，技术实力等等都不一定那么高，包括相关的一些内部协议，可能都是很古老的版本，以及风控管理上可能都比较落后，确实会存在海外的手机号被社会工程学等方式复制。

关于钱包安全的选择，我觉得需要结合用户自身的熟悉水平，如果是接触区块链不久的、持币量不大的用户，建议资产托管在全球知名的交易所，开启各项二次认证、登录保护措施；如果是对区块链有一定的认知，对去中心化钱包有相应的了解，可以选择国际知名的去中心化钱包，把币放在里面，同时离线备份好助记词、私钥；第三种是资金量大的，对安全要求高的，可以选择国际知名的硬件钱包，或者专业的资产托管平台。

FCoin暴雷，OKEx和Bitfinex被DDoS 攻击，交易所安全何去何从？

背景：

事件1：FCoin 交易所表示，由于资金困难导致资金储备无法兑付用户提现。

事件2：OKEx、Bitfinex 等交易所频繁遭受 DDoS 攻击，相关服务受到影响。

SheKnows：你对“交易即挖矿”这种模式有没有新的看法？FCoin暴雷，对交易所这个赛道会产生什么样的影响？

王博闻： “交易即挖矿”是一个模式创新，很多人也参与过Fcoin交易即挖矿，这个模式是不可持续的，因为人为地透支交易需求，而且是将第二天的收益，透支给前一天，所以本质是击鼓传花。Fcoin挤兑的暴雷，主要是内部的统计系统和风控系统不完善所导致的，内部亏空严重，到最后挤兑发生，都是Fcoin本身内部的问题。这种问题就不会发生在DeFi 产品上，因为所有的资产都是从第一天开始就是公示给所有人，大家都可以看到有多少用户，每个用户存取了多少钱，借了多少钱，所以平台没有作恶的可能性。在第一天把所有的账务公示给所有人是DeFi资金安全的一个最好的广告牌。

SheKnows：什么样的交易所是相对安全的？去中心化交易所（DEX）面临哪些安全风险？

王博闻： 直到交易所被盗之前，所有的安全保护宣传都是不可证伪的。因为如果交易所开源冷热钱包管理系统，黑客也会有专门的方式针对。所以最好的选择，可能是分散风险，冷热钱包自己控制，如果不信任自己钱包管理能力，可以在几个最老，安全信任度最高的交易所，分散资产，比如说Kraken、Coinbase。

DEX的风险，我们把智能合约安全放在最高优先级，我们和行业领先的几家安全审计机构 Peckshield、Secbit合作，至今在以太坊上执行了45万笔链上交易，没有出过安全问题。我们也和行业内的白帽子合作，做公开的悬赏计划，给提供安全线索的开发者一定的奖励。

bZx 被攻击，Curve 交易异常，DeFi遭遇信任危机？

背景：

事件1：DeFi 项目 bZx 遭受了两次攻击。事件发生后，DeFi 保险平台 Nexus Mutual 兑付了 bZx 事件中 3.1 万美元的用户索赔。

事件2：去中心化稳定币交易平台 Curve 出现异常交易，该笔交易使用价值8.9万美元的 USDC 兑换了价值46.5万美元的 BUSD。部分DeFi业内人士猜测，此次攻击或与DeFi协议iEarn提供的Zap智能合约有关。

SheKnows：近期出现的DeFi安全事件，会不会引发 DeFi 的信任危机？

启富： DeFi的初心是开放金融，这降低了人们进行金融交易的门槛，同时监管上也变得没那么严格，DeFi 的很多事情还在摸索阶段，一件事情刚开始的时候总是会遭遇很多意料之外的事情，这是无法避免的，且完全没有必要因噎废食。DeFi 未来的路还很长，目前需要做的事是充分汲取这些安全事件的教训，在合约中设置好风控机制，并在产品上线前做好充分的安全审计，才能防止此类攻击再次重演。

文浩： 我觉得DeFi的安全事件并不会导致DeFi的信任危机，就像当年的 DAO 事件（都导致了 ETH 分叉），其实也没导致智能合约的逻辑危机一样。因为这类的安全事件，本身还是因为要么是业务逻辑、要么是智能合约安全所导致的，所以，不能因为出事儿了就连 DeFi都不相信了，合约有漏洞，那就把合约改好就好了，逻辑有问题，那就把逻辑修复下，DeFi本身的根基还是不变的。当然，由于区块链和智能合约的复杂度，在这上面干活儿的安全风险相比起传统的软件开发要高很多倍，难度也大得多，因此，开发者们更要重视安全，与优秀的像慢雾这样的安全团队一起协作，努力搭建出更加安全可靠的 DeFi服务。

王博闻： bzx可能是最近被讨论最多的 DeFi 被攻击的事件了，黑客通过闪电贷10000ETH, 赚取了1800 ETH。这是一个很高明的金融工程攻击手段，其实黑客是按照游戏规则来玩这个游戏的，他的获利也是所有规则范围允许的。所以也不会引发DeFi的信任危机，只会引入更多的新的参与者，比如说更多的安全审计和更多的保险产品。

SheKnows：DeFi（去中心化金融）和CeFi（中心化金融）安全问题的区别是什么？

启富： DeFi、CeFi安全问题的区别其实很像中心化交易所和去中心化交易所的区别，首先拿资金管理来说，中心化的平台托管了所有用户的资产，其冷热钱包架构及权限管理就非常重要，还有对风控体系的要求也很高；去中心化平台由于没有托管用户资金，这方面要考虑的问题就比较少；第二个是系统外安全风险，不论中心化、去中心化都会对外部资源（例如：币价、预言机数据等）有一定的依赖，当依赖的外部系统出现意外时，能否及时发现并“容错”也是一项很重要的考验。

文浩： DeFi的安全更重要的是智能合约的安全和业务逻辑的安全，你如果有一个智能合约代码漏洞，那上面的资产可能就完蛋了。而像前面提到的 bZx 先后两次遭受攻击，则是逻辑上的缺陷被攻击者利用然后进行的攻击。而这里呢，闪电贷是个非常优秀的想法，也是 DeFi创造力的很好的例子，但逻辑上有漏洞，那就会有很高的风险。CeFi的安全则不用管这些，CeFi的安全更多的则类似于交易所安全，因为用户是把币存在 CeFi平台上的，你主要要担心的是黑客盗币。

SheKnows：目前DeFi项目存在什么样的安全风险？

启富： 总结近几年发生的DeFi安全事件，可以发现主要有如下的安全风险：1. 智能合约逻辑层面的漏洞、风险；2. 业务模型中的缺陷（例如套利问题）；3. 预言机问题；4. 治理机制缺陷。

SheKnows：如何看待DeFi 保险对DeFi 生态的意义？

王博闻： DeFi本质还是普惠金融，普惠金融在现代金融市场是有非常多细分的业务场景， 对于巴菲特来说，他非常喜欢的投资标的就是保险业，因为保险业务本质是先收钱，后赔付。 所以有更多怎么更好分散风险，增加收益的选项。现在很多人对DeFi的不理解和不熟悉本身的原因，也是因为很新，很多人不了解。DeFi保险是一个增加普通用户信心的一种方式。

3年被盗98亿美元，普通用户如何保护资产安全？

背景：

毕马威发布的最新报告显示，2017年以来，黑客至少盗窃了98亿美元的加密货币。数字资产的安全变得愈发重要。

SheKnows：普通用户应该如何保护自己的数字资产呢？如果发现自己的数字资产被盗，应该马上采取什么样的行动？

启富： 选择一个适合自己的保管方式是关键。假如不幸发现自己的数字资产被盗，如果资产放在交易所里，应该先联系交易所调查分析被盗原因；如果资产是放在去中心化钱包里，很可能就是私钥、助记词泄露了，这时候可以联系慢雾hack@slowmist.com邮箱，我们AML系统可以对被盗资产进行监控和追踪，当发现资产进入交易平台时将尝试进行阻断。

文浩： 在这里，我可以给大家这么几个钱包保护的意见：

1. 请使用有安全口碑的、架构合理的钱包方案；2. 请一定要保管好助记词；3. 日常的币存在热钱包里，大额的币存在开源的硬件冷钱包里，如果需要更高的安全级别请用加密账户。4. 多人共管的币使用硬件冷钱包+多重签名共同管理，这类的丢币案例也很多，不能大意。

如果发现数字货币资产被盗，那首先应该尽可能的联系行业内相关的企业，看看能不能帮你获取更多、更完整的相关信息，然后再去报警。当然，所有这些你都得指望盗你币的人是个笨贼，留下了足够多的蛛丝马迹，否则找回还是很困难的。另外，像慢雾也有 AML 风控系统，并且慢雾也和包括比特派在内的钱包和交易所进行这相关风控合作，因此，也应第一时间报告给慢雾和比特派，大家可以一起看看能不能拦住相关资产的交易、兑换。

王博闻： 很多数字资产被盗之后都是无疾而终，能追回的寥寥无几，唯一能做的就是做好之前的资产保护，管理好自己的冷热钱包，分地点存储，放保险柜里，防火防水防脱墨。

SheKnows：针对当前区块链的安全环境，请各位嘉宾提出自己的建议。

启富： 慢雾的愿景就是成为区块链生态的安全基础设施，作为区块链优质从业代表，目前慢雾正紧密与国家相关单位制定区块链行业标准、区块链技术国标、区块链安全国标，为推动区块链技术发展、项目落地做出一份贡献，共同保障我国区块链行业有序、健康发展。只有行业不断健康发展，才能给我们这些早期从业者带来红利。

文浩： 当前区块链的安全环境方面：我个人觉得还是需要行业内的企业共同努力，虽然我之前提到过的相比起当年行业安全水平提高了非常多，但说实话离真正好的安全水平还是相差很多的，大家仍有很多可做的事情让整个行业更安全！

王博闻： 我的建议还是从用户的角度出发，也是一句行业的金句了：只有你拥有的私钥，才是你的数字资产。祝愿大家2020年，找到最好的方式掌握自己的私钥。