黑客过境,币圈难宁 每年上亿美金流入黑客口袋
2018/7/17 9:38:36

在黑客攻击后倒闭的项目不绝如缕。币圈是一块无人管的戈壁地。在币圈尚无明确法律监管的情况下,这些黑客攻城掠地,侵占一座又一座城池。无论是矿池、钱包、交易所还是公链,甚至是用户的打印机、摄像头,都有被黑客袭击的可能。就这样,币圈每年上亿美金的虚拟货币流入黑客口袋。

自互联网始,黑客存在久矣。

然后,颠覆互联网的区块链来了,黑客也随之降临。

分裂以太坊,门头沟事件,BTER失窃……每一次币圈事故背后都能瞧见他们身影出没。

与互联网的森严法治不同,币圈黑客游走在规章的模糊边界,无人约束。每年上亿美元赃款落入黑客腰包。

这是与古典互联网截然不同的奇异景观。

“互联网发生安全事故丢失的是信心,币圈安全事故丢的可能是命了。”一位区块链安全人士表示。

利益之下,黑客肆掠,币圈无人幸免。区块链的头顶上,始终笼罩着一层阴霾。

一场悄无声息的迁徙

古典互联网黑客正在往币圈大规模迁徙。

“正是区块链技术创新造就了这群黑客。”BYSEC.IO创始人莫良向深链财经称,“区块链是历史上任何一个时代无法比拟的——代码和钱画上了等号。”

互联网和币圈是截然不同两个世界。

“对于互联网安全,一旦发生安全事故,往往丢失的是信心,但是用户是健忘的。可对于数字货币交易所、钱包而言,丢失的就不仅仅是信心了,可能就是丢命了,是等同于法币资产的身家性命。”一位业内人士透露。

在黑客攻击后倒闭的项目不绝如缕。门头沟事件(2014年2月,黑客从Mt.Gox盗取用户近75万枚比特币及交易所10万枚比特币)直接导致彼时世界第一大交易所Mt.Gox申请破产。

币圈是一块无人管的戈壁地。在币圈尚无明确法律监管的情况下,这些黑客攻城掠地,侵占一座又一座城池。

莫良将攻击分为两种:一种是链上攻击,例如像BTG双花攻击。技术门槛高,攻击者对区块链技术有一定研究;一种是链下服务攻击,比如对交易所、钱包的攻击。

币圈黑客目前的操作方式大部分属于后者。即是说,黑客仍然用着传统互联网的方法在币圈兴风作浪。

“密钥和钱包的安全是区块链安全1.0的重心,智能合约是区块链安全2.0的重心。但是目前大多数黑客事件还是使用传统攻击手段。”长亭科技区块链安全研究员于晓航向深链财经表示。

古典互联网黑客转行币圈,根本不需要学习成本,所要只是一个瞬念。

币圈黑客已经将触角伸向区块链全产业链。

无论是矿池、钱包、交易所还是公链,甚至是用户的打印机、摄像头,都有被黑客袭击的可能。

例如,对于矿池来说,黑客直接攻击矿池,设法获取矿池网站的管理员权限,然后将矿池里额虚拟货币转移至自己帐户。

此外,黑客还能黑进用户的物联网设备,偷设备上的算力,当用户发现设备的耗电量增加、网络流量出现异样,事实上其中是黑客在暗地里挖矿,但用户根本不会发现。

就这样,币圈每年上亿美金的虚拟货币流入黑客口袋。

黑白边缘

于晓航发现,自今年年初,开始做区块链或者转型区块链的安全公司多了起来。

近日,BYSEC团队也忙于不断见新的投资人。

币圈白帽子势力正在扩张。白帽子,即正面的黑客,可以识别计算机系统或网络系统中的安全漏洞,并不去恶意利用,而是公布漏洞。

这是刀锋上的生意。技术的价值在币圈被无限发大。

莫良称,“在安全人才储备严重不足情况下,很多公司趁火打劫”。

很多安全公司奔着赚钱来的。莫良透露,在传统互联网行业,代码审计按万行收费,平均一行代码1元至10元,而在区块链行业,代码审计费最高上万元。

区块链,碰撞出技术火花,同时也是一座富饶金矿。

“区块链行业里的白帽子非常缺乏,因为安全其本身还是一个服务性的东西,跟黑帽的利益驱动相比,白帽更多是发自内心的责任感去做。”于晓航称,相对黑帽来说,区块链白帽阵营还是太小了。

与此对照的是源源不断涌入币圈的黑客团队。

“未来一定会有更多黑客涌入区块链。”莫良称,最近耳闻,区块链早已变成黑客眼中最肥的肉。

这是一场力量相差悬殊的竞争。

现行的技术和手段,加上区块链去中心化、匿名的特点,黑客的行踪很难被追溯。

而法律监管的缺失,更让这群币圈黑客肆意妄为。

白帽子却常常陷入误解的疑云。

让莫良最受挫的是大众对黑客认知的缺失。很多区块链公司对黑帽和白帽没有清晰认知,“大家都觉得黑客是不分黑白的,只要你找上门就是坏的。事实上白帽被称为道德黑客,完全是出于个人兴趣,很多人在大互联网公司领着百万年薪,但还是愿意不相识公司提出漏洞”。

充满悖谬的是,监守自盗在事情经常在安全领域上演。有黑客伪装白帽子,获取内部信息后发起攻击。

慢雾科技联合创始人余弦曾表示,自己在招人时第一考虑的是价值观,然后才是其他,“在自我约束这方面,我们非常严肃”。

“守正出奇”,余弦称,黑客这个身份,自带奇,但得守正。

与此同时,白帽子只有把自己设身为黑客,去模拟攻击,才能发现漏洞。“以攻促防,只有了解攻击者的手法与心理还有这个群体的生存模式,才能真正做好防御。”余弦介绍。

莫良称,而今很多区块链公司只有运营团队,没有技术团队。莫良觉得成熟的区块链项目应该设有独立的安全部门。

“这不仅仅是技术层面的事,还是意识层面的。”莫良称。

“意识安全比技术安全还要重要。”于晓航也表示认同。

于晓航发现,2014年,BTER交易所发生失窃事件,源于BTERCEO韩林被黑客分析,而其个人密码恰好是BTER交易所里很关键的密码。

“不论你各个层面的安全防御技术做得再好,如果你人的防御意识出现问题,所有防御都是泡汤的。”于晓航介绍。

每个行业的兴起,安全都不会得到重视。被黑客教育很多次后,行业才会重视。所以,这不仅仅是技术的更新,更是意识的迭代。

一边是不断涌入币圈的黑客,掌握最顶级的资源,使用最豪华的设备,一边是势单力薄的白帽团队,苦苦挣扎却不被重视。

两人争分夺秒竞争,谁发现那个漏洞。现在看来,最后胜利的往往是黑客。

一场相差悬殊的竞赛

“没有不被攻击过的交易所。”莫良称,绝大多数交易所被攻击后,常常装作维护状态,其实是“打破牙齿往肚子里吞”。

黑客阴霾笼罩每个人头顶。

黑客思维缜密、耐力过人、行动迅捷,无人知晓黑客是单独作战还是团队作业。同时,谁也不知道自己会不会是下一个受难者。

据于晓航观察,在门头沟事件发生的三年前,即2011年,黑客早已种下一颗木马。

Mt.Gox团队在浏览其他网站时,将木马程序下载至本地,木马程序自动搜索存放钱包密钥的文件。

木马悄悄潜伏在Mt.Gox服务器里,导致钱包的密钥文件被攻击者拿到。

攻击者十分狡猾,没有立即转走大笔交易,而是用了接近三年时间,将币一点点转出来。

当Mt.Gox发现问题时已经晚了,虚拟货币早已不知何处。

区块链2.0时代来临,黑客随之升级了策略。

基于以太坊的智能合约有一个很重要的特征——都是公开的。大家在使用之前都能看到该智能合约背后的代码,所以理论上每个人都能确认智能合约有没有发挥应有的作用。

这同时也带来一件坏事,智能合约一旦发布就不能修改。所以在发布之前没能做好合约升级,加上上线后很难更新迭代。

项目方在上线之后才发现问题,这个时候往往已经晚了——黑客早已对漏洞发起猛烈攻击。

黑客推动一个行业的进步,也足以毁灭一个行业。

“区块链太脆弱了”,于晓航称,“如果安全做得不好的话,非常打击人们对新技术的信心。”

黑客每次大捷过后,又一场狂欢已经开始了。

“黑客就像非洲的雇佣军,为钱服务。谁有钱就去不断发起进攻。“莫良表示。

门头沟事件之后,比特币跌幅逾36%。

再出现像门头沟这样的一次黑客攻击足矣让比特币再次萎靡数年。

追逐财富的黑客可不管这些。毕竟,他们还能窜入下一领地或者回到互联网,寻找新的宝地。

本文转载目的在于知识分享,版权归原作者和原刊所有。如有侵权,请及时联系我们删除。

展开全文
相关阅读
资讯查询取消