2019年度区块链安全与隐私生态大事记

来源：慢雾安全团队

2019 年区块链行业发展迅猛，中心化交易所/去中心化交易所、DApp、Staking、CeFi/DeFi、Web3.0 等概念逐渐变得耳熟能详，大量资金的涌入，不断吸引地下黑客的视线往区块链行业转移。据慢雾区块链被黑档案库(hacked.slowmist.io)数据统计，2019 年全年区块链行业发生安全事件超 130 起，累计损失资金超 50 亿美金，交易所、钱包、DApp 成黑客攻击重灾区。

事件描述：

1 月 5 日下午，ETC 高度为 7245623 的区块发生异动，1 月 7 日慢雾安全团队披露称，ETC 疑似发生了 51% 攻击，有不少区块发生回滚，在短短两天之间，ETC 网络共遭受了至少 11 次疑似双花攻击，损失约值 46 万美元的 ETC，1 月 8 日，Gate.io 研究院发布公告称，已确认 ETC 网络遭受 51% 攻击并定位到攻击者的 ETC 地址。

事件描述：

1 月 14 日，新西兰加密货币交易所 Cryptopia 遭受黑客攻击，黑客共偷走了价值 1600 万美元的以太坊和 ERC20 代币，随后暂停了其平台服务，早在推文发出之前的 13 个小时，该公司曾对外表示“平台正在进行计划外的维护”，暗示交易所已经受到黑客攻击。随后警方参与了对黑客攻击事件的调查，而 Cryptopia 交易所无力继续运营。今年 5 月，Cryptopia 交易所宣布关闭并申请破产保护，该交易所欠债权人超过 270 万美元。

事件描述：

2019 年 1 月 11 日凌晨，EOS.WIN 遭遇黑客攻击。EOS.WIN 的攻击者采用的是新型攻击手法，为“交易排挤攻击”，这种攻击手法与之前攻击 bocai.game 的攻击手法为同一种攻击手法。攻击者首先是发起正常的转账交易，然后使用另一个合约帐号检测中奖行为。如果不中奖，则发起大量的 defer 交易，将项目方的开奖交易“挤”到下一个区块中。该类攻击源于项目方的随机数算法使用了时间种子，使攻击者提升了中奖几率，导致攻击成功。

事件描述：

加密货币交易所 DragonEx 发布公告称平台钱包遭受黑客入侵，导致用户和平台的数字资产被盗，涉及 BTC、ETH、EOS、XRP、TRX 等 20 余种主流数字资产，总损失超 600 万美元。

随着加密货币的发展，黑客组织 Lazarus 对加密货币的兴趣已经越来越浓厚，黑客攻击也越来越多，呈现出 APT(高级持续性威胁)性质，只有交易所自身做好防护措施，才能让黑客不再有机可乘。

事件描述：

3 月 29 日，韩国加密货币交易所 Bithumb 承认遭到黑客攻击。一名管理人员表示，当地时间 3 月 29 日晚 10 点 15 分左右，检测到热钱包出现异常取款。黑客盗走约 300 万枚 EOS，价值约 1340 万美元，以及 2000 万枚 XRP，价值 600 万美元。早在 2018 年 6 月，该交易所就因黑客攻击损失了价值达 3100 万美元的加密货币，不到 1 年的时间里 Bithumb 接连出现 2 次被黑事件。

事件描述：

5 月 8 日，加密货币交易所币安发布安全公告称，5 月 7 日 17:15:24，黑客在区块高度 575012 处从币安热钱包中盗取 7074 枚比特币（价值约 4000 万美元），黑客此前已发现系统存在的安全漏洞，但一直很耐心，直到系统出现大额交易才出手。

事件描述：

5 月 31 日，TokenStore 发布公告称由于受到黑客攻击，系统将全面升级维护 10 天，并强调不管发生什么，平台会坚持运行。6 月 10 日，社区多位用户反映，TokenStore 在升级公告发布 10 天之后疑似跑路，投资人数十亿资金被一卷而空。

事件描述：

6 月 27 日晚上，有投资者发现，自己的 PlusToken 钱包无法提现了，遇到同样问题的人不在少数。有人发现，以往少则 10 分钟、最多 3 小时的提现时间，已经连续好几日没有任何反应，并且 App 无法登陆，客服也不在线。后被证实 PlusToken 跑路，骗局共吸纳了价值超过 20 亿美元的加密货币，包括 180,000 BTC、6,400,000 ETH、111,000 USDT 等。

事件描述：

6 月 27 日凌晨 1 点，总部位于新加坡的加密资产交易所 Bitrue 遭遇重大黑客攻击，其热钱包损失了 930 万枚 XRP 和 250 万枚 ADA，被盗的 XRP 和 ADA 价值分别超过 450 万美元和 23.75 万美元。

在区块链世界攻防差距明显，以现在大多数交易所的防御能力不足以抵挡职业地下黑客的入侵。安全体系化建设工作很复杂，防御工作需要面面俱到，而入侵工作却可以单点突破。

事件描述：

Bitpoint 在 7 月 11 日发生黑客攻击事件。黑客攻击了该交易所的热钱包和冷钱包，窃取了价值约 3200 万美元的比特币、比特币现金、莱特币、瑞波币和以太坊，其中约 2300 万美元的数字货币属于该交易所的用户。BitPoint 表示，受害用户数量接近该交易所用户总数的一半，高达 5 万人。该交易所表示将承担用户的所有损失。

事件描述：

7 月 5 日，NPM 官方博客发布文章称，NPM 安全团队与 Komodo 合作发现并阻止了针对名为 Agama 的加密货币钱包所有用户的恶意投毒威胁。攻击者将恶意程序包放入 Agama 的构建链中，用这种手法来窃取钱包应用程序中使用的钱包私钥和其他登录密码。

事件描述：

2019 年 11 月 1 日，BitMEX 在发送平台邮件通知时，由于没有采用密送设置，导致该邮件所有接收人的邮箱地址被泄露。事后有研究人员在推特上发布消息称，已收集到的邮箱地址超过 2.3 万个。

币安用户 KYC 资料泄露事件发生于 2019 年 8 月，有人通过 Telegram 群「FIND YOUR BINANCE KYC」公开发布币安用户 KYC 资料，之后币安发布消息称：Telegram 群传播的 KYC 资料和币安系统信息不符，图片没有币安特定的电子水印，尚不能证明来自币安。

事件描述：

韩国交易所 Upbit 公告称，有 34.2 万个以太坊被盗，已转移至一个未知的以太坊地址（0xa098...029），总价值约 5000 万美元。此前据 WhaleAlert 监测的链上数据显示，Upbit 频繁转出大额加密货币，包括 SNT、EOS、OMG、XLM、TRX、ETH 等，总价值超过 1 亿美元。随后官方发布公告澄清，只有 ETH 是被黑客盗走的，其余资产均是交易所为了安全自行转移到冷钱包。

1. 内鬼作案。确实在金钱魔力面前，人性经不住考验，而许多交易所的内部安全风控建设工作又过于缺失，这促使了内鬼有足够动机作案，导致被盗币；

2. 假充值漏洞攻击。一些交易所在对接的各种公链或代币上的安全经验不足，导致充值环节中出现假资金情况，但交易所系统却认为是真的，导致被盗币；

3. APT 攻击。职业的地下黑客通过高级钓鱼及木马植入，层层渗透最终拿到交易所的私钥权限，导致被盗币；

4. 供应链攻击。交易所使用的第三方组件被黑植入了恶意代码，从而间接影响了交易所的安全防线，导致被盗币；

5. 粗心大意。由于交易所内部人员的安全意识缺失，本不该暴露的系统缺陷暴露了，给了地下黑客可乘之机，导致被盗币。

1. 内部人员人性之恶及安全意识、安全经验缺失；

2. 攻防差距明显，以现在大多数交易所的防御能力不足以抵挡职业地下黑客的入侵。