2019年以来，黑客和窃贼是如何从交易平台盗走价值4亿的数字货币的？

总结：谁能保护你的数字资产？

近期，接连不断的数字货币交易平台被盗事件，逼上了各大媒体的头条。 其中，全球排名前十的数字货币交易平台币安被黑客盗走7000个BTC（当时市价4000万美元）。 事故瞬间引起了科技媒体的关注，让久违的数字货币交易平台安全问题重新回到公众视野。 哪些漏洞导致这些交易平台被盗？ 谁能保证用户的资产安全？

1、交易平台被盗事件的恢复

2019年以来，共有8家数字货币交易平台正式宣布被盗，只有3家官方对用户进行了赔偿，1家是平台自有资产。 其中，安全问题突出的Cryptopia在一个月内两次被盗，目前正在维护中。

平台被盗的原因包括交易平台官方钱包被入侵、hard_fail、验证码劫持、私钥被盗以及多种攻击手段的组合。 归根结底，交易平台被盗的原因主要分为两类。 一是平台自身技术风控和防御体系的缺陷。 黑客利用安全漏洞入侵平台怎么盗取比特币，窃取数字货币； 二是平台内部系统缺失，导致用户个人信息被盗。 在特别恶劣的情况下，甚至出现泄露交易个人信息的现象。

2、平台风控防御体系存在缺陷

数字货币交易平台技术风控系统缺陷主要是缺乏安全攻防测试怎么盗取比特币，没有部署安全防御体系。 对于没有进行过安全测试的数字货币交易平台，比如Mercatox，黑客利用hard_fail转账交易来获取平台服务器的“信任”。 不难看出，平台的技术审计和测试能力不足导致了如此低级别的安全事件。 如果平台在合约上线前找第三方机构做安全检测，上千个EOS是不会被盗的。 当然，在安全测试方面存在缺陷的交易平台只是极少数，但这个环节有待加强。

大多数交易平台主要在风控和防御系统的部署上存在不足，例如BiKi和Binance。 事后BiKi官方公告指出，黑客劫持了用户的第三方服务商验证码短信，对部分未绑定谷歌验证码的用户进行攻击。 这暴露了自身风控体系的问题。 首先，它忽略了单个验证用户的劫持。 二是对修改登录密码和交易密码的账户，不限制一定期限内的提现和交易。 三是没有树立用户安全意识。 . 好在当时BiKi并没有批准这些提现，否则损失会进一步扩大。

与互联网金融公司相比，数字货币交易平台在风险控制和防御体系方面存在不足。 以币安为例，虽然币安通过SAFU基金承担了此次事故的所有损失，避免了用户的损失，但这种补偿并不完善，无法应对更大范围的安全事件的补偿。 造成这起事故的主要原因是风险控制和防御体系存在缺陷。 首先，币安缺乏应对大规模系统性攻击的防御能力。 黑客是如何获取大量用户API密钥和谷歌验证码的？ 一天获取大量用户密钥。 如果黑客通过网站钓鱼获取用户账号、密码等信息，币安为什么没有早点发现假冒币安网站的URL地址和页面内容，或者说他们没有发现黑客利用币安的漏洞呢？将危险的 HTML 代码插入网站某些网页的官方网站服务器程序？ 此外，叠加病毒等其他攻击方式的复合攻击防御技术手段也不足。

其次，币安风控存在较大问题。 虽然被盗的7000枚BTC仅占币安官方公布的BTC总持有量的2%，但这并不能掩盖币安平台在提现审批和转账方面的风控问题。

3、缺乏内部制度

此前，在《IPO前后巨变，交易所为何寻求“合规”》一文中指出，数字货币交易平台具有多重身份。 Bithumb平台被盗事件也反映了多重身份下内部系统功能的缺失。 Bithumb平台官方表示，此次异常提现事件并非因外部攻击所致，初步判定为内部员工窃取了数字货币“私钥”。 这种情况反映出过多的权力集中在Bithumb平台的内部职能岗位上，没有必要的内部职能分解和必要的监管制衡体系的建立，会导致内部员工使用完整的“私钥”转移数字货币资产，发生自我窃取。 行为行为。

这并不是数字货币交易平台权力过度集中的孤立案例。 加拿大数字货币交易平台 QuadrigaCX 因创始人 Gerald Cotton 去世而欠客户 1.9 亿美元。 大部分资金无法再使用，最终破产。 这些都是数字货币交易平台功能仓位过度集中给平台和用户带来的危害。

另一方面也可以看出Bithumb内部责任体系的缺失，并没有阻止不负责任的员工或前员工利用他们需要获取的信息危害平台。 内部人员应获取和使用内部数据申请审查授权和登记备份。 谁滥用内部数据危害平台，谁将对这种行为的后果负责。

4、个人应如何防止账号密码被盗？

除了需要完善风控防御体系，完善数字货币交易平台的内部系统外，个人投资者又该如何防止账户密码被盗，甚至导致数字资产流失？ 针对此问题，RatingToken安全技术人员指出，个人投资者需要密切关注以下6点：

1、登录银行、交易所、钱包等网站时，始终使用https开头的安全链接；

2、手机、电脑、硬件钱包等联网设备不要随意使用第三方未知Wi-Fi；

3、前提条件允许，必须安装杀毒软件，拒绝“裸奔”；

4、当网页和APP出现异常情况时，及时确认并终止重大操作；

5、不打开插件、邮件、不明来源的链接；

6、尽量将大量数字货币资产转移到知名可靠的冷钱包中。