最活跃公链被黑客盗窃8.5亿美元，是时候谈谈加密货币的安全攻略了

【编者按】据媒体报道，北京时间10月7日，全球最活跃的公链之一BNB Chain遭到黑客攻击。 黑客利用跨链桥漏洞分两次获取共计200万枚BNB，价值约5.66亿美元。 据区块链安全公司成都联安初步估计，由于涉及其他类型的虚拟资产，此次黑客事件涉案金额约为8.5亿美元。

“加密货币超级安全”的公众印象再次受到重创。 为什么加密货币会被盗？ 在监管缺失的现状下，交易平台应该承担什么责任？ 加密货币持有者应该采取什么样的安全策略？ 《互联网法律评论》特约专家黄斌律师在本文中对上述三个疑点进行了详细解读。

加密货币是以数字形式存在的货币。 它随着区块链底层技术的发展而应运而生，以适应社会生产资料的变化。 它是基于区块链技术的具体应用。 目前，全球加密货币数量已超过2万种，我国持有加密货币的人数已超过2000万。

加密货币爱好者认为区块链的不可篡改性可以保证加密货币的安全性，交易记录的分布式记账使得加密货币比普通货币更值得信赖，他们认为加密货币超级安全。

但事实是，加密货币是在区块链网络尤其是公链上发行的数字资产。 市场上有成千上万的区块链，但每个都有自己的漏洞（见下文第1节分析），区块链的透明性实际上使其主要漏洞很容易被识别和攻击。 再加上目前几乎无人监管的现状，加密货币被盗事件时有发生，而且愈演愈烈。

一、加密货币被盗原因分析

区块链是由数万个节点组成的去中心化分布式数据存储账本，具有去中心化、共识机制、加密算法、不可篡改、可追溯等特点。

区块链的哈希算法和非对称算法为元宇宙提供了底层数据的不可篡改、可追溯和保密性。 共识机制（包括工作量证明机制、权益证明机制等）让每个节点共享一致的记录。 记账规则保证了分布式账本的真实性和不可篡改的唯一结果。 智能合约保证当满足预设条件时，在全网所有节点上自动触发并产生新的交易。 采用区块数据结构，Sequentiality形成一套完整的账本，实现去中心化，通过代币或通证激励保证有足够多的节点参与维护账本。

区块链可分为公有链、联盟链和私有链。 相比之下，公链基于全民共识机制，具有公信力，真正去中心化。 私有链集中建立在一个机构或企业。 对内，联盟链也是在联盟组织或企业内部集中建设。

数字货币是一种主要建立在公链上的数字资产。 公链是真正去中心化的区块链，任何人都可以读取和发送交易，并可以依靠共识机制获得有效确认。

加密货币的安全威胁主要表现在：

1.控制半数以上节点篡改分布式账本。 公链网络免费、开放、去中心化。 理论上，控制超过一半的节点就可以篡改分布式账本；

2. 智能合约不可修改。 目前，市场上有数以千计的区块链，每一个都有自己的漏洞。 用于撮合交易的智能合约的漏洞一旦部署在去中心化的分布式网络上，就无法被篡改，不像传统的软件行业。 补丁可以修复它；

3.跨链桥的漏洞。 许多用于促进资产在不同区块链之间流动的跨链桥根本不在区块链上，而是存储在其他服务器上。 此外，跨链桥的工作原理是通过协议连接两条公链上的两个智能合约。 协议存在漏洞容易被攻击，两端智能合约的代码、验证方式、访问权限管理等也容易出现漏洞隐患。 最后黑客盗走比特币，跨链桥在多个区块链上运行，拥有数亿美元的托管资产，这增加了可能被攻击的管道；

4.分叉造成的漏洞。 现有加密分类账分叉的区块链的每个分叉都为黑客提供了篡改数据的新机会；

5、用户被钓鱼。 用户误进入钓鱼网站或通过电子邮件窃取数据，或下载虚假加密货币钱包，导致加密货币被盗；

6、私钥和助记词丢失。 私钥决定了加密货币的真正拥有者，具有独特的特性。 保管好记录私钥的介质，同时离线备份自己的助记词，不要保​​存到网盘、邮箱传输等线上操作；

7、热钱包的漏洞。 热钱包是连接到互联网的加密货币钱包，可以随时用于交易。 大量的加密资产应该放在冷钱包中。 热钱包必须使用多因素认证来提高安全性，防止热钱包出现安全漏洞；

8、交易平台底层代码和数据库安全漏洞。 交易平台底层代码存在漏洞，很容易被利用造成网络通信延迟，实现加密货币的重复消费。 交易平台技术配置漏洞等，很容易导致用户私钥被黑客窃取。 交易平台数据库很可能成为攻击的薄弱环节，交易平台在申请提现提币过程中应加强风险控制，确保资产安全；

9.SIM卡换卡诈骗。 黑客将目标电话号码转移到攻击者持有的SIM卡中，利用受害者重置密码绕过双因素认证和账户恢复过程中的漏洞，侵入加密货币账户；

10. 恶意软件绑架。 恶意软件将目标钱包地址替换为攻击者的钱包地址，在交易过程中窃取加密货币。

二、数字货币交易平台的安全责任

随着区块链技术的发展，加密货币推动了Web3.0金融生态的发展，从而在全球金融市场中发挥着越来越重要的作用。

加密货币交易平台是连接加密货币一级市场和二级市场的桥梁。 它是个人和机构投资者买卖加密货币的实体平台。 用户可以在此平台上兑换加密货币或其他资产。

加密货币交易平台伴随着比特币、以太坊等加密货币的发展而诞生，在加密货币世界中对加密货币的交易和流通起着至关重要的作用。

目前世界各国都在逐步制定相应的监管规则，但规则制定的出发点只是基于反洗钱和反恐怖融资风险的防御目的，而不是规范加密货币交易和投资者保护，更谈不上加密货币行业的长期持续稳定发展； 此外，安全型代币严格按照证券法相关要求进行管理，而实用型代币和支付型代币基本处于无人监管状态。

2022年9月16日，美国白宫发布了《首个数字资产负责任发展综合框架》。 该报告反映了联邦机构在加密货币领域对消费者保护、环境和国家安全的承诺。 担心。 报告要求美国证券交易委员会（SEC）和商品期货交易委员会（CFTC）等监管机构继续协调努力，进一步打击整个加密货币行业的盗窃和犯罪行为； DeFi可能涉及的非法融资活动风险评估，2023年7月前完成非同质化数字货币（NFT）评估； 届时，必须明确《银行保密法》、反举报条例等法律是否修改，是否适用于加密货币交易所和NFT交易平台。

香港和新加坡只对证券型代币进行监管，其他应用代币、支付代币、交易平台等都没有明确的监管政策。 然而，香港特区政府在2022年建议在香港经营的加密货币交易所必须获得香港市场监管机构的许可，并且只能为专业投资者提供服务。

加拿大CSA（请给出英文全名）指引表明，即使在交易平台上交易的加密货币不是安全代币，但交易平台在交易后并未立即将加密货币交付给投资者，也应受到监管根据加拿大证券法。 仅仅在交易平台的账本上记录客户对其资产的所有权不构成交割，即要求提现的情况不构成“立即交割”，因为提现后用户是否最终能收到加密货币request 仍然取决于继续依赖交易平台。 加拿大新的加密货币法将于2020年6月生效，加密货币交易平台和加密货币支付运营商将被归类为提供金融服务的机构。 新法要求所有进行加密货币交易的个人或实体需要提供大量个人信息，如地址、电子邮件地址、出生日期、公民身份、实体注册或成立日期、交易地址（接受和发送）、来源、完成等交易信息。

日本是第一个将数字货币交易纳入法律和监管体系的国家。 支付服务法修正案对加密资产交易服务商提出更多要求，要求服务商将客户的加密货币存放在冷钱包或类似场所，并与自身资产分开； 加密资产交易服务商每年必须接受会计师事务所审计； 加密资产交易服务提供者必须采取措施发现和暂停不当交易等。

加密货币的所有权不同于传统资产的所有权。 它存储在去中心化的区块链上，并与地址和私钥相关联黑客盗走比特币，而不是由第三方中心化组织赋予的。 加密货币交易平台包括中心化交易平台和去中心化交易平台。 去中心化交易平台通常没有中央管理机构，是用户自行保管加密货币的平台。 匿名性更高，加密货币通过智能合约在用户之间分配。 交易所之间的转账通常不受证券法的监管； 中心化交易平台流动性较好，每笔交易需要收取一定比例的佣金。

目前中心化交易平台占加密货币交易总量的99%，全球排名前十的交易平台均为中心化交易平台。 大多数中心化交易平台现有的商业模式是中心化交易平台控制用户的加密货币，加密货币通常不会转移到用户控制的冷钱包中，而是托管在交易控制的私钥账户中平台，用户需要向交易所发送提现请求，以获取相关加密货币。 因此，在没有监管的情况下控制用户加密货币的中心化加密货币交易平台是高风险、高发平台，近年来加密货币安全事件不断爆发。

在缺乏监管的情况下，加密货币交易平台应从以下14个角度做好风险防范：

1、股东与平台管理层、系统开发者分离，建立清晰的组织架构，实行严格的内部监督制度；

2. 将用户的加密货币与自己的加密资产分开，存放在冷钱包或类似的地方；

3、热钱包和冷钱包分开部署，热钱包操作冷钱包存储；

4、大额转账需要验证客户身份，防止洗钱；

5. 禁止某些匿名性高的加密货币，以防止非法活动或洗钱；

6. 确保任何加密货币转账必须使用多种认证方式；

7、使用自动化安全产品清理智能合约漏洞；

8、及时追踪被盗加密货币，标记所有收到“赃款”的地址，并通知其他加密货币交易平台；

9. 将黑客账户列入黑名单，并与其他加密货币交易平台共享黑名单，防止其套现非法所得；

10、按时开展独立审计师的代码审计，对平台和跨链桥接底层代码进行全面审查和分析，及时发现可能对平台安全性能造成负面影响的代码漏洞或薄弱环节平台和跨链桥；

11. 实施实时分析和监控措施以防止攻击，通过严格测试代码加快漏洞识别，制定和实施全面的事件响应计划并对可疑活动做出响应，包括提醒用户；

12、建立黑名单预警机制，对已泄露的被盗地址、欺诈地址进行预警并直接冻结；

13、要牢牢把控加密货币存储和私钥、充值、提币管理，发现风险第一时间关闭充值、提币通道；

14. 将交易手续费的一部分作为投资者保护基金，存放在独立地址作特殊用途。

3. 加密货币持有者的安全策略

在我国，已经有2000万用户持有加密货币。

作为加密货币的持有者，您应当履行相应的注意义务保护您的加密货币：

1、注意防止误入钓鱼网站。 你应该选择在钱包官网下载一个多重签名的钱包。 可以在多因素认证的热钱包中放一些加密货币，在冷钱包中放大量的加密货币；

2.您应该离线备份您的私钥和助记词。 助记词一定要抄对。 私钥和助记词不要截图，尽量不要上网；

3、谨慎授权平台访问加密钱包，并授予一定的权限，防止钱包中的加密货币被盗；

4.不要点击邮件中不熟悉的附件，防止钓鱼；

5、输入加密货币钱包地址时，仔细核对原地址与粘贴地址是否一致；

6.大额交易前，可以先发小额交易进行测试；

7. 没有绝对安全的交易所。 建议使用多个交易平台进行交易，分散风险；

8、不要在公共电脑或公共WIFI上登录您的账户。

一旦加密货币被盗，加密货币持有者的处置策略是：

首先，要及时报案，提供有价值的线索； 二是及时通知加密货币交易平台标记所有收到“赃款”的地址，并获得相应的赔偿； 第三，通过Blockcypher等区块链浏览器跟踪锁定您的加密货币，防止洗钱； 最后，根据与加密货币交易平台的约定，确定争议解决方式、仲裁地、适用法律等。

中国用户应该明白，由于目前的加密货币交易平台都是在海外设立的，国内法院可能没有管辖权。