2019 年区块链行业发展快速增长，中心化交易所/去中心化交易所、DApp、Staking、CeFi/DeFi、Web3.0 等概念渐渐显得耳熟能详，大量资金的涌进，大大更有地下黑客的视线往区块链行业移往。据快雾区块链被黑档案库(hacked.slowmist.io)数据统计资料，2019 年全年区块链行业再次发生安全事件超强 130 起，总计损失资金超强 50 亿美金，交易所、钱包、DApp 成黑客攻击重灾区。快雾科技将通过这篇文章辨别 2019 年区块链安全性与隐私生态再次发生的影响根本性的事件，为读者总结事件下文，同时对每个事件附上快雾观点。

虽然本文列出的仅有是冰山一角，但具备相当大的代表性。No.1 ETC遭到51%反击再次发生日期：2019-01-05事件叙述：1 月 5 日下午，ETC 高度为 7245623 的区块再次发生变动，1 月 7 日快雾安全性团队透露称之为，ETC 疑为再次发生了 51% 反击，有不少区块再次发生回滚，在短短两天之间，ETC 网络共计遭到了最少 11 次疑为双花反击，损失约值 46 万美元的 ETC，1 月 8 日，Gate.io 研究院发布公告称之为，已证实 ETC 网络遭到 51% 反击并定位到攻击者的 ETC 地址。快雾观点没有经过现实反击洗礼且维持演化的公链都不是安全性的公链。当双花反击显得少见时，公链必须将防控双花反击作为风触机制的一部分。

作为加密货币生态的参与者，防止双花反击有可能并某种程度是公链的责任，交易所、钱包、投资人都有适当提高警惕。No.2 Cryptopia遭到反击后倒闭再次发生日期：2019-01-14事件叙述：1 月 14 日，新西兰加密货币交易所 Cryptopia 遭到黑客攻击，黑客共计拿走了价值 1600 万美元的以太坊和 ERC20 代币，随后停止了其平台服务，早在推文收到之前的 13 个小时，该公司曾对外回应“平台正在展开计划外的确保”，似乎交易所早已受到黑客攻击。

随后警方参予了对黑客攻击事件的调查，而 Cryptopia 交易所无力之后运营。今年 5 月，Cryptopia 交易所宣告重开并申请人倒闭维护，该交易所不出债权人多达 270 万美元。快雾观点Cryptopia 被黑事件沦为交易所 2019 新年第一“盗”，地下黑客将反击的重点目标改向了加密货币交易所，加密货币交易所外侧的攻守战场开始火热一起。

追随加密货币大生态的发展，地下黑客职业军团陆续步入区块链攻守世界。No.3 众多EOS DApp遭遇交易排斥反击再次发生日期：2019 年 1 月开始事件叙述：2019 年 1 月 11 日凌晨，EOS.WIN 遭遇黑客攻击。EOS.WIN 的攻击者使用的是新型反击手法，为“交易排斥反击”，这种反击手法与之前反击 bocai.game 的反击手法为同一种反击手法。

攻击者首先是发动长时间的账户交易，然后用于另一个合约帐号检测中奖不道德。如果不中奖，则发动大量的 defer 交易，将项目方的开奖交易“挤迫”到下一个区块中。该类反击源自项目方的随机数算法用于了时间种子，使攻击者提高了中奖几率，造成反击顺利。快雾观点区块链上没极致的随机数方案，只要是使用链上的变量作为随机数因子，都不存在被黑客攻陷的有可能。

建议开发者使用 EOS 官方引荐的随机数安全性实践中“Randomization in Contracts”，或者引进应验机。同时在合约设计时再加风触机制，比如奖池大额并转出有多达某个阈值自动停止。No.4 DragonEx遭到侵略损失超强600万美元加密货币再次发生日期：2019-03-24事件叙述：加密货币交易所 DragonEx 发布公告称之为平台钱包遭到黑客侵略，导致用户和平台的数字资产被盗，牵涉到 BTC、ETH、EOS、XRP、TRX 等 20 余种主流数字资产，总损失超强 600 万美元。快雾观点在反击事件再次发生后，国内外多家安全性公司证实该事件是黑客的组织 Lazarus 所为。

该的组织通过运营和仿真长时间的分析软件，以低利润和低收益通过交易所对外的客服欲望交易所高层用于。分析软件中隐蔽有后门，一旦软件被传送到关键人电脑上运营就不会展开一序列渗入和黑客动作。

随着加密货币的发展，黑客的组织 Lazarus 对加密货币的兴趣早已更加浓烈，黑客攻击也更加多，呈现 APT(高级持续性威胁)性质，只有交易所自身作好防水措施，才能让黑客仍然有机可乘。No.5 Bithumb被盗3百万EOS和2千万XRP再次发生日期：2019-03-29事件叙述：3 月 29 日，韩国加密货币交易所 Bithumb 否认遭黑客攻击。一名管理人员回应，当地时间 3 月 29 日晚 10 点 15 分左右，检测到冷钱包出现异常存款。

黑客盗取大约 300 万枚 EOS，价值大约 1340 万美元，以及 2000 万枚 XRP，价值 600 万美元。早于在 2018 年 6 月，该交易所就因黑客攻击损失了价值约 3100 万美元的加密货币，将近 1 年的时间里 Bithumb 屡屡经常出现 2 次被黑事件。快雾观点加密货币交易所遭到二次反击，不回避内鬼作案。

显然在金钱魔力面前，人性经不住考验，而许多交易所的内部安全性风触建设工作又过分缺陷，这促成了内鬼有充足动机作案，造成交易所被盗币。No.6 币安被盗7074枚比特币再次发生日期：2019-05-08事件叙述：5 月 8 日，加密货币交易所币安公布安全性公告称之为，5 月 7 日 17:15:24，黑客在区块高度 575012 处从币安热钱包中窃取 7074 枚比特币（价值大约 4000 万美元），黑客此前已找到系统不存在的安全漏洞，但仍然很冷静，直到系统经常出现大额交易才使出。

快雾观点随着地下黑客职业军团陆续进场，职业的地下黑客通过高级钓鱼及木马植入，层层渗入最后获得交易所的私钥权限，造成加密货币交易所被盗币。面临地下黑客职业军团的攻势，交易所外侧安全性防卫展现出极为无力。交易所可以与可靠且职业的安全性团队展开了解合作，部署因地制宜的安全性建议，做配置文件一切不能信的心态去认识这个世界。No.7 TokenStore被轰跑路，卷走用户数十亿资产再次发生日期：2019-06-10事件叙述：5 月 31 日，TokenStore 发布公告称之为由于受到黑客攻击，系统将全面升级确保 10 天，并特别强调不管再次发生什么，平台不会坚决运营。

6 月 10 日，社区多位用户体现，TokenStore 在升级公告公布 10 天之后疑为跑路，投资人数十亿资金被一卷而空。快雾观点资金盘跑路还不忘把锅扯给黑客攻击，感叹花样百出……类似于项目常常用于“低收益”、“近期区块链科技”等名词展开纸盒，实则是庞氏骗局，投资者们要细心辨别，切莫参予。

No.8 PlusToken跑路卷走大约20亿美元加密货币再次发生日期：2019-06-27事件叙述：6 月 27 日晚上，有投资者找到，自己的 PlusToken 钱包无法提现了，遇上某种程度问题的人不在少数。有人找到，以往较少则 10 分钟、最多 3 小时的提现时间，早已倒数好几日没任何反应，并且 App 无法登岸，客服也不在线。后被证实 PlusToken 跑路，骗局共计招揽了价值多达 20 亿美元的加密货币，还包括 180,000 BTC、6,400,000 ETH、111,000 USDT 等。快雾观点PlusToken 是同类资金盘项目里涉嫌金额仅次于、受害者用户最少的一个，给区块链生态带给相当严重的负面影响。

快雾 AML 系统对 PlusToken 钱包的链上交易展开了持续地跟踪与本源，从统计数据找到，绝大部分加密货币早已被利用 Mixer（混币器）、免除 KYC 的币币外币平台展开清除，进而转化成为法币离场。No.9 Bitrue被盗930万枚XRP再次发生日期：2019-06-27事件叙述：6 月 27 日凌晨 1 点，总部坐落于新加坡的加密资产交易所 Bitrue 遭遇根本性黑客攻击，其热钱包损失了 930 万枚 XRP 和 250 万枚 ADA，被盗的 XRP 和 ADA 价值分别多达 450 万美元和 23.75 万美元。

快雾观点Bitrue 官方回应，黑客利用风控系统的漏洞来采访用户的个人资金和 Bitrue 热钱包，进而实行盗币。由于交易所内部人员的安全意识缺陷，本不应曝露的系统缺失曝露了，给了地下黑客可乘之机，造成被盗币。

在区块链世界攻守差距显著，以现在大多数交易所的防御能力足以抵御职业地下黑客的侵略。安全性体系化建设工作很简单，防卫工作必须面面俱到，而侵略工作却可以单点突破。No.10 BitPoint被盗价值大约3200万美元的加密货币再次发生日期：2019-07-11事件叙述：Bitpoint 在 7 月 11 日再次发生黑客攻击事件。黑客攻击了该交易所的热钱包和冷钱包，盗取了价值大约 3200 万美元的比特币、比特币现金、莱特币、瑞波币和以太坊，其中大约 2300 万美元的数字货币归属于该交易所的用户。

BitPoint 回应，受害者用户数量相似该交易所用户总数的一半，低约 5 万人。该交易所回应将分担用户的所有损失。

快雾观点三分之二的被盗资金归属于客户，金融厅面子全毁。手法虽然未公开，但是不回避 APT 类攻击行为。地下黑客攻击愈发白热化，加密货币交易所外侧安全性防卫面对新的挑战。

No.11 第三方问题造成平台遭到反击再次发生日期：2019 年 7 月事件叙述：7 月 5 日，NPM 官方博客公布文章称之为，NPM 安全性团队与 Komodo 合作找到并制止了针对取名为 Agama 的加密货币钱包所有用户的蓄意投毒威胁。攻击者将恶意程序包在放进 Agama 的建构链中，用这种手法来盗取钱包应用程序中用于的钱包私钥和其他指定密码。快雾观点在当下的技术架构中瓦解没法第三方 JavaScript 库，所有项目方技术团队都应当强迫最少一名核心技术原始 review 一遍所有第三方模块，想到否不存在怀疑代码，也可以抓包想到否不存在怀疑催促。No.12 BitMEX、币安用户身份信息遭到泄漏再次发生日期：2019 年 8 月、11 月事件叙述：2019 年 11 月 1 日，BitMEX 在发送到平台邮件通报时，由于没使用契送来设置，造成该邮件所有接管人的邮箱地址被泄漏。

事后有研究人员在推特上公布消息称之为，已搜集到的邮箱地址多达 2.3 万个。币安用户 KYC 资料泄漏事件发生于 2019 年 8 月，有人通过 Telegram 群「FIND YOUR BINANCE KYC」公开发表公布币安用户 KYC 资料，之后币安公布消息称之为：Telegram 群传播的 KYC 资料和币福系统信息相符，图片没币安特定的电子水印，尚能无法证明来自币安。快雾观点用户身份信息不应获得高强度的加密和维护，平台在早期架构设计时应贯彻落实这个策略，回避此类脆弱信息泄漏事件的再次发生。No.13 Upbit被盗34.2万枚ETH再次发生日期：2019-11-27事件叙述：韩国交易所 Upbit 公告称之为，有 34.2 万个以太坊被盗，已移往至一个不得而知的以太坊地址（0xa098...029），总价值大约 5000 万美元。

此前据 WhaleAlert 监测的链上数据表明，Upbit 频密并转出有大额加密货币，还包括 SNT、EOS、OMG、XLM、TRX、ETH 等，总价值多达 1 亿美元。随后官方发布公告回应，只有 ETH 是被黑客盗取的，其余资产皆是交易所为了安全性自行移往到冻钱包。快雾观点目前猜测和之前仍然在活动的 APT(高级持续性威胁)反击有关，这种反击的特点是长年潜入，直到遇到可操作者的大资金，重复使用大笔盗取。

当然也无法回避内鬼可能性。被盗的是 Upbit 的 ETH 热钱包，冻钱包应当无风险。

所附：交易所安全性攻守总结2019 年交易所领域再次发生了大量的安全事件，且每个都造成了巨额的损失。快雾科技在交易所安全性攻守方面有很深的溶解，我们总结找到主要有如下几个反击手法：1. 内鬼作案。显然在金钱魔力面前，人性经不住考验，而许多交易所的内部安全性风触建设工作又过分缺陷，这促成了内鬼有充足动机作案，造成被盗币；2. 假充值漏洞反击。一些交易所在接入的各种公链或代币上的安全性经验不足，造成充值环节中经常出现假资金情况，但交易所系统却指出是知道，造成被盗币；3. APT 反击。

职业的地下黑客通过高级钓鱼及木马植入，层层渗入最后获得交易所的私钥权限，网卓新闻网，造成被盗币；4. 供应链反击。交易所用于的第三方组件被黑植入了恶意代码，从而间接影响了交易所的安全性防线，造成被盗币；5. 粗心大意。

由于交易所内部人员的安全意识缺陷，本不应曝露的系统缺失曝露了，给了地下黑客可乘之机，造成被盗币。从这些主要的反击手法来看，可以总结出有两个主要特点：1.。

本文来源：华体汇·体育-www.tyebot.com