比特币交易平台被黑客攻击引发的安全思考（Biter，The DAO）

对交易平台安全的思考

随着区块链技术的快速发展，虚拟货币逐渐走入大众视野。 随之而来的是一大批虚拟货币交易平台。 虚拟货币交易平台是为用户提供虚拟货币与虚拟货币之间兑换的平台，部分平台还提供人民币与虚拟货币之间的p2p兑换服务。 现在交易平台日均交易量上亿，但交易平台背后的运营者能力和平台本身的安全性并没有得到很好的保障。 2014年至今，据不完全统计，仅交易所安全造成的直接损失就高达1.8亿美元。

随着虚拟货币大潮的兴起，交易所成为黑客的首要目标。 据统计，入侵交易所给黑客带来的直接收益在1000万美元左右。 但交易所的安全性参差不齐，各国此类平台暂时基本没有良好的管控策略，这给黑客带来了极大的便利，也直接威胁到用户的资金安全。

01 平台黑客事件回顾

Biter（Bter.com）比特币交易平台被盗

2014-08-15

活动简介：

Bitter 是一家中国山寨币交易所。 NXT 等山寨币在其上交易。

因为POS币钱包必须在线才能赚取利息。 因此，NXT 钱包必须在线运行，为入侵提供了机会。 POS币不能存放在冷钱包中，暴露了POS的一大安全隐患。 黑客盗取NXT后，通过交易消息与平台方协商：

并要求平台支付BTC作为赎金以换取NXT

最终平台支付了110 BTC，但未能完全赎回NXT，只能要求社区回滚NXT交易区块。

此次Biter被黑事件，是历史上第一次将网络犯罪充分公开展示，暴露了当时交易平台和数字货币在没有监管的情况下野蛮生长的严重问题。

以太坊组织 The DAO 被黑

2016-06

活动简介：

以太坊的去中心化组织 The Dao 遭到黑客攻击，价值超过 5000 万美元的以太坊溢出了 DAO 的钱包。 以太坊（ETH）市场价格瞬间缩水，从历史高位21.50美元跌至15.28美元，跌幅超过23%。

之前的智能合约编写方式存在三个严重漏洞，黑客利用这些漏洞攻击The DAO，盗取以太坊。

回退函数调用

向合约地址写币有两种方式：

都发送了20个以太币，都是新消息调用，这两个调用的gas limit是一样的。 send() 给出 0 gas（相当于 call.gas(0).value()() ），而 call.value()() 给出所有（当前剩余）gas。 当我们调用智能合约时，如果找到指定的函数，或者根本没有指定函数（比如发送以太币），就会调用回退函数。

通过addr.call.value()()发送ether时，和send()一样，会调用fallback函数，但是传递给fallback函数的是当前剩余的所有gas。 如果精心设计回退，它会影响到系统，例如写入存储、调整新的智能合约等。

递归调用

一段用户从智能合约中取款的代码如下：

如果付款人在合约账户中有1000个以太币，取款人有10个以太币，则存在严重的递归调用问题，取款人可以拿走所有1000个以太币。

调用深度限制

一个合约可以通过消息调用调用其他智能合约，被调用的合约通过消息调用继续调用其他合约。 此类嵌套调用的深度限制为 1024。

如果攻击者进行上述1023次嵌套调用，然后调用sendether()，则可以使add.send(20ether)无效，而其他执行成功：

DAO 中的代码

当合约执行到withdrawRewardFor(msg.sender); 进入withdrawRewardFor函数进行判断

putOut 如下：

和前面的例子类似，DAO通过addr.call.value()()发送Ether，并没有选择send()。 客户只需创建回退并再次调用 splitDAO() 即可传输多个 Ether 副本。 PoC如下：

DAO事件对整个以太坊社区产生了重大影响，也导致了后来的硬分叉和ETC（Ethereum Classic）的分拆。

Bitfinex 被黑

2016-08

活动简介：

Bitfinex 是交易比特币、以太币和莱特币等数字货币的最大交易所之一。

根据 Bitfinex 在 8 月 2 日凌晨发布的公告，该交易所在发现安全漏洞后停止了交易。 官方网站上发布的声明称：

Bitfinex 社区和产品开发总监 Zane Tackett 证实，有 119,756 个比特币被盗，该公司已经知道系统是如何被破坏的。 全球比特币价格受此消息下跌 25%，按周二价格计算价值约 6500 万美元。

随后Bitfinex官网宣布损失将由平台所有用户承担，这将导致每个用户账户平均损失36%

对于像比特币这样通过数学算法挖矿形成的不同于实物纸币的数字货币，这些数字货币交易的安全性充分体现在交易所的风控能力和防黑客能力上。

Parity 多重签名钱包被盗事件

2017-07

活动简介：

Parity 是一款多重签名钱包，也是使用最广泛的以太坊钱包之一。 创始人兼CTO为以太坊前CTO黄皮书作者Gavin Woods。

7 月 19 日，Parity 就其钱包软件 1.5 及更高版本中的漏洞发出了安全警报警告。 根据该公司的报告，确认有 150,000 ETH（约值 3000 万美元）被盗。 根据 Parity 的说法，该漏洞是由名为 wallet.sol 的多重签名合约中的错误引起的。 后来，白帽黑客收回了大约 377,000 个受影响的 ETH。

这次攻击导致了以太坊价格的波动。 据Coindesk数据显示，事件曝光后，以太坊价格一度从235美元跌至196美元左右。 此次事件主要是合约代码不严谨造成的，从区块浏览器可以看到黑客的资金地址

可以看到，共计153037个ETH被盗，受影响的合约代码均为Parity创始人Gavin Wood编写的Multi-Sig库代码。 通过分析代码，可以确定核心问题出在越权调用函数。 合约接口必须精心设计，访问权限必须明确，或者进一步比特币黑平台，合约的设计必须符合某种成熟的模型或标准。 由专业机构审核。 否则，不起眼的代码可能会让您花光所有的钱。

USDT 发行方 Tether 被黑

2017-12

活动简介：

Tether 是 USDT 代币的发行者——一种与美元挂钩的加密货币，如今被交易所广泛使用。 在公告中比特币黑平台，该公司声称其系统遭到攻击，导致价值 3000 万美元的 USDT 代币被盗。

被盗代币不会被赎回，但 Tether 公司表示，他们正在努力恢复代币，以确保这些交易所不再交易或引入这些被盗资金，不让这些资金重新回到加密货币经济中。 比特币价格在黑客攻击后下跌了 5.4%，是自 11 月 13 日以来的最大跌幅。然而，Tether 被盗声明一出，国外社区的一些用户认为，从这个地址被盗的 3000 万美元只是 Tether 被盗的第一步。 Tether 的欺骗。 实际面临的现金危机远不止3000万美元。 这起事件不仅是简单的虚拟货币盗窃案，还引发了对 Tether 的信任危机。

优比特交易所被黑

2017-12-19

活动简介：

12月19日，韩国数字货币交易所Youbite发布公告称，其交易平台于当天下午4点左右（北京时间下午3点）遭到黑客攻击，造成相当于平台总资产17%的损失。 该平台是韩国市场份额较小的数字货币交易平台。 今年 4 月，该平台还遭到黑客攻击，损失了近 4000 个比特币。

Youbit表示，在4月份遭到黑客攻击后，它加强了安全策略，将剩余83%的交易所资金安全地存放在冷钱包中。 不过，经营该交易所的公司 Yaipan 周二申请破产，并停止在该平台上交易。 公告显示，交易所将所有客户的资产价值减记至市值的75%，客户可立即提取这部分资产。 该公司表示将在破产程序结束时偿还剩余资金，届时它将提出保险索赔并出售公司。

03 总结

虚拟货币的火爆直接搅动了金融市场和科技市场，同时也面临着各种安全问题。 现在各国也开始出台针对区块链市场和虚拟货币市场的政策和治理方案，交易所也开始纳入管控范围。 韩国前段时间对国内7家大型交易所进行了安全测试，全部被成功入侵。 但是每个交易所每天的交易量都是上亿。 可见，此类安全问题并非孤例。 作为虚拟货币交易平台，是否有资格、有能力对网络虚拟货币进行保护？ 安全成为一个值得考虑的问题。 虚拟货币逐渐从互联网进入现实世界。 然而，这一过程中加密货币的进步也带来了极大的隐患，这也促使政府企业和个人更加谨慎地选择和投资交易平台和虚拟货币本身。