半年损失27亿美元 区块链成了30万黑客的提款机？

　　来源： 区块链Truth 作者：贝尔 编辑： 贺树龙

　　一个笔名为Hacker的黑客曾经如此回忆：

　　2013年6月，他在十几家比特币交易所发现漏洞后，毫无阻碍地提走了所有的比特币。提币之后，他在localbitcoins.com上出售了这些比特币，那一天他赚了8000美元的现金，相当于4个月的工资，感觉就像在天堂。

　　2013年的比特币价格，在经历了起起落落后，最高曾升至超过1242美元，这一价格甚至高于一盎司黄金的价格。

　　比特币的“数字黄金”之名由此得来。

　　此后，比特币等基于区块链诞生的虚拟货币，便成为黑客最喜欢攻击的目标。

　　近日，腾讯安全联合知道创宇发布的《2018上半年区块链安全报告》显示，2018年上半年区块链领域因安全问题损失超过27亿美元，其中11亿美元是由于数字加密货币被盗。

　　“我们追踪的全球黑客，有30多万的人或组织在攻击区块链，基本90%的黑客在盯着区块链，把区块链当作取款机一样。”北京知道创宇信息技术有限公司创始人兼CEO赵伟对区块链Truth(ID：chaintruth)说。

　　1/4智能合约存漏洞，半年损失27亿美元

　　根据腾讯安全提供的数据，与加密数字货币有关的黑客攻击事件，从2013年到2018年（上半年）直接增加了大约五倍的数量，2018年全年预计增加约十倍。

近几年区块链安全事件统计

　　安全公司Hosho报告显示，区块链上智能合约的bug普遍存在。经过Hosho审计的智能合约项目筹集资金总额高达10亿美元，这些项目中有25%被发现存在严重漏洞，约有60％至少存在一个安全问题。

　　就在此前，知道创宇也发布了一份颇为相似的报告。

　　在知道创宇发布的《知道创宇以太坊合约审计CheckList》中，披露了知道创宇404区块链安全研究团队针对全网公开的共39548个合约代码扫描的结果。结果显示，截止2018年8月10日，发现共24791个(占比62%)合约涉及到以太坊智能合约设计缺陷问题（包括“条件竞争问题”、“循环DoS问题”等问题）。

　　其中，有“approve条件竞争问题”的合约有22981个，并且15325个合约甚至还处于交易状态，approve条件竞争漏洞的结果可能引发丢币的问题；有“循环DoS问题”的合约有1810个，其中1740个合约仍处于交易状态，以太坊中循环DoS则可能因gas消耗过大导致交易失败，合约无法执行。

　　超过60%的以太坊智能合约出现设计缺陷问题，也意味着基于这些智能合约的数字货币系统也存在安全隐患。

　　黑客，正是盯住了加密数字货币的这一安全问题。

　　网络安全解决方案提供商趋势科技在一份新研究中表示，网络犯罪分子的注意力正从快速的勒索软件攻击转为较慢的、更隐蔽的窃取计算机计算资源以挖掘加密货币。该研究结果显示，与2017年全年相比，2018年上半年检测到的加密货币挖矿增加了96%，检测到的挖矿病毒与2017年上半年相比增加了956%。

　　《2018上半年区块链安全报告》中的数据显示，区块链因自身机制的安全、生态安全和使用者安全三个方面造成的经济损失，分别为12.5亿、14.2亿和0.56亿美元，共计高达27亿美元。

　　这相当于此前登陆纳斯达克的优信公司的总市值。

　　损失最多的是数字货币交易平台，总共为13.4亿美金。其次是智能合约，主要是集中在以太坊上，比如因为代码的漏洞或者私钥的泄露等原因导致的资金损失达到了12.4亿美金。再次是个人用户遭受到的攻击，比如电脑中病毒、私钥被窃取等，包括矿工的一些病毒事件等等。

　　“黑客对区块链的攻击还会一直持续，甚至会越来越多。”一位安全人士告诉区块链Truth(ID：chaintruth)。

　　全球超过30万人或组织在攻击区块链

　　“因为以前区块链和数字货币领域没有人在乎安全，区块链形成的价值突然起来之后，对黑客来说这里就像一个银行，他们随便拿钱。”

　　从2011年，赵伟便开始关注比特币，2013年知道创宇开始为加密数字货币领域的交易所、钱包等平台提供数字资产的安全防御。

　　“黑客”（黑客的本意是技术上突破极限）出身的他，最懂黑客的手段。

　　“现在黑客把区块链都当成靶场了。我们追踪的全球黑客，有30多万的人或组织在攻击区块链，所以基本90%的黑客在盯着区块链的安全问题。而一旦攻破之后，区块链又是匿名的，资产丢了没法找回，所以黑客们就把区块链当成取款机一样。”赵伟说。

　　根据今年5月30日的区块链产业安全分析报告，全球发生区块链安全事件的趋势呈逐年上升态势。2011年出现了第一次比特币安全事件，当时丢失102万美金；2014年全球区块链的资金损失大概是4.6亿美金；而到了今年上半年，这个数字达到19亿美金。

数据来源：区块链产业安全分析报告

　　《2018上半年区块链安全报告》中，腾讯安全技术专家将区块链加密数字货币引发的安全问题归结为三个主要方面：

　　其一，区块链自身机制问题。以以太坊为代表的区块链智能合约设计存在的漏洞问题，带来的经济损失极为严重。2016年6月，以太坊最大众筹项目The DAO被攻击，黑客获得超过350万个以太币，最终导致以太坊分叉为ETH和ETC。同时，真实的区块链网络是自由开放的，理论上若黑客控制节点中绝大多数计算机资源，就能重改共有账本，最终实现51%“双花攻击”。

　　其二，区块链生态安全问题。区块链生态中包括PoW机制下的矿场和矿池、PoS机制下的权益节点、加密数字货币交易所、软硬钱包、数据跟踪浏览器、DApp应用，以及面向未来DApp应用的区块链网关系统等。其中，围绕交易所发生的安全事件最为显著，交易所被盗远超其他事件类型。此外，交易所被钓鱼、内鬼盗窃、钱包失窃、各种信息数据泄露和篡改、交易所账号失窃等问题，也同样值得关注。

　　其三，使用者自己造成的安全问题。由于数字虚拟币钱包这些交易工具的使用具有较高的门槛，要求使用者对计算机、加密原理、网络安全均有较高的认知。然而，许多数字虚拟币交易参与者并不具有这些能力，极易出现安全问题。甚至因操作不当引发熟人作案，数字资产被身边人盗取。

　　在赵伟看来，中国黑客的攻击能力和安全研究能力非常强，美国的安全公司最顶尖的科学家基本都是华人，“只不过我们的安全市场都是合规性的，就是政府要求什么就是什么，其中利益链错综复杂。”

　　这也就意味着，中国境内的网络安全，相对较为规范。

　　破坏共识，安全问题助推数字货币熊市

　　自今年初以来，比特币价格自2万美元的高点一路跌破6000美元，全球数字货币总市值从年初的6500多亿美元跌至3000亿美元附近。币圈正经历漫长熊市。

　　在赵伟看来，这波熊市跟区块链安全不无关系。

　　“黑客盗币，攻击区块链系统，最大的伤害是破坏了区块链的共识，打破了信任。”赵伟说。

区块链的共识机制是其运行的重要规则

　　在他看来，比特币诞生之初的目标是数字黄金。“黄金不是为了小额交易和支付，而是价值保存，用数学算法快速达成共识。它的目标是安全，所以一代的比特币，持有量排名靠前的全是安全人员。”

　　当黑客过境，把人们认为最安全的“数字黄金”盗取后，大家发现它并不安全，“没有共识了，就容易砸盘，黑客在这里面是收割了所有人，而且是极端的杀鸡取卵。”

　　可以说，频出的区块链安全问题，助推了数字货币的整体熊市。

　　实际上就连比特币，也曾遭遇过“灭顶之灾”。2010年8月15日，一名黑客曾在比特币高度为74,638的区块上，通过比特币的一个原生bug一夜间创造了1844亿枚比特币。

　　或许是因为彼时比特币的价格并不引人注意，这名黑客在完成这一“壮举”后并没有进行后续的攻击动作，免于让比特币“通货膨胀”后瘫痪。

　　虽然黑客开过玩笑后，颇为满意地离开了，但这一bug却吓坏了当时比特币代码维护团队。比特币社区的首席开发者Wladimir Van Der Laan 在回忆时直言：“这是有史以来最严重的问题”。

　　2014年，曾发生一起著名的“门头沟”事件，曾经是全球最大的比特币交易平台Mt.Gox因被黑客盗币最终破产，大约75万枚比特币（价值3.75亿美元）付之东流，引发比特币价格大跌。

　　最近的则在2018年3月，币安交易所被黑客攻击，黑客通过做空手段去场外套现获益。受此事件影响，比特币暴跌10%。

　　如今看来，几乎每次黑客的出击，都会或多或少的引起比特币价格的下跌。

　　“区块链安全只是互联网安全中的一部分，但是因为区块链最大的特点是基于共识，而共识在现实世界的表现为法律、合约、财富。一旦发生安全事件，受损失相对更为严重。”赵伟说。