駭客攻擊是幣圈家常便飯？技術漏洞、提款機制缺陷，駭客攻擊手法揭秘

盜取比特幣之前，駭客已經在Bitfinex的伺服器裡潛伏數週了。整個二○一六年的夏天，他們都在觀察該交易所的用戶買賣比特幣，也研究了控制安全系統的指令，彷彿他們就躲在銀行金庫上方的通風管，觀察著行員如何謹慎的搬進搬出現金並尋找漏洞一樣。

確切的說，他們想竊取的不是比特幣，因為你無法真的從試算表中竊取某一行數字。他們需要的是私鑰，也就是讓他們解鎖加密貨幣的密碼。有了私鑰，他們就可以在龐大的比特幣試算表中，把Bitfinex那一行數字降為零，並在自己那行寫上一個非常龐大的數字。

一找到私鑰，他們就動手了。二○一六年八月二日上午十點二十六分，駭客把交易所的每日提款限額，從兩千五百枚比特幣提高到一百萬枚，足以掏空整個金庫。接著，他們使用私鑰，開始廣播指令，把Bitfinex的比特幣轉移到他們在區塊鏈上控制的地址。在接下來的三小時五十一分鐘裡，總共竊取了十一萬九千七百五十四枚比特幣，超過交易所持有的半數比特幣。

當Bitfinex的高層主管意識到大事不妙，雇用了一個資安小組負責調查。駭客攻擊野心勃勃，手段精密複雜，以至於有人懷疑是內賊所為，還有人認為是北韓駭客幹的，因為北韓駭客六個月前才從孟加拉央行竊取了八千一百萬美元。但資安小組找不到任何線索，駭客在登出系統以前，已經徹底抹除了他們的數位指紋。

Bitfinex唯一掌握的，是駭客把錢發送到區塊鏈上的地址（由三十四個字符組成）。為了尋求大眾的協助，Bitfinex在網路上公開地址，讓所有人都能看到。但多年下來，大部分資金一直留在那些數位錢包裡，幾乎沒有動過。即使這段期間比特幣狂飆，那些錢一直留在原地，沒有明確的方法可查出到底是誰轉走了這些比特幣。沒有駭客的私鑰，警方也無法把錢追討回來。

與此同時，加密貨幣創造了全新的犯罪類別。以勒索軟體為例，駭客侵入並鎖住企業或政府的電腦系統，要求支付贖金的犯罪手法，至少在一九九○年代就出現了。但過去用電匯或信用卡支付贖金，罪犯比較容易落網。加密貨幣幫駭客解決了這個問題，二○二○年，駭客每年以加密貨幣形式所收取的贖金，已逾六億美元。

另一個例子是駭客攻擊交易所。

Bitfinex或FTX等交易所就像是加密貨幣的銀行，每個交易所都持有大量的加密貨幣。駭客偷竊加密貨幣時，不需要冒險面對隨時可能開槍的保全，也不需要在攝影機前隱藏自己的臉，只需要駭入電腦系統就行了，而且許多電腦系統顯然都沒有很好的防護措施。

第一家大型加密貨幣交易所Mt. Gox，就曾遭到駭客攻擊。Bitfinex遭竊後，駭客攻擊並未停止，後來發生的幾件最大的竊案包括：二○一八年Coincheck被盜約五．三億美元；二○二○年KuCoin被盜約二．五億美元。二○二一年，交易所與DeFi應用程式（去中心化金融，加密貨幣交易者可直接相互交易）總共被盜走了三十二億美元，這個金額是美國每年所有銀行搶案平均被盜金額的一百倍，其中大都是被北韓駭客組織拉撒路（Lazarus）盜走。

早在二○一五年，Bitfinex在一次駭客攻擊中損失約四十萬美元的加密貨幣後，設置了一個新的安全系統。一般交易所通常是把用戶的加密貨幣混在一起，並把私鑰存在未連網的電腦上，這種做法稱為「冷儲存」（cold storage）。Bitfinex的新系統把每個用戶的餘額保存在區塊鏈的個別地址中，讓客戶自己查看他們的錢在哪裡，使用的是加密安全公司BitGo的軟體。

「這種新的透明度與安全性，使Mt. Gox那種漏洞不可能發生。」BitGo的執行長邁克．貝爾希（Mike Belshe）在宣布這項交易的新聞稿中這麼說。

BitGo的軟體被設計成自動批准小於某個限額的轉帳，因此小額提款不會被耽擱，但大額提款需要Bitfinex的高層主管手動簽核。這原本意味著，萬一Bitfinex遭到駭客攻擊，頂多只有少量的比特幣被竊，不過該系統的設計有缺陷，擁有Bitfinex高層電子憑證的某個人，只要發送一個電腦指令，就可以更改那個免簽核的轉帳限額。

駭客使用「遠端存取木馬」滲透交易所後，就是這樣做。這種惡意軟體讓攻擊者可以完全控制他鎖定的電腦，彷彿他就坐在鍵盤前一樣。只有在Bitfinex剛好有人檢查帳戶餘額並注意到異常狀況時，才有可能阻止駭客掌控電腦。

Bitfinex向有關當局通報了這次駭客攻擊，但沒有找到任何線索。駭客離開時，清除了伺服器的記憶體，抹去了指向其位置的任何指標。

代表Bitfinex調查這次駭客攻擊的知名金融服務商「帳本實驗室」（Ledger Labs），也無法確定駭客究竟是如何進入交易所伺服器的。BitGo雖然對外堅稱軟體運作正常，但其實改變了規定，客戶只有在與BitGo的員工做視訊通話後，才能提高提款限額。

曾在以色列情報部門擔任程式設計師的邁克．紹洛夫（Michael Shaulov）是加密安全公司Fireblocks的共同創辦人，他告訴我這種駭客攻擊通常不需要很高竿的技術，最難的環節通常在於，捏造一封電子郵件，誘騙內部人員打開惡意附件，「社交工程（social-engineering）手法才是關鍵。」他說。