大仁說財經／加密竊盜頻傳 如何自保

今年夏天，一名匿名駭客從Poly Network竊取了大約6億元的加密貨幣；Poly Network是一個「去中心化」金融網路，對加密貨幣世界外行的人可能從未聽說過。然後駭客將竊取來的贓物歸還了。

而四個月後，駭客再從加密貨幣交易所Bitmart竊取至少1.5億元。根據事後分析，這位身分不明的駭客使用竊取而來的私鑰打開了兩個「熱錢包」(hot wallets)並提取了其中的資金。

像這樣的網路安全事件在加密貨幣世界中不是什麼新鮮事，但隨著加密貨幣價格在過去一年中飆升，這些駭客犯罪的規模似乎正在上升，引起更多主流關注。

根據消費者網站Comparitech彙整的數據，有史以來最大的十起加密貨幣盜竊案中，有五起發生在今年。金融科技專家指出，這些事件只會因為加密貨幣使用量的增加而繼續發生。

以下是加密貨幣投資人應該了解有關正在發生的事情，以及如何確保手上的數位資產安全的作法。

駭客攻擊 不斷升級

總部位於倫敦的加密規範公司Elliptic的首席科學家羅賓森(Tom Robinson)表示，目前加密貨幣駭客的兩個主要目標是中心化交易所和去中心化金融(DeFi)服務。

多年來，中心化交易所一直是駭客組織的主要目標。這些交易所將用戶的資產儲存在「熱錢包」中，也就是與互聯網相聯結的數位錢包。雖然用戶能夠更容易登入使用，但也可能更容易受到精明的駭客攻擊。

最近的BitMart案件就是這樣一個例子。根據Comparitech的資料，上次另一件竊案發生在2018年的Coincheck攻擊，大約有5.3億元被盜，使其成為史上最大的加密搶劫案，直到今年的Poly Network案件才退居第二。

DeFi服務是加密世界的升級版。羅賓森表示，DeFi軟體App直接在區塊鏈平台上運作，完全不透過任何交易所；而要想駭進這些服務，通常是因為編碼錯誤或App設計問題造成的。主要的例子包括Poly Network以及最近對Badger DAO的駭客攻擊；Badger DAO是一個為用戶提供儲存比特幣和賺取利潤的金庫平台，駭客攻擊導致1.2億元的損失。

Comparitech研究主管穆迪(Rebecca Moody)表示：「從今年的大多數駭客攻擊中可以清楚地看出，總是會經由一個能被利用的漏洞。」「隨著這一行業呈指數級成長並依賴開源技術，駭客就能夠發現編碼中的弱點，使得平台容易被突破。」

容易洗錢 無法追蹤

如果因為交易所遭受駭客攻擊，並不一定代表就會損失所有資金。

每個加密服務都有不同層級的資源來應對駭客攻擊。例如BitMart就承諾負責賠償所有被盜資產。

根據TRM Labs加密犯罪分析師麥克吉爾(Joe McGill)的說法，如果一個實體沒有能力補償受影響的用戶，執法部門如IRS刑事調查網路部門還是有可能追回被盜資金。

但這並不代表萬無一失。雖然許多銀行通常會提供一定金額的存款保險，但對第三方服務持有加密資產並沒有這樣的承諾。某些公司可能會投保來彌補損失，但保險水平因各個平台而有不同，如真有投保的話。

至於被盜的加密貨幣，它可能就此永遠消失。Crypto Head聯合創始人莫里斯(Adam Morris)指出：「通常情況下，駭客會成功地帶著被盜資金逃逸無蹤，因為加密貨幣幾乎無法追蹤，而且很容易在幾分鐘內經由錢包洗錢改頭換面。」

雙種驗證 雙重保護

專家表示，在使用加密錢包或進行交易時，用戶應該仔細檢查其背後公司的規模和專業水平。

羅賓森說，「要了解它們是否有負責網路安全的專家，公司是否有良好的業績紀錄；公司的規模有多大，它有多少員工，這些都是可以確認該企業能否以負責任的方式保護用戶資產的指標。」

用戶在登入其加密帳戶時還可以採取一些基本的安全措施。麥克吉爾建議採用雙種身分驗證或硬體密鑰，硬體密鑰基本上就是保存在離線設備上的密碼。他還建議強制要求所有加密提款以及白名單地址(whitelisting addresses)獲得用戶批准；白名單是只允許用戶聯繫人列表中的某些地址能從帳戶接收加密資金。

麥克吉爾警告，「沒有人能100%保證可以避免網路犯罪。」但他表示了解所採用的交易所、它們曾發生網路犯罪的歷史，以及現有的回覆系統很重要。

根據莫里斯的說法，另一種保護加密資產的方法是使用硬體錢包，稱為「冷錢包」，它不是以加密服務來儲存。在考量各種儲存加密貨幣最安全方法時，這種途徑是將儲存私鑰的責任全面由用戶承擔。如果這些私鑰被竊或遺失，幾乎沒有任何一家大型金融實體會提供協助。