8月7日，騰訊近日聯(lián)合網(wǎng)絡(luò)安全公司「知道創(chuàng)宇」發(fā)布《2018上半年區(qū)塊鏈安全報(bào)告》。報(bào)告顯示，2018年上半年區(qū)塊鏈安全共造成27億美元損失。問題主要集中在3方面，分別是生態(tài)安全、區(qū)塊鏈項(xiàng)目自身的機(jī)制安全以及使用者安全。其中生態(tài)安全和機(jī)制安全是最主要的兩大安全問題，分別造成14.2億、12.5億美元的損失。

除此之外，報(bào)告還指出，截至今年上半年，全球出現(xiàn)過的數(shù)字加密貨幣已經(jīng)超過1600種，但其中存在大量完全沒有實(shí)體項(xiàng)目支撐的“空氣幣”，幾乎一文不值。

以下為騰訊《2018上半年區(qū)塊鏈安全報(bào)告》全文：

序言

一、區(qū)塊鏈安全事件頻發(fā)，案值過億屢見不鮮

1.數(shù)字加密貨幣撐起6000億美元的市值

2.區(qū)塊鏈安全事件爆發(fā)率逐年增加，案值增大

二、區(qū)塊鏈安全威脅分類

1.引發(fā)區(qū)塊鏈數(shù)字加密貨幣三大安全問題

2.區(qū)塊鏈數(shù)字加密貨幣安全事件詳解

2.1因比特幣自身機(jī)制而出現(xiàn)的安全事件

2.2因區(qū)塊鏈生態(tài)系統(tǒng)原因?qū)е碌陌踩录?/span>

2.3區(qū)塊鏈?zhǔn)褂谜呙媾R的風(fēng)險(xiǎn)

三、區(qū)塊鏈數(shù)字貨幣“熱”背后的三大網(wǎng)絡(luò)安全威脅

1.數(shù)字貨幣勒索事件頻發(fā)，基礎(chǔ)設(shè)施成勒索病毒攻擊重點(diǎn)目標(biāo)

1.1上半年勒索病毒攻擊特征與三大勒索病毒家族

1.2下半年勒索病毒的傳播趨勢(shì)

2.挖礦木馬“異軍突起”，成幣圈價(jià)值“風(fēng)向標(biāo)”

2.1上半年挖礦木馬樣本分析與傳播特征

2.2下半年挖礦木馬的傳播趨勢(shì)

3.數(shù)字劫匪“鋌而走險(xiǎn)”攻擊交易所，半年獲利約7億美元

3.1數(shù)字加密貨幣交易平臺(tái)被攻擊

3.2個(gè)人賬號(hào)遭入侵

3.3“雙花攻擊”

3.4漏洞攻擊

四、安全建議

序言

2018年，是公認(rèn)的區(qū)塊鏈大年。與區(qū)塊鏈有關(guān)的討論不僅遍存在于中關(guān)村的創(chuàng)業(yè)咖啡，更是存在于街頭巷尾、地鐵公交、微博微信，幾乎無處不在。然而，伴隨著區(qū)塊鏈技術(shù)的不斷發(fā)展，區(qū)塊鏈領(lǐng)域本身的安全問題逐漸凸顯，與區(qū)塊鏈相關(guān)的詐騙、傳銷等社會(huì)化安全問題日益突出。

隨著區(qū)塊鏈的經(jīng)濟(jì)價(jià)值不斷升高，促使不法分子利用各種攻擊手段獲取更多敏感數(shù)據(jù)，“盜竊”、“勒索”、“挖礦”等，借著區(qū)塊鏈概念和技術(shù)，使區(qū)塊鏈安全形勢(shì)變得更加復(fù)雜。據(jù)網(wǎng)絡(luò)安全公司Carbon Black的調(diào)查數(shù)據(jù)顯示，2018年上半年，有價(jià)值約11億美元的數(shù)字加密貨幣被盜，且在全球范圍內(nèi)因區(qū)塊鏈安全事件損失金額還在不斷攀升。

為了護(hù)航區(qū)塊鏈產(chǎn)業(yè)健康發(fā)展，6月21日“中國區(qū)塊鏈安全高峰論壇”上，中國技術(shù)市場(chǎng)協(xié)會(huì)、騰訊安全、知道創(chuàng)宇、中國區(qū)塊鏈應(yīng)用研究中心等政府指導(dǎo)單位、網(wǎng)絡(luò)安全企業(yè)、區(qū)塊鏈相關(guān)機(jī)構(gòu)及媒體等二十余家機(jī)構(gòu)、單位聯(lián)合發(fā)起“中國區(qū)塊鏈安全聯(lián)盟”，聯(lián)盟成立后著手建立區(qū)塊鏈生態(tài)良性發(fā)展長(zhǎng)效機(jī)制，著重打擊一切假借區(qū)塊鏈名義進(jìn)行變相傳銷、詐騙等斂財(cái)行為。

區(qū)塊鏈安全正受到越來越多的關(guān)注，除了廣大用戶特別關(guān)心的會(huì)不會(huì)踩雷“空氣幣”，騰訊安全聯(lián)合實(shí)驗(yàn)室的關(guān)注點(diǎn)還在于圍繞區(qū)塊鏈，存在哪些安全風(fēng)險(xiǎn)，以及面對(duì)風(fēng)險(xiǎn)怎樣才能避免出現(xiàn)重大損失。基于此，騰訊安全聯(lián)合實(shí)驗(yàn)室聯(lián)合知道創(chuàng)宇，梳理了2018年上半年圍繞區(qū)塊鏈爆發(fā)的典型安全事件，并給出防御措施，希望盡可能幫助用戶避開區(qū)塊鏈的“雷區(qū)”。

一、區(qū)塊鏈安全事件頻發(fā)，案值過億屢見不鮮

1.數(shù)字加密貨幣撐起6000億美元的市值

數(shù)字加密貨幣，是按照一定的數(shù)學(xué)算法，計(jì)算出來的一串符號(hào)。信仰者認(rèn)為這串符號(hào)，代表一定的價(jià)值，可以像貨幣一樣使用。因?yàn)槠鋬H存在于計(jì)算機(jī)中，人們常稱之為“數(shù)字加密貨幣”。

不同于由政府發(fā)行、并以政府信用做擔(dān)保，用于商品流通交換的媒介——法幣。數(shù)字加密貨幣，是由某個(gè)人或某個(gè)組織發(fā)行，通過一定算法，找到一串符號(hào)，然后宣稱其是“XX幣”。世界上首個(gè)數(shù)字加密貨幣由日本人中本聰發(fā)現(xiàn)，被他稱作比特幣。在比特幣成功取得黑市交易硬通貨的地位之后，引發(fā)了數(shù)字加密貨幣發(fā)行狂潮。至今，全球出現(xiàn)過的數(shù)字加密貨幣已超過1600種，是地球上國家總數(shù)的8倍多。

這1600多種數(shù)字虛擬幣中，存在大量空氣幣，被認(rèn)為一文不值。但這1600多種數(shù)字虛擬幣，在高峰時(shí)期，卻撐起了6000億美元的市值。排名前十的加密數(shù)字貨幣，占總市場(chǎng)的90%，其中比特幣、以太坊幣分別占總市值的46.66%和20.12%。

關(guān)于ICO

一家上市公司發(fā)行股票，需要向證券交易場(chǎng)所提交IPO申請(qǐng)，當(dāng)一種虛擬數(shù)字貨幣需要上市發(fā)行時(shí)，會(huì)尋求數(shù)字虛擬幣交易所申請(qǐng)ICO。ICO機(jī)構(gòu)并不像IPO機(jī)構(gòu)那樣由各國政府機(jī)構(gòu)依法建立，有強(qiáng)大的財(cái)經(jīng)、政治實(shí)力做保障，ICO組織均為民間自發(fā)形成的組織或聯(lián)盟，類似自由市場(chǎng)。部分ICO機(jī)構(gòu)的實(shí)際表現(xiàn)，實(shí)際上更接近于跨國詐騙組織。空氣幣在全球范圍內(nèi)滿天飛，群雄四起的ICO機(jī)構(gòu)功不可沒。

2.區(qū)塊鏈安全事件爆發(fā)率逐年增加，案值增大

加密數(shù)字貨幣一經(jīng)誕生，安全性就是人們關(guān)注的焦點(diǎn)，遺憾的是各類重大安全事件層出不窮。就比如下面這些驚人的案例：

2013年11月，澳大利亞廣播公司報(bào)道，當(dāng)?shù)匾晃?8歲的青年稱，自己運(yùn)營(yíng)的比特幣銀行被盜，損失4100個(gè)比特幣；

2014年3月，美國數(shù)字貨幣交易所Poloniex被盜，損失12.3%的比特幣；

2014年Mt.gox盜幣案——85萬枚，價(jià)值120億美元；

2015年1月，Bitstamp交易所盜幣案——1.9萬枚比特幣，當(dāng)時(shí)價(jià)值510萬美元；

2015年2月，黑客利用比特兒從冷錢包填充熱錢包的瞬間，將比特兒交易平臺(tái)冷錢包中的所有比特幣盜走，總額為7170個(gè)比特幣,價(jià)值1億美元；

2016年1月1日，Cryptsy交易平臺(tái)失竊1.3萬比特幣，價(jià)值1.9億美元；

2016年8月1日，全球知名比特幣交易平臺(tái)Bitfinex盜幣案——約12萬枚，價(jià)值18億美元；

2017年3月1日，韓國比特幣交易所yapizon被盜3831枚比特幣，相當(dāng)于該平臺(tái)總資產(chǎn)的37%，價(jià)值5700萬美元；

2017年6月1日，韓國數(shù)字資產(chǎn)交易平臺(tái)Bithumb被黑客入侵，受損賬戶損失數(shù)十億韓元；

2017年7月1日，BTC-e交易所盜幣案——6.6萬枚，價(jià)值9.9億美元；

2017年11月22日Tether宣布被黑客入侵，價(jià)值3100萬美元的比特幣被盜；

2017年11月23日，Bitfinex發(fā)生擠兌3萬比特幣瞬間被提走；

據(jù)美國財(cái)經(jīng)網(wǎng)站CNBC報(bào)道，網(wǎng)絡(luò)安全公司Carbon Black的調(diào)查數(shù)據(jù)顯示，2018年上半年，有價(jià)值約11億美元的數(shù)字加密貨幣被盜。

二、區(qū)塊鏈安全威脅分類

1.引發(fā)區(qū)塊鏈數(shù)字加密貨幣三大安全問題

與數(shù)字加密貨幣有關(guān)的安全事件為何影響如此嚴(yán)重呢？產(chǎn)生安全風(fēng)險(xiǎn)的原因在哪兒？騰訊聯(lián)合安全實(shí)驗(yàn)室和知道創(chuàng)宇公司認(rèn)為：基于區(qū)塊鏈加密數(shù)字貨幣引發(fā)的安全問題來源于區(qū)塊鏈自身機(jī)制安全、生態(tài)安全和使用者安全三個(gè)方面。

上述三方面原因造成的經(jīng)濟(jì)損失分別是12.5億、14.2億和0.56億美元。

總的趨勢(shì)是，隨著數(shù)字虛擬貨幣參與者的增加，各種原因?qū)е碌陌踩录诧@著增加。

細(xì)分來觀察：

區(qū)塊鏈自身機(jī)制安全問題

? —— 智能合約的問題

——理論上存在的51%攻擊已成現(xiàn)實(shí)

區(qū)塊鏈生態(tài)安全問題

—— 交易所被盜（如前所述、觸目驚心）

——交易所、礦池、網(wǎng)站被DDoS

——錢包、礦池面臨DNS劫持風(fēng)險(xiǎn)（劫持?jǐn)?shù)字虛擬幣交易錢包地址的病毒已層出不窮）

——交易所被釣魚、內(nèi)鬼、錢包被盜、各種信息泄露、賬號(hào)被盜等

使用者安全問題

——個(gè)人管理的賬號(hào)和錢包被盜

——被欺詐、被釣魚、私鑰管理不善，遭遇病毒木馬等。

2.區(qū)塊鏈數(shù)字加密貨幣安全事件詳解 2.1因比特幣自身機(jī)制而出現(xiàn)的安全事件

2018年5月，比特幣黃金（BTG）遭遇51%雙花攻擊，損失1860萬美元。

2017年10月，比特幣網(wǎng)絡(luò)遭遇垃圾交易攻擊，導(dǎo)致10%以上的比特幣節(jié)點(diǎn)下線。

51%雙花攻擊最為典型，所謂51%攻擊就是有人掌握了全網(wǎng)51%以上的算力之后，就可以像賽跑一樣，搶先完成一個(gè)更長(zhǎng)的、偽造交易的鏈。比特幣只認(rèn)最長(zhǎng)的鏈。所以偽造的交易也會(huì)得到所有節(jié)點(diǎn)的認(rèn)可，假的也隨之變成真的了；“雙花”（Double Spending）從字面上看，就是一筆錢被花出去了兩次。以BTG事件為例，就是黑客臨時(shí)控制了區(qū)塊鏈之后，不斷地在交易所發(fā)起交易和撤銷交易，將一定數(shù)量的BTG在多個(gè)錢包地址間來回轉(zhuǎn)，一筆“錢”被花了多次，黑客的地址因此能得到額外的比特幣。

2.2因區(qū)塊鏈生態(tài)系統(tǒng)原因?qū)е碌陌踩录?/span>

比如交易所面臨的風(fēng)險(xiǎn)，被DDoS攻擊的事件常有發(fā)生。還有交易所賬戶被黑客控制，攻擊者控制交易行情，場(chǎng)外套利。

2018年3月，號(hào)稱世界第二大交易所的“幣安”被黑客攻擊，大量用戶發(fā)現(xiàn)自己賬戶被盜。黑客將被盜賬戶中所持有的比特幣全部賣出，高價(jià)買入VIA（維爾幣），致比特幣大跌，VIA暴漲110倍。

2.3區(qū)塊鏈?zhǔn)褂谜呙媾R的風(fēng)險(xiǎn)

數(shù)字虛擬幣錢包，要理解或完全掌握這些交易工具的使用有較高的門檻，要求使用者對(duì)計(jì)算機(jī)、對(duì)