如何提高交易所和数字资产服务的安全性

2019年，区块链因加密犯罪损失了至少45亿美元。网络犯罪分子正在进化，他们的战术也变得更加复杂。另一方面，交易所、钱包和数字资产服务正在增强它们的防御能力。这场竞赛是紧张的，双方都在创新，努力超越当前区块链安全的状态。

加密持有者认为Trezor是世界上最安全的钱包之一。最近，Kraken发现了Trezor钱包上的一个严重漏洞。黑客在不到15分钟的时间内窃取了钱包用户的私钥。有趣的是，这个问题是不可能纠正的。

Kraken安全实验室发现了黑客可以用来窃取比特币的有效方法。该交易所网络安全部门的研究人员在两分钟内成功破解了一个钱包的加密。最糟糕的是，Trezor知道这个问题，却没有对用户发出警告。

大部分的攻击都是通过钓鱼式的SIM交换和URL劫持来入侵管理员帐户。Atherton Technology首席分析师Jean Su表示，这些姿态大部分是在内部人士的协助下完成的。由于终端用户和交易所/钱包支持无法进行通信，SIM交换已经成为一种非常致命的手段。

这是因为一旦黑客更换了手机号码，交易所就无法接收到手机上的语音提醒、电子邮件或短信。直到犯罪分子拿走了资产后，后勤人员才会发现。

另一种流行的区块链攻击是DNS缓存中毒攻击。网络犯罪分子会渗透并劫持任意域，然后从受害者那里转移流量。事实证明，为了反制攻击，需要领先的软件供应商来协调修复。

我们面临的挑战是如何防止恶意威胁行为者成为有道德的黑客。尽管有点复杂，但DNS缓存中毒类似于web欺骗。

早在2017年， 山寨币服务公司EtherDelta在黑客创建一个恶搞网站的事件发生后暂停了运营。[Web spoofing是创建一个欺骗网站来欺骗流量]EtherDelta警告客户不要访问该网站，因为犯罪分子很容易就会掏空他们的数字钱包。

然而，网络攻击造成的盗窃并不是唯一的手段。目前正在消失的出口诈骗也让犯罪分子净赚了数百万美元。仅2019年第二季度，出口诈骗罪犯就获得了约31亿美元。在ICO热潮期间，出口骗局非常普遍；骗局投资者通常承诺推出一款有前景的数字货币。

在“白皮书”中详细阐述这一概念，然后通过ICO吸引投资者筹集资金。一旦筹到资金，犯罪分子就会携款潜逃。在大多数区块链攻击的情况下，目标是终端用户。这种信念背后的概念是：区块链实施加密以防止隐私泄露。由于区块链数据是不可变的（不能改变），加密算法中的一个缺陷或计算能力的增加，会导致私有细节的解密。

因此，区块链依赖终端用户来保护他们的数据。因此，黑客总是会把目标对准终端用户的设备，以窃取数据并侵入他们的钱包。

Kraken的安全研究人员建议Trezor钱包的用户存好一个并不存储在钱包中的密码。

“这个密码在实践中使用起来有点笨，但它并不存储在设备上，因此可以防止这种攻击。”
责任编辑；zl