最安全的比特币购买地被每天抢劫一次:世上最难解决的支付欺诈与用户安全问题

财富中文网 2017-11-06

Illustration by Steven Wilson  

加密数字货币正在带来金融界的革命,但窃取它也特别容易。

请看世界最大的加密货币交易所 Coinbase 公司如何努力修复区块链最危险的漏洞。 

人工智能新创企业 Prome 的首席执行官肖恩 · 埃弗里特起初并不确定,他在加密数字货币上的投资会带来怎样的收益。

但是,他也绝对没有想到,他的投资会在瞬间灰飞烟灭。 

今年 3 月,埃弗里特卖掉了手中的苹果、亚马逊等所有股票,将一大块收益在一个叫 Coinbase 的网站上购买了比特币和以太坊。这个决定让埃弗里特立即变得更加富有,因为这两种基于区块链的货币的价值在随后几周飞速上涨。

可是,就在埃弗里特于 5 月 17 日晚上 10 点出门遛狗时,他接到了一个电话,那是移动运营商 T-Mobile 公司打来的,向他确认,公司正在将他的电话号码转移到另外一台设备上。 

这个举动很可疑,因为埃弗里特根本没有要求过。但是,即使他恳请 T-Mobile 的服务人员阻止这次转移,也已经来不及了。

没过 5 分钟,埃弗里特的手机服务就突然关闭。此时,他冲向电脑,看到了自己的资产在眼皮底下被人劫走。一连串的电子邮件通知告诉他,有人已经控制了他的 Gmail 主账户,打入了他在 Coinbase 的 " 钱包 "。窃贼能进来,是借助了他的被转移的电话号码。埃弗里特的账户在登录时必须输入手机上收到的双重验证码短信,这是第二道保险。可在当时,短信被直接发给了窃贼。 

窃贼只花了两分钟就将埃弗里特账户里当时价值数千美元的数字货币洗劫一空。埃弗里特觉得,更让他痛苦的是后来发生的事情:以太坊的价格在接下来的三周翻了两番。

6 月的一个潮湿的下午,我在纽约的一家咖啡店里见到了埃弗里特。就在我们见面的几个小时前,以太坊创下了 400 美元的历史新高。此前一天,比特币首次突破了 3,000 美元。对于自己的数字货币不翼而飞,埃弗里特到现在还是耿耿于怀。他痛惜地说:" 我不光是本钱没有了,还错过了这么大涨幅。"  

不过,最让埃弗里特以及其他很多比特币爱好者感到惊讶的是,居然有人能够在 Coinbase 盗窃。这家位于旧金山的公司是世界最大的加密数字货币交易所,是极少数保险柜未遭黑客攻击的公司之一。

" 买比特币最安全 " 的地方,

正每天被抢劫一次

在区块链世界里,这一荣耀尤其被人看重,因为此前发生过几起损失惨重的黑客事件,成了全球性的头条新闻。几乎所有的早期投资者都会对你提及,他们在 Mt. Gox 损失了钱。2014 年,黑客从这家比特币交易所劫掠了将近 5 亿美元,它随之倒闭。去年夏天,窃贼瞬间从香港的加密数字货币交易所 Bitfinex 抢走了 7,200 万美元。 

Brian Armstrong 创立 Coinbase,使加密货币面向大众;他称线上交易为 " 数字货币的 Gmail"。 |   Photograph by Winni Wintermeyer for Fortune

但是黑客从未攻破过 Coinbase 的虚拟堡垒。牢不可破使它有了 " 买比特币最安全 " 的名声,帮助它吸引了 900 多万名用户,他们至少在那里存放了价值 30 亿美元的加密数字货币。

到目前为止,在它的零售交易平台和机构交易平台 GDAX,至少已经进行过价值 250 亿美元的交易。Coinbase 已经有五年历史,在新一轮融资中融到了 1 亿美元,估值高达 16 亿美元,成为了区块链行业的第一只 " 独角兽 "。

风投资本家、Coinbase 最早最大的投资者之一弗雷德 · 威尔逊在 3 月的一次会议上说:" 看看这家公司最出色的地方,比如安全性、受信任度和防护能力,这些显然都是银行的强项。它就像区块链里的摩根大通或高盛集团。"  

但是,Coinbase 的个别用户确实曾经被盗贼光顾过,而且频繁程度也令人吃惊和不安。即便是威尔逊自己也曾经被猛烈惊醒——今年 6 月初在欧洲度假时,他吃惊地看见了埃弗里特收到过的那类提醒邮件,有一名闯入者试图进入他的 Coinbase 账户。

威尔逊在钱被偷走前成功地锁住了账户。但是,在一篇博客中,他对自己投资的公司发表了罕见的公开抨击:" 这次经历让我至今心有余悸,自然也有了几分怀疑。"  

自从那以后,《财富》杂志曾经和 10 多名受害者交谈,他们当中有技术公司的高管,也有著名的区块链支持者。他们在 Coinbase 的账户都曾经被盯上和攻击过,方式几乎相同;其他交易平台遭受到的攻击更多。

在埃弗里特遭抢之后的第二天,洛杉矶的企业家亚当 · 达奇斯的时值 10,000 美元的账户资产被清空。7 月 7 日,窃贼又清空了区块链行业顾问迈克 · 科斯塔奇在 Coinbase 账户里的 18,000 美元——当时他在国外旅行,窃贼是趁他晚上睡觉时花了 4 个小时干的。自从去年圣诞节以来,Coinbase 的用户平均每月被抢 30 次,相当于每天一次。 

每次案件都让人们产生了相同的、始料不及的想法,人们开始关注区块链固有的诡异之处:让加密数字货币有别于传统货币的典型优势,即交易的即时性与不可逆性,同时也是它的致命缺陷。

比特币存在的原因,与致命伤:

抗监管性

位于伦敦的区块链情报机构 Elliptic 的联合创始人及首席数据官汤姆 · 鲁宾逊说:" 比特币存在的原因之一是它的抗监管性。" 这意味着没有人能够阻止数字货币交易的发生,政府或中央银行也不行。因此,传统银行储户所倚仗的防欺诈措施对于数字货币交易基本没用。鲁宾逊说:" 拒付、可逆与创建比特币的目的水火不容。"  

因此,每当犯罪分子手痒想抢劫时,他们越来多地选择加密数字货币而非实际货币。2016 年,在美国联邦调查局的互联网犯罪投诉中心收到的报告中,来自于和虚拟货币相关的犯罪的损失高达 2,800 万美元,超出 2015 年三倍多。而且,这一数字还是基于受害者个人的自愿报告得出的,也不包括在 Bitfinex 等交易平台上发生的大规模黑客盗窃。所以,实际损失可能要高出几个数量级。 

针对传统金融机构的网络犯罪也在增长:例如,据 Javelin Strategy & Research 公司,通过所谓的账户接管偷钱——与 Coinbase 黑客事件类似的一种犯罪——在去年增长了 61%,达 23 亿美元。但是,与存放在银行里的万亿美元相比,这类网络犯罪涉及的金额相对很小;

但加密数字货币的全部市值只有 1,350 亿美元,黑客盗走的份额要大得多。例如,网络安全公司 Chainalysis 称,过去 12 个月,犯罪分子已经偷走了以太坊总市值的 1%,即 2.25 亿美元。同期比特币的损失估计更高。 

前公司黑客、美国西北大学凯洛格管理学院的一位教授莫兰 · 瑟夫解释说,实体银行的劫匪面临 " 两大难题:把钱偷走和埋藏证据。比特币不存在第二个问题,因为所有人都是匿名的。

" 对于交易不可逆这样的缺陷,比特币的铁粉们似乎能够接受。区块链投资人克里斯 · 伯尼斯克说:" 我把这看成是特色,而不是漏洞。" 伯尼斯克的新著《加密资产》即将出版。不过,他的比特币账户在去年 12 月被洗劫过,被偷走的比特币价值在如今超过 10 万美元。 

但是,当受害者看着他们的钱被取走,进入了不知名的陌生人的数字钱包时,对于 Coinbase 来说,这就不仅仅是一个难题了:这是对比特币自己的承诺的威胁。随着加密数字货币价值的飙升,越来越多的投资者面临的问题,不仅仅是如何从中获利,还有如何牢牢地持有。今年 5 月,科迪 · 布朗的账户在短短 15 分钟内就被黑客取走了 8,000 美元。

他抱怨说:"Coinbase 看起来像银行,说话也像银行,像银行那样收了几百万美元现金。可实际上,它做事就像灯光昏暗的地下赌场。直到被黑客偷了钱,你才会发现,那些方方正正的字体、柔顺的蓝色梯度变化曲线和无休止地复制信任声明文字对你来说毫无意义。"  

Coinbase 拒绝讨论具体案件,只说它在调查所有的账户接管事件。但现年 34 岁的创始人和首席执行官布莱恩 · 阿姆斯特朗表示,布朗和威尔逊的经历 " 有助于 " 指导公司改善业务。公司的安全措施已经能够匹敌甚至超越银行,比如利用机器学习发现可疑行为,强制施行双重验证。但是,阿姆斯特朗承认,Coinbase 已经成为了一个诱人的目标。他对《财富》杂志说:" 我们需要实行更高的标准,因为数字货币是非常有趣和强大的新事物,很多人忍不住想偷。"  

理想货币,

与当今世上最难解决的

支付欺诈和用户安全问题

如果比特币是宗教,相对于 " 耶稣应该怎么做 ",它的口号就是 " 成为你自己的银行 "。这是被行业内广泛接受的非正式口号。2009 年,神秘的创始人(可能不只一位)以 " 中本聪 " 的名义发布了区块链。发布者把区块链视为电子现金的理想形式。中本聪在一份传奇白皮书中写道,这种电子现金 " 无须经过金融机构 " 就可以换手。 

但是,这一理想货币也吸引来了破坏分子,让很多潜在的接受者望而却步。阿姆斯特朗从中发现了机会:改善这个在当时由 " 黑客和秘密捣乱分子 " 统治的行业的形象。他说:" 如果让这个行业成为主流,就必须要有更受信赖的品牌。"  

阿姆斯特朗是爱彼迎早期的工程师,2012 年,他离职创办了 " 数字货币的 Gmail"。他的战略是:让存储、买卖加密数字货币变得更加容易和安全。

早期的比特币钱包公司允许客户追查他们的私钥:一个由 64 个字符组成的密码口令,仅凭这个密码就可以获取某人的加密数字货币。

但 Coinbase 做了一个开拓性的创新:代客户储存密钥。这也存在风险:客户要拿到比特币,不一定要知道真正的密钥,只用一个密码口令即可,对于黑客来说同样是如此。这位面带稚气的首席执行官承认:" 我们这是承担了一个巨大的责任。但我也认为,要让行业上规模,使数字货币拥有下一个 1 亿或 10 亿用户,这一步是必须要走的。"  

Coinbase 已经展现出了向大众推广这种新型资产的独一无二的能力。他们的基础客户群大部分在美国,在过去 5 个月里已经增长了 50%,每天最多有 5 万人注册。仅 7 月的交易量就是 2016 年全年的两倍。Coinbase 从中收取交易手续费,据说已经接近实现盈利。在《财富》杂志今年的 40 位 40 岁以下的商界精英排行榜上,阿姆斯特朗排名第 10 位。不过,他对本公司的局限性心知肚明。

他说:" 一般人往高处想,可能以为我们是数字银行,但我们不是银行。" 与银行不同,Coinbase 不放贷。更为关键的是,Coinbase 虽然像贝宝或西联汇款那样接受对货币转移机构的管制,但它不在美国联邦存款保险公司的承保范围内,也不受到用来监管银行的消费者保护法的约束。 

阿姆斯特朗的工资一直以比特币的形式支付;他每月套现出一定的美元,以支付租金。他的很多员工跟他一样。他们比任何人都更加了解安全问题,但保护好消费者显然是严峻的挑战:从技术上来说,由于黑客是利用威瑞森、Sprint 等通信运营商的弱点从客户端攻破了消费者的账户,并不能把这些黑客行动直接说成是 Coinbase 的错误。一位高管说:" 理性地说,我们很难阻止有人从客户的账户上取钱。"  

比特币肮脏的小秘密

尽管如此,Coinbase 承担不起忽视这个问题的代价。它是真的没有钱去承担。虽然说它不是银行,但当传统金融机构突然退来因黑客造成的欺诈性支付款项时,Coinbase 仍然要承担银行业系统协议规定的费用。

例如,当达奇斯遭窃后,Coinbase 的一位客户支持代表在电子邮件里反而向他抱怨,因为交易被当作 " 诈骗 " 报告给了银行,由此造成的冲正(即银行系统对已经成功记账的交易进行撤销的行为——译注)给 Coinbase 造成了 1,657.41 美元的损失。

公司的数据科学主管苏普斯 · 兰詹不久前在一次行业活动上说:" 我们公司背了黑锅。" 此类问题,再加上以未授权信用卡购买数字加密货币的情况,给 Coinbase 制造的成本占其营业收入高达 10%,诈骗活动给公司造成的损失是贝宝的 20 倍。兰詹说:" 我绝对相信,我们面对着如今世界上最难解决的支付欺诈和用户安全问题。"  

为了抗击欺诈,Coinbase 一直在利用分析技术预测,哪位客户欺诈和拒付的风险最高,然后先发制人地限制他们的购买能力,甚至锁住他们的账户。但是这么做也有不利的地方,客户为此心情沮丧,公司的后端服务台积压了数万条帮助请求。Coinbase 只有大约 180 名员工,其招聘速度无法跟上工作需要,目前正在填补 100 个工作岗位。直到 9 月,Coinbase 甚至没有客户支持电话。 

与此同时,Coinbase 还一头陷入了很多人预料到的一个情况,这也是加密货币与高盛集团最为接近之处。2015 年,仅有 802 名美国纳税人在报税单上报告了他们投资比特币的收益,美国国税局请求法院命令 Coinbase 提供用户记录。

今年,公司出现了第一次 " 闪崩 ",以太坊的价格暴跌至 10 美分,市场在短时间内陷入极度恐慌。公司称,所有交易均 " 正常进行 ",但最终同意,出于善意,公司将补偿交易者因被要求追加保证金所造成的损失。8 月初,比特币区块链的一个 " 硬分叉 "(对比特币区块链的一种升级,升级后的比特币不再兼容之前的版本,等于创造出了一种新币——译注)制造出了另外一种名叫 " 比特币现金 " 的货币,Coinbase 一开始说不会支持。

几小时后,它遭受了一次 DoS(拒绝服务)攻击,让这家交易所彻底断网,客户纷纷威胁起诉。有人认为,这是对它拒绝支持比特币现金的报复。Coinbase 最终屈服:账户持有者可以持有比特币现金至 2018 年。阿姆斯特朗说:" 我们处于极快的增长期,特别令人激动,也有点混乱。"  

在很多区块链的狂热爱好者看来,Coinbase 被黑提醒他们,把加密数字货币存放在别人那里是一件危险的事情。Civic 是一家利用区块链技术进行身份验证的公司,该公司的首席科技官乔纳森 · 史密斯说:" 不拥有密钥,就不拥有比特币。" 不过话又说回来,比特币有一个肮脏的小秘密:作为这样一种浓缩了未来的资产,一些人管理它的办法,简直像是回归到了封建时代。 

黄金标准:" 冷存储 "?

自己存放密钥的比特币投资者通常采用最原始的保护方法,和把现金藏在床垫底下差不多:比如把密钥打印在一张纸上,剪成几片,分配给家人,不让家人知道应该如何把它完整地拼凑起来;或者把密钥做成一个加密文件保存在一个 U 盘上,埋在自家后院里;或者干脆死记硬背。

这些临时想出来的应急办法也有缺陷,招致的损失也数不胜数:纽约的一位老兄把自己的硬盘重新格式化了,忘了里面还有价值 2.5 万美元的比特币的密钥。一家对冲基金研究机构的分析师多米尼克 · 福格蒂在参加了一个单身汉派对之后,把存放了加密数字货币的手机落在了出租车里,他到处寻找,总算把它找了回来。他对《财富》杂志说:" 是的,我们错过了火车,但更重要的,是我的比特币没丢。"  

由于电话号码存在漏洞,Coinbase 正在考虑为客户提供物理认证设备 YubiKeys(如上所示),它能代替文本密码成为帐户的第二层保护层。 |   Photo: Courtesy of Yubikey

还有一个最大的讽刺:比特币安全的黄金标准是把密钥存放在不能上网的地方,称为 " 冷存储 ",但这通常意味着要把它们放在区块链的支持者特别想避开的地方:银行。有一位加密数字货币对冲基金的经理,曾经去查看他在富国银行的保险箱,他在那里存放了价值 500 万美元的密钥,结果却发现箱子是空的!(几周后,正确的箱子找到了,原来被放在了指定位置的下一排。)

即便 Coinbase 公司自己也以银行为其部分冷存储的地方,它把客户资金的 98% 放在了银行里。阿姆斯特朗承认:" 我觉得,这样的做法确实有点旧。" 不过呢,这也可能是未来,因为越来越多的主流投资者想入手加密数字货币,但他们又不想自己成为银行。 

对于加密爱好者来说,这么干完全是离经叛道。迈克尔 · 克里格曾经担任雷曼兄弟公司的分析师,被金融危机搞得理想破灭,离开了华尔街,从事加密数字货币行业。他说:" 我不会把我的私钥托付给银行里的保险箱,我只会托付给自己。"

不过,昔日的金融卫士与区块链的叛逆者之间的高墙已经开始瓦解,也许终有一天,这两个系统将实现无缝融合。道富银行的一名前高管梁浒称:" 我们想摆脱的一些规则和流程正好是我们想要用来保护客户的规则,这几乎是讽刺,也很有意思。" 梁浒今年 8 月从道富离职,为机构投资者开办了一家加密数字货币交易平台。区块链的信徒尽管梦想取代几百年来定义了银行的那些规矩,但他们正在意识到,完全摆脱这些规矩根本不可能。 

今年 8 月的一个早晨,乔纳森 · 莱文在他位于曼哈顿的一家联合办公空间的办公室里迎接我,他骑了 6 英里(约 9.66 千米)的自行车来上班,此时仍然喘息未定。这位 27 岁的旅美英国人身穿一件灰色纯棉 T 恤,上面写着 " 比特币,创建于 2009 年 "。他放肆地对我大声说:" 打击网络犯罪的地方,就是这个样子!"  

莱文是 Chainalysis 公司的联合创始人,这是一家新创企业,追踪虚拟货币的走向,并调查其非法使用。据了解相关调查的人说,Chainalysis 曾经在今年 7 月的一周时间内,协助执法部门,扳倒了两家公司,并对其提出了犯罪指控,一家是 " 黑网络 " 市场 AlphaBay,另一家是臭名昭著的数字货币交易所 BTC-e。

此前,该公司已经能够锁定从 Mt.Gox 和 Bitfinex 偷出的资金的去向:比特币的所有交易纪录都不可篡改,实际上指明了资金的流动线路,任何人都能找到接收资金的数字钱包的地址。Chainalysis 的人工智能 " 群集 " 技术能够确定资金经过的交易所,但是,在寻找这些数字钱包的控制者时,公司似乎没有什么进展。我问:" 有多少人因为从比特币大交易所偷窃被抓?" 莱文生动地回答:" 答案是零。"  

凯瑟琳 · 豪恩说:" 这个答案不完全对。" 她曾经是领导打击虚拟货币犯罪行动的联邦检察官,今年 5 月加入了 Coinbase 董事会。她说,确实没有人因为侵入交易所或以电子手段盗窃加密数字货币而入狱,但对 AlphaBay 和 BTC-e 做的调查是首批案件,尚未结案。

由于数字钱包是匿名的,调查人员可能要花好几年时间才能够将这些案件与某个人联系起来,这需要从 Coinbase 这样的交易所和互联网更不知名的角落搜集数据。豪恩说:" 我会把它比做传统的银行盗窃。如果窃贼戴着面具、假发和手套,想抓到他可能非常难,但不是不可能。"  

个别盗窃案可能太小,不足以让联邦调查接手,但越来越多的受害者向联邦调查局等政府机构报告犯罪行为,带来了更大的希望。Chinalysis 在 7 月开设了一个特别调查部门,如有黑客入侵受害者提出请求,便提供帮助。

专家认为,实施盗窃的犯罪分子来自于复杂的组织,它们拥有技术和人手,在社交网络上搞拉网式的搜索,寻找有关加密数字货币的账户信息。而它们拥有的资源可以让它们在 24 小时里给电信运营商威瑞森打 28 次电话,直到成功地将某个手机号码移植到其他电话上(即不断给运营商打电话,编造各种理由,说服客服人员把某个号码转移到其他手机——译注)。

这便是对冲基金 Cyrptochain Capital 的管理合伙人亚当 · 波科尔尼基的遭遇。做这么大的骗局不可避免地会留下痕迹,从中可以找到作案的模式。豪恩说:" 手机移植骗局已经引起了执法部门的注意,请看好戏吧。"  

即使如此,就算区块链世界的各方联手将网络犯罪分子成功抓获,也不能保证受害人拿回他们的钱。用于指控加密数字货币盗窃者的部分司法先例还未得到验证,对于无形资产能否没收,仍然存在问题。

首先,拿获这些赃物必须知道私钥。杰弗里 · 伯恩斯来自于加州一家专业从事数字货币案件的律师事务所,他说:" 犯罪分子可以抓到,但政府无法强迫他们说出宝贝在哪里。" 在一个最为重视去中心化的系统里,银行业的保险箱根本不存在。伯恩斯说:" 这里没有消费者保护措施,我也不知道能不能有。"  

在瑞士一座大山深处,有一处深达 200 米的洞穴,是二战时期的一座军事地堡,那里据信是目前全球最大的比特币仓库。在 2014 年 Mt.Gox 被黑之后,一位阿根廷的科技创业者文塞斯 · 卡萨雷斯认为,有一个办法可以解决比特币的存放问题:深入地下。 

他的公司 Xapo 目前在五大洲运营着受到重重保卫的地库,有的地库深入地下达 1,000 米。每个地库都摆着所谓的气隙服务器(即不与互联网相连的服务器——译注),保存着加密的私钥。Xapo 的总部位于帕洛阿尔托,它的客户有的来自于新兴市场,其账户上只有 5 美元;也有全球最大的对冲基金和金融机构。

对于不让他们受到黑客入侵,公司派特工监督服务器的制造,一直到下生产线,并将服务器护送到秘密地库,确保它们完全不接触互联网。卡萨雷斯还担任贝宝的董事,他说:" 我们不得不去保护密钥,这多少有点荒唐。"  

但即便这样的保护措施也有局限。当客户出于交易的目的将资金挪到 Xapo 的 " 热钱包 "(这本身是一个 48 小时的过程)时,这笔钱就有可能遭受 Coinbase 账户所遭遇到的攻击。

换句话说,只要你想动用,你的加密数字财富就不安全。 

作者:Jen Wieczner

译者:天逸  


财富中文网
原网页已经由 ZAKER 转码排版 查看原文
最新评论
搜索

相关阅读

分享 返回顶部