独家! 币安被盗缘由找到了! 7074枚比特币竟是这样丢掉的
素材来源 | 成都链安、PeckShieldpython
编辑 | 佩奇git
出品 | 区块链大本营（blockchain_camp）github
5月8日早上8点28分，知名加密货币交易所币安认可再次受到黑客攻击。截止到目前撰文时间，已经有7074.18个比特币被盗。api
如下为币安官方微博发布的安全信息更新公告。安全
对此，币安创始人赵长鹏在AMA中首次披露了黑客盗币的细节。他表示，黑客此前已发现系统存在的安全漏洞，但一直很耐心，直到系统出现大额交易才出手。服务器
直播地址：mvc
https://www.pscp.tv/w/b6I-lTFQWEVkQlBQQlBsS2V8MW1yR212anBicUJKea09rHwXRK_mMqOZXufBTFd6iCrb7SjGYhQ4_QOvoDet区块链
此外，赵长鹏还对外披露，币安在5月7日凌晨就发现了“大规模的安全漏洞”，该漏洞致使黑客可以访问用户应用程序接口密钥（API keys）、双因素身份验证码、以及其余信息。按照安全通知中公布的一笔交易，黑客从币安交易所中取走了价值大约4100万美圆的比特币。加密
安全公司：或为用户API key和Secret key信息泄露致使
对这次攻击，区块链大本营（blockchain_camp）第一时间联系了 Beosin 成都链安科技安全团队，对此事件进行了深度分析。老铁们，先了解一下交易详情：spa
这次事件发生在575013块，总损失最高可达7074个BTC，共涉及到如下44个提币地址：
截至目前，币安热钱包（1NDyJtNTjmwk5xPNhjgAMu4HDHigtobu1s）已被盗约7074.18枚BTC。
如今币安的热钱包余额 3,612.69114593个 BTC，说明币安热钱包的私钥安全，通过团队分析，在05月08日 01:17:18经过 API 接口在同一时间发起提币操做。
币安交易所的 API 申请后会生成 API key 和 Secret key，以下图：
API 接口有限定用户开放 IP 限制和开放提现功能。开放提现就是直接利用 API key 和 Secret key 直接提现，不须要收集验证码、短信、谷歌验证码。以下图：
API 部分官方调用代码 demo 以下：
成都链安分析认为是用户的 API key 和 Secret key 信息泄露致使的这次攻击。
若是用户没有限制 IP 并配置了开放提现功能，任意攻击者在获取了 API key 和 Secret key 信息后即可以实现攻击。
用户的信息泄露途径可能有：
一、普通用户通常不会使用 api key，通常是高级用户用于代码中实现自动化交易，多是用户源码泄露致使 api Secret key 泄露
二、用户被钓鱼攻击，输入了 API key 和 Secret key 被黑客截取。
三、用户的 API key 和 Secret key 保存的电脑被攻击窃取。
四、币安交易所系统缘由致使用户 API key 和 Secret key 泄露，其中只有71个用户开放了提现功能，被盗币。
被黑客盗取的7074枚 BTC 的主要20个地址以下：
bc1qp6k6tux6g3gr3sxw94g9tx4l0cjtu2pt65r6xp 555.997 BTC
bc1qqp8pwq277d30cy7fjpvhcvhgztvs7v0nudgul5 463.9975 BTC
bc1qld27dqu6wrl4tmjdr8tl55qavmghwrr4ldh7qn 473.9975 BTC
bc1q8m9h3atn4cqeqhu3ekswdqxchp3g7d4v3qv3wm 567.997 BTC
bc1q7p6edvd4zvtya8uj366c23dan8pvlp503spucu 468.9975 BTC
bc1ql0wlnu80l8kctjzkzlzd72sdjqwuvruvgepceq 383.998 BTC
bc1q3ldtrr6xtpx8jam5gw68aaexz2wtluj0qullvr 189.999 BTC
bc1qyv4zv0wjn299kx4yz6g7v6g6400wqgzcqgw9vx 383.998 BTC
bc1q6fejm4r866tmt8ptf42juedv5gevlv2qt72agq 371.998 BTC
bc1qvstwzsrfml43jrclsp68220l4lx5lw3kwf7dp0 193.999 BTC
bc1qecs672j9dpvwr56zeldgf3swtlv3dad52wzuta 463.9975 BTC
bc1qshkncv7tkpye7z0z4a3k9yw2e73whha9gjs88z 97.9995 BTC
bc1qhlhx6lrnr0jf4zpvm788j7yeezau6s8q557p2z 279.9985 BTC
bc1qesy52g7ndy652qudr2awuk57mcaxgmn9qsmpzk 469.9975 BTC
bc1q9svj9wp68zftgejjgk6f96ukuyx8c5urkqsv69 193.999 BTC
bc1qanrl8n3flz4jftkscljx2hwuc3h50f9ynp2nyn 89.9995 BTC
bc1qtpdptcf4ngfkwq6dr36kqaeh2n5h00rx5unkgc 670.9965 BTC
bc1qvr2jxlmvckap7cg2l6mdgh5fa8glkhe4s88sax 377.998 BTC
bc1qhqap39mpkldjzvqdf3204p732krtnf56mm9aj3 370.998 BTC
3KBsR6Ld255Tw5hNR4S6KaX5SXxvRF6jv3 1.29968018 BTC
此外，区块链大本营还采访到了 PeckShield 研发副总吴家志。吴老师认为，这次币安被盗事件大体上能够分三个层面分析：交易所，账号托管系统，我的用户。
一、交易所层面几率较低，例如以前龙网事件，是客服人员安装了恶意软件，渗透进入内网形成；
二、帐号托管，就是散户投资这类的软件，把应用程序接口提供给中间商，一旦中间商被渗透，可能一次性取得大量接口秘密，形成此类问题，这类软件可能在下载的时候被替换安装包，或者中间商的服务器被攻破，都有可能；
三、第三类就是我的用户的设备，如手机电脑等被安装木马等，从我的用户设备上取得 API secret 以及2FA认证。
此外，吴老师还表示，看到币安此次在一个交易里头打包7074 BTC出金，主要目标地址20个都是新地址，这样的状况其实可以触发风控机制，好比单位时间内出金的量以及新地址能收的金额。
来看看大佬们的反应
事件发生后，波场创始人孙宇晨第一时间发文表示，“无需惊慌，一切安好！我愿意拿出7000BTC等值的美圆进入币安。”固然，前提是赵长鹏赞成他这么作。
而事实上，赵长鹏表示并不须要，“真的很感激，但如今还不须要。币安将经过 SAFU 基金弥补损失，并且足够了。咱们只是受伤，并不是破产。”
而有些人并非那么友善。
FCoin创始人张健却不这么认为，针对币安被盗7000枚比特币事件，他但愿你们不要利用此次被盗事件去攻击别人，这是损人不利己的事情，一个平台的信誉等各方面的积累须要时间。
不过，币安这句“被盗BTC”由币安全额承担，也很霸气了！
相信此次币安7000多BTC被盗事件的发生，必将引发监管的涉入、用户我的对隐私保护的重视以及交易所风控机制的完善等等，区块链大本营（blockchain_camp）将持续跟踪这次事件并做进一步深刻报道，老铁们，要持续关注哟！