【45区所有文章皆为原创，并通过纸贵科技（ziggurat.cn）确权存证，未经许可，严禁转载。如有沟通需求，请添加小秘书微信号：block4545】
此文获硅谷密码学学者聂小尘支持
在调查朴槿惠丑闻时披头挂帅的首尔地方中央检察厅，这几天又为了比特币忙坏了。
至少30000个通过Bithumb获得服务的用户，敏感的个人财务信息被泄漏。
这让这家韩国本土最大的虚拟货币交易所颜面尽失，因为7月底它刚被曝出比特币盗取事件，受损的账户货币达到了数十亿韩元。
Bithumb在韩国交易量占到66%以上
三个月内两度拉响安全警报，不仅仅是让负责侦查的探长们焦头烂额，也让全球千万数量级的比特币用户唇亡齿。
在比特币这个巨大而不间断的奖金池里，黑客们的攻击屡禁不绝，究竟怎样才能尽可能保障自己的账户安全？
“目前黑客可以攻击的维度太多了，区块链有一层一层的协议，网络层、密码学层、用户层、区块链本身的共识系统等等，都可能被攻击，有些甚至只是Social Engineering Attack（社会工程攻击），就是利用人的心理弱点来攻击，而不是技术攻击。”
String Labs 联合创始人兼CEO Tom Ding对45区（ID：block-45）分析。
据45区了解，黑客针对韩国的近两次下手都属于交易所层面的攻击，并且都使用了老套的钓鱼伎俩。
据当地媒体报道，这一次，黑客只是针对Bithumb总部的员工电脑发送了一些钓鱼邮件，就通过使用这些雇员的电子邮件，从平台提取了超过30000个用户的个人信息，导致这些账户的隐私侧翼暴露。
尽管目前尚未有比特币直接被盗，但这很可能是罪案的序曲。
因为在7月底涉及数十亿韩元的盗取事件中，黑客也是先从Bithumb员工那里窃取了数据，接下来再采取了简单粗暴的语音钓鱼，假冒成Bithumb高管打电话给受害者，谎称受害者的帐户遭到入侵，要求受害者提供密码和其他重要的帐户安全信息。
当时这一安全事件在韩国境内引起轩然大波，但Bithumb被普遍描绘成可怜兮兮的受害者。
公众将矛头直指北面的朝鲜，认为是金正恩在背后使出阴招，争抢更多的比特币筹码，以突围国际经济封锁。
但客观地说，至少在这两起案例中，Bithumb内部员工的安全教育确实也存在盲区。
梳理历史，交易所可能会受到这样一些安全攻击。
#冷钱包被盗
所谓冷钱包，即比特币私钥保存在一台不联网的机器客户端中，仅仅在需要对交易进行签名时使用U盘等方式进行数据交换。
除非冷钱包被不法分子物理接触（例如监守自盗）或误联网，不然不会出现被盗可能，但历史上曾经有过这样的案例。
#用户信息泄露
用户身份信息（例如绑定的银行信息、个人身份信息等）被泄漏后，犯罪分子可以利用这些信息盗取银行账户。
一般的比特币交易所对于提币/提现操作都是需要身份验证的，所以很少有比特币或账户中的法币被直接提取。
#用户身份被盗取
这种情况一般出现在钓鱼邮件中，犯罪分子通过钓鱼邮件获取用户的用户名与密码（以及一次性的登录验证码），即可以用户身份登录。
如果用户仅仅使用手机短信作为验证码，而犯罪分子又劫持了手机短信，那么用户的资金很可能会被直接提走。
当然，如果犯罪分子没有直接控制用户的手机，或者用户设置了谷歌二次验证，那么网站会拒绝没有验证码情况下的提币/提现之类敏感操作。
但是，也有犯罪分子通过控制用户帐户在某些深度很浅的币币交易市场通过高买低卖的方式将受害人的币迅速转移到自己的帐户上，然后经由自己提币的方式将比特币转走。
对于如何升级自己的账户安全性，45区（ID：block-45）有这样几点建议：
安装和使用Google Authenticator，开启谷歌二次验证
Google Authenticator实际上就是服务器生产一个密钥，用户在手机上输入这个密钥，用这个密钥加上unix时间戳，进行哈希算法，取其中6位数生成动态密码。
不要将所有的币放在同一个交易所，在不同交易所设置不同的密码
用户自身交易账户泄密是最主要的丢币原因，所以应该加强对自身账户的密码管理，提高风险意识。
使用冷钱包保存自己的比特币，降低被盗概率
附：盗取比特币的案例
2014年2月24日
当时世界最大的比特币交易所运营商Mt.Gox 声称其交易平台的65万个比特币已经被盗一空，随后宣布破产。
而后执法部门发现，其实只有7000个比特币因黑客攻击而失踪，其余都被平台内部人员瓜分，属于典型的监守自盗。
2014年3月
美国数字货币交易所Poloniex被盗，损失12.3%的比特币，这次丢币是由于黑客利用了交易平台的代码漏洞把资金偷走。
2015年2月14日
黑客利用比特儿从冷钱包填充热钱包的瞬间，将比特儿交易平台冷钱包中的所有BTC盗走，总额为7170BTC。
2015年2月23日
比特币钱包运营商比特币存钱罐被盗，据比特币存钱罐官方表示，黑客于2014年6月30日入侵了平台的Linode账号，并修改了Linode账号密码和服务器的root密码，从而入侵了服务器并且获得了服务器的控制和管理权限，导致比特币被盗。
关于韩国和朝鲜的比特币纷争，45区此前做过深入报道：美国炮轰金正恩狂揽比特币，虚拟货币竟成政治筹码
更多延伸阅读
比特币会成为世界硬通货吗？各国战略逻辑已经告诉你了
国家突然发文力挺区块链，这是再明确不过的长期政策信号
惊！这个穷国要发主权ICO，把以太币当国债用，区块链正悄悄重构世界经济版图
想收到更多区块链趣文，请关注45区
也欢迎来找我们讨论
