Sàn giao dịch tiền điện tử mà bạn thường giao dịch đã bị tấn công chưa? Nếu chưa, điều này rất có thể xảy ra. Các sàn giao dịch tập trung, mà Vitalik Buterin mong muốn sẽ “cháy trong địa ngục”, có thể thao túng tiền của người dùng và đối mặt với các cuộc tấn công thường xuyên, trong khi những cái phi tập trung dường như vẫn chưa tìm thấy sự thỏa hiệp cân bằng giữa bảo mật và khả năng sử dụng. Đồng thời, kinh nghiệm của các ngân hàng truyền thống trong việc đảm bảo an ninh mạng vẫn chưa được yêu cầu trong ngành công nghiệp tiền điện tử, điều này dẫn đến việc người dùng bị đánh cắp hoặc vi phạm dữ liệu hàng triệu đô la, như trong một sự cố đã xảy ra với chủ sở hữu tài khoản Atlas Quantum vào ngày 25 tháng 8..
Năm cuộc tấn công hàng đầu vào các sàn giao dịch tiền điện tử được các nhà giao dịch biết đến và được nghiên cứu bởi các chuyên gia an ninh mạng trên khắp thế giới. Danh sách do Mt. Gox, gần đây đã bắt đầu chấp nhận yêu cầu hoàn lại tiền của các nhà giao dịch bị ảnh hưởng bởi vụ hack.
Mt. Gox
Quốc gia: US
Người sáng lập: Jed McCaleb, Mark Karpeles
Số tiền bị đánh cắp: 1,35 triệu BTC
Mt. Gox lần đầu tiên bị tấn công 2011, và sau đó vào năm 2014. Các tin tặc bị tổn hại tài khoản của một kiểm toán viên của sàn giao dịch. Trong trường hợp đầu tiên, 500.000 BTC – tương đương với 8,75 triệu đô la – đã bị đánh cắp khỏi tài khoản và từ kho lưu ký do cơ sở dữ liệu của sàn giao dịch bị tấn công. Trong trường hợp thứ hai, những kẻ tấn công đã rút được nhiều hơn – 850.000 BTC.
Các nhà điều tra dân sự, không quen thuộc với sự tinh vi của ngành công nghiệp tiền điện tử, đã có thể xác nhận chuyển động chỉ 200.000 BTC, mà tin tặc đã chuyển vào ví của họ bằng cách thay đổi giá trị danh nghĩa của một Bitcoin thành một xu. Điều gì đã xảy ra với phần còn lại của tài sản vẫn chưa được biết. Việc trao đổi chấm dứt hoạt động của nó vào tháng 2 năm 2014, dẫn đến ba cú đánh mạnh vào tỷ giá hối đoái Bitcoin. Do đó, vào năm 2011, giá tiền điện tử đã giảm từ $ 32 xuống còn vài cent; năm 2014, từ $ 720 đến $ 550; và vào năm 2018, Mt. Giám đốc trọng tài của Gox, Nobuaki Kobayashi đã bán tổng cộng 35.841 BTC trên thị trường giảm giá, đẩy nhanh đà giảm hơn nữa. Các hoạt động gần đây của Mt. Chính quyền Gox đã khiến những người dùng bị lừa dối tức giận, những người yêu cầu đến "chỉ cần cung cấp cho mọi người tiền của họ bằng BTC!"
Lời khuyên bảo vệ
Một số sàn giao dịch tiền điện tử tăng cường khả năng phòng thủ của họ bằng cách làm việc với các kiểm toán viên bảo mật đáng tin cậy, những người đã chứng minh chuyên môn chống hack và kỹ năng mũ trắng. Họ thích làm việc với một nhà thầu liên quan đến kiểm toán, giảm thiểu DDoS, quét và cập nhật trang web.
Điều này giảm thiểu rủi ro về lỗ hổng liên quan đến kiểm toán và quyền truy cập vào các quỹ được lưu trữ rơi vào tay kẻ xấu. Để bảo vệ cao hơn, các công cụ ngân hàng bổ sung được sử dụng – chẳng hạn như ví chính riêng biệt, kho lạnh, các lớp ủy quyền rút tiền, xác minh địa chỉ IP và xác nhận email, đăng nhập xác thực hai yếu tố (2FA) và thẻ ghi nợ tiền điện tử, tất cả đều có thể được sử dụng để xác minh các khoản thanh toán và thông tin đăng nhập của người dùng vào sàn giao dịch.
iBitt COO Chris Schwarzenbach đã chia sẻ với Cointelegraph rằng mức độ an ninh mạng cao nhất chỉ có thể thực hiện được với dịch vụ trao đổi tập trung, có tài nguyên phát triển, đội bảo mật, máy chủ ẩn và kiểm soát đáp ứng cần thiết để chạy bảo mật cấp quân sự cho sàn giao dịch tiền điện tử.
BitFloor
Quốc gia: Hoa Kỳ
Người sáng lập: Roman Shtylman
Số tiền bị đánh cắp: 24.000 BTC
BitFloor đã phải chịu vụ hack lớn thứ hai trong lịch sử tiền điện tử vào tháng 9 năm 2012. Mọi chuyện bắt đầu khi máy chủ của sàn giao dịch gặp sự cố, do ảnh hưởng của cuộc tấn công DDoS hoặc do sự cố mất điện trong trung tâm dữ liệu – như đã xảy ra tuyên bố bởi chủ sở hữu của nó, Roman Shtylman.
Bốn ngày sau, tin tặc đã sử dụng bản sao dự phòng của khóa từ ví nóng của sàn giao dịch, nơi lưu trữ tiền của các nhà giao dịch và rút tiền. 24.000 BTC. Shtilman đã cố gắng không thành công để bồi thường cho các nạn nhân bằng cách bán cổ phần trong tài sản của BitFloor, nhưng không thể tìm được một bên quan tâm. Năm 2013, sàn giao dịch đóng cửa, khiến các nhà đầu tư bị ảnh hưởng không còn gì.
Lời khuyên bảo vệ
Dựa theo chuyên gia bảo mật, Bitfloor đã mắc hai lỗi cùng một lúc dẫn đến tổn thất tài chính nghiêm trọng như vậy. Đầu tiên là lưu trữ dữ liệu theo cách không được mã hóa – điều mà Shtylman trung thực thú nhận với – và điều thứ hai, chỉ làm trầm trọng thêm tình hình, là để một số tiền lớn trong ví nóng có thể truy cập trực tuyến.
Hành động đơn giản nhất được thực hiện bởi bất kỳ sàn giao dịch nào để ngăn chặn việc đánh cắp tiền xu là giữ phần lớn số tiền của nó trong “kho lạnh”, điều này đảm bảo rằng các khóa riêng không bao giờ chạm vào bất kỳ máy tính nào có thể truy cập từ internet. ThomasV, nhà phát triển chính của ứng dụng khách Electrum, cung cấp bảy khuyến nghị chính cho các sàn giao dịch tiền điện tử:
- Đừng lưu trữ nhiều Bitcoin bên ngoài kho lạnh hơn mức bạn có thể để mất và vẫn còn dung môi
- Tiền gửi phải được gửi trực tiếp đến địa chỉ kho lạnh
- Việc chuyển từ kho lạnh sang kho nóng chỉ nên thủ công
- Kẻ tấn công không thể ngụy trang hành vi trộm cắp thành một loạt các lần rút tiền từ khách hàng
- Nếu yêu cầu rút tiền vượt quá số tiền hiện có trong ví nóng, khách hàng phải đợi. Nhận tiền sau 24 giờ tốt hơn là không bao giờ
- Sao chép cơ sở dữ liệu của bạn đến một nơi mà kẻ tấn công không thể sửa đổi hoặc xóa nó khỏi máy chủ một cách không thể phục hồi được
- Gửi báo cáo tài khoản được ký điện tử cho khách hàng thường xuyên, sử dụng khóa không có trên máy chủ công cộng
Poloniex
Quốc gia: US
Người sáng lập: Tristan D’Agosta
Số tiền bị đánh cắp: 97 BTC
Poloniex chiếm vị trí thứ 3 trong danh sách dài các nạn nhân. Vào tháng 5 năm 2017, tin tặc đã phát hiện ra một lỗ hổng nghiêm trọng trong phần mềm của sàn giao dịch – tất cả các yêu cầu rút tiền được gửi đồng thời, đều được xử lý tự động bất kể số dư tài khoản là bao nhiêu. Chủ sở hữu của Poloniex, Tristan D’Agosta, không cho biết chính xác số lượng hàng hóa bị đánh cắp, nhưng công bố rằng tổng số tiền của người dùng đã bị giảm tương đương 12,3% hoặc 97 BTC tại thời điểm hack.
Để bù đắp khoản lỗ, Poloniex đã phải cắt giảm số dư của tất cả người dùng bằng số tiền này. Các khoản tiền này tạm thời bị đóng băng và sau đó được trả lại cho người dùng từ quỹ cá nhân, với việc tăng phí của sàn giao dịch sẽ tăng lên 1,5 phần trăm. Người dùng nhận thấy quyết định này có thể chấp nhận được và Poloniex đã bảo vệ danh tiếng của mình và tiếp tục hoạt động – theo định kỳ các cuộc tấn công nhỏ. Giờ đây, sàn giao dịch thuộc hệ thống thanh toán của Mỹ Circle.
Lời khuyên bảo vệ
Tristan D’Agosta tiết lộ công khai trong Bài đăng trên BitcoinTalk chính quyền đã mắc phải những sai lầm quan trọng nào:
“Vấn đề chính ở đây là việc rút tiền lẽ ra phải được xếp hàng đợi ở mọi bước. Điều này không thể xảy ra nếu các yêu cầu rút tiền được xử lý tuần tự thay vì đồng thời. Ngoài ra, các tính năng kiểm toán và bảo mật không tìm kiếm số dư âm một cách rõ ràng. Họ thêm tiền gửi và rút tiền và kiểm tra xem tài khoản có trong số dư hay không. Nếu bạn có 2 BTC, hãy rút 10 BTC và còn lại -8 BTC, phần mềm sẽ thấy rằng bạn đã gửi 2, rút 10 và có chính xác những gì bạn nên: -8. ”
Agosta cũng đã tư vấn về các biện pháp phòng ngừa cần thực hiện để ngăn chặn thiệt hại không thể phục hồi và chia sẻ những thay đổi mới trong hệ thống bảo mật của sàn giao dịch:
“Việc rút tiền và tạo đơn hàng đã được chuyển sang phương thức xếp hàng, trong đó bước đầu tiên là thêm nhiệm vụ vào hàng đợi thực thi toàn cầu được xử lý tuần tự. Mỗi bước của các hoạt động cơ sở dữ liệu quan trọng được xác minh trước khi tiếp tục và các hoạt động đó đang trong quá trình chuyển đổi thành các giao dịch. Tôi đã thuê thêm các nhà phát triển để giúp thắt chặt an ninh tại Poloniex, cũng như tạo tiền thưởng cho lỗi ”.
Bitstamp
Quốc gia: Slovenia
Người sáng lập: Anh em Merlak
Số tiền bị đánh cắp: 19.000 BTC
Năm 2015, Bitstamp bị mất 19.000 BTC, đã bị tin tặc đánh cắp từ ví nóng của sàn giao dịch. Khi đó, khoản lỗ tương đương 5 triệu USD. Đáng ngạc nhiên, một cuộc tấn công lừa đảo tầm thường đã được sử dụng bởi tin tặc – các nhân viên trao đổi đã nhận được email và tin nhắn cá nhân trong Skype từ các nguồn có vẻ thân thiện.
Điều đáng ngạc nhiên hơn nữa là người chịu trách nhiệm bảo mật, quản trị viên hệ thống Bitstamp, Luka Kodrich, đã nhấp vào liên kết và tải phần mềm độc hại xuống máy tính đang hoạt động, sau đó sàn giao dịch bị tấn công. Bitstamp đã vội vã thông báo cho các nhà giao dịch về những gì đang xảy ra, tuy nhiên, những kẻ tấn công đã đánh cắp tiền. Việc đền bù đã không xảy ra, nhưng chế độ bảo mật được tăng cường đã giúp sàn giao dịch phục hồi nhanh chóng. Với mục đích phát triển tính năng bảo vệ đa chữ ký, Bitstamp đã hợp tác với BitGo.
PHÁ VỠ. @Bitstamp đối tác với @BitGo cho nhiều dấu hiệu #bitcoin trao đổi bảo mật và khởi chạy lại https://t.co/Yg8FMQo2iB
– BitGo (@BitGo) Ngày 9 tháng 1 năm 2015
Giờ đây, việc thực hiện các giao dịch trên Bitstamp yêu cầu sử dụng đa chữ ký và 98 phần trăm của tiền điện tử được lưu trữ trong một ví lạnh.
Bitfinex
Quốc gia: Quần đảo Virgin thuộc Anh
Người sáng lập: Rafael Nicole
Số tiền bị đánh cắp: 120.000 BTC
Bitfinex đã trở thành nạn nhân của tin tặc vào tháng 8 năm 2016. Những người không xác định đã sử dụng một lỗi trong hệ thống đa chữ ký, được hỗ trợ bởi công ty đối tác của BitGo. Các tin tặc đã đánh lừa các thuật toán BitGo theo một cách không xác định, buộc họ phải chấp thuận các giao dịch và rút tiền về 120.000 BTC từ ví nóng, trị giá tương đương 72 triệu đô la theo tỷ giá hối đoái tại thời điểm đó.
Những người sáng lập Bitfinex đã đối mặt với người dùng về thực tế rằng thiệt hại tài chính sẽ được phân bổ cho tất cả người dùng, 36,067 phần trăm tiền của ai sẽ bị đóng băng. Các khoản tiền này sau đó đã được đền bù bằng mã thông báo BFX, có thể được chuyển đổi thành đô la Mỹ theo tỷ giá hối đoái hoặc thành cổ phiếu của iFinex Inc., thuộc về người sáng lập Bitfinex. Chính sách được chọn – và có vẻ phù hợp – này đã giúp sàn giao dịch đứng đầu cho đến ngày hôm nay.
Lời khuyên bảo vệ
Emin Gün Sirer, một nhà khoa học máy tính nổi tiếng, chuyên gia nghiên cứu về hack và là giáo sư tại Đại học Cornell, gợi ý một giải pháp không phá vỡ khả năng không thể đảo ngược cực kỳ quan trọng của Bitcoin khi giao dịch với người lạ, nhưng cho phép ai đó lấy lại tiền của mình trong trường hợp bị hack:
“Điều đặc biệt của các hầm chứa là chúng đi kèm với hai chìa khóa. Một chìa khóa được sử dụng để mở khóa kho tiền và chuyển tiền của bạn sang ví thông thường. Một khóa còn lại, được gọi là khóa khôi phục, được sử dụng khi bạn nhận thấy rằng tiền của bạn đã bị hacker tấn công và chuyển ra khỏi kho tiền. Sau đó, bạn có thể sử dụng khóa khôi phục của mình để hoàn tác vụ hack – bạn có 24 giờ để thông báo và khởi chạy quá trình khôi phục và lấy lại tất cả tiền. Lưu ý rằng bạn không thể đánh lừa người bán bằng thủ thuật này và hoàn nguyên một giao dịch thực. Tất cả những gì bạn có thể làm là lấy lại tiền của chính mình từ một kẻ đang cố lấy cắp nó. Nếu bản thân tôi có thể nói như vậy, đó là một kế hoạch khá tài tình. Nó gần giống như ai đó phải làm việc với nó. “
Biên niên sử 2018
Bất chấp tất cả hy vọng của cộng đồng tiền điện tử, năm này không mang lại điều gì mới cho thực tiễn bảo mật các trang web trao đổi đã được thiết lập và năm 2018 đang được đánh dấu bởi nhiều cuộc tấn công được thực hiện với sự trợ giúp của các thủ thuật hack tinh vi mới. Theo Wall Street Journal, kể từ đầu năm, tin tặc đã đánh cắp nhiều hơn 800 triệu đô la và sẽ không dừng lại ở đó.
Coincheck
Quốc gia: Nhật Bản
Người sáng lập: Koichiro Wada, Yusuke Otsuka
Số tiền bị đánh cắp: 523 triệu NEM
Coincheck đã bị tin tặc tấn công vào những ngày cuối tháng 1 năm 2018. Mục tiêu, như trong hầu hết các trường hợp, là ví nóng của sàn giao dịch, từ đó 523 triệu NEM token đã bị đánh cắp. Bất chấp tất cả các ví dụ trước đó, sàn giao dịch tiếp tục giữ tiền của người dùng và thậm chí tiền của chính họ trong ví nóng và không sử dụng đa chữ ký để bảo vệ.
Liệu các tin tặc sẽ rút tiền mặt của hàng hóa bị đánh cắp? Khó khăn. Cộng đồng tiền điện tử đã đoàn kết sau vụ trộm này và cuối cùng đã bắt đầu tích cực trao đổi thông tin để ngăn chặn các chuyển động tiếp theo của các khoản tiền bị đánh cắp. Đặc biệt, dịch vụ trao đổi tức thời ShapeShift đã cấm trao đổi tiền NEM. Ví dụ này được theo sau bởi các dịch vụ khác, vì 11 địa chỉ ẩn danh, mà các mã thông báo bị đánh cắp đã được chuyển đến, đã được gắn thẻ bằng dấu "coincheck_stolen_funds_do_not_accept_trades: owner_of_this_account_is_hacker," vì vậy không khó để theo dõi bất kỳ giao dịch nào do tin tặc thực hiện. Việc điều tra sự cố và xây dựng các phương án bồi thường cho người dùng đang được tiếp tục.
Lời khuyên bảo vệ
Ví dụ của Coincheck đã nhấn mạnh tầm quan trọng của việc lưu trữ có tổ chức hợp lý tiền của người dùng trên sàn giao dịch. Nick Moore, Giám đốc điều hành tại Investa, một sàn giao dịch tiền điện tử của Vương quốc Anh cũng vận hành thẻ ghi nợ và máy ATM cho biết:
“Chúng tôi nắm giữ số tiền tối thiểu trong ví nóng của mình và kéo dài thời gian rút tiền với quy trình xem xét thủ công, do đó, khả năng bị hack tài khoản và số lượng tiền được giữ trên sàn giao dịch là thấp. Rủi ro mất mát được giảm thiểu thông qua các quy trình thủ công chuyển tiền xu vào kho lạnh khi chúng tôi xác định rằng bất kỳ khoản tiền dư thừa nào đã được tích lũy và không cần thiết để thanh khoản ngay lập tức. Lưu trữ tiền trên ví lạnh đảm bảo chúng không thể bị tấn công và giữ một khoản thả nổi tối thiểu trong ví nóng giúp tiết kiệm thanh khoản.
“Tôi chắc chắn rằng người dùng sẽ không ngại đợi thêm một thời gian nữa để rút tiền, khi họ nhận ra rằng đây là một trong những cách tốt nhất để chống lại tin tặc”.
BitGrail
Quốc gia: Ý
Người sáng lập: Francesco Firano
Số tiền bị đánh cắp: 170 triệu đô la
Vào ngày 13 tháng 2, BitGrail bị mất 170 triệu đô la trong Nano (XRB) do kết quả của các cuộc tấn công hack. Đồng thời, những người sáng lập sàn giao dịch đã bắt đầu một cuộc thảo luận công khai với các nhà phát triển blockchain của Nano để xác định bên nào chịu trách nhiệm về lỗi dẫn đến vụ hack.
Các nhà phát triển tiền điện tử đã cáo buộc BitGrail không quan tâm đầy đủ đến việc đảm bảo an ninh – đặc biệt là khi không có quy trình xác thực cho người dùng. Sau đó, sàn giao dịch ngừng hoạt động và chuyển giao cuộc điều tra cho cảnh sát.
Các nhà chức trách của Florence đã tịch thu tất cả tiền điện tử từ khoản tiền gửi BitGrail để đảm bảo yêu cầu của những người dùng bị ảnh hưởng và Nano Foundation hứa sẽ tham gia bảo vệ lợi ích của họ và bồi thường thiệt hại.
Coinrail
Quốc gia: Hàn Quốc
Người sáng lập: Lee Nuss
Số tiền bị đánh cắp: 40 triệu đô la
Coinrail đã trở thành nạn nhân của một cuộc tấn công hack vào ngày 10 tháng 6 năm 2018 và mất tổng cộng $ 40 triệu trong 11 loại tiền điện tử. Ngay sau vụ tấn công, các đại diện của sàn giao dịch không sẵn sàng cung cấp bất kỳ thông tin dễ hiểu nào, vì vậy các chi tiết của vụ trộm đã được tiết lộ bởi những người tham gia dự án Pundi X, những người có mã thông báo cũng nằm trong số những người bị bắt cóc.
Một tháng sau, vào ngày 15 tháng 7, sàn giao dịch nối lại giao dịch và cung cấp cho nạn nhân hai phương án bồi thường: hoàn trả dần dần thông qua việc mua tiền điện tử bị đánh cắp và bồi thường bằng mã thông báo Coinrail RAIL, sau đó có thể được chuyển đổi thành tiền điện tử với tỷ giá bên trong.
Lời khuyên bảo vệ
Rik Ferguson, một nhà phân tích tại công ty an ninh mạng Trend Micro, tin tưởng vấn đề nằm ở sự yếu kém của nhóm phát triển, giáo dục an ninh mạng không đầy đủ cho đội ngũ nhân viên và đầu tư kém vào phân tích gian lận:
“Nhìn chung, các sàn giao dịch này là các doanh nghiệp nhỏ và họ thường ở chế độ khởi động lâu dài, tạo điều kiện thuận lợi cho các giao dịch. Các tổ chức này có các đội bảo mật nhỏ, nếu họ có một chút, hoặc không có kinh nghiệm trong việc đảm bảo một tổ chức tài chính và nói chung là một đống tiền rất lớn, hấp dẫn. ”
Bithumb
Quốc gia: Hàn Quốc
Người sáng lập: Kim De Shi
Số tiền bị đánh cắp: 30 triệu đô la
Bithumb bị tấn công vào ngày 19 tháng 6, chỉ vài ngày sau đó cập nhật hệ thống bảo mật của nó. 30 triệu đô la, chiếm 10% tổng khối lượng giao dịch, đã bị đánh cắp bởi những kẻ tấn công. Đây là sự cố thứ hai trong biên niên sử của Bithumb. Lần đầu tiên xảy ra vào ngày 29 tháng 6 năm 2017, khi dữ liệu cá nhân của 30.000 người dùng – tương đương với ba phần trăm tổng số người dùng vào thời điểm đó – đã bị xâm phạm. Tin tặc đã cố gắng truy cập mật khẩu một lần của người dùng, nhưng sàn giao dịch đã đóng băng giao dịch và thực hiện các thay đổi đối với hệ thống bảo mật.
Đồng thời, Bithumb chi tám phần trăm lợi nhuận về bảo mật, tuân thủ nghiêm ngặt quy tắc "5.5.7" khi năm phần trăm nhân viên là chuyên gia CNTT có kiến thức chuyên môn đã được xác nhận, năm phần trăm có kỹ năng đảm bảo an ninh mạng và ít nhất bảy phần trăm lợi nhuận của công ty được chi cho việc bảo vệ quỹ của mình.
Vào thời điểm xảy ra vụ hack, sàn giao dịch đã phát hiện ra mối đe dọa tiềm ẩn và đã rút tiền của người dùng vào ví lạnh. Các nhà giao dịch bị ảnh hưởng đã được hứa sẽ được bồi thường từ các quỹ cá nhân của chính quyền Bithumb.
Lời khuyên bảo vệ
Charlie Lee trong một tiếng riu ríu bày tỏ hy vọng về việc khôi phục sàn giao dịch và đưa ra cho người dùng lời khuyên ngắn gọn, cảnh báo trước những tình huống như vậy:
“Như tôi đã nói nhiều lần, hãy thông minh và chỉ tiếp tục sử dụng các đồng tiền trao đổi mà bạn đang giao dịch tích cực. Tốt nhất bạn nên rút ngay sau khi giao dịch ”.
Bancor
Quốc gia: Thụy Sĩ
Người đồng sáng lập: Guy Benartzi, Galia Benartzi, Eyal Hertzog, Yudi Levi
Số tiền bị đánh cắp: 23 triệu đô la (10 triệu đô la BNT)
Bancor, một sàn giao dịch phi chính phủ phi tập trung, tự xưng được tạo ra để đối lập với những sàn tập trung (những sàn giao dịch mà Vitalik Buterin gần đây đã giải quyết sự tức giận của mình "cháy trong địa ngục" tuyên bố) đã bị tin tặc tấn công vào ngày 9 tháng 7 năm 2018. Đáng chú ý là điều này xảy ra một ngày sau khi sàn giao dịch bày tỏ hoàn toàn đồng ý với Buterin trong một bài đăng chính thức trên Twitter về các quyết định tập trung và tuyên bố rằng các sàn giao dịch phi tập trung là tương lai.
"Đốt trong địa ngục" hơi cực đoan, nhưng chúng tôi đồng ý với @VitalikButerin cái đó #decentralized các giải pháp – chẳng hạn như Bancor – là tương lai của #blockchain và trao đổi giá trị. https://t.co/XLqtc82H19 pic.twitter.com/ZuKKbKFwmM
– Bancor (@Bancor) 8 tháng 7, 2018
Tin tặc đã rút tổng cộng 23,5 triệu đô la thuộc về Bancor Foundation và các nhà cung cấp thanh khoản đặt quỹ trên Mạng Bancor – tức là không có tiền của người dùng nào bị ảnh hưởng. Gần một nửa số tiền bị đánh cắp được tạo thành từ các mã thông báo BNT gốc của sàn giao dịch (10 triệu đô la), với Ether bổ sung (12,5 triệu đô la) và Pundi X (1 triệu đô la) bị mất tích. Các mã thông báo gốc của nó ngay lập tức bị đóng băng, điều này gây ra làn sóng chỉ trích từ cộng đồng tiền điện tử, bởi vì những hành động như vậy trực tiếp mâu thuẫn với nguyên tắc phân quyền. Charlie Lee đã tóm tắt quan điểm tổng thể trên Twitter của mình, thông báo rằng Bancor có thể thao túng tiền của người dùng.
Một ví Bancor đã bị tấn công và ví đó có khả năng lấy cắp tiền từ các hợp đồng thông minh của chính họ. &# 129318;♂️
Một sàn giao dịch không được phân cấp nếu nó có thể làm mất tiền của khách hàng HOẶC nếu nó có thể đóng băng tiền của khách hàng. Bancor có thể làm CẢ HAI. Đó là một cảm giác phân quyền sai lầm. https://t.co/22UYygIhEF
– Charlie Lee [LTC⚡] (@SatoshiLite) Ngày 10 tháng 7 năm 2018
Đối với mã thông báo của người dùng, Bancor ngay lập tức tạo một liên minh với dịch vụ trao đổi tức thì Changelly, qua đó các tin tặc đã cố gắng rút tiền. Các giao dịch cũng bị đóng băng ở đó.
Làm thế nào để các ngân hàng giải quyết vấn đề này?
Các ngân hàng cổ điển và các dịch vụ ngân hàng đã phải chịu nhiều cuộc tấn công khác nhau kể từ khi chúng xuất hiện – tức là trong vài thế kỷ. Và trong thời gian này, họ đã học cách chống lại những mối đe dọa như vậy. Sự khác biệt duy nhất là 50 năm trước, các ngân hàng bị tấn công bởi những tên tội phạm như Bonnie và Clyde, và bây giờ chúng bị tấn công bởi tin tặc và những kẻ lừa đảo trên internet..
Các ngân hàng cổ điển tuân theo "5.5.7" công thức và có các tiêu chuẩn bảo mật thông tin quốc tế – ví dụ, CobiT, xem xét mức đầu vào và sau đó được bổ sung bởi nhiều quy định nội bộ và các kịch bản để ứng phó với các nỗ lực can thiệp.
Giám đốc các dự án đặc biệt tại Group-IB Ruslan Yusufov là chắc chắn rồi rằng việc ứng phó với sự cố phải bao gồm cả hai hệ thống và một kế hoạch cảnh báo và ứng phó sớm sẽ cho phép tất cả nhân viên hành động theo quy định trong trường hợp xảy ra sự cố. Mọi thứ đều như vậy trong lĩnh vực ngân hàng. Một kế hoạch tương tự đã được sử dụng bởi sàn giao dịch Bancor, ngay lập tức đóng băng các mã thông báo của chính nó, tính toán các dịch vụ mà thông qua đó việc rút tiền được lên kế hoạch và tham gia liên minh với họ để đóng băng tài sản bị đánh cắp.
Sự chỉ trích từ phía cộng đồng tiền điện tử trong trường hợp này ít quan trọng hơn nỗ lực bảo toàn tiền của các nhà đầu tư.
Theo thống kê, tin tặc, khi tấn công các sàn giao dịch tiền điện tử, sử dụng các công cụ đã được thử nghiệm nhiều lần trên các ngân hàng fiat. Một nghiên cứu về 400 cuộc tấn công hack thành công vào các hệ thống blockchain cho thấy rằng các dịch vụ ngân hàng phổ biến như TrickBot trojan, Vawtrak, Qadars, Triba và Marcher đã được sửa đổi một chút cho các sàn giao dịch tiền điện tử và cũng mang lại thành công cho tin tặc theo cách này.
Tuy nhiên, hệ thống bảo mật của các ngân hàng cổ điển đã chống lại tin tặc một cách thành công và hoạt động theo dõi các giao dịch đã được thiết lập cho phép khách hàng trả lại số tiền bị đánh cắp. Tại sao không mượn kinh nghiệm này? Thật không may, trong các nhóm ICO – bao gồm cả những người tạo ra các sàn giao dịch tiền điện tử – không có một chuyên gia CNTT nào có kinh nghiệm trong lĩnh vực bảo mật thông tin của các ngân hàng.
Có thể trả lại tiền không?
Như thực tế cho thấy, sau các cuộc tấn công hack mạnh mẽ, các sàn giao dịch tiền điện tử thường sử dụng ba cách để bồi thường cho những người dùng bị ảnh hưởng:
1. Khôi phục về trạng thái trước đó hoặc đóng băng giao dịch (Bitstamp, Ethereum và Bancor đã làm điều này, nhưng điều này mâu thuẫn với nguyên tắc không thể đảo ngược của blockchain).
2. Bồi thường bằng chi phí của những người dùng khác (cách này được Poloniex lựa chọn).
3. Trả lại tiền của sàn giao dịch từ lợi nhuận của chính nó hoặc bằng cách phát hành mã thông báo trao đổi (Bitfinex và Coinrail).
Do đó, các sàn giao dịch lớn, ổn định quan tâm đến việc tiếp tục hoạt động của nó sẽ cung cấp các cách thức mới hơn và mới hơn để bù đắp các khoản tiền bị mất. Và đây là một tin tốt cho ngành công nghiệp tiền điện tử. Rõ ràng, thông lệ khi các chủ sở hữu sàn giao dịch cố gắng che giấu thông tin với cộng đồng về các chi tiết của vụ trộm và tự biến mất đang dần bị bỏ rơi.
Các sàn giao dịch tiền điện tử sẽ sớm đối phó với vấn đề tấn công hack? Tuyệt đối không. Có hai cách tiếp cận chính để hack sàn giao dịch. Đầu tiên là giành quyền truy cập vào các tài khoản và chức năng đóng thông qua việc hack tài khoản của những người sáng lập và sau đó sử dụng các chương trình độc hại từ kho vũ khí của các cuộc tấn công ngân hàng. Thứ hai là một cuộc tấn công vào cơ sở hạ tầng của chính sàn giao dịch, thông qua việc hack một ứng dụng web liên kết khách hàng với tiền của anh ta trên các máy chủ của sàn giao dịch hoặc một cuộc tấn công vào cái gọi là ví nóng.
Do đó, việc bảo vệ tài sản kỹ thuật số có thể đạt được nhờ nỗ lực chung của người dùng và các ngân hàng tiền điện tử phục vụ doanh thu của tiền điện tử. Người đứng đầu quan hệ công chúng của Bancor, Nate Hindman, đã đưa ra một tuyên bố sau vụ hack:
“Các cơ chế này bao gồm danh sách đen theo thời gian thực theo dõi các địa chỉ vi phạm và tài sản bị đánh cắp, cũng như quỹ khẩn cấp bồi thường cho các dự án khi xảy ra trộm cắp. Còn rất nhiều việc phải làm ở đây và chúng tôi mong muốn được hợp tác với các đồng nghiệp của mình trong toàn ngành để làm cho mọi người [trở nên] mạnh mẽ hơn và thông minh hơn khi chúng ta cùng nhau tiến về phía trước. Cộng tác không chỉ là một khái niệm mà còn là một thực tiễn – và chúng tôi rất biết ơn sự hỗ trợ và giúp đỡ. “
Đồng thời, Hindman tin rằng không thể loại bỏ hoàn toàn khả năng xảy ra các cuộc tấn công hack, vì những kẻ tấn công phát triển các chiến lược của riêng họ cùng với ngành công nghiệp tiền điện tử, nhưng những cuộc tấn công này có thể bị chống lại nếu những người tham gia thị trường đoàn kết với nhau cho các hành động chung và trao đổi thông tin.
Đối với người dùng thông thường, các mẹo để bảo vệ tài sản kỹ thuật số khỏi tin tặc đã nổi tiếng:
- Không giữ tiền trong ví nóng.
- Chọn các sàn giao dịch nổi tiếng tiết lộ các chính sách bảo mật.
- Sử dụng tối đa chức năng do sàn giao dịch cung cấp, bao gồm cả 2FA.
- Phân phối tiền giữa một số ví và sàn giao dịch.
Có lẽ các sàn giao dịch tiền điện tử thường bị tấn công vì nó rất dễ thực hiện – và hình phạt cho điều này vẫn chưa được quy định. Nhiều sàn giao dịch bị tấn công hơn, nhiều người bị bỏ lại mà không có tiền, và ai đó sẽ thoát khỏi nó. Nhưng năm nay, mọi thứ có thể thay đổi, vì tất cả những điều này bắt đầu khiến các cơ quan quản lý nhà nước và thậm chí cả thế giới quan tâm nghiêm túc.
Cùng với G20, toàn bộ hội nghị thượng đỉnh đang được tổ chức, dành cho vấn đề điều chỉnh hoạt động của các sàn giao dịch tiền điện tử. Ví dụ: một trong những tác giả khái niệm của Hội nghị thượng đỉnh về đổi mới chuỗi khối Futurama là Joshua Hong đã báo cáo với Cointelegraph:
“Có rất nhiều sự cố hack không được báo cáo của các sàn giao dịch lớn. Vì vậy, từ quan điểm của người dùng thông thường, chúng tôi không biết mức độ nghiêm trọng của việc hack đối với hầu hết các sàn giao dịch. Ví dụ: Bithumb gần đây đã bị tấn công, nhưng khối lượng giao dịch hoặc doanh thu hoa hồng của nó dường như không bị ảnh hưởng chút nào. Mặt khác, các sàn giao dịch khác đã phải ngừng hoạt động chỉ sau một đợt tấn công. “
Các nhà lãnh đạo sàn giao dịch phản ứng tích cực với sáng kiến đó. Một trong số họ, chiến lược gia đầu tư tại Bithumb Alex Lee đã bày tỏ sự quan tâm cá nhân của mình khi tham gia vào các cuộc thảo luận như vậy:
“[Những] câu trả lời tốt nhất cho các vấn đề trong ngành của chúng tôi có thể được tìm thấy thông qua việc chủ động chia sẻ câu chuyện của nhau theo những cách rất hữu ích. Vì vậy, bất kể vấn đề là gì, có thể là các sàn giao dịch tiền điện tử bị tấn công hoặc các cơ quan quản lý cảm thấy áp lực từ các nhà đầu tư mã thông báo bất mãn bị mất tiền, giải pháp có thể được tìm thấy thông qua các tương tác cộng đồng và các cuộc trò chuyện trung thực, cởi mở.