深度丨“336 枚 BTC 去哪儿了？”后续追踪，Cashaa 交易所钱包被盗事件进一步分析

Cashaa 是一家总部位于伦敦的加密钱包和银行服务提供商。

安全本该是数字货币钱包的第一生命线。Cashaa 宣称使用“无风险”的支付网关，按理说可以保障资产安全。然而，威胁还是无处不在。

7 月 11 日北京时间凌晨 8 点 10 分，CertiK 天网系统 (Skynet) 检查到在比特币区块 638606 和 638692 处 Cashaa 交易所发生交易异常，安全研究员迅速介入调查，详细研究了攻击者针对 Cashaa 交易所拥有的比特币钱包发动两次攻击过程。

随后，CertiK 于第一时间在金色财经等媒体上发布了相关新闻和消息。

事件回顾

第一次攻击发生于 7 月 10 日北京时间晚 6 点 57 分，受害者 Cashaa 的比特币钱包之一

1Jt9mebBwqCk8ijrVDoT5aySu2q9zpeKde 被盗用并向攻击者账户

14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek 转移了 1.05977049 个 BTC（约合 9800 美元）。攻击者通过某种方式入侵受害者电脑，受害者在 Blockchain.info 上的比特币钱包被盗，并向攻击者账户转移了 BTC。

第二次攻击发生于 7 月 11 日北京时间凌晨 8 点 10 分，受害者 Cashaa 的总计 8 个比特币钱包，共计 335.91312085 个比特币（约 310 万美金）被攻击者通过同样的手段转移到同一个

14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek 地址中。

官方声明及解析

根据 Cashaa 对该事件的官方声明，这起攻击发生的过程是攻击者渗透攻击进入“Cashaa India Over-the-counter”（OTC，场外交易市场）雇员的电脑，操纵电脑从而盗取了受害者账户的所有资金。

印度东德里（East Delhi）的一位 OTC 交易经理与 7 月 10 日发生首次攻击有关。早在 7 月 8 日，该雇员报告过公司提供给他的机器存在故障，因此他请求通过使用自己的个人电脑来进行操作。为了保证用户体验，一向不允许使用个人电脑的 Cashaa 经管理层决议同意了这个请求。

Cashaa 官方声明中称，攻击者是通过被攻击电脑中浏览器的活动进程（active sessions in the browser）来控制的该电脑。现在被确认的攻击方式有 phishing，病毒以及其他攻击方式，但是官方并没有确认最终的攻击手段。被盗取的比特币被转移到 14RYUUaMW1shoxCav4znEh64xnTtL3a2Ek 地址后，被最终转移到多个钱包地址中。

Cashaa 接到该雇员的事故报告后，立刻开启了内部调查，并向德里数字犯罪署（Delhi Cyber Crime Bureau）进行了报告，报告编号为 20807200031555。与此同时，Cashaa 也向其社区以及相关数字货币交易所进行了相关报告，共享了黑客的比特币钱包地址。其中，Cashaa 告知了所有主要交易所，包括 WazirX，Binance，CoinDCX 和 Bitbns，并敦促他们监测与此地址相关联的所有交易。

在攻击事件发生后，被攻击的电脑已经被封存当做调查物证，涉事雇员也暂时被停职，直至调查结束。事件发生后，Cashaa 也召开了董事会进行商议，但到目前为止，并没有官方宣布如何进行赔偿。预计官方会于 7 月底公布所有细节，包括攻击方法和赔偿方式。届时 CertiK 将会继续跟踪分析该起事件。

社区支持

ZebPay，WazirX，CoinDCX 及 Bitbns 等交易所的高层管理人员均已在 Twitter （推特）上发表了对 Cashaa 给予支持的推文，并表示他们将采取一切必要的预防措施，以确保这些资金在他们力所能及的范围内不流动。

社区中有人传言该起事件是内部雇员所为，针对该问题，Cashaa 根据对该起事件进行调查的数字犯罪调查公司的反馈，认为本起事件并不应该为内部雇员所为。目前由于调查并未结束，因此尚不能对攻击事件下定论。

攻击事件发生后，Cashaa 宣布将会与 Anti-Money Laundering （AML，反洗钱）企业合作，定制专属链上 AML 工具，帮助减少数字货币犯罪。

防范建议

交易环境复杂的操作系统、浏览器、网络环境都将使交易存在很大的安全隐患。目前国内大部分基于手机平台（MTK）的钱包，都可以被攻击。通过导出钱包固件，不仅可以看到多个币种的缓存信息，还可以找到生成助记词的各种库。

很多开发团队在以业务优先的原则下，对自身钱包产品的安全性并未同等重视。一旦出现了安全性问题，将会导致大量用户出现账户货币被盗。资产一旦被盗，将会无法挂失，并且很难被追回。

CertiK 团队总结了以下几点建议：

1. 数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。当然，由于员工安全意识薄弱带来的一些安全隐患也不能排除，而往往这方面是人们最难察觉到并且最容易忽略的。

2. 攻击者对于将要采取的攻击方式经常会进行测试后再进行大规模采用进行攻击。因此需要重视对于潜在攻击方式的检测和监视，不要多次受到同一方式的攻击。

3. 加强数字货币账户安全保护方法，使用物理加密的离线冷存储（cold storage）来保存重要数字货币。许多最著名的交易所都利用硬件钱包或硬件安全模块来存储和处理所管理的加密资产。虽然没有一个系统可以具有 100％的安全性，但这样的系统被破坏的概率更低。

4. 聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。比如 CertiK 团队，会模拟真实环境中黑客攻击的方式来攻击系统中最薄弱的部分，以找到系统的漏洞和薄弱环节。入侵一个系统的突破口可能是在 Web 应用中的远程代码执行漏洞，可能是服务器上运行的旧版软件，也可能一位员工无意中执行了测试团队发送的钓鱼邮件中的后门程序。

而在 CertiK 专业的检测过程中，将会对包括系统架构以及员工等所有可能被攻击的环节进行逐一排查和测试，让那即便只剩下 0.00000000000001% 被攻击的可能性都不复存在。