素材来源 | 成都链安、PeckShield
编辑 | 佩奇
出品 | 区块链大本营（blockchain_camp）
5月8日早上8点28分，知名加密货币交易所币安承认再次受到黑客攻击。截止到目前撰文时间，已经有7074.18个比特币被盗。
以下为币安官方微博发布的安全信息更新公告。
对此，币安创始人赵长鹏在AMA中首次披露了黑客盗币的细节。他表示，黑客此前已发现系统存在的安全漏洞，但一直很耐心，直到系统出现大额交易才出手。
直播地址：
https://www.pscp.tv/w/b6I-lTFQWEVkQlBQQlBsS2V8MW1yR212anBicUJKea09rHwXRK_mMqOZXufBTFd6iCrb7SjGYhQ4_QOvoDet
此外，赵长鹏还对外披露，币安在5月7日凌晨就发现了“大规模的安全漏洞”，该漏洞导致黑客能够访问用户应用程序接口**（API keys）、双因素身份验证码、以及其他信息。按照安全通知中公布的一笔交易，黑客从币安交易所中取走了价值大约4100万美元的比特币。
安全公司：或为用户API key和Secret key信息泄露导致
对此次攻击，区块链大本营（blockchain_camp）第一时间联系了 Beosin 成都链安科技安全团队，对此事件进行了深度分析。老铁们，先了解一下交易详情：
此次事件发生在575013块，总损失最高可达7074个BTC，共涉及到以下44个提币地址：
截至目前，币安热钱包（1NDyJtNTjmwk5xPNhjgAMu4HDHigtobu1s）已被盗约7074.18枚BTC。
现在币安的热钱包余额 3,612.69114593个 BTC，说明币安热钱包的私钥安全，经过团队分析，在05月08日 01:17:18通过 API 接口在同一时间发起提币操作。
币安交易所的 API 申请后会生成 API key 和 Secret key，如下图：
API 接口有限定用户开放 IP 限制和开放提现功能。开放提现就是直接利用 API key 和 Secret key 直接提现，不需要收集验证码、短信、谷歌验证码。如下图：
API 部分官方调用代码 demo 如下：
成都链安分析认为是用户的 API key 和 Secret key 信息泄露导致的此次攻击。
如果用户没有限制 IP 并配置了开放提现功能，任意攻击者在获取了 API key 和 Secret key 信息后便可以实现攻击。
用户的信息泄露途径可能有：
1、普通用户一般不会使用 api key，一般是高级用户用于代码中实现自动化交易，可能是用户源码泄露导致 api Secret key 泄露
2、用户被钓鱼攻击，输入了 API key 和 Secret key 被黑客截取。
3、用户的 API key 和 Secret key 保存的电脑被攻击窃取。
4、币安交易所系统原因导致用户 API key 和 Secret key 泄露，其中只有71个用户开放了提现功能，被盗币。
被黑客盗取的7074枚 BTC 的主要20个地址如下：
bc1qp6k6tux6g3gr3sxw94g9tx4l0cjtu2pt65r6xp 555.997 BTC
bc1qqp8pwq277d30cy7fjpvhcvhgztvs7v0nudgul5 463.9975 BTC
bc1qld27dqu6wrl4tmjdr8tl55qavmghwrr4ldh7qn 473.9975 BTC
bc1q8m9h3atn4cqeqhu3ekswdqxchp3g7d4v3qv3wm 567.997 BTC
bc1q7p6edvd4zvtya8uj366c23dan8pvlp503spucu 468.9975 BTC
bc1ql0wlnu80l8kctjzkzlzd72sdjqwuvruvgepceq 383.998 BTC
bc1q3ldtrr6xtpx8jam5gw68aaexz2wtluj0qullvr 189.999 BTC
bc1qyv4zv0wjn299kx4yz6g7v6g6400wqgzcqgw9vx 383.998 BTC
bc1q6fejm4r866tmt8ptf42juedv5gevlv2qt72agq 371.998 BTC
bc1qvstwzsrfml43jrclsp68220l4lx5lw3kwf7dp0 193.999 BTC
bc1qecs672j9dpvwr56zeldgf3swtlv3dad52wzuta 463.9975 BTC
bc1qshkncv7tkpye7z0z4a3k9yw2e73whha9gjs88z 97.9995 BTC
bc1qhlhx6lrnr0jf4zpvm788j7yeezau6s8q557p2z 279.9985 BTC
bc1qesy52g7ndy652qudr2awuk57mcaxgmn9qsmpzk 469.9975 BTC
bc1q9svj9wp68zftgejjgk6f96ukuyx8c5urkqsv69 193.999 BTC
bc1qanrl8n3flz4jftkscljx2hwuc3h50f9ynp2nyn 89.9995 BTC
bc1qtpdptcf4ngfkwq6dr36kqaeh2n5h00rx5unkgc 670.9965 BTC
bc1qvr2jxlmvckap7cg2l6mdgh5fa8glkhe4s88sax 377.998 BTC
bc1qhqap39mpkldjzvqdf3204p732krtnf56mm9aj3 370.998 BTC
3KBsR6Ld255Tw5hNR4S6KaX5SXxvRF6jv3 1.29968018 BTC
此外，区块链大本营还采访到了 PeckShield 研发副总吴家志。吴老师认为，此次币安被盗事件大致上可以分三个层面分析：交易所，帐号托管系统，个人用户。
1、交易所层面概率较低，例如之前龙网事件，是客服人员安装了恶意软件，渗透进入内网造成；
2、账号托管，就是散户投资这类的软件，把应用程序接口提供给中间商，一旦中间商被渗透，可能一次性取得大量接口秘密，造成此类问题，这类软件可能在下载的时候被替换安装包，或者中间商的服务器被攻破，都有可能；
3、第三类就是个人用户的设备，如手机电脑等被安装木马等，从个人用户设备上取得 API secret 以及2FA认证。
此外，吴老师还表示，看到币安这次在一个交易里头打包7074 BTC出金，主要目标地址20个都是新地址，这样的情况其实能够触发风控机制，比如单位时间内出金的量以及新地址能收的金额。
来看看大佬们的反应
事件发生后，波场创始人孙宇晨第一时间发文表示，“无需惊慌，一切安好！我愿意拿出7000BTC等值的美元进入币安。”当然，前提是赵长鹏同意他这么做。
而事实上，赵长鹏表示并不需要，“真的很感激，但现在还不需要。币安将通过 SAFU 基金弥补损失，而且足够了。我们只是受伤，并非破产。”
而有些人并不是那么友善。
FCoin创始人张健却不这么认为，针对币安被盗7000枚比特币事件，他希望大家不要利用这次被盗事件去攻击别人，这是损人不利己的事情，一个平台的信誉等各方面的积累需要时间。
不过，币安这句“被盗BTC”由币安全额承担，也很霸气了！
相信这次币安7000多BTC被盗事件的发生，必将引起监管的涉入、用户个人对隐私保护的重视以及交易所风控机制的完善等等，区块链大本营（blockchain_camp）将持续跟踪此次事件并作进一步深入报道，老铁们，要持续关注哟！