龍網被盜，損失超600萬美元

編者按：本文來自36氪戰略合作區塊鏈媒體 “Odaily星球日報 ”（公眾號ID：o-daily， APP下載 ）

北京時間 3 月 24 日凌晨，DragonEx 交易所錢包遭受黑客入侵，導致使用者和平臺的20餘種數字資產被盜。

據 PeckShield 安全團隊分析，此次 DragonEx 交易所共損失了價值約 602 萬美元的數字資產，而且已經有價值約 93 萬美元的數字資產流入了數字資產交易所，目前尚有價值 500 多萬美元的數字資產掌握在黑客手裡。這對 DragonEx 這樣一家非頭部交易所來說，絕對是一筆不小的損失。

據去中心化漏洞平臺 DVP 追蹤分析，其中涉案金額較大的資產有 USDT、ABBC、EOS、BTC、ETH，USDT 被盜約 1464319 枚（目前價值 146 萬美元），ABBC 被盜約 6274251 枚（目前價值 124 萬美元），EOS 被盜約 205392 枚（目前價值 75 萬美元），BTC 被盜約 135 枚（目前價值 53 萬美元），ETH 被盜約 2737 枚（目前價值約 37 萬美元）。

DragonEx 是新加坡虛擬貨幣交易平臺，大家也習慣稱之為“龍網”，成立於 2017 年 10 月。上線同日發行平臺幣龍幣（DT）。龍網曾因其率先研究交易挖礦和分紅模式被投資者們熟知，2018 年 5 月也曾因 FCoin 交易挖礦模式大火之後再度被媒體挖出報道，龍網也曾躋身交易量排名前 20 交易所。據 CoinMarketCap 最新資料，龍網目前排名 31。

3 月 26 日，龍網在其官方電報群表示，已查證出多個被盜幣種的儲存地址，其中包括 3194 枚 ETC、64120.65 枚 XEM、100 枚 BCHABC、46 枚 BCHABC、12 枚 BTC 等。根據龍網 3 月 27 日最新官網公告，目前已與全球大部分交易所建立聯絡關係，同步了相關資訊。現已與愛沙尼亞、泰國、新加坡、香港等行政司法機關報警備案，協助警方在積極展開調查。

但是微博上一些網友貌似對龍網此次被黑客攻擊事件有所懷疑，認為龍網想跑路，“公告沒有任何披露，就告訴你，我們被盜了～這誰信啊，要真是被盜了，為什麼不把黑客攻擊的細節公佈出來。”

針對這一點，Odaily星球日報向龍網相關工作人員進行求證，得到了對方以下回應：“這幾日因為要處理相關事情比較忙，暫時沒時間接受採訪，後續會整理相關資料，公佈媒體，不好意思。”Odaily星球日報記者聯絡了多位龍網的相關工作人員，對方均以“不方便接受採訪”來回應。

龍網最新公告表明目前已經追回部分數字資產，但並未公佈追回細節，也尚未給出任何有關投資者資產損失的賠付對策，只說“龍網現將繼續暫停交易充提等所有基礎服務，一週內平臺會公佈資產損失及追回情況。”

PeckShield 安全人員初步分析認為：黑客大概率是通過竊取交易所錢包私鑰或非法獲得 API 伺服器訪問，進而實施數字資產批量轉移。具體黑客實施的盜幣和洗錢行為可分為兩個階段：

盜幣階段：發生在 03 月 24 日 凌晨 1 點至早上 8 點，黑客將交易所所屬 BTC、ETH、EOS 等 20 餘個幣種資產轉移到其個人賬號上，完成資產轉移竊取；

洗幣階段：開始於 03 月 26 日至今，截至目前，黑客已將價值 929,162 美元的數字資產轉入了各個不同交易所，很可能已被拋售，剩餘的 5,099,121 大部分資金還在攻擊者的關聯賬號當中，存在進一步流入交易所的可能，需要各方聯動共同實施資金封堵。

據慢霧安全團隊的鏈上情報分析，DragonEx 遭遇了多筆 USDT 假充值攻擊，並被成功提幣轉移，造成鉅額的 USDT 損失。從 DragonEx 公佈的 “攻擊者地址” 的分析來看，20 個幣種都被盜取（但還有一些 DragonEx 可交易的知名幣種並沒被公佈），從鏈上行為來看攻擊這些幣種的攻擊手法並不完全相同，攻擊持續的時間至少有 1 天，但能造成這種大面積盜取結果的，至少可以推論出：攻擊者拿下了 DragonEx 儘可能多的許可權，DragonEx 風控機制嚴重缺失。

黑客攻擊交易所盜幣一般分為 “假充值” 和“傳統漏洞獲取伺服器控制權”這兩種情況，但 DVP 發現主錢包被盜幣之外，DragonEx 交易所用來接收充值的錢包也被洗劫一空，這絕對不是通過某個假充值漏洞所能夠造成的，更有可能是黑客攻陷了交易所錢包相關的伺服器，獲取了交易所熱錢包私鑰以及接收充值錢包的私鑰來完成的。在此之前，DVP 曾收到過 DragonEx 交易所的三個漏洞。

區塊鏈大資料服務商 Chaindigg 市場合夥人朱亞軍對 Odaily 星球日報表示，“這麼大範圍的丟幣，我們猜測是交易平臺的伺服器收到了黑客的攻擊，但是具體是什麼漏洞現在也不好說。”Chaindigg 追蹤到龍網丟失的 USDT 主要流到了 bittrex、幣夫、滿幣、gate 這些交易所。

“從洗錢的手法來看，黑客還是有備而來的，沒有單一的在某個交易所，過程也經過了一些轉手交易。對龍網來說，後續最大的問題是其他交易所的配合。據我們瞭解，目前他們的團隊正在積極跟交易所溝通。所以如何讓交易所聯合起來，共同抵制黑客的行為我覺得是解決這類問題很重要的一個途徑。”朱亞軍分析道。

據瞭解，目前龍網丟失的部分 ETH 已經流到了幣安，但根據幣安聯合創始人何一對 Odaily 星球日報表示，幣安對於這一類所有被盜都有標準流程，如果是直接轉賬，幣安可以凍結，如果多次轉賬無法證明，需要執法部門提供協查函；對於及時提供工單資訊，能提供對應證明的幣安可以凍結，但如果無法提供相關資訊，幣安沒有許可權隨意凍結使用者資產。

本次 DragonEX 交易所被盜安全事件中，黑客在短時間之內將一個交易所內幾乎所有主流數字貨幣全部轉移，之後再通過其它數字貨幣交易所混淆資金輸入，將資金順利洗出。

不過，目前大部分被盜資產還控制在黑客手中，包括交易所在內的社群各方可根據黑客賬戶資金實時異動預警，協助安全公司進行被盜資產鎖定和封堵，儘可能幫助受害使用者減少數字資產損失。