更多騰訊海量技術文章，請關注騰訊雲+社區：https://cloud.tencent.com/developer?fromSource=waitui

原文鏈接：https://finance.yahoo.com//news/crypto-exchange-may-less-secure-email-account-151043924.html、

2018年4月6日，位於義大利佛羅倫薩的Bitminer工廠出現了比特幣挖掘計算機伺服器。

新奧爾良 -加密貨幣交易機構和相關應用程序不僅是對黑客來說最有價值的目標之一，同時，它們自身對黑客攻擊的防護能力也是最脆弱的。

安全工具公司Veracode的首席技術官Chris Wysopal 在5月1日舉行的碰頭會議上發表講話時提出了這樣的警告。對於那些希望購買或投資加密貨幣的人來說，這應該是值得最關注的問題，尤其是對於像比特幣這類通過越來越複雜的數學「挖掘」產生允許在線和跨國界的假名交易因為近期暴跌之後，其價值也大幅增加的數字貨幣來說尤其需要防範黑客攻擊。

「當我們談論加密貨幣時，我們並不是在談論竊取那些我們必須通過貨幣量化的數據，」他說。「我們其實是在談論偷錢。對於攻擊者來說，這是一個非常非常有吸引力的目標。「

犯了錯誤

Wysopal講述了一系列尷尬卻可預防的加密貨幣交易應用和應用程序黑客攻擊。部分節選如下：

2016年，為了授權在被稱為分散式自治組織的網路上自動執行交易的智能聯繫人代碼出現了一個bug，這使得黑客能夠竊取價值5000萬美元的以太坊加密貨幣。（另外，Wysopal表示這件事發生在2014年;在周四的一封電子郵件中，他表示他將這一日期與另一個發生在2014年Mt.Gox交易所失竊的約4.6億美元的加密貨幣的事件的日期弄混了。）

在2016年8月，加密貨幣交易所Bitfinex被黑客黑了近7,300萬美元。一個關鍵原因是：該香港站點將所有安全密鑰保留在線上，而不是將其放置在離線「保險庫」中。

1月份，攻擊者闖入另一個交易所Coincheck，並偷走了5.34億美元的加密貨幣。這家東京公司將其所有客戶的資金都保存在一個讓他們減輕工作壓力的「熱錢包」中。Wysopal說道：「看起來真的很愚蠢。這不是銀行的工作方式，對吧？他們並不總是在櫃員的抽屜里存放所有的錢。「

今年2月，烏克蘭黑客組織Coinhoarder 通過運行谷歌（GOOG，GOOGL）廣告，偷走了Blockchain.info數字錢包用戶的5000萬美元，這些廣告讓受害者認為他們正在登錄真正的網站。此後，Google，Facebook（FB）和Twitter（TWTR）開始禁止加密貨幣廣告。

你可以做什麼

作為L0pht黑客組織的第一批成員之一，他開始了他的信息安全職業生涯，並於2006年共同創立了現在由CA Technologies（CA）擁有的 為他的用戶提供具體的安全建議的Veracode。

啟用「兩步驗證」 邏輯- 在該驗證邏輯中，您使用發送至手機的一次性密碼或通過應用程序計算出的位於該列表的首位一次性密碼確認登錄 。「你一定要使用雙因素，」Wysopal說。（請注意，如果攻擊者可以獲取您的手機號碼，那麼依靠簡訊發送這些代碼的兩步系統可能會被攻破。）

他還建議，通過不使用公開的電子郵件或電話號碼進行登錄，會使釣魚者的努力複雜化。「不要使用與該帳戶關聯的電子郵件地址或電話號碼，」他說。「他們需要這個標識符，然後他們就會嘗試通過簡訊或通過電子郵件來模仿你。」

對於本地加密貨幣存儲，Wysopal支持使用硬體錢包（請參閱我的同事Daniel Roberts的操作指南），而不是移動應用程序，並說「它們不太可靠」。

最後，他建議一些社交媒體謙虛一些。「不要在線上吹噓你的加密財富，」Wysopal說道，他注意到英國1月份入侵比特幣的搶劫行為。「如果你吹噓它，你只是讓自己成為一個目標。」

你不能做什麼

Wysopal以半樂觀的口吻結束了他的演講：「我認為未來我們將有一個幫助人們了解交易背後的安全的服務。「

然而，在電話採訪中，他指出了為了達到與政府在銀行發行的貨幣相同的安全性數字貨幣的結構性障礙：我們沒有規定由加密貨幣公司由於黑客行為造成的損失負責，比如今天讓銀行負責的行為。

他說：「我們習慣於交易，並將我們的資金存儲在有監管的地方，而且您的供應商有一些責任。」 「這在加密貨幣交易中完全不存在。」

相反，加密貨幣市場中的個人需要堅持更好的安全性。其中包括威索帕爾，儘管他表示他只持有「少量」數字貨幣。

「必須發生的事情是，投資者或客戶需要提供一些證據證明事情是安全的，」他說。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！