10月29日，币安热钱包遭攻击，按币安与TRM Labs口径，约63亿美元资产受影响，主要资金在约20分钟内被转出，涉及10条区块链；从首笔到末笔完整过程约4小时，为加密币史上规模最大的交易所盗案。消息传出来后，加密市场应声下跌，比特币单日跌幅近4%，24小时内全网爆仓金额超过15亿美元。很多人第一反应是，这虚拟货币到底还安不安全？
这起大案实际上并不是黑客突破了区块链的加密防线，而是用了相对传统的骗术。今年6月，币安一名钱包开发团队的工程师就曾下载过被篡改的软件，虽然内部安全系统及时发现并更换了设备，但黑客已经摸清了这名工程师的岗位职能，以及团队内部其他成员的信息，相当于完成了一次踩点。9月，另一名工程师在求职平台收到私信，对方自称是某公司项目主管，邀约线上面试。为了骗取信任，对方不仅出示了社交账号，还展示了生活照和视频，整个流程和正规招聘几乎没有差别。第二次面试时，对方以面试测试题为名，让工程师下载一份文件，里面藏著经过高度混淆的恶意代码。这次下载没有触发安全警报，黑客藉此潜入内部系统，还利用币安的一款AI开发工具横向扩散，陆续控制了另外两名工程师的电脑，而其中一人就拥有系统代码发布权限。
于是，到了10月29日，黑客远程操控工程师电脑，触发恶意脚本发动最终攻击。这次他们没有直接盗取钱包私钥，而是利用了以太坊EIP-7702标准的委托机制，这个功能原本是允许钱包把执行权限委托给智能合约的，黑客通过控制内部签名系统，给币安的热钱包授予了恶意合约的执行权限，相当于不用拿到保险柜钥匙，只要拿到开门授权就能把钱转走。整个盗取过程只花了大概20分钟，覆盖10条区块链网络，攻击者还边转资产边销毁工具和操作痕迹，给后续追踪增加了难度。尽管事后币安联合稳定币发行方和区块链安全公司，冻结了约30亿美元的涉案资产，但仍有30多亿美元处于流失状态。
有人会说，这要是传统货币的话就不会发生，可问题是银行系统被黑、电信诈骗，还有内部人员挪款，这些年一样没断过。所以，传统货币和虚拟货币的真正区别主要是在出事之后有没有人管，还有能不能追回来。传统货币也就是我们存在银行里的钱，走的是中心化信任路线，你把钱交给银行，银行负责记账、保管和转账，后面的是国家信用、存款保险和监管。正常情况下，银行卡被盗刷或遭遇电信诈骗，只要及时报警和联系银行，很大概率可以冻结、追回资金；就算银行经营出问题，国内50万元以内的存款有存款保险全额赔付，美国也有25万美元的FDIC保险。这套传统货币的体系运行了这么多年已经非常成熟，好处是有人兜底，一旦有了问题，受害者有成熟的维权路径，坏处是钱的控制权不完全在你手里，银行可以冻结账户，政府可以管制外汇，通货膨胀也会慢慢地让账户里的货币没那么值钱。
而虚拟货币则是去中心化的，它的底层是区块链，由全球成千上万台节点共同记账，交易靠私钥签名验证，没有任何一家机构能随便冻结你的账户，也没人能凭空印钱。从技术本身来说，比特币、以太坊的主网运行十几年，从来没有被攻破过，没有人能靠破解密码学算法直接转走区块链上的钱，底层安全系数其实非常高。但问题在于，绝大多数普通人不会自己保管私钥，而是把币存在交易所里，这就相当于把钱又放回了中心化银行。真正出事的几乎都是周边环节，比如交易所监守自盗或者被黑客攻击，钱包软件有漏洞，私钥弄丢或被骗走，智能合约有bug被人钻空子。币安这次出事的就是交易所的热钱包管理体系，并不是说以太坊或者比特币本身被攻破了。
所以说，虚拟货币跟传统货币的风险类型完全不一样，因此，这两种货币的适用人群也会有所不同。毕竟，在一些本币剧烈贬值、外汇管制严格的国家，很多人正是靠持有比特币保住了积蓄，这是传统货币做不到的，所以，看重资产自由、需要跨境转账，还有担心本币贬值和资本管制的人，会觉得虚拟币更安全。而那些追求稳定、怕麻烦，不想自己承担保管责任的人，显然用传统货币存在银行更踏实。
而像币安这种级别的被盗事件，以后大概率还会越来越多，而且攻击手段会越来越隐蔽。这主要是因为AI技术普及之后，黑客的成本其实是大幅降低的，像以前黑客要冒充招聘方，还得准备很多材料，现在用AI生成虚拟身份，甚至模拟视频面试都很容易，普通人很难分辨，未来AI换脸、AI语音诈骗只会更常见，针对交易所员工的定向钓鱼只会越来越多。而且加密资产的体量越来越大，一次成功攻击就能获利几十亿美元，攻击投入的回报比极高，自然会吸引更专业的犯罪集团。今年以来，Bitget、Liquid Network等多家平台都遭遇过千万甚至上亿美元级别的被盗事件，仅第三季度全球加密安全事件总损失就有12.8亿美元，可以说，这类攻击正在变成这个行业的常态。
对于普通持币用户来说，币安这种头部交易所出事，恐慌肯定会瞬间传导到每一个持仓账户。此事件曝光后，比特币一度跌破77000美元，24小时内23万人爆仓，爆仓总额15.17亿美元，其中多单12.84亿美元，这些人跟攻击币安的黑客没有任何关系，但仓位照样被扫平，这就是持有虚拟货币的风险。而且，需要注意的是，同样是虚拟货币，你存在哪里也相当重要，币安这次能承诺全额赔付，是因为它体量大，而且有SAFU储备基金，换做中小型交易所，一次被盗很可能就直接倒闭了。2014年Mt.Gox丢了85万枚比特币，债权人等了十年才见到部分赔偿。2022年FTX破产，上百万用户的资产到今天也没能全额拿回。
更隐蔽的则在资产控制权上，此事件发生后，Tether、Circle等稳定币发行方配合冻结了涉案USDT、USDC地址，同时，币安也全面暂停充提，用户那几天既提不出币避险，也没法及时变现，行情要是剧烈波动，这就是实打实的损失。这其实也从侧面证明，只要币还挂在中心化平台的钱包里，发行方随时能把它拉进黑名单，你根本拦不住，这就跟虚拟货币一直讲的抗审查和不可冻结是矛盾的了。
所以，普通用户要想手里的虚拟货币安全一些，最好就是在交易所做小额日常交易，大额长期持有的就放冷钱包里，也就是离线存储私钥的硬件钱包。不过需要注意的是，冷钱包也有门槛，私钥弄丢了钱就没了，已经有很多人因为记不住助记词，或者因为设备损坏导致虚拟币永久丢失了。毕竟，你享受了去中心化的自由，就要承担自己管钱的风险，虚拟货币的安全责任最终还是归集到持有者自己身上，这就跟传统货币把安全交给银行这类机构完全是两个路数。
长期看，行业的安全机制肯定会越来越完善，冷热钱包分离、权限隔离、多重签名、大额延时审批会逐步成为头部交易所的标准动作，币安这套SAFU模式也会被更多平台照搬，监管这边同样会跟上，对交易所的资本金、储备金证明，以及安全审计提出更高的要求。对普通投资者来说，虚拟货币很难说是更安全或更危险的货币，它只是另一套信任体系，只要有人在，就必然有江湖，与其争论哪种钱更安全，不如先掂量自己能扛哪种风险吧。
（本文作者为香港新闻网特约作者、科技学者，文中图片为作者提供，本网获独家授权刊发，转载请注明出处）
（本文为作者观点，不代表本媒体立场）
