10月29日，幣安熱錢包遭攻擊，按幣安與TRM Labs口徑，約63億美元資產受影響，主要資金在約20分鐘內被轉出，涉及10條區塊鏈；從首筆到末筆完整過程約4小時，為加密幣史上規模最大的交易所盜案。消息傳出來後，加密市場應聲下跌，比特幣單日跌幅近4%，24小時內全網爆倉金額超過15億美元。很多人第一反應是，這虛擬貨幣到底還安不安全？
這起大案實際上並不是黑客突破了區塊鏈的加密防線，而是用了相對傳統的騙術。今年6月，幣安一名錢包開發團隊的工程師就曾下載過被篡改的軟件，雖然內部安全系統及時發現並更換了設備，但黑客已經摸清了這名工程師的崗位職能，以及團隊內部其他成員的信息，相當於完成了一次踩點。9月，另一名工程師在求職平台收到私信，對方自稱是某公司項目主管，邀約線上面試。為了騙取信任，對方不僅出示了社交賬號，還展示了生活照和視頻，整個流程和正規招聘幾乎沒有差別。第二次面試時，對方以面試測試題為名，讓工程師下載一份文件，裡面藏著經過高度混淆的惡意代碼。這次下載沒有觸發安全警報，黑客藉此潛入內部系統，還利用幣安的一款AI開發工具橫向擴散，陸續控制了另外兩名工程師的電腦，而其中一人就擁有系統代碼發布權限。
於是，到了10月29日，黑客遠程操控工程師電腦，觸發惡意腳本發動最終攻擊。這次他們沒有直接盜取錢包私鑰，而是利用了以太坊EIP-7702標準的委託機制，這個功能原本是允許錢包把執行權限委託給智能合約的，黑客通過控制內部簽名系統，給幣安的熱錢包授予了惡意合約的執行權限，相當於不用拿到保險櫃鑰匙，只要拿到開門授權就能把錢轉走。整個盜取過程只花了大概20分鐘，覆蓋10條區塊鏈網絡，攻擊者還邊轉資產邊銷毀工具和操作痕跡，給後續追蹤增加了難度。儘管事後幣安聯合穩定幣發行方和區塊鏈安全公司，凍結了約30億美元的涉案資產，但仍有30多億美元處於流失狀態。
有人會說，這要是傳統貨幣的話就不會發生，可問題是銀行系統被黑、電信詐騙，還有內部人員挪款，這些年一樣沒斷過。所以，傳統貨幣和虛擬貨幣的真正區別主要是在出事之後有沒有人管，還有能不能追回來。傳統貨幣也就是我們存在銀行裡的錢，走的是中心化信任路線，你把錢交給銀行，銀行負責記賬、保管和轉賬，後面的是國家信用、存款保險和監管。正常情況下，銀行卡被盜刷或遭遇電信詐騙，只要及時報警和聯繫銀行，很大概率可以凍結、追回資金；就算銀行經營出問題，國內50萬元以內的存款有存款保險全額賠付，美國也有25萬美元的FDIC保險。這套傳統貨幣的體系運行了這麼多年已經非常成熟，好處是有人兜底，一旦有了問題，受害者有成熟的維權路徑，壞處是錢的控制權不完全在你手裡，銀行可以凍結賬戶，政府可以管制外匯，通貨膨脹也會慢慢地讓賬戶裡的貨幣沒那麼值錢。
而虛擬貨幣則是去中心化的，它的底層是區塊鏈，由全球成千上萬台節點共同記賬，交易靠私鑰簽名驗證，沒有任何一家機構能隨便凍結你的賬戶，也沒人能憑空印錢。從技術本身來說，比特幣、以太坊的主網運行十幾年，從來沒有被攻破過，沒有人能靠破解密碼學算法直接轉走區塊鏈上的錢，底層安全系數其實非常高。但問題在於，絕大多數普通人不會自己保管私鑰，而是把幣存在交易所裡，這就相當於把錢又放回了中心化銀行。真正出事的幾乎都是周邊環節，比如交易所監守自盜或者被黑客攻擊，錢包軟件有漏洞，私鑰弄丟或被騙走，智能合約有bug被人鑽空子。幣安這次出事的就是交易所的熱錢包管理體系，並不是說以太坊或者比特幣本身被攻破了。
所以說，虛擬貨幣跟傳統貨幣的風險類型完全不一樣，因此，這兩種貨幣的適用人群也會有所不同。畢竟，在一些本幣劇烈貶值、外匯管制嚴格的國家，很多人正是靠持有比特幣保住了積蓄，這是傳統貨幣做不到的，所以，看重資產自由、需要跨境轉賬，還有擔心本幣貶值和資本管制的人，會覺得虛擬幣更安全。而那些追求穩定、怕麻煩，不想自己承擔保管責任的人，顯然用傳統貨幣存在銀行更踏實。
而像幣安這種級別的被盜事件，以後大概率還會越來越多，而且攻擊手段會越來越隱蔽。這主要是因為AI技術普及之後，黑客的成本其實是大幅降低的，像以前黑客要冒充招聘方，還得準備很多材料，現在用AI生成虛擬身份，甚至模擬視頻面試都很容易，普通人很難分辨，未來AI換臉、AI語音詐騙只會更常見，針對交易所員工的定向釣魚只會越來越多。而且加密資產的體量越來越大，一次成功攻擊就能獲利幾十億美元，攻擊投入的回報比極高，自然會吸引更專業的犯罪集團。今年以來，Bitget、Liquid Network等多家平台都遭遇過千萬甚至上億美元級別的被盜事件，僅第三季度全球加密安全事件總損失就有12.8億美元，可以說，這類攻擊正在變成這個行業的常態。
對於普通持幣用戶來說，幣安這種頭部交易所出事，恐慌肯定會瞬間傳導到每一個持倉賬戶。此事件曝光後，比特幣一度跌破77000美元，24小時內23萬人爆倉，爆倉總額15.17億美元，其中多單12.84億美元，這些人跟攻擊幣安的黑客沒有任何關係，但倉位照樣被掃平，這就是持有虛擬貨幣的風險。而且，需要注意的是，同樣是虛擬貨幣，你存在哪裡也相當重要，幣安這次能承諾全額賠付，是因為它體量大，而且有SAFU儲備基金，換做中小型交易所，一次被盜很可能就直接倒閉了。2014年Mt.Gox丟了85萬枚比特幣，債權人等了十年才見到部分賠償。2022年FTX破產，上百萬用戶的資產到今天也沒能全額拿回。
更隱蔽的則在資產控制權上，此事件發生後，Tether、Circle等穩定幣發行方配合凍結了涉案USDT、USDC地址，同時，幣安也全面暫停充提，用戶那幾天既提不出幣避險，也沒法及時變現，行情要是劇烈波動，這就是實打實的損失。這其實也從側面證明，只要幣還掛在中心化平台的錢包裡，發行方隨時能把它拉進黑名單，你根本攔不住，這就跟虛擬貨幣一直講的抗審查和不可凍結是矛盾的了。
所以，普通用戶要想手裡的虛擬貨幣安全一些，最好就是在交易所做小額日常交易，大額長期持有的就放冷錢包裡，也就是離線存儲私鑰的硬件錢包。不過需要注意的是，冷錢包也有門檻，私鑰弄丟了錢就沒了，已經有很多人因為記不住助記詞，或者因為設備損壞導致虛擬幣永久丟失了。畢竟，你享受了去中心化的自由，就要承擔自己管錢的風險，虛擬貨幣的安全責任最終還是歸集到持有者自己身上，這就跟傳統貨幣把安全交給銀行這類機構完全是兩個路數。
長期看，行業的安全機制肯定會越來越完善，冷熱錢包分離、權限隔離、多重簽名、大額延時審批會逐步成為頭部交易所的標準動作，幣安這套SAFU模式也會被更多平台照搬，監管這邊同樣會跟上，對交易所的資本金、儲備金證明，以及安全審計提出更高的要求。對普通投資者來說，虛擬貨幣很難說是更安全或更危險的貨幣，它只是另一套信任體系，只要有人在，就必然有江湖，與其爭論哪種錢更安全，不如先掂量自己能扛哪種風險吧。
（本文作者為香港新聞網特約作者、科技學者，文中圖片為作者提供，本網獲獨家授權刊發，轉載請註明出處）
（本文為作者觀點，不代表本媒體立場）
