BitKeep 又被盗了！ 你的加密钱包真的安全吗？

即使从官网下载了正版钱包更新软件，资产还是被盗？ 2022年圣诞节后的第二天，亚洲最大的加密钱包服务商BitKeep被大规模盗窃。 经调查，BitKeep官方回应称用户使用了被篡改的apk安装文件。 目前，已知有 800 万美元的虚拟资产被盗，包括：4,373 BNB、540 万美元的 USDT、196,000 美元的 DAI 和 1,233.21 ETH。 加密钱包的安全问题牵动着所有用户的心。

钱包和比特币

我们都知道加密行业用户接触最多的交易所就是交易所，其次就是钱包。 尤其是中心化交易所（CEX），其相关操作遵循传统的借记卡操作逻辑，方便用户使用，用户资产完全交由交易所管理。 一旦发生相关风险事件，用户也将第一时间找到交易所进行问责和解决。 去中心化钱包只提供生成私钥工具和管理资产的前端入口。 用户私钥存储在手机本地，数字资产存储在区块链上。 链上的每一笔交易都需要用户调用本地私钥进行签名，然后上链。 钱包无法控制用户的资产，用户才是真正的数字资产持有者。 因此，去中心化钱包很难被黑客入侵，用户也不用担心钱包服务商卷款跑路。 只要保存好私钥，即使更换了钱包APP，他们的资产还在链上。 BitKeep和小狐狸、TP钱包等一样，也是一个去中心化的钱包。 据官方介绍，Web3多链钱包BitKeep在全球拥有超过800万用户，支持超过245,400种代币，并已在Safe Operation注册五年。 目前，BitKeep 支持超过 80 个区块链网络，允许生态系统用户研究各种代币、DAO 和 DeFi 协议。 其运营得到了 Dragonfly Capital、A&T Capital、Foresight Ventures、Bitget 和 Kucoin 等投资者的支持。

被盗

根据BitKeep CEO Kevin 2022年12月28日发布的公开信，在此次恶意攻击中，黑客使用并劫持的BitKeep网站apk安装文件版本为V7.2.9。 通过恶意植入代码，修改后的apk导致用户私钥泄露，使黑客得以转移资金。 Kevin表示，通过各种渠道安装的BitKeep官方应用没有安全问题。 但是，如果通过BitKeep官网下载7.2.9 apk或者已经更新到这个版本，需要尽快下载新的应用，生成新的钱包地址，转账，私钥可能会泄露. BitKeep也在其官方社区做出了提醒。

被黑客劫持的资产涉及4条链，包括：BNB、TRX、Polygon和ETH。 1、BNB 黑客地址：0x36225a2721DCb124F3E185d3c177049813b279ba 黑客先将被盗的BNB转移到混币平台，再跨链转移部分币种。 过程如下：

2.通过分析受害者地址中USDT的流向，TRX可以发现部分被盗的USDT已经转移到ChangeNow交易平台。 黑客使用的地址：TL981yVGMf93ME5DD1MqkUkZBE1GJwP8yN

3. Polygon 与 ETH

目前，Polygon 链上的所有资金都已转移到 ETH 链上。 Bitkeep 在社交媒体上的一篇帖子中也证实了这一点。 ETH地址为：0x9f12243d60c301d4e01a3d24bb620e8ffb40f855 该地址已收到约1233 ETH，所有币已转入其他地址。

此外，ETH链上的其他一些代币已经转移到OKX和Kucoin交易所。

部分代币在ETH上的转账如下：（地址太长，用前八位代替）

跟进

长期以来，钱包一直是加密行业玩家管理资产的重要工具，妥善保管私钥更为重要。 由于钱包的“自我托管”形式，各大钱包平台也有一条不成文的规定——因私钥泄露或丢失造成的资产损失由用户自行承担。 事实上，除了个人私钥保管问题，用户的不可抗力造成损失的可能性还有很多，比如：用户手机端被root，黑客通过木马获取高级权限； 用户下载或更新应用程序，软件apk包被黑客木马劫持（BitKeep事件就是这样）； 用户下载应用的目标CDN网络被黑客劫持； 钱包私钥生成工具供应链被黑等。因此，明确事故责任方往往是安全事件发生后首先要做的事情。 2022年12月28日，BitKeep在其官方社区发文称，该事件涉及用户全部损失，BitKeep将全额赔偿。

值得一提的是，这是2022年BitKeep第二次遭到黑客攻击，不久前的10月18日，BitKeep已经被黑客攻击过一次。 尽管团队进行了反抗，但还是有近 118 万美元被黑客盗走，之后 BitKeep 官方对用户进行了赔偿。

总结

在 Web 3.0 的世界里，没有什么是绝对安全的。 目前，区块链和虚拟货币相关技术仍处于发展初期，各种安全问题时有发生。 私钥存储看似简单，但由于安全意识的差异，不同层次、不同个体仍存在诸多安全隐患，而漏洞等技术因素造成的后果更是难以预料。 我国等文件明确规定，虚拟货币不具有与法定货币同等的法律地位，与虚拟货币相关的经营活动属于非法金融活动盗usdt违法吗，参与虚拟货币投资交易活动存在法律风险。 请广大公众理性看待区块链，不要盲目相信炒作承诺，树立正确的货币观念和投资理念，切实提高风险意识； 对于发现的违法犯罪线索盗usdt违法吗，可以主动向有关部门举报。 *本文部分素材来源于网络

更多干货内容请点击下方名片关注“智帆科技”区块链大数据分析专家