北京联安：kucoin盗窃案涉及数千万美元拆解连锁数据

黑客从kucoin交易所转移了数千万美元的USDT和BTC。由于产业关联，黑客转移和实现的成本急剧增加。

原文的题目是：“检讨***安全事件：产业联动打黑，黑客还是水落石出？”？》
北京连安

北京时间9月26日早间，一家**交易所发生kucoin被盗事件，造成比特币损失，包括ERC20 USDT和其他ERC20标准代币，甚至EOS USDT。事件发生后，酷币也及时公开报道了此事，酷币国际首席执行官约翰尼也通过现场直播，通报了事件的全部经过和**进展。就目前的情况来看，整个形势在可控的方向发展，北京联安也参与了相关资产流向的分析和跟踪。接下来，让我们分阶段回顾一下这一事件。

怎么搞的？

货币视角

据国明CEO强尼介绍，2020年9月26日02:51，酷币团队接到风控系统第一次报警，发现ETH转账记录异常。传输目标地址是：0xeb31973e0febf3e3d7058234a5ebbae1ab4b8c23，然后发生了一些异常事务，kucoin立即启动了响应机制。

链图透视图

今天，如果您打开**的以太坊块浏览器ETHerscan，0xeb31973e0febf3e3d7058234a5ebbae1ab4b8c23已标记为**。

以太扫描将根据相关代币的动态价格计算地址上代币资产的总值。因此，国外主流媒体大多报道，根据链上的转账记录数据，本次已转出1.5亿美元。据kucoin团队确认，黑客在大规模转移国库货币资产的同时，钞票钱包团队也在转移资产进行“对冲”例如，被tETHer和bitfinex冻结的3500万美元，其中1300万美元被钞票钱包团队转出，2200万美元被黑客转出。

基于此，kucoin尚未公布实际涉案金额。CEO约翰尼还表示，由于受影响代币中有很多是ERC-20代币，其价值评估仍在进行中，kucoin将在确认后公布具体代币和金额。

根据交易记录，该地址的第一笔有记录的交易发生在北京时间9月26日02:49:18，交易盗走1388万ERC20美元。

本次事件的另一个特点是，除了主流的ERC20 USDT外，还盗取了大量各类代币的热钱包。同时，从行为模式的角度来看，黑客可能采取了代码穿越被盗硬币的方式。它们不验证各种代币的余额，而是通过轮询发出传输指令。因此，我们可以看到一些转移量为0的代币传输只消耗了一些气体，对于黑客来说，这确实是一种更为“高效”的传输方式。

比特币方面，通过北京联安的链图检测系统分析，9月26日03:05:37，酷币热钱包连续向一个地址转账，总金额1008 BTC。同时，它被转移到999160 omni USDT。

如何处理库库因

货币视角

郭铭CEO强尼表示，事件发生后，库币技术人员成立了应急小组，并成立了应急沟通小组，对目前系统中的一些行为逻辑进行调查和探索。

同时，国库货币运维人员关闭钱包服务器，开始将存储的资金从热钱包转入冷钱包，相关的汇兑收费业务暂停。

对于用户，酷币发布了相关公告，郑重表示，如果任何用户在此次事件中遭受损失，一切将由酷币及其保险基金承担。

链图透视图

从ERC20 USDT的角度来看，9月26日06:28后基本停止交易，其比特币相关交易在凌晨4:34后不再转移给热门钱包用户，

同时我们也可以看到，在其他酷酷的钱包下，我们也可以看到它的钱包被热攻击了。从发行后的措施来看，kucoin在这些环节的反应是比较迅速和到位的。

黑客攻击：封锁行业

货币视角

国新网CEO强尼表示，目前酷币已与火币、币安、奥凯、拜比、比特等全球主流交易平台、项目方、安全机构和警方等全球主流交易平台进行了接触，并采取了一些有效措施，正全力追讨这些资产。

链图透视图

了解到这一情况后，北京联安很快启动了相关资产的监测和与国库货币的联动机制，并很快发布了一批ERC20美元的走势图。

我们可以看到黑客已经建立了一个独立的地址。首先，他进行了1USDT的转移测试，然后直接输入50000 USDT。这样的贸易集团两次到达两个地址。之后，黑客将这两个地址的USDT部分黑客攻击到以输入0xdf0921开始的地址，相关的USDT开始进一步去中心化转移，11000美元进入Matcha交易所。对此，我们也及时将相关信息同步到相关交易所，并进行了公告。Matcha也迅速冻结了相关账户。

与此同时，kucoin首席执行官约翰尼在直播中没有提到的一点是，kucoin显然联系了USDT的发行人泰达。泰达也积极回应，通过智能合约直接冻结公链的相关USDT。同时，bitfinex还宣布已冻结被盗的EOS USDT。

从目前来看，其余被盗的ERC20代币和比特币尚未采取行动。在行业的围攻下，黑客要想完全转移和实现这一资产将非常困难和昂贵。

事实上，北京时间9月26日21:18:35，黑客再次试图转移USDT资产

显然，冻结资产的转移已经受阻。黑客在这个时候有什么感受？

余震：交易所应如何应对资产安全

库库因安全事件已经过去24个多小时，围绕事件本身的噪音也逐渐消散

和往常一样，作为今天的知名地址，黑客转移资产的地址已经变成了涂鸦板和广告牌。一些奇怪的代币被转移到这个地址进行展示和嘲笑。这也是这个行业的一种黑色幽默现象。

当然，更严重的问题仍有待考虑。与kucoin有关的安全事件发生的原因需要进一步调查和公布。然而，对于任何交易，内部风险控制、道德风险防范、不同业务网络之间的隔离、多重签名机制的实施是最基本的，但需要安全措施的扎实实施。

同时，货币安全事件也反映出，除了防患于未然之外，当安全事件发生时，合理应对也会有效减少损失。从这个角度看，这起事件有值得注意的地方，比如比较迅速地发现问题，紧急保护现有资产，及时动员业界进行联防，特别是抓住关键环节，防止重点资产进一步转移。当然，关键是要及时公开攻击信息，CEO可以通过直播来传达信息。这些做法可能值得其他交易所将其纳入自己的应急计划。