NXT被盗事件危机折射中国交易所乱局

在被盗后，比特儿没有任何反应，没有利用交易留言跟黑客进行任何沟通。而是黑客主动发送了一个“hi"，在比特儿没有答复后，黑客主动提出了要求，要求交易所用比特币赎回NXT。

黑客：“We can trade these NXT for some bitcoins to make life easier for you, and me”

由于NXT的交易所有限，而且区块能被回滚，黑客也担心自己的赃款不能销赃，或者交易被取消。因此主动提出要求赎金。由于区块重置会损伤NXT的信心，比特儿没有决心要重置区块，而开始对黑客的要求进行回应。

比特儿开始口气还比较硬，先是要求黑客用邮件联系，在黑客7分钟没有回答后，可能才想明白邮件能被追踪，黑客不可能使用邮件，只能使用交易留言。此时比特儿还认为自己能够用“回滚”恐吓黑客，在58分22秒要求黑客返还NXT，不然采取行动，还要求黑客“放聪明点”（be smart)

黑客在33秒立即回应，声称如果得到比特币，可以返还。并提供了比特币地址 13UZjKkhHWyTmQ4mx28WT5Wj1zw4pEByZw ，但此时黑客并未开价。注意黑客在44秒发送比特币地址后，59秒立即补充了一句“btc purse”（应该是wallet才对），说明此时黑客还没有思想准备，说话还比较随意，主动权尚在比特儿手中。

当然这里没有电影里的谈判专家，但此时如果比特儿能进行紧急会议，群策群力商讨对策，尚有挽回败局的机会。

赎金

比特儿收到要求后，大概考虑了5分钟，回应了黑客的要求。比特儿要求黑客返还全部的NXT到一个指定地址NXT-R3V3-2S79-F3ZM-BVXKZ 或者被盗地址。并答应给黑客10个比特币，威胁黑客如果不从，将在很快时间重置区块，并要收拾黑客，最后说了一句“我保证”。

至此，比特儿开始进入被动。一句“退还被盗地址”已经反映出比特儿方寸大乱。既然币被从地址盗走，地址早已被黑客控制，如何能安全呢？然后想有10个币赎回1000万的NXT，哪个黑客也不会答应的。

黑客感觉被侮辱了，说10个币你也想打发我？我把你的密码（MD5）爆出来吗？——此时已经暴露出交易所的严重问题，无论MD5是否加盐，用户数据库已经被拖，比特儿的用户将处于裸奔危险中，还有可能危及客户在其他交易所的帐号。

接下来比特儿给了黑客1个比特币，并要求黑客把NXT退回，完了以后给他剩余的9个币。此时导致黑客感到被侮辱了，回复道： 一分钟以后，黑客开价要求100BTC赎金：100 btc, than we're talking. otherwise, let it do the rollback.

底牌

比特儿终于在最后屈服了，把100个比特币付给了黑客。而且交易是从交易所公布的用户资金冷钱包里出帐的。前后一共有30个比特币是从用户冷钱包 1GRFNTyLwoyQnk7S3MFFAz5qPkdWp7YSoY 里直接支出的。

然后，就没有然后了。比特儿在半小时后如梦方醒，发出了最后一声哀鸣：

We have already done our part. Send the rest NXT back for the community and it will be over. Make life easier for both you and others.

回滚

然后比特儿开始联系所谓社区，要回滚交易区块，目前是否回滚成功不得而知。而黑客却至少得到了110个比特币（比特儿事实上给了黑客110个比特币，第二次一共给了100个，第一次给了1+9个，已经慌乱到数都数不清了） 。如果区块不能回滚，比特儿将面临着倒闭的命运。

总结

本次比特儿被黑是历史上第一次完全公开展现的网络犯罪，剧情跌宕起伏，扣人心弦，比特儿开始从掌握主动，到处置不当，最后惊慌失措，丢了夫人又折兵，暴露出交易所和虚拟币行业的一些严重问题，可以说是极好的教材。总结一下可以有几条：

1，POS币的钱包必须上线运行才能获取利息。因此NXT钱包必须在线运行，给了入侵的机会。POS币不能冷钱包保存，暴露出POS的重大安全隐患。

2，网站安全性严重缺陷，不仅钱包被洗劫，用户数据库也被盗了，给用户的邮箱等密码带来严重威胁。更可怕的是在黑客表示要爆库后，比特儿惊慌失措，立即答应赎金增加，已经暴露了底牌——非常害怕被脱裤。为何非常害怕被脱裤？——恐怕MD5密码未加盐，是最可能的原因。 没加盐的MD5，可能稍微比明文好那么一点吧……

3，发生危机后，负责人在巨大压力下精神崩溃。开始从掌握主动，逐渐在语言和发信频率上暴露出心虚，也没有给黑客施加强大压力，被黑客掌握了底牌，立即处于完全被控制的状态。不仅乖乖交出赎金，还浪费了宝贵的重铸时间。

4，交易所在紧急情况下竟然挪用用户资金支付赎金，如果黑客有心，一定已经知道了（因为是公开钱包）。这反映出交易所一个是精神上毫无准备（至少先从客户钱包转出来到另一个钱包，再转给黑客），另外也反映交易所的资金不足。这就给了黑客充分的思考余地，最终完胜比特儿。而且这种行为在用户中造成极为恶劣的影响，已经引起了一场危机。

5，POS币竟然可以由社区决定回滚，这又沉重打击了POS币的信心。

等等等等，这些事件在同一起黑客攻击事件中出现，充分反映了中国比特币行业的混乱无序，完全有理由怀疑其他交易所的安全性和偿付能力。

最后希望比特儿能认真吸取教训。其他交易所也要加强安全措施，吸取前车之鉴。至于POS的弱点这次暴露无遗，恐怕就不是交易所能解决的了。

原文转自：http://www.yibite.com/blog-10148-1015.html