攻击Poly Network的黑客已归还资产，普通人如何防范数字资产安全？
共 3555字，需浏览 8分钟
·
2021-08-17 12:28
据Coin98数据统计，2021年第三季度共发生了11起重大DeFi盗窃事故，其中有5起属于跨链桥资产盗窃事故，分别为：AnySwap（7月10日，$790万）、ChainSwap（7月11日，$440万）、THORChain两起（7月15日，$500万）&（7月23日，$800万）、以及Poly Network（8月10日，$6.11亿）。
近日的Poly Network攻击事件，是历史上涉案金额最大的黑客事件，同时也是整个加密历史上涉案金额最大的黑客事件。不仅项目方在黑客面前束手无策，对于普通人而言，如何做好自身数字资产的安全防范非常重要。
被攻击的当天，8月10号中午12时，黑客竟公开表示将要归还所有资产，其通过链上交易备注表示准备归还盗取的资产，但因为无法联系Poly Network项目方，希望Poly Network提供一个多签钱包。黑客还称“获取这么多财富已经是一个传奇，而拯救世界更是永恒的传奇，我做出了决定，不再使用DAO。”
看起来似乎是黑客“回心转意”，但实际上仅仅是一次“风险大于作恶收益”的权衡。
尽管资金已经得到归还，但一次黑客攻击便可转移6亿美元资产的负面新闻，可能又再次对Defi的发展打上了不可逆转的阴影。
有关虚拟货币安全性的讨论，从它诞生以来从未停止。根据目前常见的虚拟币盗窃案件，这里总结了几种防范的被盗的小技巧，希望能引起大家警觉：
01 选择强密码
无论你将加密货币存储在交易所还是钱包中，你的第一道防线都是强大的密码。
需要注意的是，不要在多个帐户使用相同的密码，如果你的电子邮件和其他购物平台使用相同的密码，那么黑客只需检索另一个平台的密码，他们就可以立即访问你的电子邮件帐户，从而可以访问你所有内容。
为了提高安全性，请启用双重或多重身份验证。当然，每隔几个月定期更改你的钱包密码（以及所有在线帐户的密码）也是一种很好的做法。
02 选择合适的钱包
选择存储虚拟资产的钱包类型很重要。
第一种类型是典型的云钱包（可从移动设备和桌面访问），云钱包允许你从任何地方存储和访问自己的虚拟货币。如果你是新手，云钱包是很适合的选择，因为它易于设置和使用。
此外你也可以考虑硬件钱包，这是一个类似于U盘的设备，你可以在其中轻松存储你的所有私钥。由于这些钱包可以在你的工作完成后立即与互联网断开连接，因此黑客访问钱包信息的机会就会大大减少。
此外，为了增加安全性，请将你的硬件钱包及其备份密钥放在不同的地方。如果你经常有大额交易，最好在你的钱包中再增加一层安全层。
03 不要从公共电脑访问钱包
无论你多么迫切地需要访问自身帐户，永远不要试图使用公共计算机访问你的虚拟资产信息。
你最好是使用个人计算机或笔记本电脑，确保其密码安全，并且配备防范恶意软件的保护系统。
04 启用多重签名
启用多重签名后，用户必须访问两个或多个钱包密钥才能处理任何交易，类似于某些网站上的双因素身份验证。多重签名意味着即使黑客拥有私钥，他们也需要拥有额外的密钥来执行交易。
如果你遵循这些步骤，你将最大限度地降低黑客访问你的钱包的风险并确保你的加密货币安全。
05 交易时不要连公共Wi-Fi
最近几年，使用路由器Wi-Fi保护访问（WPA）协议中，也有一些黑客盗窃案发生。用户的设备如果连接到黑客的Wi-Fi网络，那么用户通过这个网络下载或发送的所有信息都可供攻击者使用，包括加密钱包的私钥。对于机场、酒店的公共Wi-Fi，大家一定要注意。
06 避免克隆和钓鱼网址
对于克隆网站，我们需要做的就是擦亮眼睛，往往一个字母大小写的区别，就会将我们带入陷阱之中。
攻击者一般会拷贝原始网站的内容，引诱用户访问克隆网站，当用户输入帐户密码或密钥时，用户的所有信息就被盗取了。
虽然加密货币空间以惊人的速度增长和变化，但黑客和诈骗者用来窃取虚拟货币的套路非常多，作为小白的我们根本防不胜防！在此提醒大家一定要提高警觉，有时候恶意链接、恶意软件、恶意邮件以及恶意的网站都非常危险，擦亮火眼金睛，千万别“上套”。
8月12日凌晨，PeckShield追踪显示，攻击Poly Network的黑客开始归还资产，在Polygon上于区块17862254已归还10,100USDC，在Polygon上于区块17862497归还100万USDC。
以下是攻击Poly Network的黑客关于这次攻击事件的解释，用12条自问自答回应一切：
1.问：为什么要攻击？
答：为了好玩 :)
2.问：为什么选择PolyNetwork？
答：跨链攻击很火。
3.问：为什么要转走代币？
答：为了保证安全。
当发现错误时，我有一种复杂的感觉。问问自己，如果你面对如此多的财富，该怎么办。礼貌地询问项目团队，以便他们解决问题？任何人都可能成为叛徒！我不能相信任何人！我能想出的唯一解决方案是将它保存在受信任的帐户中，同时保持我自己匿名和安全。
现在每个人都闻到了阴谋的味道。内鬼？不是我，但谁知道呢？我有责任在任何内部人员隐藏和利用它之前揭露漏洞！
4.问：为什么如此复杂？
答：Poly Network是一个不错的系统。这是黑客可以享受的最具挑战性的攻击之一。我必须快速击败任何内部人员或黑客，我把它当作奖励挑战:)
5.问：你暴露了吗？
答：不。绝不。我明白即使我不作恶也有暴露自己的风险。所以我使用了临时电子邮件、IP 或所谓的指纹，这是无法追踪的。我宁愿呆在黑暗中拯救世界。
6.问：30小时前到底发生了什么？
答：说来话长。 信不信由你，我是被迫玩这个游戏的。
Poly Network是一个复杂的系统，我没有设法建立一个本地测试环境。我一开始没能制作POC。然而，就在我放弃之前，AHA时刻到来了。在调试了一整夜之后，我为本体ontology网络制作了一个SINGLE消息。
我计划发起一个很酷的闪电战来接管四个网络：ETH、BSC、POLYGON和HECO。然而，HECO网络出错了！中继器的行为与其他中继器不同，管理员只是直接中继了我的漏洞利用，并且密钥已更新为一些错误的参数。它破坏了我的计划。
我应该在那一刻停下来，但我决定让节目继续！如果他们在没有任何通知的情况下秘密修补漏洞怎么办？
然而，我不想引起加密世界的真实恐慌。所以我选择忽略垃圾币，所以人们不必担心它们会归零。我拿了重要的代币（SHIB除外）并且没有出售任何代币。
7.问：那为什么要出售/转换那些代币？
答：POLY团队最初的回应让我很生气。
在我有机会回复之前，他们敦促其他人责备和憎恨我！我当然知道有假的DEFI代币，但我并没有当真，因为我没有洗钱的计划。
与此同时，存入Curve可以赚取一些利息来支付潜在成本，这样我就有更多时间与Poly团队进行谈判。
8.问：为什么给要小费 13.37枚ETH？
答：我感受到了以太坊社区的温暖。
我正忙于调查HECO的问题并调试我的脚本。我认为这是网络问题，为什么我不能存款（我在一个复杂的代理后面）。所以我和那家伙分享了我的善意。
9.问：为什么要问TORNADO和DAO？
答：目睹了如此多的黑客攻击，我知道将资金投入TORNADO是一个明智但绝望的决定。这违背了我的初衷。在遇到这么多乞丐后，成为众包黑客只是我的笑话:)
10.问：为什么退款？
答：这一直是计划！我对金钱不是很感兴趣！我知道人们受到攻击时会很痛苦，但他们不应该从这些黑客中学到一些东西吗？我在午夜之前宣布了退款的决定，所以相信我的人应该好好休息；)
11.问：为什么退款的这么慢？
答：我确实需要时间与POLY团队交谈。抱歉，这是我所知道的唯一一种在隐藏自己的身份的同时证明我的尊严的方法。我需要休息一下。
12.问：Poly Network团队？
答：我已经和他们开始了简短的交谈，日志在以太坊上。我可能会也可能不会发布它们。他们遭受的痛苦是暂时的，但令人难忘。
我想为他们提供有关如何保护他们网络安全的提示，以便他们在未来有资格管理10亿美金级别的项目。Poly Network是一个设计良好的系统，它将处理更多资产。他们在推特上有很多新粉丝，对吗？
声明：投资有风险，入市须谨慎。本资讯不作为投资理财建议。
