BIT:慢雾：美国执法部门破获 2016 年 Bitfinex 被黑案件细节分析

作者：?慢雾科技

当地时间周二美国司法部发布公告称，它已经查获了价值36亿美元的比特币，这些比特币与2016年加密货币交易所Bitfinex的黑客事件有关。34岁的IlyaLichtenstein和其31岁的妻子HeatherMorgan在纽约被捕，两人被指控共谋和罪。

美国司法部公告称，这是司法部有史以来最大规模的金融扣押，此次调查由IRS-CI华盛顿特区办事处的网络犯罪部门、联邦调查局的芝加哥办事处和国土安全调查局纽约办事处领导，德国安斯巴赫警察局在此次调查期间提供了协助。

事件背景

根据慢雾AML掌握的情报数据分析显示，Bitfinex在2016年8月遭受网络攻击，有2072笔比特币交易在Bitfinex未授权的情况下转出，然后资金分散存储在2072个钱包地址中，统计显示Bitfinex共计损失119,754.8121BTC。事发当时价值约6000万美元，按今天的价格计算，被盗总额约为45亿美元。

慢雾：Distrust发现严重漏洞，影响使用Libbitcoin Explorer3.x版本的加密钱包:金色财经报道，据慢雾区消息，Distrust 发现了一个严重的漏洞，影响了使用 Libbitcoin Explorer 3.x 版本的加密货币钱包。该漏洞允许攻击者通过破解 Mersenne Twister 伪随机数生成器（PRNG）来访问钱包的私钥，目前已在现实世界中造成了实际影响。

漏洞详情：该漏洞源于 Libbitcoin Explorer 3.x 版本中的伪随机数生成器（PRNG）实现。该实现使用了 Mersenne Twister 算法，并且仅使用了 32 位的系统时间作为种子。这种实现方式使得攻击者可以通过暴力破解方法在几天内找到用户的私钥。

影响范围：该漏洞影响了所有使用 Libbitcoin Explorer 3.x 版本生成钱包的用户，以及使用 libbitcoin-system 3.6 开发库的应用。

已知受影响的加密货币包括 Bitcoin、Ethereum、Ripple、Dogecoin、Solana、Litecoin、Bitcoin Cash 和 Zcash 等。

风险评估：由于该漏洞的存在，攻击者可以访问并控制用户的钱包，从而窃取其中的资金。截至 2023 年 8 月，已有超过 $900,000 美元的加密货币资产被盗。

解决方案：我们强烈建议所有使用 Libbitcoin Explorer 3.x 版本的用户立即停止使用受影响的钱包，并将资金转移到安全的钱包中。请务必使用经过验证的、安全的随机数生成方法来生成新的钱包。[2023/8/10 16:18:20]

慢雾AML曾于2月1日监测到?Bitfinex?被盗资金出现大额异动，后被证实该异动资金正是被司法部扣押了的94,643.2984BTC，约占被盗总额的79%，目前这些资金保管在美国政府的钱包地址

慢雾：警惕 Terra 链上项目被恶意广告投放钓鱼风险:据慢雾区情报，近期 Terra 链上部分用户的资产被恶意转出。慢雾安全团队发现从 4 月 12 日开始至 4 月 21 日约有 52 个地址中的资金被恶意转出至 terra1fz57nt6t3nnxel6q77wsmxxdesn7rgy0h27x30 中，当前总损失约 431 万美金。

经过慢雾安全追踪分析确认，此次攻击为批量谷歌关键词广告投放钓鱼，用户在谷歌搜索如：astroport，nexus protocol，anchor protocol 等这些知名的 Terra 项目，谷歌结果页第一条看似正常的广告链接（显示的域名甚至是一样的）实为钓鱼网站。 一旦用户不注意访问此钓鱼网站，点击连接钱包时，钓鱼网站会提醒直接输入助记词，一旦用户输入并点击提交，资产将会被攻击者盗取。

慢雾安全团队建议 Terra 链上用户保持警惕不要随便点击谷歌搜索出来的链接或点击来历不明的链接，减少使用常用钱包进行非必要的操作，避免不必要的资损。[2022/4/21 14:37:55]

bc1qazcm763858nkj2dj986etajv6wquslv8uxwczt中。

慢雾：PAID Network攻击者直接调用mint函数铸币:慢雾科技发文对于PAID Network遭攻击事件进行分析。文章中指出，在对未开源合约进行在反编译后发现合约的 mint 函数是存在鉴权的，而这个地址，正是攻击者地址(0x187...65be)。由于合约未开源，无法查看更具体的逻辑，只能基于现有的情况分析。慢雾科技分析可能是地址(0x187...65be)私钥被盗，或者是其他原因，导致攻击者直接调用 mint 函数进行任意铸币。

此前报道，PAID Network今天0点左右遭到攻击，增发将近6000万枚PAID代币，按照当时的价格约为1.6亿美元，黑客从中获利2000ETH。[2021/3/6 18:21:08]

事件梳理

慢雾AML根据美国司法部公布的statement_of_facts.pdf文件进行梳理，将此案的关键要点和细节分享如下：

分析 | 慢雾：攻击者拿下了DragonEx尽可能多的权限 攻击持续至少1天:据慢雾安全团队的链上情报分析，从DragonEx公布的“攻击者地址”的分析来看，20 个币种都被盗取（但还有一些DragonEx可交易的知名币种并没被公布），从链上行为来看攻击这些币种的攻击手法并不完全相同，攻击持续的时间至少有1天，但能造成这种大面积盗取结果的，至少可以推论出：攻击者拿下了DragonEx尽可能多的权限，更多细节请留意后续披露。[2019/3/26]

1、美国执法部门通过控制Lichtenstein的云盘账号，获取到了一份写着2000多个钱包地址和对应私钥的文件。该文件中的地址应该就是上文提到的2072个盗币黑客钱包地址，然后美国司法部才有能力扣押并将比特币集中转移到

bc1qazcm763858nkj2dj986etajv6wquslv8uxwczt中。

2、从2017年1月开始，被盗资金才开始转移，其通过剥离链技术，将被盗资金不断拆分、打散，然后进入了7个独立的AlphaBay?平台账号进行混币，使BTC无法被轻易追踪。从结果看，使用AlphaBay进行混币的比特币约为25000BTC。

3、混币后，大部分资金被转入到8个在交易所-1注册的账号，这些账号的邮箱都是用的同一家印度的邮箱服务提供商。除此之外，这8个账号使用过相同的登录IP，并且都是在2016年8月左右注册的。

更为致命的是，在Lichtenstein的云盘里有一份Excel表格，记录着这8个账号的各种信息，而且其中6个账号还被他标记为FROZEN。美国司法部统计发现，交易所-1里的8个账号共冻结着价值18.6万美元的资产。

4、混币后还有部分资金被转入到交易所-2和一家美国的交易所，在这两家交易所上注册的账号，有些也是使用的上文提到的那一家印度的邮箱服务提供商。这些信息也是在上文提到的Lichtenstein的云盘中的Excel表格里发现的。

通过VCE2和VCE4，Lichtenstein夫妇成功把Bitfinex被盗的BTC换成了法币，收入囊中。不过，他们在VCE4上有2个用俄罗斯邮箱注册的账号，因为频繁充值XMR而且无法说明资金来源，导致账号被平台封禁。美国司法部统计发现，上面冻结了价值约15.5万美元的资产。

5、在账号被冻结前，从交易所-1提币的资金，大部分到了另一家美国的交易所。在Bitfinex被盗前的2015年1月13日，Lichtenstein在VCE5交易所上用自己真实的身份和私人邮箱注册了账号并进行了KYC认证。在VCE5交易所上，Lichtenstein用BTC与平台上的商户购买了黄金，并快递到了自己真实的家庭住址。

6、除了前面提到的VCE1、VCE2、VCE4、VCE5这几家交易所被他们用来，Lichtenstein夫妇还注册了VCE7、VCE8、VCE9、VCE10等交易所用来。资金主要都是通过从VCE1提币来的，不过在VCE7-10这些交易所上注册的账号，都是用Lichtenstein夫妇的真实身份和他的公司来做KYC认证的。

美国司法部统计发现，从2017年3月到2021年10月，Lichtenstein夫妇在VCE7上的3个账号共计收到了约290万美元等值的比特币资金。在这些交易所上，Lichtenstein进一步通过买卖altcoins、NFT等方式来，并通过比特币ATM机器进行变现。

链路

事件疑点

从2016年8月Bitfinex被盗，到现在过去了约6年的时间，在这期间美国执法部门是如何进行的深入调查，我们不得而知。通过公布的statement_of_facts.pdf文件内容我们可以发现，Lichtenstein的云盘中存储着大量的账号和细节，相当于一本完美的“账本”，给执法部门认定犯罪事实提供了有力的支撑。

但是回过头全局来看，执法部门是怎么锁定Lichtenstein是嫌疑人的呢？

还有个细节是，美国司法部并没有控诉Lichtenstein夫妇涉嫌非法攻击Bitfinex并盗取资金。

最后一个疑问是，从2016年8月Bitfinex被盗，到2017年1月被盗资金开始转移，这其中的5个月时间发生了什么？真正攻击Bitfinex的盗币黑客又是谁？

标签：BITSTEVCENEXbit币最新价格STEAK币VCE价格CoinEx交易所无法提现

币赢热门资讯