Liquid被盜事件后續追蹤反思：安莫大于防_LIQ

8月19日，總部位于日本的加密貨幣交易所Liquid熱錢包遭攻擊后，艾貝鏈動針對當前機構級熱錢包的幾種方案存在的安全風險做了分析，同時對機構面對高頻交易和資產安全的兩難需求命題提出了基于金融級安全硬件存儲私鑰的加密機熱錢包方案。并從安全硬件保護私鑰、物理設備確認交易信息及硬件審查執行流程與風控等維度來對癥下藥，試圖破解機構熱錢包面對的安全隱患。今天，面對Liquid此次遭受攻擊損失價值9135萬美金的加密資金流向，艾貝安全人員做了進一步的追蹤分析：北京時間8月20日下午15:32:29，Liquid黑客開始通過Tornado.Cash混幣服務處理其盜取的以太幣資產。此前，黑客以多次利用去中心化交易所將流通性較低或可能被凍結的資產轉換成以太幣。

借貸平臺Liquity昨日共有超300個Troves被清算:借貸平臺Liquity表示，昨日ETH價格短時3400美元下降至1800美元左右，平臺開始有1054個Troves，后面僅剩677個Troves，超過300個Troves被清算。其中，常規清算條件下，Troves抵押率低于110％會被清算，共清算121個Troves；在Recovery Mode下，Troves抵押率低于150％會被清算，共清算189個Troves。

Liquity補充表示，盡管有大量的清算頭寸，穩定池還是能夠有效地吸收所有的違約債務，9350萬LUSD債務被穩定池抵消，約48668筆已清算ETH被分配給穩定池儲戶。[2021/5/20 22:23:59]

Liquid正式宣布將Zcash、門羅幣等27種加密資產退市:7月26日消息，日本交易所Liquid昨日正式宣布，自7月24日起，將包括Zcash、門羅幣在內的27種加密資產退市。Liquid首席運營官Seth Melamed表示，這是符合法律規定的必要舉措。據悉，Liquid正在新加坡申請《支付服務法》許可證。在談到反洗錢（AML）和打擊恐怖主義融資（CFT）法規時，Melamed補充說，作為風險管理的一部分，他們必須采取保守的方式來維護代幣的上市，因為監管機構可能認為這些代幣與反洗錢和反恐融資規則以及《資金旅行規則》相沖突。根據官方聲明，退市資產包括SNX、MITH、DRG、WLO、STORJ、WIN、VUU、XNK、PPL、ENJ、AMLT、DENT、FSN、GEN、LND、MITX、SPHTX、MRK、BRC、XMR、NEO、IPSX、ADH、ZEC、IHF、PMA、XLM。此外，聲明指出，其中一些代幣正在與監管機構進行談判，將來可能會重新上市。（Cointelegraph）[2020/7/26]

從上面的etherscan交易截圖可以看到，黑客先將大筆資金打入0x37a0d地址，再以每筆100Ether的方式分多筆將資產打入Tornado.Cash智能合約，待后續處理。北京時間8月23日下午14:39:47另一個地址0xb5511也開始被用來往Tornado.Cash轉移資金。

動態 | 加密交易所BTSE宣布在Liquid網絡上支持USDT和BTC:據AMBCrypto報道，迪拜加密交易所BTSE近日宣布在Blockstream的Liquid側鏈網絡上支持USDT和BTC。[2019/12/6]

截止8月24日零點，共計8900Ether已經進入Tornado.Cash。根據艾貝安全人員分析，目前有一部分資金已經被從Tornado.Cash取出，并且通過RenBTC跨鏈兌換成99個BTC。

金色財經獨家采訪：Zilliqa CEO Xinshu Dong談EOS漏洞看法:今日，360公司Vulcan（伏爾甘）團隊發現了區塊鏈平臺EOS的一系列高危安全漏洞。對此金色財經獨家采訪了Zilliqa CEO Xinshu Dong，Zilliqa CEO 表示：360公有鏈出現安全漏洞大家都很關心，因為區塊鏈本身的不可逆性和多中心化。一旦出現漏洞，中心化的系統可以快速修復，但是多中心化的系統需要投票分叉解決，經常錯過最好的修復時機。但這次也是給整個區塊鏈領域一個很好的提醒。區塊鏈安全是多方面的，包括協議層的抗攻擊，智能合約語言層的可驗證，當然也包括對智能合約運行時的基本的隔離。其實這些都是在安全研究領域眾所周知的機制，但是需要區塊鏈項目都把這些都設計好、實現好。面對這樣的挑戰，大家需要共同努力。[2018/5/29]

原本黑客是可以有效通過混幣服務清除掉線索，但由于下面這筆6.76Ether的轉賬，讓0xC4C6E地址又跟之前的金流關聯起來。目前對于這類混幣服務僅能以有限的信息統計分析。

在這里，我們看到，此次黑客主要通過Tornado.cash混幣服務處理其盜取的以太幣資產，那么Tornado.cash是什么，又是如何為其提供隱私服務的呢？Tornado.cash是一個完全去中心化的以太坊私人交易協議。首先，用戶生成一個隨機密鑰并存入Ether或ERC20，同時將票據的哈希提交給Tornado.cash智能合約。然后，等待Ether存入后，用戶會等待一段時間再提現，這樣可以提高隱私性。最后，用戶提交持有其中一個票據的有效密鑰的證明，合約將以太幣ERC20轉移給指定的接收者。

圖源：Tornado.cash官網Tornado.cash通過打破源地址和目標地址之間的鏈上鏈接來提高交易隱私。它使用一個智能合約，接受可以通過不同地址提取的ETH存款。為了保護隱私，可以使用中繼器撤回沒有ETH余額的地址。每當新地址提取ETH時，都無法通過鏈接提取存款，從而確保完全隱私。這就意味著一旦黑客開始將盜取的資金向類Tornado.cash平臺或去中心化交易所洗幣，受限于現有的AML技術，資金追溯將會是很大的挑戰。因此，目前對于機構，“防”患于未然，是優先策略。做好機構資產的安全防護是重中之重。艾貝鏈動在提供保護機構數字資產安全自托管解決方案的同時，也在深入研發數字資產反洗錢與資金溯源工具，以期在“防”與“追”等各環節更好地為機構資產安全服務。L.Wuetal.,TowardsUnderstandingandDemystifyingBitcoinMixingServices(WWW2021)

Tags：LIQCASASHCASHLIQ價格TCASHSwash TokenSHDCash

比特幣交易