BTC.com手机客户端

洗劫狐狸:ShapeShift被蓄意破坏的故事

lwvwlcn 发布在 币头条,比特币 22 6060

比特币,和人类其它任何系统一样,展现了乌托邦的最高理想,同时还吸引了社会中最低级的渣滓。

注:本文有些名字采用化名,敏感信息有所改变。

Erik Voorhees

这是一篇ShapeShift被如何出卖的故事,做为区块链资产交易平台的领导者,一个月不到的时间被出卖了——不是一次两次,而是三次!

价值大约二十多万美元的虚拟货币被内外勾结的盗贼窃取,这之后的资源消耗就更别提了。然而不管怎么样,我们客户的资金没有受到威胁,这在经常发生失窃的比特币产业中意义重大,ShapeShift已经改进和重建,这次深刻的教训使ShapeShift觉得责任重大,也更加坚定了打造更加安全、零阻力资产交易所的决心。

本着比特币社区开放的精神,我们与社区分享这个故事,希望大家对此事知情,在成为大家茶余饭后谈资的同时,也希望同行们汲取教训,引以为戒。

Fox

 

故事背景

 

自从2014年推出以来,ShapeShift就像一个快速进化的生物一样,从开始只有比特币和莱特币之间的兑换试验,一直成长为支持大部分区块链资产间无摩擦兑换的一个高级引擎,从一种虚拟货币兑换成另外一种虚拟货币,零阻力兑换,无需账户,不需要注册。它就像虚拟货币领域的谷歌。

我们一直以来奋起直追,试着赶上这个产业的发展速度,我们不仅仅拓展比特币应用的深度,而且还拓展整个加密货币的宽度,这是一个具有挑战性的事业。

去年秋天的时候,我们意识到我们最初的“小微兑换”的服务架构是无法满足市场需求的,我们需要一名专业人士加入我们的小团队,来打造一个可以随着我们技术的发展而扩展且安全的服务架构。

我们雇用了一个人,很快我们就开始实施我们具有前瞻性的想法了。根据书面资料显示,这家伙看起来棒极了,我们参考了他以前从事的工作情况。他甚至早在2011年到2012年间就在自己屋子里组装了比特币矿机。非常棒,我们叫这名新雇员Bob,其实他的真名确实以B开头。

接下来的几个月,Bob构建并管理着ShapeShift的基础架构。他做的还可以,我们需要一位专业人士来保证我们的引擎可以在这种架构上运行,我们仅仅满足于此。

今年的第一季度中,我们发现,市场需要各种区块链资产的流动性,ShapeShift的交易量急剧增加,特别是以太坊。我们的基础架构还没有为这种增长速度做好准备。这就像是给自行车突然加了一个喷气式动力引擎一样。

不幸的是,Bob没帮到什么忙。当整个团队都在奋力工作的时候,他却无所事事。

不对,事实上,Bob有他自己的打算。他准备行窃

 

背叛开始

 

3月14号,在我们上线以来承受最大交易量的几周中的一天上午,我接到我们运营管理者Greg的电话,“Erik,我们的热钱包丢了315个比特币。”你会问为什么热钱包放那么多钱?因为随着交易量的剧增,我们以前情况的热钱包在这种交易量的情况下一小时就空了,这时就要手动重新填充。有没有自动填充或者降低这种风险的方法?有是有,但这是在开发完成之后的事情。

就这样,315个比特币丢了。

对有丢失比特币经历的人来说,这种感觉让人感觉像呕吐。这种深入人心的感觉并不会即刻消失,它会深入一个人的骨髓。如果一个人认为自己维护的系统非常安全,却被攻破时,这种感觉非常的不舒服,这丢了的315个比特币相当于13万美元,这相当于一个人上大学的费用、半套房子的价钱、买食物可以吃10年、好长时间的工资…对于一个初创公司来说更是一大笔钱。

我冲到办公室,希望这只是搞错了。庆幸的是丢的是我们自己的钱,客户的资金、账户、信息没有任何风险,这是ShapeShift成立之初的设计原则。即使这样,迎面而来的一拳也感觉像掉进了火坑。

我和Greg,还有另外两名工程师调出服务日志,疯了似的想弄明白,到底发生了什么,315个比特币流到了一个不熟悉的比特币地址,现在还在那:

https://blockchain.info/address/1LchKFYxkugq3EPMoJJp5cvUyTyPMu1qBR

尽管我们通知所有员工到办公室开紧急会议,可是我们IT部的Bob在11:30才到,就是他负责基础设施安全的。

我们让Bob加入我们的讨论。我们让他看了我们被黑的情况,问他是否记录到什么没有,他好几次都回答没有。对于这个盗窃者,Bob既不震惊,也不生气,负责安全是他的职责啊?于是他就开始含糊其辞,“交易所被黑,这在业内是经常发生的事情。”Bob啊,我们交易所的账户是好好的啊。

“嗯,注意IP地址,这是西非地区的。”唉,区块上记录的IP地址只记录了转账的第一个节点,这根本没有什么意义,Bob,你算哪门子比特币爱好者啊?

很快我们意识到他没什么用处,我们的服务器伙计对他自己架构的系统被黑都没什么概念。

当翻完我们的日志文档后,我们发现,在失窃前一个小时,一些属于Bob的SSH密钥登录过那个失窃的服务器,失窃两分钟后又退出了。没有异常动作,这是必要的,因为Bob的密钥就应该定期的登录进去,虽然时间有点奇怪(早上6点)。我们还发现,黑客使用了VPN来入侵,这意味着,我们办公室的某人,或者有人通过我们的VPN来实施了盗窃。

我们要求每一位有权限进入服务器的员工提供他们的SSH密钥指纹,一遍我们对照他们的记录,每个人都这么做了,奇怪的是:Bob提供的密钥指纹没有任何记录,空白的,更奇怪的是这个密钥在任何服务器上都没有记录。

过了一会儿,Bob觉得到了他的午餐时间,就消失了1个小时,这可是在ShapeShift创建以来遭受最大创伤的时刻啊。其实我们并不在乎他的离去,他在这也是无用的,而且我们有点怀疑他了。他对我们每个人说他的笔记本电脑在开着下载一些记录,并确定我们都看到了。他变得有点怪怪的。

一个小时后,他回来了,坐在正在分析情况的工程师旁边。我在另一间屋里接电话。我电话接完出来看看进展,这时Bob收到一个电话称她妈妈需要去医院。他带上他的东西,拉着他在办公室的狗,走了。我们一半人感到解脱,另一半人感到惊愕:我们正在调查中,服务器管理员又走了?这不是他应该领导的调查吗?

他的回答是“我会在一个小时内回来。”此时是3月14号下午3点。

我们再也没见到他。

他离开不久,我们的一个工程师把我和Greg拉到一边说:“在你接电话时,我们都坐在这桌子旁边,发现Bob偷偷地删掉了两个SSH密钥记录,然后他还在记录日志里搜寻了几遍那两个密钥,之后才离开。这两个密钥就是我们服务器被黑之前进入的那两个。”

他刚刚从服务器中把他的密钥给删除了?这不是此地无银三百两吗?

于是我们假设Bob就是窃贼。他不在这里,我们锁定了一切,换掉所有密码。

我们又忙了几个小时,Bob没有来一个电话或短信,没有任何回音。这天就要结束的时候,就是他离开后三四个小时后,我们决定给他打个电话,起初没有泄漏我们的疑心。

“嘿!Bob,你在哪?”
“哦,嘿!我临时决定回家了。”
“你现在在家?”
“是啊,刚到家,有点事情处理。”

这TMD算什么事情啊。

我们对电话做了录音,接下来的30分钟对话我们掌握了一些证据。

“Bob,貌似你删除了你的SSH密钥,给我们的新密钥进入不了任何服务器啊。”
“嗯,是的,我觉得那个密钥不怎么重要就删除了。”

是的,这真的是从他嘴里说出的话,我们的服务器管理者,在我们调查偷了13万美元的窃贼时,偷偷把仅有的两个密钥给删了,而且在电话中说它们不重要。

这两个密钥案发前登录过比特币服务器,而且失窃后两分钟就登出了。恩,这确实不重要?

他没有为他异常的行为做解释,只是围绕着问题周旋,开始的时候很巧妙应付着,后来就开始认定我们在种族歧视了。

“嗯,Bob,我们把你作为目标是因为你的密钥在案发时进入过服务器,而且在调查期间你把他们删除并离开了。”

通话大约进行了45分钟,他说了其他荒谬的理由,都被录了下来。

我们发现了更多的证据细节,知道了到底发生了什么事情,以及谁是作案者,这让人感到欣慰。那天晚上我们整理了所有文档,准备起诉Bob。

我给他一个最后的弥补机会,我给所有员工发了一条信息,这样就不会让他觉得暴露自己了。

“这是你改过自新的最后机会,汲取教训,让这一切结束。如果上午十点前315个比特币被打到下面地址,我们就不会付诸法律行动,不再追究此事,和平分手。发送于此:35JBgzjyCUPswjRP9iqrUTkkX76QwrKkB9 ——艾瑞克”

我在早上4:36收到Bob的信息,“我没有删除任何密钥,我定期的登录服务器做检查。”

好啦,我们之前做的电话记录清楚的记录到他删除了密钥,而且他说那天上午没有登录过服务器。他撒谎的水平还不如他管理服务器的水平。

他还继续用青春期孩子般的口气说:“你们这就是种族歧视,这就是为你们种族主义者找借口。我从来没有犯罪记录,不像你在证监会做过的勾当。”

次日早上,我们的律师写了封正式邮件(email和平信)发给了Bob,阐明了我们掌握的证据并要求归还我们的财物。还有就是和他解除劳务合同(我想这是公平合理的)。Bob回复律师称,这些都构不成证据,“你的客户是一个种族主义者,看清楚你的合作对象。”

他就像还生活在因特网的幻象中一样。难道他真没有意识到问题的严重性?荒谬的事情才刚刚开始。

又过了一天,我们开始正式的民事诉讼。Bob给我们的地址是一个邮政地址,我们知道他的真实姓名、银行账户和身份证号。我们还雇了一名私家侦探,我们没几天就找到了他的住处。但是没见到他,尽管侦探听到了门后有狗叫声。我们发现了他的一辆车,他有两辆车,都是淘汰的无照牌警察巡逻车。

我们得对我们的投资人证明我们处理本次事件的努力,所以我们还作为刑事案件处理此事,本案已经构成三级犯罪,可以判4到12年的有期徒刑。其实,我们并不关心他是否受到惩罚,我们关系的是我们是否能够全款追回丢失的财产,还有他能够意识到这是一个足以改变他人生道路的错误。到目前为止,他还没有意识到。

我们进一步了解了Bob,他在他老家佛罗里达没有前科。

随着民事诉讼和刑事诉讼的推进,我们发现Bob逃去了佛罗里达(他的狗交给邻居临时照料,他的邻居也想知道他在哪,已经几周不见了),我们觉得这个案子算是有眉目了。我们迟早会逮到他。我们有希望追回我们的财产,或者等值的法币。
Rovion

我们在Bob离开后重建了一个服务器构架,他在我们系统中所做的工作算是最大的软肋。我们把服务移到了我们称作CloudCo的云服务中。

4月4号时,我们准备使用新的云服务构架上线运行时,混乱再次发生。

4月7号星期四,中午时分,我们发现以太坊热钱包中的币被转移了,这是采用CloudCo上的新服务架构,这个新架构还没没公开呢!开始时,我们以为是代码出了问题,可能是钱转移到了开发服务器上或者其它类似情况。这个时候,我们又发现比特币和莱特币都出现丢失情况。
小偷的比特币地址:14Kt9i5MdQCKvjX6HS2hEevVgbPhK13SKD
小偷的以太坊地址:0xC26B321d50910f2f990EF92A8Effd8EC38aDE8f5
小偷的莱特币地址:LL9jqgXVqxUbWbWVaJocBcF9Vm8uS3NaTd

现实很快就击中了你,这宛如晴天霹雳。这种沮丧再次来的那么直接。这TMD到底是怎么回事儿?

密钥没有公开就被黑了,太邪门了。我们把我们的系统关闭了,包括我们正在营业的网站,开始调查。自从上次被盗,我们的热钱包就没有放太多钱,所以损失没有上次大,但是也不算小。我们不敢相信,一个全新的系统架构,新生成的密钥还是会被盗。

经过几个小时的调查研究后,没有什么结果,我们觉得最合理的解释就是云提供商不安全,之前有交易所就发生过这种事。CloudCo的口碑很好,但是谁知道呢?云服务比较方便而且扩展性很好,但是我们不能完全相信它。所以我们决定吧网站暂停最少24小时,为我们的搬迁留出时间,又一次,新的系统架构,新的服务器。

和丢钱一样让人沮丧的是我根本不知道这是怎么发生的。记录日志没有发挥作用,没有任何记录,事实上它们被擦除了。

尽管如此,我们还是从区块链上追踪到黑客的踪迹,他把币转移到了一家交易所,我们掌握了他的账户信息:

姓名: Rovion Vavilov
Email:rovion.vavilov@riseup.net
地址:Chayanova St. 15, Moscow
生日:1980.02.02
电话:+7 9625148445

这些信息可能是假的,但那天晚上我还是给他发了一封email。

邮件来自:Erik Voorhees erik@shapeshift.io
发送给:rovion.vavilov@riseup.net
主题:ShapeShift Hack…

“干的不错,你是怎么做到?——艾瑞克”

专业提示:黑帽式的黑客喜欢别人称赞自己的技术,不管他们所作的是否道德。像成年人一样和他们平静的对话,他们可能会透露点信息。这很奇怪,但很管用。不管怎样,我不奢望他给我回信。

那天晚上直到次日(8日,星期五),我们团队慌忙的重建了整个系统,新的架构,独立的服务器,干净的系统环境。

对于大部分人来说,ShapeShift只是一个服务网站。但是它背后需要工程师们大量的工作,后面的平台非常复杂。超过1400个资产交易对,集成了半打交易网站的API,还要和他们所提供的虚拟货币价格实时同步,给合作伙伴提供低延时的API,监控和计算交易所的汇率和挂单深度,这些交易可是地球上波动最大的交易,还要对一些只能称为alpha测试版的软件支持。

在比特币领域,这种事是没有指导手册的。

我不是一名工程师,我只是偶尔看一下我们创建的宏伟工程。我希望我能受得起这份荣誉,如果我们团队能看到这里,我想让你们知道你们设计了不可思议的机器,应该为这感到骄傲。

这个时候,事情有了进展。

星期五中午,那个黑客给我回email了:
邮件来自: rovion.vavilov@fastmail.com(一个新的邮件服务域名)
发送给:Erik Voorhees erik@shapeshift.io
主题:ShapeShift Hack…

“一个字:BOB”

这封信就这几个字,我们都非常震惊。有那么几秒钟,我们觉得Bob就是这黑客,但是随后有了更合逻辑的答案:Bob把我们的信息卖给了黑客,黑客利用了这些信息。

Bob背叛了我们,背叛了他的职业地位,通过摧毁信任他的人来赚钱。他盗窃,撒谎,逃跑。在给他改过自新的时间里,他为了蝇头小利再次出卖我们。黑客会攻击,他找来一个杂碎去骗取一个团队的信任,他和支付他薪水的团队一起工作,然后把这个团队出卖,拿到的钱可以买辆特斯拉。是的,然后自己把自己的狗都丢弃了,这可能被动物服务机构记上一笔。

注意自己身边的这种人,一旦怀疑他是这种人,远离他。

不管怎么艰难,经过我们的努力,我们在周五晚上把一切都准备好了,这已经是24小时过后了。我们在新的云服务HostCo平台上线了,尽管有点瑕疵,但是可以运行了。我们公布了我们被攻击的情况,决定把我们被攻击的细节和教训发布出去。

交易所的买卖单开始挂起来了,我们松了口气。我在凌晨1点钟睡着了,睡得很香,我身心疲惫,我为我们的团队骄傲。

次日星期六早9点,我睡得迷迷糊糊的,电话响了,Greg打来的。

“我们又被黑了,在HostCo上的比特币和以太坊热钱包被盗了。”

我拿着电话,说不出话,我只是在想:“这TMD就是传说中的大灾变?”

这看起来是不可能的事,两天前的那次是看起来不可能,这次让人彻底混乱和沮丧了。我告诉Greg先把网站关了,我30分钟内给他回电话。这TMD让我们怎么跟社区交代,怎么跟客户说明,怎么像我们的投资人交代?我们跟自己怎么解释?

我从床上爬起来,没有恐慌,只是感觉被彻底击垮了。我洗了个人生中最糟糕的澡。愤怒缠绕着我,我们从黑客电邮里知道Bob跟这有关,我们还知道Bob负有3级刑事责任,司法部门三周前就知道了这个了,我们的私家侦探也提供了可以直接定罪的信息。然而此时发生了这种事情。

我集中了一下自己的想法,决定是时候求助于专业人士了。

Michael Perklin是Ledger Labs负责安全和调查的领导,他是我最先想到的求助对象,他在多伦多,同意当晚见我们,当时正在去医院的路上,他的一个脚趾破了,当接到我电话后,改变路程去了机场,冠军风范!

我还和几家交易所的领导通了电话,没有人喜欢小偷,他们乐意帮忙,尽管步伐、观点和兴趣有差异,但这个领域在需要的时候会团结在一起。

1500个以太坊追回了,交易所还在进一步的追查,这个小偷肯定不舒服,毕竟被偷是件不爽的事儿。

 

和小偷谈话

 

之前黑客给我回了“一个字:Bob”的email,我也回复了他,问他是否能提供更多信息,他说给钱就行,我给了他2个比特币。

“嗨!”他说,
“我想知道你跟Bob是什么关系。”我刚开始没有直接去问细节问题。
“我从Bob手中拿到了他‘入侵’你们的信息,然后我也入侵你们,我在Bob黑进你们服务器前也尝试这这么做,但没有成功。”
“你对Bob行动了解多少?”我又问。
“内部作案,315个比特币。之后我问Bob怎么入侵,他给了我更多关于系统架构的信息和一些密钥。”他回复说。
“为什么他会给你信息,他都给了你些什么?”我问。
“我给了他一些比特币,他给我一些IP地址,服务器策略,用户信息,可用的SSH密钥。现在密钥不能用了。”他回复说

通过进一步的交谈,我知道了他跟Bob通信的邮箱地址:m0money@gmail.com。

虽然我以前没有见过这个邮箱地址,但总觉得有点面熟。我想了一会儿,想到了Bob经常用0代替o,包括他从服务器中删除的密钥(这个特殊的密钥中有Bob的真实姓名)。Bob一般把密码设为和“m0m0ney”类似的形式。我们负责安全的家伙居然把“l33tspeak”这种 字符串作为密码,真够安全的。

我们已经清楚了,几周前Bob偷了我们的钱,现在也知道了,这个黑客,Rovion,给我们的信息也牵涉到Bob,Bob把我们的安全信息信息出卖给了别人。

另外一种思路,Bob是这个黑客从一开始就安插进来的间谍吗?有这个可能,但是Bob在3月14号的一举一动都在否定这种解释,特别是他在我们眼皮底下把密钥给删除了,然后离开办公室,再也没回来。还有其它的证据也不支持这种理论。

回到我和Rovion的对话,我问他“可用的SSH密钥”是哪个,他回答:“这就不必告诉你了。”但是他告诉我是从我们同事开着的笔记本电脑中得到的。

啊!如果这是真的,那么就是Bob在ShapeShift工作的时候进入了同事的电脑拷贝了一个密钥(或者多个?),这发生在他施行偷窃之前,整件事都是有预谋的?我怀疑。

我试着了解更多信息,但是Rovion没有回复,这是他最后的回复:“你的百万美元会拯救你的,ERIK VOORHEES,再见,我会再登录email的。”

那天晚上,我们的司法鉴定调查员Michael Perklin来了。我去机场接的他。在他到达之前我们没有再动服务器。虽然黑客模糊的说他利用了秘密的信息,但我们真不知道他是怎么攻破的。密钥在Bob离开后都修改了,有一个密钥忘记修改,但涉及到这个密钥的钱之前的那个星期四没有丢,这也无法解释星期六早上的失窃。CloudCo和HostCo上的钱都被盗了,而且都是重建的全新系统环境,密钥也都是新的。

我把上个月发生的事情向Michael阐明,然后开始制定他的调查计划,包括假定这个团队任何人都不是绝对可靠的。自从出了Bob这样的员工,我很难否认这样的假定。这让人感到沮丧。

司法鉴定工作有很多有趣的细节,但是出于保密限制,不便透露,这样做也不明智。过了一会,我们调出记录日志,从星期六的攻击开始,它们大部分被删除了,它们是怎么被删的?我们不确定。

我们现在知道怎么预防这种情况,确实,我们从这次事故中得到了大量的经验教训,虽然这有点陈词老调,如果你的初创企业涉及到服务器或信息安全问题,尽快找专业的第三方来帮忙,我们是一家小公司,所以一开始没有这么做。但等到焦头烂额你就会意识到,自己处理大量的资产的方式是不合标准的。

大部分的记录日志被删除,但我们用技术手段把一些文件从空的磁盘空间中恢复了一些,这是幸运的,可能是中本聪大神在某处眷顾我们(一周前我们可以这么恢复文件吗?当然。)

从恢复的数据中,我们发现了一个恶意软件,这个程序用go语言编译,安装在非常重要的服务器上,这个服务器直接和虚拟货币相连。这个程序的数据伪装的和服务器的设置程序一样,而且它的文件夹也看起来很普通。但它是导致我们财物被盗的作案工具。

它叫做“udevd-bridge”。

我们很高兴能发现它(是的,在CloudCo和HostCo的服务器环境中都发现了它)。但是我们还是不知道它是怎么被安放到这里的,我们掌握了很多信息,但显然这不是故事的全部。

之后几天我们也没弄清楚整个故事的来龙去脉,但是这时候,那个黑客来信了。

很意外,这个黑客Rovion在4月13号星期三给我寄来电子邮件,
邮件来自:Rovion Vavilov rovion.vavilov@fastmail.com
发送给:Erik Voorhees erik@shapeshift.io
主题:回复:ShapeShift
“我在交易所的以太坊你有兴趣打折扣购买吗?如果你不信任我,我们可以一点一点的交易。”

是的,这家伙可能在为交易所冻结他的以太坊而苦恼,所以他回到他打劫过的商店,要求我们兑换成可流动资产,这等于是我们在用自己的比特币买回自己的以太坊。

如果我们能得到更多的信息,这样干也是值得的。因为我们彼此不信任,所以我们约定了一份协议:

1.我们支付2比特币,对话开始。
2.Rovion给我们一半信息。
3.我们兑换2000个以太坊,以0.02BTC/ETH为汇率。
4.Rovion给我们另一半信息。
5.我们兑换剩下的2500个以太坊,以相同汇率。
6.我们结束对话(最后一条是Rovion加上的)。

他要求我们把比特币发送到这个地址:14Kt9i5MdQCKvjX6HS2hEevVgbPhK13SKD

在支付了2个比特币之后,Rovion开始说4月7号入侵的事情:

“我们联系了Bob,他给了我们ShapeShift的核心源代码,核心服务器IP地址,一个SSH密钥,我用密钥登录核心服务器,安装了后门,从核心服务器中把币给偷走。”

“上面提到的密钥指纹是什么?”我问。
“9c:3f:4b:ad:d6:43:ec:9a:55:de:b9:0b:d8:f5:0a:cb”

我们发现这是Greg的密钥,在CloudCo环境上新创建的。在三月份Bob离开后一周它甚至还没被创建呢!这个黑客是怎么得到的?通过Bob?

我问了相关问题,Rovion说这是下一个步骤的问题了。我们进行了下一步的交易。

然后Rovion说:“我们利用了Bob在同事电脑上安装的远程控制程序。这就是为什麽我可以第二次入侵成功。”

哇,整个事情有些眉目了,Bob的皮被一层层的扒开露出了真面目。Bob在Greg的电脑上安装了远程控制程序,也可能在其他人电脑上安装,我们必须这样假定。

Rovion给我发来一份Bob邮件的拷贝(Bob出售的信息):
“嗨,我收到50个比特币,源代码和SSH密钥在附件
核心IP地址:XX.XX.XX.XX
中转路由:XX.XX.XX.XX:XXXX
管理者密码:XXXXX
远程控制的IP地址:XX.XX.XX.XX
acadmin:pass
感谢你和我交易。
两个附件如下:

(IP细节我们不便透漏)

这就是这个故事,Bob把我们生产力服务器的信息出卖,进入ShapeShift内部网,获得ShapeShift的源代码,在同事的电脑上安装远程控制程序来入侵,然后把这些卖给了Rovion,50个比特币,还有IP地址和内部路由信息。

这几乎可以解释一切了,他进入Greg的电脑(或者其它的),通过远程控制,新的服务器环境被看得一清二楚,还能拿到新SSH密钥。这不是云提供商的失误,而是我们造成的。

我们是把我们的设备都换了一遍,但没有换掉我们和Bob一块使用的自己的个人电脑。这么做是不是有点偏执?是的,但这是正确的事情吗。很明显,是的。

在我们结束交流的时候,Rovion 说了最后一段话:“虽然我说要终结对话,但当Bob收到司法诉讼或其它你们要对他的惩罚时,可以告诉我一声吗?我感觉从自己雇主那里偷东西真的太恶心了。”

 

清扫混乱

 

这些信息将会成为Bob的犯罪证明。这不是一起临时起意的偷盗行为,这是有预谋的出卖。我都不知道这构成几级重罪了。

我们知道Rovion所说的可能不是故事的全部,我们必须设想其它关于此案的细节,和我们架构的细节。这也是为什么ShapeShift离线那么长时间的原因,我们每人都不希望这样,但我们得加倍小心,万分谨慎。

不管如何,我为我们的团队感到非常骄傲。在初创公司工作,特别是在比特币产业中,压力是非常大的,处理这样一连串的被出卖的事故,从这件事引起的危害(财务、技术、心理上的)中恢复,是非常艰难的。你们做的非常棒,看到你们团结一致不屈不挠,我也深受鼓舞。

这此事故并没有阻止我们在这特殊时期雇用四名新员工,这相当于我们团队人员加倍了,他们毫无防备的被拖进了这些事故中,而且他们做的很好。

 

ShapeShift用户不受影响

 

一个人想要在比特币行业生存,必须保持乐观。当背叛、失窃、删除等事件接连发生时,我们还是要看到一线希望。

首先,没有完美的个人和组织,我们认识到自己的缺陷和错误,我们纠正它们,尽力改善。这样的进步来之不易,但是,今天的ShapeShift确实比昨天的ShapeShift更加完善。一切重新走向了正轨。虽然没有一个组织能做到完美,但我们把接近完美作为我们的目标。

其次,虽然遭遇一连串的攻击,甚至是内部作案,我们客户的资金没有损失。通过去中心化、代码、创新、架构来保护客户免受损失是这个产业对整个社会的贡献,如中本聪在创世区块上所说,整个世纪的银行业都没有做到这一点。

ShapeShift将会一直在平台上完善客户保护系统,社区的其他企业也以不同的方式做着同样的事情。感谢你们开发的工具,和你们从事的工作,但是,还有很多需要我们去做的事情。

对于我们的客户,对于我们长时间的宕机,在这里我代表自己向你们道歉。为了保证客户资金的安全,有一些服务临时停止。再次强调,即使面对灾难,我们也把安全放在开发的第一位。

再次,感谢社区在我们遭受攻击时伸出援手,还有感谢我们的投资人对我们的理解。

最后,我们还要深刻的汲取经验教训,为我们的这段经历深思,使它成为我们人生财富。

在比特币行业,没有一天不激动人心。

——ShapeShift.io首席执行官Erik Voorhees

还有对Bob说,你的真名和身份证信息我们没有泄漏,给你留点面子。

 

原文:https://news.bitcoin.com/looting-fox-sabotage-shapeshift/
作者:Erik Voorhees
编译:lwvwlcn
BTC地址: 1JgAwbzQF5W4xiMz5xmDR52m5RKu6VLXoG
稿源(译):巴比特资讯( http://www.8btc.com/looting-fox-sabotage-shapeshift‎)

 

版权声明: by nc" sa 作者保留权利。文章为作者独立观点,不代表巴比特立场。
发文时比特币标准价格 买价:¥2969.35 卖价:¥2968.92

评论:22

您需要登录后才可以回复 登录|注册
    王博vip
    王博vip 220 天前

    匿名性真的是很危险的事情!—–洗劫狐狸:ShapeShift被蓄意破坏的故事 http://t.cn/Rq03qm3

    +1
    +1
    我要点评
    杜九一
    杜九一 226 天前

    想要在比特币行业生存并发展, 必须保持乐观的心态; 当遭遇小人的背叛、黑客的偷盗, 依然还是要痛定思痛, 坚信前路坦荡、未来可期。 by the way (小人背叛,比黑客偷盗,更加猪狗不如。)

    +1
    +1
    我要点评
    柯佧
    柯佧 226 天前

    『洗劫狐狸:ShapeShift被蓄意破坏的故事_巴比特_服务于区块链创新者』http://t.cn/Rq03qm3

    +1
    +1
    我要点评
    Author Image
    疯狂的企鹅 226 天前

    看完之后果然激动人心,,,感谢作者的分享。

    +1
    +1
    我要点评
    福er
    福er 227 天前

    可以拍成电影了

    +1
    +1
    我要点评
    比特币矿机
    比特币矿机 227 天前

    这时,最需要的是@比特交易所BitExchange 硬件钱包。//@成工酱:威胁IT系统安全的两大因素:零日攻击和内鬼。良好的安全规范和时刻紧绷的安全意识,可以最大限度的保证比特币企业的安全。//@成工酱:干货。每个经营比特币的企业都应该仔细的分析这个经典的案例,预防损失,把损失降到最低。

    +1
    +1
    我要点评
    真聊比特币
    真聊比特币 227 天前

    All I wanna say is FUCKING BOB

    +1
    +1
    我要点评
    暴走北纬
    暴走北纬 227 天前

    记得看电影“比特币的崛起”上面说到,他把中本聪骰子网站卖掉后,创业想做,用E-mail发送比特币的初创公司。

    +1
    +1
    我要点评
    超级比特币
    超级比特币 227 天前

    在巴比特看到这篇http://t.cn/Rq03qm3 作为比特币创业者,看这篇文章真是惊心动魄。顺便说一下,ShapeShift 的CEO 也是本文的作者 Erik Voorhees,就是几年前以12万个比特币卖掉中本聪骰子网站的那个人。

    +1
    +1
    我要点评
      Author Image
      gladpay 227 天前

      这么有钱,被资几百个币小Case,怪不得Shapeshift 这么快就重新开张了

      +1
      +1
      我要点评
        Author Image
        gladpay 227 天前

        这么有钱,被盗几百个币小Case,怪不得Shapeshift 这么快就重新开张了

        +1
        +1
        我要点评
    Welch
    Welch 227 天前

    很精彩。。。

    +1
    +1
    我要点评
    码农周琪
    码农周琪 227 天前

    企业不把热钱包当现金来管理,被盗基本是一定的。

    +1
    +1
    我要点评
    力国潘
    力国潘 227 天前

    哎。。。//@赵乐天: //@i问号:ShapeShift 加油 //@比太钱包: “企业丢币时,到底是黑客干的?是系统管理员干的?还是老板为了填补自己账上的窟窿干的?您说的清楚吗?” http://t.cn/Rq0gZAV

    +1
    +1
    我要点评
    He1l_Q
    He1l_Q 227 天前

    安全安全还是安全//@比太钱包: 一年多以前,小太曾在巴比特论坛做过一期关于企业管理比特币的 #比太公开课# ,当时,问过大家这么一个问题:“企业丢币时,到底是黑客干的?是系统管理员干的?还是老板为了填补自己账上的窟窿干的?您说的清楚吗?” http://t.cn/Rq0gZAV ShapeShift 的这篇报告很好

    +1
    +1
    我要点评
    比太钱包
    比太钱包 227 天前

    一年多以前,小太曾在巴比特论坛做过一期关于企业管理比特币的 #比太公开课# ,当时,问过大家这么一个问题:“企业丢币时,到底是黑客干的?是系统管理员干的?还是老板为了填补自己账上的窟窿干的?您说的清楚吗?” http://t.cn/Rq0gZAV ShapeShift 的这篇报告很好,业内企业都应该看看哈 [话筒]

    +1
    +1
    我要点评
    成工酱
    成工酱 227 天前

    威胁IT系统安全的两大因素:零日攻击和内鬼。良好的安全规范和时刻紧绷的安全意识,可以最大限度的保证比特币企业的安全。//@成工酱:干货。每个经营比特币的企业都应该仔细的分析这个经典的案例,预防损失,把损失降到最低。

    +1
    +1
    我要点评
    成工酱
    成工酱 227 天前

    干货。每个经营比特币的企业都应该仔细的分析这个经典的案例,预防损失,把损失降到最低。

    +1
    +1
    我要点评
    旺旺好男银
    旺旺好男银 227 天前

    这Bob太low了,为了四百个币去坐牢,还未必能享用得到[怒骂]

    +1
    +1
    我要点评
    区块链狂魔
    区块链狂魔 227 天前

    监守自盗,最难防[哈哈]

    +1
    +1
    我要点评
    巴比特资讯
    巴比特资讯 227 天前

    【洗劫狐狸:ShapeShift被蓄意破坏的故事】这是一篇ShapeShift被如何出卖的故事, ShapeShift首席执行官Erik Voorhees与社区分享这个故事,希望大家对此事知情,在成为大家茶余饭后谈资的同时,也希望同行们汲取教训,引以为戒。http://t.cn/Rq03qm3

    +1
    +1
    我要点评