SHIELD:幣安被勒索的KYC 憑啥值300個比特幣

近日，幣安再次陷入數據泄露事件，相傳是內鬼所為。隨后，黑客要挾用300個比特幣的籌碼換取1萬個KYC信息內鬼消息。因沒有馬上拿到勒索款，該身份不明人士就通過網絡泄露所掌握的信息。

數據泄露時常發生，似乎從未間斷。據公開數據顯示，2019年上半年，全球出現了至少10起類似信息被盜事件。

此次的“幣安KYC泄露事件”，再一次將行業內的安全問題推到臺前。

KYC提升安全性，可以規避機構經營風險

KYC來源于巴塞爾銀行監管委員會在1998年12月通過的《關于防止犯罪分子利用銀行系統洗錢的聲明》，該聲明提出金融機構在提供服務時應當對用戶信息和用戶畫像進行采集和識別。

隨后，KYC被各國的監管機構所接受并推行，成為金融監管的一個重要程序。

Undefined Labs和幣安被選定仁川科技園區塊鏈企業加速計劃:6月27日消息，基于鏈上風險評估的公司 Undefined Labs 和幣安被選定共同運營由公共機構仁川科技園主導的區塊鏈企業加速計劃，該計劃處在韓國仁川市的監管之下。另一家區塊鏈游戲開發公司 Ret Games 將作為合作伙伴，也將參與這個項目的共同運營。

Undefined Labs 計劃提供區塊鏈行業分析、技術使用培訓、研究及黑客馬拉松等服務。Binance 將專注于提供商業模型規劃和市場營銷策略咨詢。而 Ret Games 則計劃提供區塊鏈技術咨詢和一對一指導服務。該計劃預計將選擇五家區塊鏈公司作為受助對象，具體申請公告將于下周在仁川科技園官網發布。[2023/6/27 22:03:49]

國內，KYC是反洗錢法律制度的強制性要求，是金融機構及其工作人員必須履行的法律義務。

分析 | 幣安被盜7,074枚BTC再次異動 小額資金可能已洗錢成功:上個月幣安交易所遭黑客攻擊損失了7,074枚BTC，黑客在展開一輪密集洗錢行動后，最終將資金分散于7個主要地址，并停止了轉移。據PeckShield數字資產護航系統（AML）最新數據顯示，自06月01日起，其中1個存儲有1,060枚BTC的bc1q2r開頭的地址出現多次頻繁異動：1、黑客先將1,060枚BTC全部轉入bc1qg6開頭的新地址中。2、黑客又將新地址中的1060枚BTC進行了12次較大的切割，每個新地址包含19—120個BTC不等。3、黑客再將切割開的小的新地址進行數百次對半切分，循環往復，直至分割成1個BTC不等的小額資金。PeckShield安全人員分析認為，分散后的部分資金很可能已被成功拋售套現。截至目前，這1,060枚BTC異動資金，尚有615枚BTC暫存于bc1qze,bc1qsy開頭的兩個地址中，存在進一步分割洗錢的可能。[2019/6/14]

隨著互聯網金融的快速發展，監管對KYC提出了更高要求。KYC始于金融機構，而后滲透到各行各業，KYC也變得愈加重要。

聲音 | Ledger CEO：幣安被盜事件發生后，公司銷量增長了一倍:5月15日，Ledger首席執行官Pascal Gauthier在Atomic Swap會議上表示，在幣安黑客攻擊事件發生后，該公司的銷售額增長了一倍。Gauthier還表示，提供安全關鍵產品會帶來壓力。一旦市值從10億美元大幅增長至1萬億美元，安全問題就變得更加棘手。如果出現大幅增長，Ledger將需要額外的投資來應對安全方面的擔憂。[2019/5/16]

最常見的就是去銀行辦理業務，會對每位用戶做盡職調查，收集客戶信息；其次就是手機APP的實名認證，就是各個機構進行KYC的一個方式。

趣鏈科技北京分公司副總張貝龍告訴鋅鏈接，在傳統金融領域，KYC只是一個手段，主要是為了后面的AML，以及CFT。

動態 | 幣安被盜7074枚BTC已被黑客匯聚轉移至7個主要新地址:據PeckShield數字資產護航系統數據顯示，昨天晚間22:35分起，幣安交易所熱錢包被盜取的7074枚BTC出現多次異動，黑客將此前20個地址中的若干地址余額匯聚起來，將資金統一轉移至bc1q2rdpy、16SMGihY9、1MNwMURYw、16SMGihY9、bc1qnf2ja、bc1qx3628、bc1q3a5hd開頭的7個新地址，其中前6個地址分別有1,060枚BTC，最后一個地址轉入707枚BTC，加上其他小額地址，本次幣安被盜的7,074枚BTC已基本全部被轉移。PeckShield在此提醒各大交易所留意最新的資金流向，并對相關新地址做及時凍結處理。[2019/5/9]

溪塔科技市場總監孔慶陽告訴鋅鏈接，之所以實行KYC，一方面是監管要求，保證金融安全；其次，不少公司通過收集KYC信息形成用戶畫像，如果在KYC信息采集不完整，上層數據分析就無法順利開展。

動態 | 幣安被選為最受信任的交易所:據Coinspeaker消息，推特上一份“你最信任的交易所”的調查中，幣安以63%的票數排名第一，Coinbase排名第二，獲得了31%的票數。該調查共有11581人參與。[2018/12/24]

據鋅鏈接了解，目前KYC收集方式分很多種，比較簡單的是身份實名認證，即提供姓名、身份證、銀行卡等信息，通過調用銀聯開放平臺或是官方授權的身份數據庫接口來進行校驗。此外，還有人臉識別、活體檢測等。而這些信息要么客戶主動上傳，要么通過其他平臺進行授權獲取。

然而，KYC數據收集只是第一步，更重要的是數據核驗以及數據存儲。PlatON創始人孫立林告訴鋅鏈接，盡管KYC提升了安全性，規避了機構的經營風險，但是卻對用戶隱私構成了威脅。

用戶隱私遭受威脅

據悉，目前市場上慣用的KYC核驗方式大概有三種：人工、調用的身份數據庫或銀聯數據庫開放的API接口比對、外包。

TEEX聯合創始人余煬告訴鋅鏈接，不論是人工審查，還是調用API，用戶數據在整個過程中都是暴露的。企業內部員工，甚至是一些低權限的實習生操作員，都可以輕松拿走數據。而采取外包審查形式，數據出了公司，泄漏風險無疑會變得更大。再加上數據本身極易二次拷貝和沉淀，因此一些不法分子可以非常容易地利用用戶隱私數據進行牟利。

不僅核驗階段數據極易泄露，存儲階段也不例外。據鋅鏈接了解，目前一般都是采用中心化存儲在服務器，部分公司甚至直接是明文存儲。

中心化的儲存方式很脆弱，一旦遭遇攻擊，信息就會全部泄露，因此對服務器的安全性要求極高。

而對于KYC的保護，則需要付出高昂的成本。湯森路透最近的報告顯示，一些金融機構每年要花費5億美元來做客戶盡職調查以及保證KYC的合規，其中人工成本占大頭，其次還有硬件設備和其他費用。

站在攻擊者的角度保護KYC

目前，市場對于KYC信息最好的保護方式就是將數據的所有權和使用權進行分離，機構通過數據使用權來實現KYC。

余煬告訴鋅鏈接，從攻擊者的角度出發，可以從兩個方面保護KYC信息。一是防止外部黑客竊取。具體來說，需要加固KYC系統的安全性，最小化軟件中的潛在漏洞。二是防止內部惡意員工的信息泄露，需要機構對KYC信息的訪問權限進行嚴格的管控。

TEEX通過TEE技術結合GPU-TEE方案構建了一個可信KYC平臺。據余煬介紹，該平臺能夠將整個自動化KYC過程保護起來。無論是誰都無法接觸到驗證過程中的KYC信息。對于人工審核，也可以通過可信顯示技術，保證在將KYC信息顯示給審核員的同時，信息本身不被竊取。

同時，對于調用第三方服務的機構則提供可信KYC服務調用前置機。利用TEE技術，將整個調用第三方服務的邏輯進行保護，包括第三方服務身份的驗證、KYC信息的傳遞以及最終結果的獲取。

另外，可信水印技術能夠保證信息泄露之后，準確定位泄露主體。

可信KYC審核平臺TEEX提供

PlatON則使用隱私計算，既能驗證身份又能保護隱私的。據孫立林介紹，隱私計算主要采用多方安全計算，完全通過密碼學的技術手段，在保護數據不被轉移不被披露的情況下，還能計算并得到正確結果。

但TEE的硬件設備成本較高，再加上用戶接受度方面的問題，可能在商業銀行乃至互聯網金融領域，都不是一個比較好的應用點，更適合于數字貨幣領域。據張貝龍介紹，而純密碼學是一件非常“烏托邦”的事情，目前大規模商用還存在問題，也難以解決KYC難題。

趣鏈科技則采用“密碼學工程學”并行的方式推出BitXMesh。

技術詳解趣鏈科技提供

張貝龍向鋅鏈接介紹，BitXMesh使用智能合約控制數據使用權限并且僅在L1層中傳輸數據模型，把如KYC信息等大量數據存放在L2層，從而實現“數據可用不可見”，控制數據交易，進而在數據隱私與數據共享中找尋更合適的平衡點。該產品目前主要用于不同銀行間黑名單數據的共享。

技術還需不斷完善，新的商業模式正在醞釀。區塊鏈技術有去中心化、可追溯、不可篡改等特性，或許能為KYC帶來新的發展空間。

余煬告訴鋅鏈接，目前KYC都是依靠中心化機構去實現的。區塊鏈獨特的去中心化信任體系，能夠搭建一個公開的信任網絡，讓數據共享更可信。

孔慶陽則表示，區塊鏈技術是一個構建信用體系的工具，做訪問控制和存證，能夠追溯到數據使用的全流程，對KYC起到一個監管的作用，但可能需要政府部門、監管機構和科技公司三方的介入來共同維護。

此外，區塊鏈是可以幫助搭建統一的數字身份，來解決不同國家KYC標準和審查機制的差異。

數據只有流通起來才會發揮最大價值，不管是對機構還是用戶，保護KYC數據不被泄露的同時實現共享是趨勢也是目標。

Tags：BTC區塊鏈SHIELDELDMYBTC區塊鏈通俗易懂的例子圖Safe ShieldYIELDX幣

狗狗幣