【大文观链】钓鱼攻击防不胜防，交易所真的无能为力？

链得得注：大文观链，是链得得App新推出的区块链技术分析系列栏目。由链得得App作者马文佩伴随诸位用户，对区块链、数字货币市场中前端技术方案进行应用层讲解与热点事件的技术层分析。每个工作日与大家一同分享“链圈技术宅”的那些头脑日常。

虽然区块链被称为“未来”，但至少在目前，在区块链安全领域中，传统的攻击手段依然能够奏效。

2013年2月，BitMarket遭遇SQL注入攻击，被盗620BTC；2017年11月Bitfinex遭遇DDos攻击，交易所被迫长时间关闭；2018年3月，Binance多个账户遭到入侵，不得不停止了所有币种的体现，直接导致了全球虚拟货币市场的一轮大跌。

Binance被攻击的方式是钓鱼，本质上和“你中了一台苹果电脑”的低级诈骗短信没什么区别。但从另一个角度来说，这次攻击其实相当精巧，普通用户一不小心就会中招。

攻击者制作了冒牌的网站，并以此骗取了用户的账户和密码。其冒牌网站的域名中包含两个西里尔语字母，在字母n下多了一个小点，极具欺骗性。

钓鱼攻击已经成为威胁交易所安全的一个重要因素。FISCO交易所曾对用户发布应对钓鱼欺诈的对策，并告知诱导至欺诈网站的方式多种多样，如“用假邮件引导至可疑网站”、“利用搜索引擎诱导至欺诈网站”，以窃取用户地址、姓名、个人资料、帐户ID和密码。其他各大交易所也都曾经警告过用户提防钓鱼攻击，但似乎收效甚微。

举个例子，在某国内最大中文搜索引擎中搜索“币安”，前排出现的几个网站无一例外均指向钓鱼网站。

互联网公司为了应对钓鱼网站的威胁做了很多工作。其中较为著名的有CNNIC中国互联网络信息中心的查验、部分搜索引擎的反钓鱼标志、QQ等即时聊天工具提供的风险警报。业内较为著名的第三方机构是由知道创宇、腾讯、搜狗发起的安全联盟。

上周，腾讯、知道创宇再次联合中国技术市场协会、中国区块链应用研究中心等单位针对区块链安全发起了中国区块链安全联盟。知道创宇创始人赵伟在接受链得得App采访时表示，知道创宇在反欺诈、反黑产方面具有大量经验。“打击传销组织，犯罪组织，守护者计划，安全联盟，在QQ、微信、浏览器、搜索引擎里拦截钓鱼网站都是我们提供的技术支持。”

他说：“我们的目标是打击空气币，把这些垃圾清除以后让区块链的果实更大一些，让真正好的项目，好的币和交易所留下来。”

腾讯副总裁马斌则表示，“区块链产业的安全不仅仅需要专业人员参与，更多的人员都需要参与进去，政府、企业、个人都能够联动起来。”而这次成立的区块链安全联盟也并不仅仅针对区块链，更是瞄准了整个与区块链产业相关的黑产。

有意思的是，在发布仪式现场公布的PPT上，联盟的运行机制是会员制，重大决策采用通证表决的方式。虽然在采访中发起方并没有确认这个消息，但中国区块链安全联盟可能会建立一条私有链用于组建民主化的“议会”。