另一个比特币交易所的比特币被盗，价值 50,000 美元

根据昨天在bitcointalk上看到的消息，一家名为poloniex的比特币交易所宣布比特币被盗，被盗比特币数量占该交易所比特币总量的12.3%。 文章中解释了比特币被盗的过程，如果比特币是从其他交易所被盗的，没有区别。 是黑客发现了提款密码的漏洞。 该漏洞利用了提款步骤中的时间差。 一般提款步骤为：

1. 输入验证

2.查看余额是否有足够的资金

3、点击提现，账户余额将相应扣除

4.本次取款操作会被插入到数据库中

5. 邮件确认

6. 如果您在邮件中确认提款，提款流程将处理提款请求

黑客刚刚发现，如果同时申请更多的提现，那么这些步骤或多或少会同时处理，从而导致余额为负数。 但是取款操作也是有效的插入到数据库中，即系统也承认是有效的。 仍然可以提款。 即使账户余额已经是负数。

大概是这样的。 其实损失并不大。 这是一家小型交易所，但也给所有比特币交易所敲响了警钟。 安全是比特币生存最重要的环节。 没有安全，比特币的基础将不复存在。

博主无法判断这篇文章的真实性，但如果是真的，那么任何一家比特币交易所都可能跑路，他们可以借这个借口。 一旦他们发现自己资不抵债，或者赚的差不多了，想走，或者想逃跑，就可以对外宣布你的比特币被盗了，而且因为政府不承认比特币，在法律上完全空白等级。 比特币的可信度将动摇。

原文如下（简单英文，不懂请阅读或在线翻译）： 今天，Poloniex 上约有 12.3% 的 BTC 被盗。

它是怎么发生的？

黑客在取款代码中发现了一个漏洞。 当您提款时会发生以下情况：

1. 输入验证。

2. 检查您的余额是否有足够的资金。

3. 如果这样做，您的余额将被扣除。

4.取款插入数据库。

5. 发送确认邮件。

6. 在您确认取款后，取款守护程序将取走并处理取款。

黑客发现，如果您几乎在同一瞬间进行多次提款，它们将或多或少同时得到处理。 这将导致负余额，但有效插入到数据库中，然后由取款守护程序拾取。

Poloniex 做错了什么？

这里的主要问题是审计和安全功能没有明确地寻找负余额。 他们添加存款和取款并检查账户是否平衡。 如果您有 2 个 BTC，提取 10 个 BTC，还剩下 -8 个 BTC，软件会看到您存入 2 个，提取 10 个，并且恰好拥有您应该拥有的：-8。

另一个设计缺陷是取款过程中的每一步都应该排队。 如果取款请求是按顺序而不是同时处理的，就不会发生这种情况。

Poloniex 做对了什么？

现有的安全功能注意到异常的取款活动并冻结了 BTC。 这就是活动被发现的方式。

现在发生了什么？

我对此负全部责任，并承诺偿还 BTC 的债务。 外汇基金做空 12.3%。 因为没有足够的BTC来覆盖大家的余额，所有余额将暂时扣除12.3%。 请理解这是绝对必要的——如果我不进行此调整，人们很可能会尽快撤回所有 BTC，以确保他们不会留在剩下的 12.3% 中。 被带出交易所，这是不公平的——有些人会立即拿到所有的钱，而有些人会马上什么都拿不到。

从每个人的余额中扣除的金额将被记录下来，交易所手续费筹集的资金，以及我自己口袋里的捐款（恐怕不是很深），将定期分配给所有被扣除BTC的用户. 将提高交易费用以加快债务的回收。 很多人都建议 1.5%，但我会听取意见。

如果我现在有钱偿还全部债务，我会立刻偿还。 我根本不知道，我不能凭空把它拉出来。

现在，所有市场和取款仍然被冻结，并且它们将保持这种状态，直到负余额观察器被写入并到位并计算余额扣除。 现在请不要打扰提款交易所比特币，因为它们不会被处理，并且可能会在功能恢复之前全部取消。 提款可用性的预计到达时间约为 12 小时。 我现在所在的地方恐怕是凌晨 3 点，我认为在继续之前休息一下对我来说是明智的。

将采取什么措施来防止进一步的利用？

一件事已经完成：取款守护程序现在在处理取款之前检查负余额，并将冻结任何余额为负的账户。 这有效地防止了漏洞被再次使用，但它只是一个修补程序。

接下来要做的事情——在市场解冻之前——将创建一个守护进程，持续监控负余额并冻结任何有负余额的账户。 之后，市场可以解冻并恢复取款。 紧随其后，将创建一个将对每个帐户运行自动审计的守护程序，它将提醒我任何奇怪的活动并冻结任何余额超额的帐户。

之后交易所比特币，取款和创建订单将切换到队列方法，其中第一步是将任务添加到全局执行队列中，该队列将按顺序处理。

———

综上所述…

对此我深表歉意，也非常感谢已经表达了对我性格的支持和信任的众多人。 我承担全部责任； 我会捐出一些自己的钱，在还清债务之前我不会获利了结。

我欢迎您就如何进行提出意见，但请具有建设性。 我没有钱免除债务，所以我们需要一起努力。

本文有永久链接：| 蓝天 | 矿机

作者：比特币矿工 | 发布时间：2014 年 3 月 5 日 | 类别：比特币信息 | 标签：比特币被盗

转载原文请注明：另一家比特币交易所的比特币被盗，价值5万美元 | 蓝天| 矿机