Illustration by Steven Wilson
加密數字貨幣正在帶來金融界的革命，但竊取它也特別容易。
請看世界最大的加密貨幣交易所 Coinbase 公司如何努力修復區塊鏈最危險的漏洞。
人工智能新創企業 Prome 的首席執行官肖恩 · 埃弗裡特起初並不確定，他在加密數字貨幣上的投資會帶來怎樣的收益。
但是，他也絕對沒有想到，他的投資會在瞬間灰飛煙滅。
今年 3 月，埃弗裡特賣掉瞭手中的蘋果、亞馬遜等所有股票，將一大塊收益在一個叫 Coinbase 的網站上購買瞭比特幣和以太坊。這個決定讓埃弗裡特立即變得更加富有，因為這兩種基於區塊鏈的貨幣的價值在隨後幾周飛速上漲。
可是，就在埃弗裡特於 5 月 17 日晚上 10 點出門遛狗時，他接到瞭一個電話，那是移動運營商 T-Mobile 公司打來的，向他確認，公司正在將他的電話號碼轉移到另外一臺設備上。
這個舉動很可疑，因為埃弗裡特根本沒有要求過。但是，即使他懇請 T-Mobile 的服務人員阻止這次轉移，也已經來不及瞭。
沒過 5 分鐘，埃弗裡特的手機服務就突然關閉。此時，他沖向電腦，看到瞭自己的資產在眼皮底下被人劫走。一連串的電子郵件通知告訴他，有人已經控制瞭他的 Gmail 主賬戶，打入瞭他在 Coinbase 的 " 錢包 "。竊賊能進來，是借助瞭他的被轉移的電話號碼。埃弗裡特的賬戶在登錄時必須輸入手機上收到的雙重驗證碼短信，這是第二道保險。可在當時，短信被直接發給瞭竊賊。
竊賊隻花瞭兩分鐘就將埃弗裡特賬戶裡當時價值數千美元的數字貨幣洗劫一空。埃弗裡特覺得，更讓他痛苦的是後來發生的事情：以太坊的價格在接下來的三周翻瞭兩番。
6 月的一個潮濕的下午，我在紐約的一傢咖啡店裡見到瞭埃弗裡特。就在我們見面的幾個小時前，以太坊創下瞭 400 美元的歷史新高。此前一天，比特幣首次突破瞭 3,000 美元。對於自己的數字貨幣不翼而飛，埃弗裡特到現在還是耿耿於懷。他痛惜地說：" 我不光是本錢沒有瞭，還錯過瞭這麼大漲幅。"
不過，最讓埃弗裡特以及其他很多比特幣愛好者感到驚訝的是，居然有人能夠在 Coinbase 盜竊。這傢位於舊金山的公司是世界最大的加密數字貨幣交易所，是極少數保險櫃未遭黑客攻擊的公司之一。
" 買比特幣最安全 " 的地方，
正每天被搶劫一次
在區塊鏈世界裡，這一榮耀尤其被人看重，因為此前發生過幾起損失慘重的黑客事件，成瞭全球性的頭條新聞。幾乎所有的早期投資者都會對你提及，他們在 Mt. Gox 損失瞭錢。2014 年，黑客從這傢比特幣交易所劫掠瞭將近 5 億美元，它隨之倒閉。去年夏天，竊賊瞬間從香港的加密數字貨幣交易所 Bitfinex 搶走瞭 7,200 萬美元。
Brian Armstrong 創立 Coinbase，使加密貨幣面向大眾；他稱線上交易為 " 數字貨幣的 Gmail"。 | Photograph by Winni Wintermeyer for Fortune
但是黑客從未攻破過 Coinbase 的虛擬堡壘。牢不可破使它有瞭 " 買比特幣最安全 " 的名聲，幫助它吸引瞭 900 多萬名用戶，他們至少在那裡存放瞭價值 30 億美元的加密數字貨幣。
到目前為止，在它的零售交易平臺和機構交易平臺 GDAX，至少已經進行過價值 250 億美元的交易。Coinbase 已經有五年歷史，在新一輪融資中融到瞭 1 億美元，估值高達 16 億美元，成為瞭區塊鏈行業的第一隻 " 獨角獸 "。
風投資本傢、Coinbase 最早最大的投資者之一弗雷德 · 威爾遜在 3 月的一次會議上說：" 看看這傢公司最出色的地方，比如安全性、受信任度和防護能力，這些顯然都是銀行的強項。它就像區塊鏈裡的摩根大通或高盛集團。"
但是，Coinbase 的個別用戶確實曾經被盜賊光顧過，而且頻繁程度也令人吃驚和不安。即便是威爾遜自己也曾經被猛烈驚醒——今年 6 月初在歐洲度假時，他吃驚地看見瞭埃弗裡特收到過的那類提醒郵件，有一名闖入者試圖進入他的 Coinbase 賬戶。
威爾遜在錢被偷走前成功地鎖住瞭賬戶。但是，在一篇博客中，他對自己投資的公司發表瞭罕見的公開抨擊：" 這次經歷讓我至今心有餘悸，自然也有瞭幾分懷疑。"
自從那以後，《財富》雜志曾經和 10 多名受害者交談，他們當中有技術公司的高管，也有著名的區塊鏈支持者。他們在 Coinbase 的賬戶都曾經被盯上和攻擊過，方式幾乎相同；其他交易平臺遭受到的攻擊更多。
在埃弗裡特遭搶之後的第二天，洛杉磯的企業傢亞當 · 達奇斯的時值 10,000 美元的賬戶資產被清空。7 月 7 日，竊賊又清空瞭區塊鏈行業顧問邁克 · 科斯塔奇在 Coinbase 賬戶裡的 18,000 美元——當時他在國外旅行，竊賊是趁他晚上睡覺時花瞭 4 個小時幹的。自從去年聖誕節以來，Coinbase 的用戶平均每月被搶 30 次，相當於每天一次。
每次案件都讓人們產生瞭相同的、始料不及的想法，人們開始關註區塊鏈固有的詭異之處：讓加密數字貨幣有別於傳統貨幣的典型優勢，即交易的即時性與不可逆性，同時也是它的致命缺陷。
比特幣存在的原因，與致命傷：
抗監管性
位於倫敦的區塊鏈情報機構 Elliptic 的聯合創始人及首席數據官湯姆 · 魯賓遜說：" 比特幣存在的原因之一是它的抗監管性。" 這意味著沒有人能夠阻止數字貨幣交易的發生，政府或中央銀行也不行。因此，傳統銀行儲戶所倚仗的防欺詐措施對於數字貨幣交易基本沒用。魯賓遜說：" 拒付、可逆與創建比特幣的目的水火不容。"
因此，每當犯罪分子手癢想搶劫時，他們越來多地選擇加密數字貨幣而非實際貨幣。2016 年，在美國聯邦調查局的互聯網犯罪投訴中心收到的報告中，來自於和虛擬貨幣相關的犯罪的損失高達 2,800 萬美元，超出 2015 年三倍多。而且，這一數字還是基於受害者個人的自願報告得出的，也不包括在 Bitfinex 等交易平臺上發生的大規模黑客盜竊。所以，實際損失可能要高出幾個數量級。
針對傳統金融機構的網絡犯罪也在增長：例如，據 Javelin Strategy & Research 公司，通過所謂的賬戶接管偷錢——與 Coinbase 黑客事件類似的一種犯罪——在去年增長瞭 61%，達 23 億美元。但是，與存放在銀行裡的萬億美元相比，這類網絡犯罪涉及的金額相對很小；
但加密數字貨幣的全部市值隻有 1,350 億美元，黑客盜走的份額要大得多。例如，網絡安全公司 Chainalysis 稱，過去 12 個月，犯罪分子已經偷走瞭以太坊總市值的 1%，即 2.25 億美元。同期比特幣的損失估計更高。
前公司黑客、美國西北大學凱洛格管理學院的一位教授莫蘭 · 瑟夫解釋說，實體銀行的劫匪面臨 " 兩大難題：把錢偷走和埋藏證據。比特幣不存在第二個問題，因為所有人都是匿名的。
" 對於交易不可逆這樣的缺陷，比特幣的鐵粉們似乎能夠接受。區塊鏈投資人克裡斯 · 伯尼斯克說：" 我把這看成是特色，而不是漏洞。" 伯尼斯克的新著《加密資產》即將出版。不過，他的比特幣賬戶在去年 12 月被洗劫過，被偷走的比特幣價值在如今超過 10 萬美元。
但是，當受害者看著他們的錢被取走，進入瞭不知名的陌生人的數字錢包時，對於 Coinbase 來說，這就不僅僅是一個難題瞭：這是對比特幣自己的承諾的威脅。隨著加密數字貨幣價值的飆升，越來越多的投資者面臨的問題，不僅僅是如何從中獲利，還有如何牢牢地持有。今年 5 月，科迪 · 佈朗的賬戶在短短 15 分鐘內就被黑客取走瞭 8,000 美元。
他抱怨說："Coinbase 看起來像銀行，說話也像銀行，像銀行那樣收瞭幾百萬美元現金。可實際上，它做事就像燈光昏暗的地下賭場。直到被黑客偷瞭錢，你才會發現，那些方方正正的字體、柔順的藍色梯度變化曲線和無休止地復制信任聲明文字對你來說毫無意義。"
Coinbase 拒絕討論具體案件，隻說它在調查所有的賬戶接管事件。但現年 34 歲的創始人和首席執行官佈萊恩 · 阿姆斯特朗表示，佈朗和威爾遜的經歷 " 有助於 " 指導公司改善業務。公司的安全措施已經能夠匹敵甚至超越銀行，比如利用機器學習發現可疑行為，強制施行雙重驗證。但是，阿姆斯特朗承認，Coinbase 已經成為瞭一個誘人的目標。他對《財富》雜志說：" 我們需要實行更高的標準，因為數字貨幣是非常有趣和強大的新事物，很多人忍不住想偷。"
理想貨幣，
與當今世上最難解決的
支付欺詐和用戶安全問題
如果比特幣是宗教，相對於 " 耶穌應該怎麼做 "，它的口號就是 " 成為你自己的銀行 "。這是被行業內廣泛接受的非正式口號。2009 年，神秘的創始人（可能不隻一位）以 " 中本聰 " 的名義發佈瞭區塊鏈。發佈者把區塊鏈視為電子現金的理想形式。中本聰在一份傳奇白皮書中寫道，這種電子現金 " 無須經過金融機構 " 就可以換手。
但是，這一理想貨幣也吸引來瞭破壞分子，讓很多潛在的接受者望而卻步。阿姆斯特朗從中發現瞭機會：改善這個在當時由 " 黑客和秘密搗亂分子 " 統治的行業的形象。他說：" 如果讓這個行業成為主流，就必須要有更受信賴的品牌。"
阿姆斯特朗是愛彼迎早期的工程師，2012 年，他離職創辦瞭 " 數字貨幣的 Gmail"。他的戰略是：讓存儲、買賣加密數字貨幣變得更加容易和安全。
早期的比特幣錢包公司允許客戶追查他們的私鑰：一個由 64 個字符組成的密碼口令，僅憑這個密碼就可以獲取某人的加密數字貨幣。
但 Coinbase 做瞭一個開拓性的創新：代客戶儲存密鑰。這也存在風險：客戶要拿到比特幣，不一定要知道真正的密鑰，隻用一個密碼口令即可，對於黑客來說同樣是如此。這位面帶稚氣的首席執行官承認：" 我們這是承擔瞭一個巨大的責任。但我也認為，要讓行業上規模，使數字貨幣擁有下一個 1 億或 10 億用戶，這一步是必須要走的。"
Coinbase 已經展現出瞭向大眾推廣這種新型資產的獨一無二的能力。他們的基礎客戶群大部分在美國，在過去 5 個月裡已經增長瞭 50%，每天最多有 5 萬人註冊。僅 7 月的交易量就是 2016 年全年的兩倍。Coinbase 從中收取交易手續費，據說已經接近實現盈利。在《財富》雜志今年的 40 位 40 歲以下的商界精英排行榜上，阿姆斯特朗排名第 10 位。不過，他對本公司的局限性心知肚明。
他說：" 一般人往高處想，可能以為我們是數字銀行，但我們不是銀行。" 與銀行不同，Coinbase 不放貸。更為關鍵的是，Coinbase 雖然像貝寶或西聯匯款那樣接受對貨幣轉移機構的管制，但它不在美國聯邦存款保險公司的承保范圍內，也不受到用來監管銀行的消費者保護法的約束。
阿姆斯特朗的工資一直以比特幣的形式支付；他每月套現出一定的美元，以支付租金。他的很多員工跟他一樣。他們比任何人都更加瞭解安全問題，但保護好消費者顯然是嚴峻的挑戰：從技術上來說，由於黑客是利用威瑞森、Sprint 等通信運營商的弱點從客戶端攻破瞭消費者的賬戶，並不能把這些黑客行動直接說成是 Coinbase 的錯誤。一位高管說：" 理性地說，我們很難阻止有人從客戶的賬戶上取錢。"
比特幣骯臟的小秘密
盡管如此，Coinbase 承擔不起忽視這個問題的代價。它是真的沒有錢去承擔。雖然說它不是銀行，但當傳統金融機構突然退來因黑客造成的欺詐性支付款項時，Coinbase 仍然要承擔銀行業系統協議規定的費用。
例如，當達奇斯遭竊後，Coinbase 的一位客戶支持代表在電子郵件裡反而向他抱怨，因為交易被當作 " 詐騙 " 報告給瞭銀行，由此造成的沖正（即銀行系統對已經成功記賬的交易進行撤銷的行為——譯註）給 Coinbase 造成瞭 1,657.41 美元的損失。
公司的數據科學主管蘇普斯 · 蘭詹不久前在一次行業活動上說：" 我們公司背瞭黑鍋。" 此類問題，再加上以未授權信用卡購買數字加密貨幣的情況，給 Coinbase 制造的成本占其營業收入高達 10%，詐騙活動給公司造成的損失是貝寶的 20 倍。蘭詹說：" 我絕對相信，我們面對著如今世界上最難解決的支付欺詐和用戶安全問題。"
為瞭抗擊欺詐，Coinbase 一直在利用分析技術預測，哪位客戶欺詐和拒付的風險最高，然後先發制人地限制他們的購買能力，甚至鎖住他們的賬戶。但是這麼做也有不利的地方，客戶為此心情沮喪，公司的後端服務臺積壓瞭數萬條幫助請求。Coinbase 隻有大約 180 名員工，其招聘速度無法跟上工作需要，目前正在填補 100 個工作崗位。直到 9 月，Coinbase 甚至沒有客戶支持電話。
與此同時，Coinbase 還一頭陷入瞭很多人預料到的一個情況，這也是加密貨幣與高盛集團最為接近之處。2015 年，僅有 802 名美國納稅人在報稅單上報告瞭他們投資比特幣的收益，美國國稅局請求法院命令 Coinbase 提供用戶記錄。
今年，公司出現瞭第一次 " 閃崩 "，以太坊的價格暴跌至 10 美分，市場在短時間內陷入極度恐慌。公司稱，所有交易均 " 正常進行 "，但最終同意，出於善意，公司將補償交易者因被要求追加保證金所造成的損失。8 月初，比特幣區塊鏈的一個 " 硬分叉 "（對比特幣區塊鏈的一種升級，升級後的比特幣不再兼容之前的版本，等於創造出瞭一種新幣——譯註）制造出瞭另外一種名叫 " 比特幣現金 " 的貨幣，Coinbase 一開始說不會支持。
幾小時後，它遭受瞭一次 DoS（拒絕服務）攻擊，讓這傢交易所徹底斷網，客戶紛紛威脅起訴。有人認為，這是對它拒絕支持比特幣現金的報復。Coinbase 最終屈服：賬戶持有者可以持有比特幣現金至 2018 年。阿姆斯特朗說：" 我們處於極快的增長期，特別令人激動，也有點混亂。"
在很多區塊鏈的狂熱愛好者看來，Coinbase 被黑提醒他們，把加密數字貨幣存放在別人那裡是一件危險的事情。Civic 是一傢利用區塊鏈技術進行身份驗證的公司，該公司的首席科技官喬納森 · 史密斯說：" 不擁有密鑰，就不擁有比特幣。" 不過話又說回來，比特幣有一個骯臟的小秘密：作為這樣一種濃縮瞭未來的資產，一些人管理它的辦法，簡直像是回歸到瞭封建時代。
黃金標準：" 冷存儲 "？
自己存放密鑰的比特幣投資者通常采用最原始的保護方法，和把現金藏在床墊底下差不多：比如把密鑰打印在一張紙上，剪成幾片，分配給傢人，不讓傢人知道應該如何把它完整地拼湊起來；或者把密鑰做成一個加密文件保存在一個 U 盤上，埋在自傢後院裡；或者幹脆死記硬背。
這些臨時想出來的應急辦法也有缺陷，招致的損失也數不勝數：紐約的一位老兄把自己的硬盤重新格式化瞭，忘瞭裡面還有價值 2.5 萬美元的比特幣的密鑰。一傢對沖基金研究機構的分析師多米尼克 · 福格蒂在參加瞭一個單身漢派對之後，把存放瞭加密數字貨幣的手機落在瞭出租車裡，他到處尋找，總算把它找瞭回來。他對《財富》雜志說：" 是的，我們錯過瞭火車，但更重要的，是我的比特幣沒丟。"
由於電話號碼存在漏洞，Coinbase 正在考慮為客戶提供物理認證設備 YubiKeys（如上所示），它能代替文本密碼成為帳戶的第二層保護層。 | Photo: Courtesy of Yubikey
還有一個最大的諷刺：比特幣安全的黃金標準是把密鑰存放在不能上網的地方，稱為 " 冷存儲 "，但這通常意味著要把它們放在區塊鏈的支持者特別想避開的地方：銀行。有一位加密數字貨幣對沖基金的經理，曾經去查看他在富國銀行的保險箱，他在那裡存放瞭價值 500 萬美元的密鑰，結果卻發現箱子是空的！（幾周後，正確的箱子找到瞭，原來被放在瞭指定位置的下一排。）
即便 Coinbase 公司自己也以銀行為其部分冷存儲的地方，它把客戶資金的 98% 放在瞭銀行裡。阿姆斯特朗承認：" 我覺得，這樣的做法確實有點舊。" 不過呢，這也可能是未來，因為越來越多的主流投資者想入手加密數字貨幣，但他們又不想自己成為銀行。
對於加密愛好者來說，這麼幹完全是離經叛道。邁克爾 · 克裡格曾經擔任雷曼兄弟公司的分析師，被金融危機搞得理想破滅，離開瞭華爾街，從事加密數字貨幣行業。他說：" 我不會把我的私鑰托付給銀行裡的保險箱，我隻會托付給自己。"
不過，昔日的金融衛士與區塊鏈的叛逆者之間的高墻已經開始瓦解，也許終有一天，這兩個系統將實現無縫融合。道富銀行的一名前高管梁滸稱：" 我們想擺脫的一些規則和流程正好是我們想要用來保護客戶的規則，這幾乎是諷刺，也很有意思。" 梁滸今年 8 月從道富離職，為機構投資者開辦瞭一傢加密數字貨幣交易平臺。區塊鏈的信徒盡管夢想取代幾百年來定義瞭銀行的那些規矩，但他們正在意識到，完全擺脫這些規矩根本不可能。
今年 8 月的一個早晨，喬納森 · 萊文在他位於曼哈頓的一傢聯合辦公空間的辦公室裡迎接我，他騎瞭 6 英裡（約 9.66 千米）的自行車來上班，此時仍然喘息未定。這位 27 歲的旅美英國人身穿一件灰色純棉 T 恤，上面寫著 " 比特幣，創建於 2009 年 "。他放肆地對我大聲說：" 打擊網絡犯罪的地方，就是這個樣子！"
萊文是 Chainalysis 公司的聯合創始人，這是一傢新創企業，追蹤虛擬貨幣的走向，並調查其非法使用。據瞭解相關調查的人說，Chainalysis 曾經在今年 7 月的一周時間內，協助執法部門，扳倒瞭兩傢公司，並對其提出瞭犯罪指控，一傢是 " 黑網絡 " 市場 AlphaBay，另一傢是臭名昭著的數字貨幣交易所 BTC-e。
此前，該公司已經能夠鎖定從 Mt.Gox 和 Bitfinex 偷出的資金的去向：比特幣的所有交易紀錄都不可篡改，實際上指明瞭資金的流動線路，任何人都能找到接收資金的數字錢包的地址。Chainalysis 的人工智能 " 群集 " 技術能夠確定資金經過的交易所，但是，在尋找這些數字錢包的控制者時，公司似乎沒有什麼進展。我問：" 有多少人因為從比特幣大交易所偷竊被抓？" 萊文生動地回答：" 答案是零。"
凱瑟琳 · 豪恩說：" 這個答案不完全對。" 她曾經是領導打擊虛擬貨幣犯罪行動的聯邦檢察官，今年 5 月加入瞭 Coinbase 董事會。她說，確實沒有人因為侵入交易所或以電子手段盜竊加密數字貨幣而入獄，但對 AlphaBay 和 BTC-e 做的調查是首批案件，尚未結案。
由於數字錢包是匿名的，調查人員可能要花好幾年時間才能夠將這些案件與某個人聯系起來，這需要從 Coinbase 這樣的交易所和互聯網更不知名的角落搜集數據。豪恩說：" 我會把它比做傳統的銀行盜竊。如果竊賊戴著面具、假發和手套，想抓到他可能非常難，但不是不可能。"
個別盜竊案可能太小，不足以讓聯邦調查接手，但越來越多的受害者向聯邦調查局等政府機構報告犯罪行為，帶來瞭更大的希望。Chinalysis 在 7 月開設瞭一個特別調查部門，如有黑客入侵受害者提出請求，便提供幫助。
專傢認為，實施盜竊的犯罪分子來自於復雜的組織，它們擁有技術和人手，在社交網絡上搞拉網式的搜索，尋找有關加密數字貨幣的賬戶信息。而它們擁有的資源可以讓它們在 24 小時裡給電信運營商威瑞森打 28 次電話，直到成功地將某個手機號碼移植到其他電話上（即不斷給運營商打電話，編造各種理由，說服客服人員把某個號碼轉移到其他手機——譯註）。
這便是對沖基金 Cyrptochain Capital 的管理合夥人亞當 · 波科爾尼基的遭遇。做這麼大的騙局不可避免地會留下痕跡，從中可以找到作案的模式。豪恩說：" 手機移植騙局已經引起瞭執法部門的註意，請看好戲吧。"
即使如此，就算區塊鏈世界的各方聯手將網絡犯罪分子成功抓獲，也不能保證受害人拿回他們的錢。用於指控加密數字貨幣盜竊者的部分司法先例還未得到驗證，對於無形資產能否沒收，仍然存在問題。
首先，拿獲這些贓物必須知道私鑰。傑弗裡 · 伯恩斯來自於加州一傢專業從事數字貨幣案件的律師事務所，他說：" 犯罪分子可以抓到，但政府無法強迫他們說出寶貝在哪裡。" 在一個最為重視去中心化的系統裡，銀行業的保險箱根本不存在。伯恩斯說：" 這裡沒有消費者保護措施，我也不知道能不能有。"
在瑞士一座大山深處，有一處深達 200 米的洞穴，是二戰時期的一座軍事地堡，那裡據信是目前全球最大的比特幣倉庫。在 2014 年 Mt.Gox 被黑之後，一位阿根廷的科技創業者文塞斯 · 卡薩雷斯認為，有一個辦法可以解決比特幣的存放問題：深入地下。
他的公司 Xapo 目前在五大洲運營著受到重重保衛的地庫，有的地庫深入地下達 1,000 米。每個地庫都擺著所謂的氣隙服務器（即不與互聯網相連的服務器——譯註），保存著加密的私鑰。Xapo 的總部位於帕洛阿爾托，它的客戶有的來自於新興市場，其賬戶上隻有 5 美元；也有全球最大的對沖基金和金融機構。
對於不讓他們受到黑客入侵，公司派特工監督服務器的制造，一直到下生產線，並將服務器護送到秘密地庫，確保它們完全不接觸互聯網。卡薩雷斯還擔任貝寶的董事，他說：" 我們不得不去保護密鑰，這多少有點荒唐。"
但即便這樣的保護措施也有局限。當客戶出於交易的目的將資金挪到 Xapo 的 " 熱錢包 "（這本身是一個 48 小時的過程）時，這筆錢就有可能遭受 Coinbase 賬戶所遭遇到的攻擊。
換句話說，隻要你想動用，你的加密數字財富就不安全。
作者：Jen Wieczner
譯者：天逸
