币安——比特币、以太币以及竞争币等加密货币的交易平台(访问: hash.cyou 领取833USDT）

　　本次 Space 围绕 Bybit 近期遭遇的加密货币领域历史上最大规模黑客攻击事件、同时也是人类历史上最大金额的盗窃案展开，吴说 Colin 对话 Bybit 高管 Shunyet Jan 和创始人 Ben Zhou 介绍了事件发生及之后救援的细节。事件涉及价值约 15 亿美元的以太坊被盗，疑似朝鲜黑客组织 Lazarus Group 所为。Bybit 通过优先开放散户提币、分级限制机构客户、并借助 Bitget 等交易所及 OTC 服务商的流动性支持，在 12 小时内恢复了全面提币功能，目前流动性问题已解决。然而，被盗资金追回可能性极低，公司正联合安全团队调查漏洞根源，涉及多签冷钱包供应商 Safe 的技术问题或潜在内部失误。此外，Bybit 强调将通过提升安全措施、优化风控流程及透明化沟通重建用户信任，同时坦言此次事件暴露了内部流程与危机管理的不足，未来将进行全面复盘与改进。

　　Shunyet：好的，我们当时被盗的只是我们的以太坊现货库存，大约占 70% 左右。因为很多客户在那段时间有需求，我们暂停了不少操作，根据客户级别分批允许提币。所以当时散户基本都能正常提币，只是以太坊无法提取。那段时间我们的库存确实不足，客户提不出来。为此，我们要感谢 Grace，以及 Bitget、抹茶等交易所，还有一些做市商，他们一起帮我们把库存逐步补齐。有些是通过借贷，有些是直接交换，但主要还是依靠桥接模式。后来，我们满足了所有客户的提币需求，大约 12 小时后全面开放，连机构客户也能提币。现在，我们的现货流动性已经没有问题了。

　　Shunyet：是的，我们这边有很多大户。所谓大户，有的交易量很大，有的则是在 Bybit 上存了不少资产。对于交易量大的那些客户，我们观察到，因为他们大多是做市商，他们可能会根据基金策略降低一些操作，但仍然有三分之一到一半的资金留在了交易所。至于那些持有大量资产的客户，他们的态度基本分为两种：一部分完全信任 Bybit，资金没动；另一部分可能会在短期内将资金转移到其他地方。不过，我觉得我们现在的高峰期已经完全过去了。

　　Shunyet：我们当然希望能追回来，但从 Lazarus Group 的历史来看，成功追回的案例非常少。我记得以前他们唯一被追回的部分，是他们提了一些币，比如 USDT 或 USDC，这些可以被冻结然后重新销毁。但 Lazarus Group 在早期可能会犯一些小错误，比如把资金存入小型交易所。那时候，Ben 和各交易所的领导关系很好，大家也都愿意帮忙冻结这些资产。可现在，我觉得 Lazarus Group 已经不会再犯这种低级错误了，所以追回的可能性确实非常低。

　　Shunyet：嗯，好的，我从另一个角度来看这个问题。我是去年 8 月底才加入 Bybit 的，此前我的公司是 Bybit 的前三大客户之一，我自己也做过做市商。那时候我也见证过其他交易所的状况，比如 KuCoin、币安，当然还有 FTX 的崩溃。现在看来，币安的情况也不错。我们观察到很多交易所的情况，不得不承认，虽然有些用户的信任可能会动摇，但我们的应对是，首先要保持透明。我们会先调查到底是哪方面出了问题 — — 是合作的系统有漏洞，还是我们内部的规则出了错，或者是财务部门的问题，比如为什么没有将资产分散到多个系统？我们内部会进行一次彻底的复盘，然后再做决定。

　　当然，Bitget 的援助金额相对较大，而且条件也更宽松，这是很突出的。但还有很多其他机构也提供了支持。我以前经历过类似的情况，比如 911 事件时，我在华尔街工作，那时候雷曼兄弟连办公室都没了，其他公司却主动借办公室给竞争对手。所以，这次看到我们这几天很多竞争对手站出来说：“你们需要什么支持吗？有什么我们能帮的吗？”我真的很开心。这不是只针对客户，而是竞争对手之间也展现了这种态度。我觉得在加密货币行业里，这种凝聚力真的很特别。

　　Shunyet：好的，我们一直觉得多签安全问题不算太大，因为我们用的是 Safe 这样的工具，应该挺可靠的，对吧？不过这次事件后，我们确实提出了几个解决方案。首先，不管用哪种技术，我们觉得它很安全，还是会继续使用多种不同的方式。另外，在多签管理上，现在签名权限集中在四五个人手上，未来可能会分散，比如将不同币种的权限分配给不同的人。还有，以后的冷钱包必须分散，不能再把这么大的资产放在一个钱包里。这些我们在讨论时都觉得很简单，事后想想，怎么之前没想到？但这就是我们未来一定会去做的事。

　　Ben：我可以跟大家说一下我们现在在做的事。我们的安全团队已经联系了好几个外部合作伙伴，国内比较知名的慢雾也在配合我们进行全局追踪，包括和链上分析公司一起回溯当时发生了什么，试图弄清楚这次黑客事件到底是怎么发生的。到目前为止还没有定论，因为这次事件有几个可疑点跟以往不太一样。首先，它并不是我们的热钱包体系出了问题，而是我们用来存放多签冷签以太坊的供应商 Safe 出了状况。我们还不确定是他们的服务器有问题，还是我们每个签名的用户界面环节出了错。这是我们正在调查的第一个方向。至于你们提到的资金追踪，从我们角度看，这些以太坊要被洗出去没那么容易。我觉得这是一个漫长的过程，黑客会慢慢尝试各种洗钱手段。这次事件规模很大，但让我感到庆幸的是，整个行业非常团结，大家都在帮我们，我们很感激。

　　Ben：对。如果黑客现在尝试任何再质押协议，我们应该都能采取一些手段应对。所以他现在也在跟我们对峙，我们请了一堆人盯着他，他目前处境也有点尴尬。最后，确实有人，包括一些头部项目和网上几个大 V，提出以太坊能不能考虑整体回滚。但大部分观点认为，上次回滚是因为 30% 的以太坊被盗，而我们这次虽然金额很大，但占总量只有 0.3% 到 0.4% 左右，所以他们应该不会考虑回滚。不过我们也在尝试联系 Vitalik（以太坊创始人），看看他能给我们什么建议。

　　这让我们处理得比较有序。这些数据化、可视化的看板能让我们一步步规划下一步行动。比如在出金时，我们先处理小额客户，让他们全部出完，然后逐步往后排。还有，我们会根据不同链的情况调整 — — 哪条链上有资金，哪条链上没有，怎么调配。这在我看来，是数据化让大家能有序地推进后续工作。相比之下，FTX 当时很乱，可能是因为他们没有任何工具来辅助决策，这就比较不幸了。当然，在公司层面，我们对所有危机都做过演练，不管是被盗还是系统崩溃，每个月都有内部所谓的 P-1 级演练。

　　Ben：对，现在我们分成几个不同环节。首先是安全方面，第一步是要查清楚到底发生了什么。第二步是追踪资金，我们会配合外部团队，甚至跟 Safe 一起协作，弄清楚事情经过，尽量控制损失（damage control）。其次是财务方面，对于我们现在临时借来的资金 — — 不是跨链桥，英文叫 bridge loan，中文就是临时借款 — — 我们会尽快通过 OTC 交易等方式把这些钱还上。同时，我们现在更关注出金水位的变化，不过目前看，客户的恐慌已经过去了。

　　Ben：对，其实当时 CZ 和其他一些友商，比如币安，都发出了愿意帮忙的信号。不过他们发消息后，我大概过了半小时才注意到，因为当时 Twitter 都炸了，我还在忙着直播。我觉得从他们的角度看，这个建议很正常。如果不清楚黑客事件的具体情况，可能会以为是我们的热钱包出了问题。如果真是热钱包的问题，那肯定得冻结所有出金。但我们这次事件不同，我们的出金体系完全没出问题，内部系统运行正常。只是用在多签上的工具被盗了 — — 你可以理解为一个外部工具出了状况。所以我们剩下的部分都能正常运转，不需要额外花精力去停摆。第一时间锁定问题后，慢雾一看就说：“你们剩下的部分完全没问题。”所以我们才能放心做这个决定。

　　Ben：首先我想让大家理解一下我们的情况。我们有一套完整的出金体系，包括热钱包和温钱包。热钱包是自动处理出金的，而温钱包需要人工签名，这是我们自己研发的一套系统。当我们有一些额外的储备时，会放到冷钱包里。你可以把冷钱包想象成汇丰银行。这次事件就是“汇丰银行”这边出了问题 — — 我把钱往回拿的时候被拦截，导致全部被盗。所以刚说的黑客渗透我们的体系，其实完全没有。这也是为什么我们能一直保持出金不间断，我们内部正常的出金体系没有任何问题。

　　我们确实经常面对渗透尝试。我们有一整套防护措施，比如在系统里设置了很多蜜罐（honeypot），还有白帽团队和红蓝队互相攻防。甚至我们的红队会不时给员工发钓鱼邮件，测试他们是否按安全手册操作。这是交易所的日常工作。但这次不一样，黑客没攻进我们的内部系统。你可以理解为，我们把钱放到了 Safe 这个冷钱包服务商提供的东西里，这次最大的挑战是外面的问题。回到你的问题，它不是从我们这边攻进来的，而是通过外部的多签环节。我们有四个人负责签名，包括我在内，其他几位我不方便透露，但都是这个级别的人。

　　Ben：公司的资产绝对是大于这个数额的。我发过一条 Twitter，你们可以去看，我们的审计机构已经站出来说话了。这个审计机构审查过我们的财务和公司账户。我的 Twitter 上有一条消息，是 Hacken 他们帮我们做的审计。他们见过我们的资金账户，也就是 Treasury 账户。第一时间他们就表示愿意发声，但需要我们同意。当时我忙着，过了两三个小时后我说没问题，他们就发布了声明，证明他们审计过我们的 Treasury，确认我们的现金和代币储备完全可以覆盖这 15 亿美元的损失。

　　Ben：我挺庆幸的，我们团队的执行力和文化让我很欣慰。事件发生后，所有人几乎第一时间赶到办公室。因为 Bybit 是中心化办公，我当时在新加坡做直播，我们在新加坡的一整层楼几乎都坐满了人。安全团队、直播团队、媒体、公关，甚至法务，全部在线。新加坡警方在我们报警后，凌晨三四点就赶到了，今天早上甚至国际刑警也来了。整体响应速度非常快，至少我能看到的几十个直接向我汇报的人，基本一整晚没睡，一直在联系各方。

　　我觉得最辛苦的是客服团队，他们全員在线回复客户问题。风控人员也在全力处理出金请求，公关团队和其他部门的负责人几乎都在岗。产品和技术团队也在维护系统稳定性，当时我们担心会引发其他系统崩溃。我第一时间给全公司发了封内部信，说未来 24 到 48 小时会非常艰难，但希望大家保持冷静，以专业的态度处理这件事。同时要保持在线，让客户能联系到我们。我觉得在这种时刻，在线和可联系是最重要的，包括我们的机构团队，因为很多机构客户也很担心。现在我刚睡了两个小时，有些人也稍微休息了一下。整体状态还是比较亢奋，因为手头还有很多问题要解决。

　　Ben：对，我真的非常感谢。这次事件中，很多合作伙伴都站了出来，有的甚至随时待命。从钱包相关的，像 Fireblocks、Chainalysis，到其他团队 — — 我现在有点记不清都有谁了，因为有些人直接联系我，有些找我们团队。总之，我们感受到整个行业在不同环节的支持，都在用各种方式帮我们。你刚刚提到的，国内知名的几个平台，比如 Bitget、抹茶、派网，都主动联系我们，直接提供了借贷支持。币安也联系过我们，我们还在沟通，但最后我们已经借到了足够的金额，就没再麻烦他们。还有其他交易所，我们的合作伙伴，以及各种网络和做市商，几乎都在提供协助。所以真的非常感谢。

　　Ben：说实话，我还没来得及深入思考这个问题，但肯定会对我们有很大影响。从安全层面，比如钱包部署，我们可能会做得更谨慎。这次危机应急中我们也发现了一些问题可以优化。比如出入金系统在高流量下的表现，风控体系在大量标签时有点混乱，导致整体效率不够理想。还有，我们的 P-1 级响应虽然很快 — — 我们有演练，按一个按钮，全公司几乎都能收到电话和短信通知，迅速上线 — — 但在某些环节，比如这么大的事件发生时，安全负责人有没有分工明确？这些我们后续会做一个完整复盘，优化内部管理。