新世纪的银行抢劫

Illustration by Steven Wilson 

人工智能新创企业Prome的首席执行官肖恩·埃弗里特（Sean Everett）起初并不确定，他在加密数字货币上的投资会带来怎样的收益。但是，他绝对没有想到，他的投资会在瞬间灰飞烟灭。

今年3月，埃弗里特卖掉了手中的苹果（Apple）、亚马逊（Amazon）等所有股票，将一大块收益在一个叫Coinbase的网站上购买了比特币（Bitcoin）和以太坊（Ethereum）。这个决定让埃弗里特立即变得更加富有，因为这两种基于区块链的货币的价值在随后几周飞速上涨。可是，就在埃弗里特于5月17日晚上10点出门遛狗时，他接到了一个电话，那是移动运营商T-Mobile公司打来的，向他确认，公司正在将他的电话号码转移到另外一台设备上。

这个举动很可疑，因为埃弗里特根本没有要求过。但是，即使他恳请T-Mobile的服务人员阻止这次转移，也已经来不及了。没过5分钟，埃弗里特的手机服务就突然关闭。此时，他冲向电脑，看到了自己的资产在眼皮底下被人劫走。一连串的电子邮件通知告诉他，有人已经控制了他的Gmail主账户，打入了他在Coinbase的“钱包”。窃贼能进来，是借助了他的被转移的电话号码。埃弗里特的账户在登录时必须输入手机上收到的双重验证码短信，这是第二道保险。可在当时，短信被直接发给了窃贼。

窃贼只花了两分钟就将埃弗里特账户里当时价值数千美元的数字货币洗劫一空。埃弗里特觉得，更让他痛苦的是后来发生的事情：以太坊的价格在接下来的三周翻了两番。6月的一个潮湿的下午，我在纽约的一家咖啡店里见到了埃弗里特。就在我们见面的几个小时前，以太坊创下了400美元的历史新高。此前一天，比特币首次突破了3,000美元。对于自己的数字货币不翼而飞，埃弗里特到现在还是耿耿于怀。他痛惜地说：“我不光是本钱没有了，还错过了这么大涨幅。”

不过，最让埃弗里特以及其他很多比特币爱好者感到惊讶的，是有人居然能够在Coinbase盗窃。这家位于旧金山的公司是世界最大的加密数字货币交易所，是极少数保险柜未遭黑客攻击的公司之一。在区块链世界里，这一荣耀尤其被人看重，因为此前发生过几起损失惨重的黑客事件，成了全球性的头条新闻。几乎所有的早期投资者都会对你提及，他们在Mt. Gox损失了钱。2014年，黑客从这家比特币交易所劫掠了将近5亿美元，它随之倒闭。去年夏天，窃贼瞬间从香港的加密数字货币交易所Bitfinex抢走了7,200万美元。

但是黑客从未攻破过Coinbase的虚拟堡垒。牢不可破使它有了“买比特币最安全”的名声，帮助它吸引了900多万名用户，他们至少在那里存放了价值30亿美元的加密数字货币。到目前为止，在它的零售交易平台和机构交易平台GDAX，至少已经进行过价值250亿美元的交易。Coinbase已经有五年历史，在新一轮融资中融到了1亿美元，估值高达16亿美元，成为了区块链行业的第一只“独角兽”。风投资本家、Coinbase最早最大的投资者之一弗雷德·威尔逊（Fred Wilson）在3月的一次会议上说：“看看这家公司最出色的地方，比如安全性、受信任度和防护能力，这些显然都是银行的强项。它就像区块链里的摩根大通（JP Morgan）或高盛集团（Goldman Sachs）。”

但是，Coinbase的个别用户确实曾经被盗贼光顾过，而且频繁程度也令人吃惊和不安。即便是威尔逊自己也曾经被猛烈惊醒：今年6月初在欧洲度假时，他吃惊地看见了埃弗里特收到过的那类提醒邮件，有一名闯入者试图进入他的Coinbase账户。威尔逊在钱被偷走前成功地锁住了账户。但是，在一篇博客中，他对自己投资的一家公司发表了罕见的公开抨击：“这次经历让我至今心有余悸，自然也有了几分怀疑。”

自从那以后，《财富》杂志曾经和10多名受害者交谈，他们当中有技术公司的高管，也有著名的区块链支持者。他们在Coinbase的账户都曾经被盯上和攻击过，方式几乎相同；其他交易平台遭受到的攻击更多。在埃弗里特遭抢之后的第二天，洛杉矶的企业家亚当·达奇斯（Adam Dachis）的时值10,000美元的账户资产被清空。7月7日，窃贼又清空了区块链行业顾问迈克·科斯塔奇（Mike Costche）在Coinbase账户里的18,000美元，当时他在国外旅行，窃贼是趁他晚上睡觉时花了4个小时干的。自从去年圣诞节以来，Coinbase的用户平均每月被抢30次，相当于每天一次。

每次案件都让人们产生了相同的、始料不及的想法，人们开始关注区块链固有的吊诡：让加密数字货币有别于传统货币的典型优势，即交易的即时性与不可逆性，同时也是它的致命缺陷。位于伦敦的区块链情报机构Elliptic的联合创始人及首席数据官汤姆·鲁宾逊（Tom Robinson）说：“比特币存在的原因之一是它的抗监管性。”这意味着没有人能够阻止数字货币交易的发生，政府或中央银行也不行。因此，传统银行储户所倚仗的防欺诈措施对于数字货币交易基本没用。鲁宾逊说：“拒付、可逆与创建比特币的目的水火不容。”

因此，每当犯罪分子手痒想抢劫时，他们越来多地选择加密数字货币而非实际货币。2016年，在美国联邦调查局（FBI）的互联网犯罪投诉中心（Internet Crime Complaint Center）收到的报告中，来自于和虚拟货币相关的犯罪的损失高达2,800万美元，超出2015年三倍多。而且，这一数字还是基于受害者个人的自愿报告得出的，也不包括在Bitfinex等交易平台上发生的大规模黑客盗窃。所以，实际损失可能要高出几个数量级。

针对传统金融机构的网络犯罪也在增长：例如，据Javelin Strategy & Research公司，通过所谓的账户接管偷钱——与Coinbase黑客事件类似的一种犯罪——在去年增长了61%，达23亿美元。但是，与存放在银行里的万亿美元相比，这类网络犯罪涉及的金额相对很小。但加密数字货币的全部市值只有1,350亿美元，黑客盗走的份额要大得多。例如，网络安全公司Chainalysis称，过去12个月，犯罪分子已经偷走了以太坊总市值的1%，即2.25亿美元。同期比特币的损失估计更高。

前公司黑客、美国西北大学（Northwestern University）凯洛格管理学院（Kellogg School of Management）的一位教授莫兰·瑟夫（Moran Cerf）解释说，实体银行的劫匪面临“两大难题：把钱偷走和埋藏证据。比特币不存在第二个问题，因为所有人都是匿名的。”对于交易不可逆这样的缺陷，比特币的铁粉们似乎能够接受。区块链投资人克里斯·伯尼斯克（Chris Burniske）说：“我把这看成是特色，而不是漏洞。”伯尼斯克的新著《加密资产》（Cryptoassets）即将出版。不过，他的比特币账户在去年12月被洗劫过，被偷走的比特币价值在如今超过10万美元。

但是，当受害者看着他们的钱被取走，进入了不知名的陌生人的数字钱包时，对于Coinbase来说，这就不仅仅是一个难题了：这是对比特币自己的承诺的威胁。随着加密数字货币价值的飙升，越来越多的投资者面临的问题，不仅仅是如何从中获利，还有如何牢牢地持有。今年5月，科迪·布朗（Cody Brown）的账户在短短15分钟内就被黑客取走了8,000美元。他抱怨说：“Coinbase看起来像银行，说话也像银行，像银行那样收了几百万美元现金。可实际上，它做事就像灯光昏暗的地下赌场。直到被黑客偷了钱，你才会发现，那些方方正正的字体、柔顺的蓝色梯度变化曲线和无休止地复制信任声明文字对你来说毫无意义。”

Coinbase拒绝讨论具体案件，只说它在调查所有的账户接管事件。但现年34岁的创始人和首席执行官布莱恩·阿姆斯特朗（Brian Armstrong）表示，布朗和威尔逊的经历“有助于”指导公司改善业务。公司的安全措施已经能够匹敌甚至超越银行，比如利用机器学习发现可疑行为，强制施行双重验证。但是，阿姆斯特朗承认，Coinbase已经成为了一个诱人的目标。他对《财富》杂志说：“我们需要实行更高的标准，因为数字货币是非常有趣和强大的新事物，很多人忍不住想偷。”

如果比特币是宗教，相对于“耶稣应该怎么做”，它的口号就是“成为你自己的银行”。这是被行业内广泛接受的非正式口号。2009年，神秘的创始人（可能不只一位）以“中本聪”（Satoshi Nakamoto）的名义发布了区块链。发布者把区块链视为电子现金的理想形式。中本聪在一份传奇白皮书中写道，这种电子现金“无须经过金融机构”就可以换手。

但是，这一理想货币也吸引来了破坏分子，让很多潜在的接受者望而却步。阿姆斯特朗从中发现了机会：改善这个在当时由“黑客和秘密捣乱分子”统治的行业的形象。他说：“如果让这个行业成为主流，就必须要有更受信赖的品牌。”

阿姆斯特朗是爱彼迎（Airbnb）早期的工程师，2012年，他离职创办了“数字货币的Gmail”。他的战略是：让存储、买卖加密数字货币变得更加容易和安全。早期的比特币钱包公司允许客户追查他们的私钥：一个由64个字符组成的密码口令，仅凭这个密码就可以获取某人的加密数字货币。但Coinbase做了一个开拓性的创新：代客户储存密钥。这也存在风险：客户要拿到比特币，不一定要知道真正的密钥，只用一个密码口令即可，对于黑客来说同样是如此。这位面带稚气的首席执行官承认：“我们这是承担了一个巨大的责任。但我也认为，要让行业上规模，使数字货币拥有下一个1亿或10亿用户，这一步是必须要走的。”

Coinbase已经展现出了向大众推广这种新型资产的独一无二的能力。他们的基础客户群大部分在美国，在过去5个月里已经增长了50%，每天最多有5万人注册。仅7月的交易量就是2016年全年的两倍。Coinbase从中收取交易手续费，据说已经接近实现盈利。在《财富》杂志今年的40位40岁以下的商界精英排行榜上，阿姆斯特朗排名第10位。不过，他对本公司的局限性心知肚明。他说：“一般人往高处想，可能以为我们是数字银行，但我们不是银行。”与银行不同，Coinbase不放贷。更为关键的是，Coinbase虽然像贝宝（PayPal）或西联汇款（Western Union）那样接受对货币转移机构的管制，但它不在美国联邦存款保险公司（FDIC）的承保范围内，也不受到用来监管银行的消费者保护法的约束。

阿姆斯特朗的工资一直以比特币的形式支付；他每月套现出一定的美元，以支付租金。他的很多员工跟他一样。他们比任何人都更加了解安全问题，但保护好消费者显然是严峻的挑战：从技术上来说，由于黑客是利用威瑞森（Verizon）、Sprint等通信运营商的弱点从客户端攻破了消费者的账户，并不能把这些黑客行动直接说成是Coinbase的错误。一位高管说：“理性地说，我们很难阻止有人从客户的账户上取钱。”

尽管如此，Coinbase承担不起忽视这个问题的代价。它是真的没有钱去承担。虽然说它不是银行，但当传统金融机构突然退来因黑客造成的欺诈性支付款项时，Coinbase仍然要承担银行业系统协议规定的费用。例如，当达奇斯遭窃后，Coinbase的一位客户支持代表在电子邮件里反而向他抱怨，因为交易被当作“诈骗”报告给了银行，由此造成的冲正（即银行系统对已经成功记账的交易进行撤销的行为——译注）给Coinbase造成了1,657.41美元的损失。公司的数据科学主管苏普斯·兰詹（Soups Ranjan）不久前在一次行业活动上说：“我们公司背了黑锅。”此类问题，再加上以未授权信用卡购买数字加密货币的情况，给Coinbase制造的成本占其营业收入高达10%，诈骗活动给公司造成的损失是贝宝的20倍。兰詹说：“我绝对相信，我们面对着如今世界上最难解决的支付欺诈和用户安全问题。”

为了抗击欺诈，Coinbase一直在利用分析技术预测，哪位客户欺诈和拒付的风险最高，然后先发制人地限制他们的购买能力，甚至锁住他们的账户。但是这么做也有不利的地方，客户为此心情沮丧，公司的后端服务台积压了数万条帮助请求。Coinbase只有大约180名员工，其招聘速度无法跟上工作需要，目前正在填补100个工作岗位。直到9月，Coinbase甚至没有客户支持电话。

与此同时，Coinbase还一头陷入了很多人预料到的一个情况，这也是加密货币与高盛集团最为接近之处。2015年，仅有802名美国纳税人在报税单上报告了他们投资比特币的收益，美国国税局（IRS）请求法院命令Coinbase提供用户记录。今年，公司出现了第一次“闪崩”，以太坊的价格暴跌至10美分，市场在短时间内陷入极度恐慌。公司称，所有交易均“正常进行”，但最终同意，出于善意，公司将补偿交易者因被要求追加保证金所造成的损失。8月初，比特币区块链的一个“硬分叉”（对比特币区块链的一种升级，升级后的比特币不再兼容之前的版本，等于创造出了一种新币——译注）制造出了另外一种名叫“比特币现金”（Bitcoin Cash）的货币，Coinbase一开始说不会支持。几小时后，它遭受了一次DoS（拒绝服务）攻击，让这家交易所彻底断网，客户纷纷威胁起诉。有人认为，这是对它拒绝支持比特币现金的报复。Coinbase最终屈服：账户持有者可以持有比特币现金至2018年。阿姆斯特朗说：“我们处于极快的增长期，特别令人激动，也有点混乱。”

在很多区块链的狂热爱好者看来，Coinbase被黑提醒他们，把加密数字货币存放在别人那里是一件危险的事情。Civic是一家利用区块链技术进行身份验证的公司，该公司的首席科技官乔纳森·史密斯（Jonathan Smith）说：“不拥有密钥，就不拥有比特币。”不过话又说回来，比特币有一个肮脏的小秘密：作为这样一种浓缩了未来的资产，一些人管理它的办法，简直像是回归到了封建时代。

自己存放密钥的比特币投资者通常采用最原始的保护方法，和把现金藏在床垫底下差不多：比如把密钥打印在一张纸上，剪成几片，分配给家人，不让家人知道应该如何把它完整地拼凑起来；或者把密钥做成一个加密文件保存在一个U盘上，埋在自家后院里；或者干脆死记硬背。这些临时想出来的应急办法也有缺陷，招致的损失也数不胜数：纽约的一位老兄把自己的硬盘重新格式化了，忘了里面还有价值2.5万美元的比特币的密钥。一家对冲基金研究机构的分析师多米尼克·福格蒂（Dominic Fogarty）在参加了一个单身汉派对之后，把存放了加密数字货币的手机落在了出租车里，他到处寻找，总算把它找了回来。他对《财富》杂志说：“是的，我们错过了火车，但更重要的，是我的比特币没丢。”

还有一个最大的讽刺：比特币安全的黄金标准是把密钥存放在不能上网的地方，称为“冷存储”，但这通常意味着要把它们放在区块链的支持者特别想避开的地方：银行。有一位加密数字货币对冲基金的经理，曾经去查看他在富国银行（Well Fargo）的保险箱，他在那里存放了价值500万美元的密钥，结果却发现箱子是空的！（几周后，正确的箱子找到了，原来被放在了指定位置的下一排。）即便Coinbase公司自己也以银行为其部分冷存储的地方，它把客户资金的98%放在了银行里。阿姆斯特朗承认：“我觉得，这样的做法确实有点旧。”不过呢，这也可能是未来，因为越来越多的主流投资者想入手加密数字货币，但他们又不想自己成为银行。

对于加密爱好者来说，这么干完全是离经叛道。迈克尔·克里格（Michael Krieger）曾经担任雷曼兄弟公司（Lehman Brothers）的分析师，被金融危机搞得理想破灭，离开了华尔街，从事加密数字货币行业。他说：“我不会把我的私钥托付给银行里的保险箱，我只会托付给自己。”不过，昔日的金融卫士与区块链的叛逆者之间的高墙已经开始瓦解，也许终有一天，这两个系统将实现无缝融合。道富银行（State Street）的一名前高管梁浒称：“我们想摆脱的一些规则和流程正好是我们想要用来保护客户的规则，这几乎是讽刺，也很有意思。”梁浒今年8月从道富离职，为机构投资者开办了一家加密数字货币交易平台。区块链的信徒尽管梦想取代几百年来定义了银行的那些规矩，但他们正在意识到，完全摆脱这些规矩根本不可能。

今年8月的一个早晨，乔纳森·莱文（Jonathan Levin）在他位于曼哈顿的一家联合办公空间的办公室里迎接我，他骑了6英里（约9.66千米）的自行车来上班，此时仍然喘息未定。这位27岁的旅美英国人身穿一件灰色纯棉T恤，上面写着“比特币，创建于2009年”。他放肆地对我大声说：“打击网络犯罪的地方，就是这个样子！”

莱文是Chainalysis公司的联合创始人，这是一家新创企业，追踪虚拟货币的走向，并调查其非法使用。据了解相关调查的人说，Chainalysis曾经在今年7月的一周时间内，协助执法部门，扳倒了两家公司，并对其提出了犯罪指控，一家是“黑网络”市场AlphaBay，另一家是臭名昭著的数字货币交易所BTC-e。此前，该公司已经能够锁定从Mt.Gox和Bitfinex偷出的资金的去向：比特币的所有交易纪录都不可篡改，实际上指明了资金的流动线路，任何人都能找到接收资金的数字钱包的地址。Chainalysis的人工智能“群集”技术能够确定资金经过的交易所，但是，在寻找这些数字钱包的控制者时，公司似乎没有什么进展。我问：“有多少人因为从比特币大交易所偷窃被抓？”莱文生动地回答：“答案是零。”

凯瑟琳·豪恩（Kathryn Haun）说：“这个答案不完全对。”她曾经是领导打击虚拟货币犯罪行动的联邦检察官，今年5月加入了Coinbase董事会。她说，确实没有人因为侵入交易所或以电子手段盗窃加密数字货币而入狱，但对AlphaBay和BTC-e做的调查是首批案件，尚未结案。由于数字钱包是匿名的，调查人员可能要花好几年时间才能够将这些案件与某个人联系起来，这需要从Coinbase这样的交易所和互联网更不知名的角落搜集数据。豪恩说：“我会把它比做传统的银行盗窃。如果窃贼戴着面具、假发和手套，想抓到他可能非常难，但不是不可能。”

个别盗窃案可能太小，不足以让联邦调查接手，但越来越多的受害者向联邦调查局等政府机构报告犯罪行为，带来了更大的希望。Chinalysis在7月开设了一个特别调查部门，如有黑客入侵受害者提出请求，便提供帮助。专家认为，实施盗窃的犯罪分子来自于复杂的组织，它们拥有技术和人手，在社交网络上搞拉网式的搜索，寻找有关加密数字货币的账户信息。而它们拥有的资源可以让它们在24小时里给电信运营商威瑞森打28次电话，直到成功地将某个手机号码移植到其他电话上（即不断给运营商打电话，编造各种理由，说服客服人员把某个号码转移到其他手机——译注）。这便是对冲基金Cyrptochain Capital的管理合伙人亚当·波科尔尼基（Adam Pokornicky）的遭遇。做这么大的骗局不可避免地会留下痕迹，从中可以找到作案的模式。豪恩说：“手机移植骗局已经引起了执法部门的注意，请看好戏吧。”

即使如此，就算区块链世界的各方联手将网络犯罪分子成功抓获，也不能保证受害人拿回他们的钱。用于指控加密数字货币盗窃者的部分司法先例还未得到验证，对于无形资产能否没收，仍然存在问题。首先，拿获这些赃物必须知道私钥。杰弗里·伯恩斯（Jeffrey Berns）来自于加州一家专业从事数字货币案件的律师事务所，他说：“犯罪分子可以抓到，但政府无法强迫他们说出宝贝在哪里。”在一个最为重视去中心化的系统里，银行业的保险箱根本不存在。伯恩斯说：“这里没有消费者保护措施，我也不知道能不能有。”

在瑞士一座大山深处，有一处深达200米的洞穴，是二战时期的一座军事地堡，那里据信是目前全球最大的比特币仓库。在2014年Mt.Gox被黑之后，一位阿根廷的科技创业者文塞斯·卡萨雷斯（Wences Casares）认为，有一个办法可以解决比特币的存放问题：深入地下。

他的公司Xapo目前在五大洲运营着受到重重保卫的地库，有的地库深入地下达1,000米。每个地库都摆着所谓的气隙服务器（即不与互联网相连的服务器——译注），保存着加密的私钥。Xapo的总部位于帕洛阿尔托（Palo Alto），它的客户有的来自于新兴市场，其账户上只有5美元；也有全球最大的对冲基金和金融机构。对于不让他们受到黑客入侵，公司派特工监督服务器的制造，一直到下生产线，并将服务器护送到秘密地库，确保它们完全不接触互联网。卡萨雷斯还担任贝宝的董事，他说：“我们不得不去保护密钥，这多少有点荒唐。”

但即便这样的保护措施也有局限。当客户出于交易的目的将资金挪到Xapo的“热钱包”（这本身是一个48小时的过程）时，这笔钱就有可能遭受Coinbase账户所遭遇到的攻击。换句话说，只要你想动用，你的加密数字财富就不安全。

盗贼的手段

据接近Coinbase公司的人称，它的用户每年因为黑客入侵损失高达500万美元。入侵怎样进行？元凶为何如此难以捉到？

窥视

骗子搜索区块链行业的人，寻找目标。他们可能会结合社交媒体上有关比特币和Coinbase的信息。攻击者先要从网上的贴文或此前的数字外泄中找到目标的电子邮件地址和手机号码。

呼叫转移

然后，骗子联系受害人的移动运营商，将手机号“转接”到一台由他们控制的设备上。

假扮受害者

由于Gmail的账户通常绑定手机号码，作为备用的读取方式，让骗子们能够登入目标的电子邮箱，并重置密码，然后在Coinbase上做同样的事情。

“进来了！”

除了密码口令，Coinbase要求双重验证。结果，双重验证被发给了已经登入账户的骗子。

溜走

骗子将资金挪到他本人控制的数字“钱包”里。执法部门很容易追踪到区块链中被盗数字货币的去向，但他们无法阻止交易，也难以找出控制那些钱包的人。

洗钱

为了掩盖路径，骗子将货币转移到海外“加密数字货币交易所”或将其转化为难以追踪的其他形式的数字货币。最终，他得以将其变成现金或是其他资产。

怎样更好地保护加密数字货币

要加强安全：

>给手机号设置“不准转接”的指令。

>不以短信形式发送双重认证信息，使用Google Authenticator这样的app应用。

>采用专门的密码口令，不用于其他社交媒体的账户。