我们目睹了人类历史上最大的黑客盗窃案

科技乱炖

100分钟 ·1 个月前

7131

一次堪称传奇的黑客盗窃案，就在主播的眼皮底下上演，甚至导致主播间接损失数千美元！

上上周，Bybit的黑客事件震惊了全球，15亿美元的虚拟货币被盗，至今仍未抓获黑客，被盗资金也基本完成了洗白。

这起案件是如何发生的？是安全漏洞、人性弱点，还是两者兼而有之？作为全程目击者，主播将在本期节目中为大家详细回顾并分析这一事件，同时探讨虚拟货币领域独特的安全要素。

听友福利

本期节目感谢资深的硬件钱包厂商提供专业意见支持，keystone为听友提供了特别优惠，点击下面的链接购买硬件钱包，就可以领取专属优惠券

r.daofm.cn

【本期主播及嘉宾】

朱峰：「津津乐道播客网络」创始人，产品及技术专家。（微博：@zhufengme）
某高老师：「科技乱炖」主播，资深运维专家，互联网和 IT 行业从业20 年，现任某互联网安全公司高管。（微博：@某高老师，Blog：某高老师 – 人间观察）
高春辉：「科技乱炖」主播。“中国互联网站长第一人”，科技、互联网领域的连续创业者。（微博：@高春辉，微信公众号：老高的互联网杂谈）
张乐：津津乐道播客主播，连续创业未果的老程序员

【制作团队】

后期 / 卷圈
封面 / 姝琦@midjourney
运营 / 卷圈，Sand
监制 / 姝琦
产品统筹 / bobo
场地支持 / 声湃轩北京录音间

【联系我们】

希望大家在听友群和评论区多多反馈收听感受，这对我们来说十分重要。欢迎添加津津乐道小助手微信：dao160301，加入听友群。

【关于「科技乱炖」】

由多名资深从业者主持的科技点评播客，以实际工作中积累的经验为基础，结合实际，把近期科技热点变成犀利、独到、深刻的独家观点。

【关于「津津乐道播客网络」】

在一派纷繁芜杂里，我们为愉悦双耳而生。科技、教育、文化、美食、生活、技能、情绪……严肃认真却不刻板，拒绝空泛浮夸。与专业且有趣的人携手缔造清流，分享经历，传播体验，厘清世界与你的关系。

收听平台

联系我们

本节目由「声湃 WavPub」提供内容托管和数据服务支持。

展开Show Notes

姝琦_津津乐道

2025.3.04

置顶

本期节目感谢资深的硬件钱包厂商提供专业意见支持，keystone为听友提供了特别优惠，点击下面的链接购买硬件钱包，就可以领取专属优惠券：https://r.daofm.cn/z7m5t

独步91

2025.3.04

不相信比特币在内所以空气币ԅ(¯㉨¯ԅ)
古代的琉璃（玻璃）和19世纪初的铝（电解铝发明之前）到现在只剩使用价值了，人造钻石技术让钻石慢慢回归到欣赏价值。
当核聚变解决能源问题和原子合成技术结合后，黄金也会慢慢回归工业使用价值和欣赏价值。
当高性能量子计算机使用后，空气币还剩什么价值？
区块链技术就像是变色油墨等防伪技术，空气币和印出来的纸能不能有购买力，需要有主权赋予和人们共识。
纸币有主权在维护，交易过程中的诈骗和盗窃会受到法律打击，去中心化的空气币靠谁来维护？（币圈交易所可是中心化的哦）
比特币ETF只能算是一种高风险投资标的（没有收益，没有底层锚定物，没有估值逻辑），只适合少数人参与。
目前比特币只有少部分人共识（去掉想靠低买高卖赚钱的还剩多少？）和出现时间短，想与黄金同权比较困难。
我只知道比特币和黄金都不会产生收益（公司能创造利润，债券能有利息，土地能产出农作物），比特币只能靠持有者低买高卖获得收益，没有任何实用或欣赏需求（黑灰产有需求），黄金除了虚的欣赏价值，工业上有些难替代的需求。
我不是黑灰产人员，也没有大笔资金非法出入境需求，为什么要持有比特币？如果想赚大钱，期货和股市加杠杆也能赚大钱，没有必要在没有任何底层需求的空气币上低买高卖赚钱。

感觉空气币像是赌场里的筹码，并且这个筹码只能在赌徒之间交易换成法定货币，找不到赌场筹码兑换处。
而且空气币是24小时交易，没有监管，大量持有空气币的庄家很容易操纵价格，吃完多头吃空头。

ee_e9hr:很后悔花时间读你这一堆废话。。。

朱峰

:放在10年前，我可能要写3万字来厘清这些问题，但是现在懒了 🤣

共12条回复

KKKKANG

2025.3.04

既然是甲方安全工作者，泄气归泄气，但是还是想说，Bybit一年利润15亿美金，是不是该考虑那点零头出来搞支安全团队，把威胁建模，供应链安全好好搞搞，最起码下次溯源的时候也不用临时找外面人

KKKKANG

2025.3.04

作为一名甲方安全团队的员工，在了解到这次攻击事件的根本成因后，除了又一次由衷佩服黑客的攻击手法的巧妙，同时又一次陷入了深深的无力感。近几年来我身边或者听说有不少人都去Web3公司搞安全了，但是他们的甲方安全工作是否能有效防御类似这次的攻击。说起区块链安全，或者Web3安全，不少安全从业者言必合约审计或者漏洞挖掘，可是高级的APT攻击者往往只使用最朴素的攻击手法。

stevenli

2025.3.05

给位老师可以给讲讲怎么从0开始实操加密货币吗，注册用户，有多少种加密货币，怎么注册加密钱包，怎么交易什么的，或者推荐个视频学习教程，网上搜到的真真假假都不敢去注册

疯狂大背头:这个应该没法在大陆互联网平台上公开讲吧

朱峰

:嗯，这个着实不敢讲…

超越边界

2025.3.10

三位老师说的非常好，非常全面。

辛巴达

2025.3.05

还是交易所赚钱，头天丢巨款，隔天就挣回来了🥶

鹰之

2025.3.04

54:17 听到底有福利，欢迎野史，咔咔

姝琦_津津乐道

:主要就是八卦好听……

HD613174x

2025.3.28

50:03
1. 本地不留 Key（密钥不存储在本地）
- 背景：在传统开发中，应用程序可能需要访问数据库密码、API 密钥等敏感信息（统称 Key）。如果这些 Key 直接写在代码或本地配置文件中，一旦代码泄露或设备被入侵，Key 就可能被盗用。
- 安全实践：
- 不在本地或代码库存储 Key：禁止将 Key 明文存储在开发者的电脑、代码仓库（如 Git）或镜像中。
- 动态注入 Key：在运行时通过安全的方式动态提供 Key，例如：
- 环境变量：在部署时通过环境变量传递 Key。
- 密钥管理服务：使用专门的工具（如 HashiCorp Vault、AWS Secrets Manager、Kubernetes Secrets）集中管理 Key，运行时从这些服务拉取。
- 临时令牌：通过短期有效的令牌（如 OAuth2）替代长期有效的 Key。

---

2. 开发镜像（构建容器镜像）
- 容器化技术：将应用程序及其依赖（如代码、运行时环境、系统工具）打包成一个容器镜像（如 Docker 镜像），确保环境一致性。
- 安全关键点：
- 镜像中不包含 Key：构建镜像时，禁止将 Key 写入镜像文件（避免镜像泄露导致 Key 被盗）。
- 多阶段构建：使用多阶段 Dockerfile，确保最终镜像仅包含运行所需的必要文件，不包含构建阶段的临时文件或测试数据。
- 基础镜像安全：选择官方维护的基础镜像，并定期扫描镜像漏洞（如使用 Clair、Trivy 等工具）。

---

3. 推到机台（部署到生产环境）
- 流程：构建好的镜像会被推送到容器仓库（如 Docker Hub、AWS ECR、Harbor），然后通过 CD 流程部署到生产环境的服务器（“机台”可能是物理设备或云服务器）。
- 安全实践：
- 镜像签名：对镜像进行数字签名（如使用 Cosign），确保镜像来源可信且未被篡改。
- 传输加密：使用 HTTPS 或私有网络推送镜像，避免中间人攻击。
- 最小权限原则：部署时使用仅具备必要权限的服务账号，避免使用高权限账号。

---

4. CD 流程（持续交付/部署）
- CD（Continuous Deployment）：自动化流程，将代码变更自动构建、测试并部署到生产环境。
- 安全集成：
- 密钥动态注入：在 CD 流程的部署阶段，从密钥管理服务获取 Key，并通过环境变量或配置文件模板（如 Helm Chart、Kustomize）动态注入到容器中。
- 审计与回滚：记录部署日志，确保可追溯；如果发现安全问题，快速回滚到旧版本镜像。
- 流水线权限隔离：CD 工具（如 Jenkins、GitLab CI）的权限需严格控制，避免非授权人员触发部署或访问密钥。

---

完整流程示例（结合安全实践）
1. 开发阶段：
- 开发者编写代码，确保代码中不包含 Key。
- 使用 Dockerfile 多阶段构建镜像，最终镜像仅包含运行时文件。

2. 构建阶段：
- CI/CD 工具构建镜像并扫描漏洞。
- 镜像推送到私有仓库（如 AWS ECR），并附加数字签名。

3. 部署阶段：
- CD 流程从密钥管理服务（如 Vault）获取 Key。
- 将 Key 通过环境变量注入到容器中（例如在 Kubernetes 中通过 `Secret` 对象）。
- 部署签名后的镜像到生产服务器。

4. 运行时：
- 容器运行时从安全来源动态加载 Key。
- 监控系统检测异常访问（如 Key 泄露尝试）。

---

为什么这样做更安全？
- 减少攻击面：Key 不存储在代码、镜像或本地，降低泄露风险。
- 动态管理：Key 可以随时轮换（如每天更新），无需重新构建镜像。
- 环境一致性：容器化确保开发、测试、生产环境一致，避免配置错误导致的安全漏洞。

如果有更具体的场景或技术栈（如 Kubernetes、云服务商），可以进一步细化流程！

展开