以犯罪的立場(chǎng)看待事物的真相

以人性的角度分析案件的本質(zhì)

—————全網(wǎng)交付率第一的解卡團(tuán)隊(duì)—————

12.7萬(wàn)枚BTC被扣押，這筆有史以來(lái)美政府成功沒(méi)收的最大一筆虛擬幣。主人公陳某仍然在逃，并未落到美政府手里，所以，美政府轉(zhuǎn)走陳某的BTC所用的手段，并不是靠大記憶恢復(fù)術(shù)獲得私鑰或者助記詞的這樣一種情況。

那么剩下的就是遠(yuǎn)程破解，怎么個(gè)底層邏輯呢？

很簡(jiǎn)單，就是陳某的倉(cāng)庫(kù)被人配了一把鑰匙，六叔讀初中的時(shí)候有一個(gè)同學(xué)，和我一樣是屌絲，我家是賣(mài)菜的，他父親是殺豬匠，每天都在市場(chǎng)上賣(mài)豬肉，突然這同學(xué)就有錢(qián)了。

多有錢(qián)呢？我一天2塊錢(qián)吃飯，他一天100-200大鈔從此高富帥，怎么回事呢？

他父親每天賣(mài)肉的錢(qián)裝進(jìn)一個(gè)木箱然后鎖住，去買(mǎi)豬的時(shí)候就從箱子拿，我那同學(xué)天長(zhǎng)日久就直接去配了他爹一把錢(qián)箱鑰匙。

他爹被偷家了，一個(gè)學(xué)期都沒(méi)發(fā)現(xiàn)。

所以他爹是不懂密碼學(xué)的，如果再做一層防護(hù)措施也不至于被偷家。。。

所以如果是我同學(xué)砸爛鎖的方式就是暴力破解，相當(dāng)于大記憶恢復(fù)術(shù)，而配鑰匙這種，也叫破解，就好像美政府收繳比特幣一樣，他爹完全不知情的情況下就被偷家了。

但是錢(qián)（BTC）還是安全的，只不過(guò)放在別人家里了。

簡(jiǎn)單點(diǎn)來(lái)講，大多數(shù)BTC錢(qián)包代碼庫(kù)、硬件錢(qián)包、軟件錢(qián)包代碼之中的一個(gè)安全漏洞是罪魁禍?zhǔn)祝惸呈褂昧艘驯籅inance收購(gòu)的知名加密錢(qián)包軟件Trust Wallet來(lái)保管他的BTC的。

而他的助記詞就是用Trust Wallet來(lái)創(chuàng)建的，漏洞就發(fā)生在創(chuàng)建助記詞這一步：Trust Wallet創(chuàng)建的助記詞是可破解的！

不單單是這個(gè)錢(qián)包，很多錢(qián)包都這樣，因?yàn)檫@個(gè)世界本來(lái)就是一個(gè)草臺(tái)班子！

舉個(gè)例子，你讓三歲的小朋友給你設(shè)置一個(gè)錢(qián)包密碼，就三位數(shù)：

• 111、112、113、121、122、123、131、132、133（共 9 種）
• 211、212、213、221、222、223、231、232、233（共 9 種）
• 311、312、313、321、322、323、331、332、333（共 9 種）

一共也就27種組合，也就是猜幾下就猜到了。

你信任Trust Wallet這個(gè)軟件幫你來(lái)隨機(jī)生成一個(gè)銀行卡密碼（助記詞），沒(méi)想到這軟件是個(gè)草臺(tái)班子開(kāi)發(fā)的，它生成的所有密碼都很容被黑客破解（猜到），也就是說(shuō)這些錢(qián)包的密碼學(xué)在黑客眼里就好像三歲小孩那么簡(jiǎn)單，更別說(shuō)國(guó)家層面的技術(shù)了！

破解（大記憶、偷到、猜到）私鑰 => 拿走比特幣，就這么簡(jiǎn)單。

陳某的大餅其實(shí)這不叫扣押，叫被盜，別人猜到了他的私鑰從而被盜，而盜竊者用了正義的身份，用審判者的身份介入就叫扣押，如果是你，就叫盜竊。

陳某的大餅即便他使用冷錢(qián)包，離線保存，仍然會(huì)被破解，因?yàn)槁┒窗l(fā)生在助記詞制作的源頭環(huán)節(jié)，而不是后期黑客通過(guò)網(wǎng)絡(luò)入侵了他的設(shè)備盜竊了私鑰，所以，破解或者說(shuō)攻擊事實(shí)上是“隔空”發(fā)生的。

Trust Wallet生成的私鑰為什么被猜到了？

第一，它使用了過(guò)于簡(jiǎn)單的、有規(guī)律的代碼來(lái)產(chǎn)生私鑰助記詞；

第二，它向全世界公開(kāi)了它的代碼，這樣一來(lái)有心人就很容易知道它用的是什么規(guī)律，當(dāng)然就大大減小了猜測(cè)的難度。

這就相當(dāng)于你讓三歲小朋友幫你設(shè)置了一個(gè)密碼，或者你用你的生日設(shè)置了一個(gè)銀行卡密碼，并且大聲的告訴別人誰(shuí)猜到卡里的錢(qián)就是誰(shuí)的。

雖然你沒(méi)有直接在說(shuō)你的生日是哪天，但是，鑒于你還活著，歲數(shù)會(huì)在10歲至100歲之間，只要窮舉一下這個(gè)時(shí)間范圍內(nèi)的生日，就可以猜到你的密碼（私鑰）了。對(duì)于現(xiàn)代計(jì)算機(jī)的計(jì)算速度而言，這可能花不了一秒鐘就能窮舉完成。

這個(gè)比喻其實(shí)是非常接近Trust Wallet所用的被破解的有漏洞的算法的真實(shí)情況的。

是的，你沒(méi)有聽(tīng)錯(cuò)，Trust Wallet用的正是時(shí)間（具體的，是一個(gè)秒數(shù)）作為產(chǎn)生私鑰助記詞的初始種子的！

所以美國(guó)黑客很容易猜到你的私鑰，并且很多錢(qián)包都是用的這樣的技術(shù)。

你把信任托付給了寫(xiě)代碼的技術(shù)高手們，卻沒(méi)想到他們其實(shí)也是一群草臺(tái)班子。

鍋是Trust Wallet的，更是trezor的——因?yàn)門(mén)rust Wallet的程序員直接用了trezor的代碼庫(kù)。

而Trezor，是全球前二的頭部硬件錢(qián)包生產(chǎn)商！

你以為只有它們中招了嗎？那你就錯(cuò)了。

首先就是以trezor的知名度，代碼庫(kù)可能被很多做硬件錢(qián)包、軟件錢(qián)包的公司和團(tuán)隊(duì)直接照抄。

那么所有這些抄作業(yè)的，就都有相同的漏洞！

就好比六叔考試的時(shí)候?qū)懥艘环蒎e(cuò)誤的答案，結(jié)果全班、全校、全國(guó)甚至全球都在抄，最后怎么樣？當(dāng)然是，一錯(cuò)全錯(cuò)。

更要命的，哪怕是不直接抄作業(yè)的，自己去做，也是一樣地草臺(tái)，一樣地偷懶，一樣地對(duì)隨機(jī)性缺乏認(rèn)知，一樣地犯類(lèi)似的錯(cuò)誤。

可怕的地方不是一個(gè)團(tuán)隊(duì)草臺(tái)，而是，看起來(lái)全世界都充斥著草臺(tái)班子。

有人會(huì)覺(jué)得硬件錢(qián)包比軟件錢(qián)包更安全，但是你知道嗎，軟件錢(qián)包你還可以選開(kāi)源的，自行審查代碼，自行編譯，可是硬件錢(qián)包對(duì)大部分人而言就是個(gè)黑盒子，預(yù)裝了廠商編譯好的代碼，里面偷偷藏了什么漏洞或者后門(mén)，你根本就兩眼一抹黑！

更有甚者在流轉(zhuǎn)環(huán)節(jié)各種商家還能對(duì)你的錢(qián)包進(jìn)行改裝?。。∫?yàn)楹芏嗳说挠布X(qián)包甚至是從電商平臺(tái)代購(gòu)的，甚至是在二手網(wǎng)站買(mǎi)的二手！只能佩服這些朋友，不是膽子太肥，就是思想太單純、太信任社會(huì)和人性了。

要知道，硬件錢(qián)包在中間經(jīng)手的每一個(gè)人，都有可能重刷固件注入后門(mén)或漏洞，從而在適當(dāng)時(shí)機(jī)一舉盜走你的幣。

你覺(jué)得美政府有沒(méi)有可能要求廠商預(yù)留專用后門(mén)以便于FBI執(zhí)法扣押沒(méi)收BTC或者其他加密貨幣呢？

或者說(shuō)，你對(duì)于權(quán)力會(huì)無(wú)腦信任到什么地步呢？如果這個(gè)權(quán)力告訴你，它是民主的、自由的權(quán)力所以值得信任呢？

六叔接觸到的小白丟幣事件基本上都是錢(qián)包出問(wèn)題，比如私鑰不見(jiàn)了，助記詞放小三那里，被多簽、下到假錢(qián)包了、助記詞保存在QQ空間這種。。。

這個(gè)弱隨機(jī)數(shù)漏洞是2023年8月份向大眾公開(kāi)的，Trust Wallet的弱隨機(jī)數(shù)漏洞是2024年1月份才披露的，而早在2023年1月份和7月份，就已經(jīng)發(fā)生了大量的針對(duì)它們特別是Trust Wallet的弱地址的攻擊和盜幣事件；

而據(jù)傳與美政府和陳某一案相關(guān)的LuBian礦池被盜案，則發(fā)生在近5年前的2020年底！

Trust Wallet的這個(gè)漏洞在2017或2018年就已經(jīng)存在了，Binance在2018年收購(gòu)了Trust Wallet，但并未能夠及時(shí)發(fā)現(xiàn)和采取措施阻止后續(xù)發(fā)生的一系列盜幣事件。

從時(shí)間線上來(lái)看，黑客圈子知道這個(gè)漏洞的存在，比漏洞為大眾所知，提前了半年到一年！

有人顯然是提前知道了，但是他不說(shuō)，他先把幣偷了，所以，小白散戶們囤幣本身就是一個(gè)偽命題，六叔傾向于落袋為安。

而如果LuBian礦池被盜事件果真是美政府下手的話，那么美政府知道這個(gè)漏洞存在就更早了，比黑客圈子還要早2年以上！

很多大國(guó)其實(shí)對(duì)密碼學(xué)技術(shù)當(dāng)作軍火進(jìn)行出口管制，如此重視，如此嚴(yán)防死守了。

一個(gè)不起眼的代碼缺陷和技術(shù)漏洞，也許要值一個(gè)師，甚至更多！

在與權(quán)力博弈的游戲中，大眾也許往往會(huì)是最后一個(gè)知情的、待宰的羔羊。