如何保障区块链用户资产安全？

区块链安全是一个需要我们持续关注的问题，因为区块链上的资产和传统资产在本质上不太一样，它是基于密码学、公私钥之类的技术。如果真的发生了诈骗的话，资产被追回的可能性是远低于传统资产的。

6 月 9 日，imToken 在 B 站进行了一场主题为「如何保障区块链用户的资产安全」的直播活动。

以下为本次直播的文字版本👇

主持人：

• 研究总监 - 潘致雄

嘉宾：

• 浙江省公安厅刑侦总队 - 徐小花（下文称呼徐队）

• 慢雾科技合伙人兼 CTO - Blue

• imToken 用户支持负责人 - 小胖

公安机关把涉及到网络的一些诈骗或者盗窃案件定性为新型涉网犯罪。这几年随着整个社会的金融体系以及互联网化的一些发展，其实传统的案件越来越少了。我想大家应该也可以深切地感受到，以前的这种盗窃，随着路面监控以及移动支付的普及，很难再实施。同时，这种传统的抢夺、诈骗以及路面的犯罪，也因为这些原因逐渐在萎缩。

但从我个人对犯罪的理解来看，涉及到侵犯公民财产的这类犯罪永远不会消亡。可以说，直到我们实现共产主义之前，这类犯罪会一直存在。现在这类犯罪其实就是慢慢演化到互联网上，以及区块链的这种金融领域。

从我们公安的角度看，大概是 18、19 年之后，这类新型犯罪已经占据了所有类型犯罪案件的一半以上。涉及到区块链的犯罪有一个慢慢的发展过程。在前期，大量与区块链沾边的诈骗其实是新瓶装旧酒。一些传统的犯罪开始以区块链的名义设置骗局和传销。

我们最早的时候，把这一类以投资区块链名义进行诈骗的案件叫做杀猪盘或者投资盘。而且最早的投资盘，应该是 18、19 年之前。因为 17 年的 1CO 大热，很多这种空气币出来之后，有一部分老百姓对区块链有点模糊的印象，也想去投资。但是有很多以区块链、数字货币名义设置的投资平台，实际上在那个阶段根本没有这种上链的数字资产。受害人在平台上投资，得到的只是数据库里的一个数字，并没有真实上链。

去年因为比特币以及相关的币种涨了一波之后，又进来了一波投资者。现在呢，有很多这种空气币是真实上链的，投资盘、杀猪盘也越来越多。区块链投资者多了之后，又衍生出来一些新型犯罪，比如使用钱包扫二维码，然后利用这个 DApp 去盗窃你钱包里所有余额的行为。

前段时间我们省内还有通过 ERC-20 发行了仿冒 USDT 的这类案件。这类案件以后可能会越来越多，因为一般的投资者很难去区分币的真假。诈骗案件就是大致这几类吧。

谢谢，我大概总结一下。早期的是新瓶装旧酒，只是假借了区块链名义，但实际上是中心化数据库的这种做法，包括 17 年很多热门 1CO 项目，其实就是借着区块链名义进行诈骗。到了去年和今年呢，可能就是真的到区块链上了，通过更隐蔽的手段来进行诈骗。

我们现在是在一个比较大的犯罪趋势变化的背景下，新型的这种涉及网络的区块链案件越来越多。除了刚提到的使用区块链进行诈骗的犯罪，公安机关在统计相关案件数据时也发现，很多案件类型不一定是涉及到区块链，但是背后都和区块链有关。

目前有大量的罪犯在使用数字资产洗钱。洗钱是金融犯罪或者侵犯财产犯罪这类案件永远逃不开的一个话题。涉及到区块链领域的案件，我们刚才只是讨论了区块链相关的骗局，但实际上区块链领域最大的犯罪类型应该就是洗钱。比特币从诞生到现在也有了十几年的时间，我们可以看到随着区块链的发展，洗钱犯罪也一直伴随着整个行业生态在发展。

我以前看过一些论文，对全球的洗钱犯罪有个粗略统计，它的总体规模是一个非常庞大的数字，可能已经占到了全球 GDP 的 10% 左右。如果洗钱的需求真的占到全球 GDP 10%，这意味着只要哪一个行业，哪一个领域可以支撑这种犯罪，那这个行业本身必然也会被膨胀到一个非常大的量级。

几个月前，比特币的总体量已经超过一万亿美元。洗钱犯利用区块链进行洗钱，是利用了区块链的匿名性、去中心化等特性，这些特性完美契合了犯罪的需求。我们把洗钱犯罪分为资金的前端和后端。

前端就是指，受害人或者赌博犯罪中的赌客，他的第一级资金怎样进入平台，进入这个资金链路。比如说大家网上消费，可能是用支付宝去进行支付。在犯罪领域呢，像很多这种诈骗类型的案件，受害人在第一级金融体系中，一般会使用一些第三方支付软件或者银行卡去打出他的第一笔钱。这个我们叫做资金链路的前端。

到后端之后呢，洗钱犯罪一般是一级银行卡转二级银行卡，然后逐渐有一部分钱会进入到交易所或者链上，最后把资金洗白。这个就是资金链路的后端。

以前涉及到加密资产相关的洗钱主要在后端领域，现在由于数字资产的普及，很多直接骗取受害人的币的这种犯罪也越来越多。在赌博领域，直接接受赌客数字资产充值的境外赌博平台也越来越多。整个犯罪生态领域，可能数字资产在今后一段时间内的占比会越来越高。

另外区块链、数字资产也给了另一种犯罪案件生长的土壤——前几年比较火的勒索病毒。勒索病毒把受害人电脑里面的信息文件加密，之后提供一个加密资产的收款地址进行勒索。在没有区块链之前，犯罪嫌疑人他不可能就留下一个简单的银行卡账号，因为那都是中心化机构可以控制的账号。

去年区块链投资大热后，越来越多的投资者进入这个领域。区块链生态的每个环节中，可能就会衍生出很多新型的犯罪，比如近期我们和 imToken 的合作，主要是涉及有人在仿冒钱包应用。普通的投资者不知道如何辨别官方渠道，有可能会下载到被黑客植入后门的仿冒的钱包应用，他生成钱包密钥之后，信息就会被上传到黑客预先设置好的服务器上，一旦你有数字资产转入到这个钱包地址，黑客就会把资产直接转走。

然后就是我刚才提到的通过 ERC-20 发行的假代币。现在的投资者知道需要先购买 USDT 接着去币币交易，但他不知道真假 USDT 的区分。现在链上有很多假 USDT 代币，我曾经在一个案件里看到过一个仿冒 USDT 的账号，余额里面都是 999……就非常庞大的一个数字。这种假的代币对于一般的投资者来说，很难区分。

主要就是这三类吧，一种是使用数字资产洗钱，一种是老酒装新瓶，传统的犯罪套了数字资产的壳，第三种就是以后针对区块链生态每一个环节，肯定会产生一些更加新型的犯罪手法。

imToken 大致把这些案件分为两类，一类是诈骗，另一类是盗币。

像 17 年行情非常火热的时候，当时项目方做推广的一种方式是空投。有的项目空投可能是会给投资者带来不错的收益，但更多的是仿冒知名项目做的没有任何价值的空投，诱导用户给某个合约地址转账，欺骗用户通过转账就能收到对应的空投币，说这个币过一段时间可能在某某交易所上线，然后就能够获利。

17、18 年的时候，这类诈骗事件比较多，随着后面整个行情走弱，这类骗局就不见了，或者说变成了老酒装新瓶的方式，诱导你去投资，最后这些项目大概率会跑路，比如我们之前揭露过的 MGC。它是把自己伪装成去中心化钱包的一个中心化钱包，诱导用户创建钱包或者把一些其他软件生成的密钥导入进去，你的助记词和私钥都被记录在服务器上，最后骗子把你所有资产都盗走，这就属于是诈骗类案件。但是你会发现他是把诈骗和盗窃这两个动作结合在一起。在 20、21 年，因为行情大爆发，这个骗局又升级了。比如前阵子二维码骗局。扫了二维码进入一个转账的页面，当你确认转账时，实际上你是在授权骗子转走你资产的权限。

另一类盗币事件，有很多情况是身边的人盗币或者说是一个团队共同管理私钥，从而导致这种盗币事件的发生。以前一些用户不了解私钥的重要性，会把助记词、私钥发到微信群里，或者说传到一些云服务器上，这种联网的传输行为都会导致他的资产被盗。但现在新型骗局出现了，你没有泄漏助记词和私钥，只是完成了一个授权，把自己账号里数字资产的权限给了别人，那么别人就可以盗走你的资产。这一类是对用户影响比较大的案件。

对 imToken 来说，我们不仅要去处理这些案件，还要给用户一个答复。像前阵子我们揭露的 LCS 项目，当时接到用户的举报后，我们先是判断了一下整个事件的前因后果。从用户的手里拿到了他下载的 LCS 软件安装包，交给我们安全部门同事做专业分析，发现它就是类似前面提到的 MGC，会记录用户的私钥再上传到服务器上。

我们找到原因后，反馈给用户，让他去报警的这一步才是困难的开始。用户会认为资产丢失的责任是在 imToken，imToken 应该帮助他们去报警并追回这种资产。这方面我们和公安、律师都有交流过，用户才是损失资产的主体，所以必须由用户去报警。报警立案后，首先我们 imToken 钱包方知道你的资产被盗是有凭有据的，不是你编造出来的。另外，用户只有在报警之后，才能通过合法的途径来追回资产。

对于用户反馈的资产丢失、被盗事情的处理，我们肯定是第一时间尽力帮他找一些线索，同时建议他去报警。报警之后，如果警方有联系 imToken 的需求，我们会给用户一个官方的调证流程。目的就是希望能够帮助用户追回资产，同时让他知道资产是怎么被盗的，让他以后能避开同样的骗局。

听起来你们工作量真的挺大的，因为你们用户基数也大。

是的，但这个就是职责所在吧。从我个人的角度来说，这是我的本职工作，我希望能够帮助更多的人；从我们公司的角度来讲，作为这个新兴行业的一家企业，这是该有的社会责任心。

目前，有很多 DeFi 项目找我们做审计。DeFi 项目里也有很多骗局，存在用户资产被盗的风险，比如一些项目方有权限直接把资金池里的钱转走。另外现在行业里有很多的跑路项目，相当于用户投钱给一个项目结果钱丢了，也算是诈骗的一种。

在 DeFi 世界里，用户资产受损的主要还是资产被盗导致的。最近各条公链上的项目方被盗事件层出不穷，当用户参与某个 DeFi 项目时，其实是把自己的资产授权给了这个项目。对这一点，用户可能存在一个理解上的误区，他认为资产是存放在 imToken 的钱包里，无法理解为什么项目方被黑了，他的资产也会丢失。实际上，当你参与一个 DeFi 项目时，你需要把资金授权给这个项目方，相当于你把自己的资产掌控权给了项目方。

当你被一个项目的年化收益率吸引时，项目方和黑客可能都在盯着你的本金，现在不少黑客都把 DeFi 当成了提款机。现在大部分项目方都愿意花钱去做安全审计，所以因为技术漏洞导致资产被盗的事件比以前少了。

我看到直播间里有网友反映自己参与了某个项目被骗了，问警方会不会立案调查。我先介绍我们的办案流程吧。

对于所有诈骗案件、盗窃案件，我们都建议受害人第一时间向警方报案，特别是涉及到传统资金领域的案件，在受骗后第一时间报案，有助于警方马上查明或冻结相关的资金资产，挽回受害人的损失。

对于涉及区块链的这类案件，流程也一样，受害人尽早报案，可以让警方有更多时间展开工作。另外，在报案前，我们建议受害人准备尽可能详细的信息，比如诈骗案件，受害人最好能提供相关平台信息或应用信息、资金流向、聊天记录（如图片、二维码、链接）等等。受害者提供越多信息，对于警方来说，在后续案件的侦办过程中，就有越多可以查询分析的渠道。

现在我们针对这一类诈骗案件其实全国警方从上至下都非常重视，从公安部到各级省市县的公安机关，都在大力进行宣传防范。我们意识到现在这类犯罪的打击难度与日俱增。随着我们警方的不断打击，犯罪的生态也在不断变化。

对于这类案件，我们有一个深切的感受，早前传统诈骗案件比较简单，我们通过查资金流，基本上就可以看到嫌疑人的所在地，比如他在某个 ATM 机取款了，这段时间我们警方基本上全年在出差抓捕嫌疑人。但现在，犯罪嫌疑人洗钱的手段方法不断升级，资金的追查难度也越来越大。随着境内可打击犯罪对象都被各地公安机关打击掉后，越来越多的犯罪嫌疑人藏匿在了境外，而且受疫情影响，我们即便是和有警务合作的国家，也很难出去进行跨境的有效打击。

所以从警方角度来看，我们希望更多地从防范入手，更加重视防范教育。所以这几年，警方在推广宣传防诈骗和加强公民的防骗意识上做了很多工作。大家应该在现实生活中，线上线下都看到过相关的宣传标语和视频，以及警方制作了各种各样的宣传素材，而且我们和犯罪分子也在做技术上的对抗，通过一些技术手段去拦截犯罪相关的资金或犯罪分子的通讯，在这方面，我们也在技术领域做更多探索和尝试。总体来说是这样子。

你们现在有对区块链链上数据的做分析和统计吗，还是主要从银行资金流向着手？

链上的数据统计我们近几年都是一直在尝试进行的，对于主流的几条链上的数据分析，各地警方也都比较熟悉了。对于链上的资金追查，我们也还在想更多办法，除了警方自己进行数据分析，我们也在和区块链行业内的相关机构进行合作。

徐队：区块链领域的犯罪案件不仅仅是对我们公安机关，对于公检法来说都是一次新的挑战。

因为在这类新的数字资产范畴的犯罪中，传统的关于价值的定义、定损、对真伪的判断、包括证据体系的建立都受到了一定的冲击。比如说最基础的，我们都知道链上数据是公开的，人人可查，那么如何把链上数据作为一种证据的形式固定下来，提供给检察院或法院进行起诉。对于这点，各地公安机关都还在探索。

前面我们介绍到各类区块链犯罪的时候，有一类是仿冒知名代币的案件。比如假 USDT，那么如何区分真假？首先真假 USDT 都是基于同一个技术标准发行的代币，即使是真的 USDT，我们目前的法律体系内也没有很明确的定义他的价值，很难找到相关的估价机构去定义哪个真那个假。

对这类案件，我们也在做一些尝试和探索，有点类似于摸着石头过河，但随着这类犯罪的增多，各地警方应该都会形成自己的方法来打击或侦办这类犯罪。等到法律上有明确定义，或是以政策会议纪要等等形式出台，可以有效帮助我们在区块链案件中进行司法实践。

从 imToken 的角度来讲，不管是对用户还是对警方，只要需要我们的帮助，我们肯定是有求必应的。在警方这边，我们主要是提供两方面的帮助，一方面是做区块链知识科普，另一方面是提供我们能查询到的一些线索。

具体案件方面，比如之前的 PlusToken 和搬砖套利骗局等，我们也有协助警方进行一些工作。

关于搬砖套利的骗局，我们早期发现后，都会向社区做一个风险告知，同时主动去封禁一些同名的假币。在产品方面，imToken 2.0 的用户应该可以感到到我们在安全方面的更多工作。

早期 imToken 中显示的代币是通过代币的名称和代币的 Logo 做区分的，后来为了给用户更明确的提示，对于同名代币，比如对 USDT，我们会对之后的同名 USDT 代币后缀添加「Unknown」标记来帮助区分代币，如果确认一些同名代币是假币，我们就会把它标记成风险代币。

对于那些风险 DApp 的链接，我们在接到用户的举报后，会有安全部门的同事负责检查对应的 DApp 是否安全，比如是否涉及到传销、赌博等，如果确认存在风险，我们会第一时间对这类链接进行封禁。

给我印象比较深的一件事是，之前有一个很大的传销盘，叫 Fosage。我们在确认它是传销项目后，第一时间就把这个链接封禁了。但是有很多用户不理解，有些用户甚至发邮件指责我们违背了去中心化的原则，不该主观给一些项目做判断。但其实从我们的角度来讲，我们肯定是将用户的资产安全放在第一位的。

所以在安全方面，imToken 一直都是有投入的，只是大部分情况下，我们做的幕后工作，很多时候不会主动向社区或对外告知。但是喜欢 imToken 或者关注 imToken 的用户，应该能够发现 imToken 的点滴改变。

对于小胖说的这些我也深有感触。从 18 年初到 20 年底，我也是在 imToken 负责安全。

imToken 在安全上为用户考虑的是非常多的，imToken 一直的理念都是把安全放在第一位的，任何的产品改进或技术研发，如果遇到安全问题的话，都是以安全为先。刚才提到风险代币识别、风险 DApp 封禁，你现在去 imToken 打开一个 DApp，就可以看到它会优先提示你即将跳转到第三方网站，提醒注意风险。

慢雾作为安全公司，如果公安需要配合，我们肯定是第一时间协助。比如一些和链上数据分析相关的、分析资产如何被盗的，黑客是如何进行技术攻击的等等，这些方面我们都会积极和警方配合，另外还会和警方做一些区块链方面的知识普及。

我注意到最近慢雾还上了央视。

确实国家层面或者说央视都注意到了区块链行业，比如我们刚才提到的假币诈骗，几乎是零成本的。如果你想在以太坊上，或者一些智能合约链（BSC、Heco）上做发行，这是非常简单的。

现在智能合约很多，诈骗分子拿个模版，改个名字就直接搞定了。所谓代币发行，在 Uniswap 上无非是添加一个交易对，然后就可以有价格了。这也算是配合央视做了防诈骗的用户教育。

先分享一句话，君子不立危墙之下。区块链领域让人一夜暴富的故事在挑逗着每个人的贪心。区块链领域可以说是新鲜事物萌发最多、最快的一个领域，投资者一定要多学多看多了解，时刻保持一颗警惕之心。不管我们警方做了多少防骗宣传，其实最后一点总结下来就是每个人要控制自己的贪心。

我比较喜欢一句话是，不要赚自己认知范围之外的钱。很多投资者或者受骗者，其实对那个领域并不了解，也不熟悉这个东西到底值不值钱，能不能赚钱。千万不要去赚自己认知范围之外的钱，这就是我的忠告。

我觉得防骗反诈从来不是单独一家公司的事情，而是整个行业的参与者，包括用户、公司甚至是执法机构，需要共同努力的。

用户需要主动去学习一些知识，跟上技术的发展脚步。其实骗子是比普通用户更「努力」地在学习相关知识的，因为他只有了解更多，才能把你诓进他的骗局。如果识破这些骗局的话，用户就要比他更聪明，更了解这个行业，懂得更多。

行业的从业者要有原则有底线，不要去赚黑心钱，你的所作所为迟早会被别人知道，到时在这个行业也就没有立足之地了。

执法机构这段时间一直在积极地学习区块链知识。我在 18、19 年跟公安机关交流时，他们还不了解数字资产，认为区块链行业就是一个骗子行业。但到了 20、21 年我再跟警方去沟通交流的时候，发现有一些地方的警方或者刑侦经侦，他们对这个行业的理解是非常深入的，甚至紧跟着这个行业的热点。

普通用户、行业机构和执法机构需要一起行动，才能减少安全事件的发生，而不是单靠某一个人或单靠公安的监管和宣传。

首先天下肯定没有免费的午餐，没有人会平白无故给你空投代币。如果你能够买到七折 ETH 或者九折的 USDT，那骗子为什么不自己去赚这个差价呢。如果你不想受骗，那就多看警方提供的防诈宣传片，多看 imToken 提供的防诈小知识。

其次，高额收益的背后也是巨大的风险，你参加的一个项目方，如果它的收益率达到了百分之几十万，是会被黑客盯上的。所以在参与项目时，一定要想一下盈利背后你要承担的本金被盗的风险。

最后讲下针对个人安全的防护。你去领空投或者参与项目进行转账时，最好是使用一些更安全的助记词、私钥的保管方法，比如硬件钱包或知名的数字资产钱包。

大家对这个有所误解，觉得好像是警方不愿意去立案。其实从公安的角度来看，这种情况是很少见的。因为我们对案件的受理和立案是有严格的检查机制的。如果的确有案件发生，而民警因个人原因不去受理，他是要承担相应责任的。

直播间里有很多人说自己所在地不予立案，这个一方面是全国各地的警方对区块链的了解还不一致。发达地区的警方对这类案件受理比较多，对区块链和数字资产有所了解，受害人去报案，警方会更理解他被盗或者被骗的一个过程。对于其他地区的警方而言，可能就比较难辨别受害者投资行为的真假。

另一方面，警方针对投资类的案件立案会更谨慎一点，会先判断是因为受害者自己投资失败导致了资金损失，还是因为这个平台的确是诈骗性质的。所以大家在报案之前，要把这些可以帮助案件定性的证据材料准备齐全，提供给警方。比如项目方一开始承诺了一个收益率，但你并没有拿到钱。从这个角度出发，可能更能帮助警方把这个案件定性为一个诈骗案件。