从孟加拉央行账户被黑事件分析区块链是否能有效打击网络犯罪

区块链或分布式账簿技术可以帮助世界上重要的金融系统免受攻击吗？

银行在执行跨境支付和转账时会使用一些统一的电子信息，这些信息由特定的编码和标识符组成，是一种通用的金融用语。

金融机构之间各司其职，通过各种政策和流程来遵守相应的法律规定，验证参与方信息，检测违法行为，留意一切可疑的现象。各个交易都会由一些特殊的数据库来核查，数据库中包括一些企业和个人的黑名单信息或者被政府通缉的人员信息。相关系统中涉及大量资金，这些系统也因此添加了多层防护网。

但即便是多高级的防护系统，即便有一大帮人监控着货币交易，黑客还是能成功盗走大量的资金。

今年年初的时候发生了一起情节恶劣的黑客攻击事件。孟加拉央行（Bangladesh Bank）在纽约联邦储备银行（NYFR，以下简称纽联储）的账户被盗8100万美元。黑客本来打算盗取10亿美元，幸好对于一些高额转账，纽联储按例不会一次性过户，在转账过程中，黑客因意外拼错收款方名称，才使其最终只到手8100万美元。

以下是事件的具体细节。

攻击事件全过程

目前该事件仍处于调查阶段，但涉事方都忙着互相推卸责任。纽联储表示，他们已经成功拦截了大部分可以的转账请求。网络罪犯发送到纽联储的信息多达35条，谎称自己来自孟加拉央行，索要10亿美元，但其中只有小部分通过了。纽联储每天处理国际汇款业务金额高达8000亿美金，这样看来，8100万美金根本算不上什么。

而孟加拉央行则表示，黑客发送转账请求的频率如此可疑，纽联储本该发现一些端倪，是可以提前阻止的。过去的1年时间里，孟加拉央行每月都只发送约2笔汇款请求，而且都是转到公司账户的，从来没有1天发送过35次请求，还是转到个人账户的。

负责银行网络必要的硬件和软件通讯及网络安全的SWIFT也遭到了无情的指责。SWIFT网络每天需要为1万多家银行和企业处理2500万条沟通信息。有人指责SWIFT多年来从来没有为自己的网络安全性作出任何努力。SWIFT本该投资一些先进的技术来防止攻击事件的发生。

孟加拉央行也同样脱不了干系。有人说其系统被盗用是因为银行网络的安全防护级别低下。黑客在攻击事件发生的1个月之前就已经成功在银行系统中植入了木马病毒，而银行却完全没有察觉，给了黑客足够的准备时间。银行工作人员从来不在网上监控交易，只有在收到SWIFT网络的信息之后才会手动打印具体的交易信息。黑客提前1天进行了远程操控，使打印机发生了故障。到他们第2天成功打印SWIFT网络发过来的交易信息的时候，已经太晚了。

最后，本次攻击事件的时机选得很对。黑客发送汇款请求的时间是星期四，等到纽联储发送确认信息给孟加拉央行的时候已经是周五和周六，那时银行工作人员已经休假了。而当孟加拉央行发现出问题的时候（也就是“修好”打印机之后），纽联储开始休假了。最后，当纽联储试图阻止交易的时候，该笔资金已经抵达菲律宾，当时正是春节假期，菲律宾银行都在休假。

侥幸

黑客发送的这35笔请求之中，前几笔存在重要的信息缺失，因此被纽联储的系统拒绝了。不久，黑客就发现了这个问题，更正了错误并重新提交。这个时候纽联储已经清除5笔请求了。而其他部分请求被拒绝完全是出于侥幸。汇款请求的收款方在菲律宾，地址恰巧在Jupiter大街上。而Jupiter一词在纽联储的系统中是伊朗的一艘运油船的名字，当时伊朗被美国制裁，所以这部分请求也没有成功。

全球网络的脆弱性

事实证明，全球网络，特别是涉及货币交易的网络是黑客的主要攻击目标。目前，黑客已经掌握了高端的技术，并且十分有组织。

这些黑客以能获取庞大的数据资源为傲，有些甚至还受到某些流氓政府的赞助，犯下了数百万美元的欺诈恶行。银行业对此也有责任，每次只要发生攻击事件，大多数银行都是保持沉默，不对外公布，好像这么做多有用似的。他们应该本着公开和合作的精神共享信息、展开调查，这样系统漏洞才能被识别，可以尽早修复。

孟加拉央行攻击事件中的黑客很熟悉他们的系统，知道如何躲开一些安全地带，主要瞄准了国际支付网络中比较薄弱的环节。可能这帮黑客和早前厄尔多瓜央行（Ecuadorian bank）在美国富国银行（Wells Fargo）的账户被盗案也有关（损失1200美元）。这两家银行目前已经闹上了法庭。

安全公司Symantec认为这帮黑客属于一个名为Lazarus的组织。该组织曾对外宣称对2014年索尼电影公司的攻击事件负责，并且表示是受到了朝鲜政府的赞助。

区块链和分布式账簿

区块链是用于支持去中心化的虚拟货币系统比特币的。而全世界的金融系统都是中心化的，并且是为法币服务的，法币由政府负责发行，在本国占据一定的经济地位。去中心化的系统从本质上来说是去信任化的，因为这些系统中没有中央机构或者企业，所以任何决策都是通过系统中达成的共识决定的。

区块链中的交易记录是不可逆的，也是不可更改的，通过这种方式来建立所有权、实现比特币转账。同时还能阻止“合法所有人”两次花费同一个比特币（双花，double spend）。比特币交易是由参与该虚拟货币系统中的计算机或节点共识来验证的，其中不存在任何单一的中心化的机构来记录交易。区块链能确保比特币系统的公开性（permissionless），无需中央机构的同意或决策，因此是匿名的。

分布式账簿的定义则更广。其创造者设计区块链的初衷是让其能与比特币系统相结合，但分布式账簿架构可以支持所有类型的系统。举个例子，金融服务业的分布式账簿系统是私有化（permissioned）的，这样就能避免过多的匿名性。分布式账簿系统的应用是十分灵活的。

分布式账簿架构和风险管理

基于分布式账簿的防欺诈系统和多个数据库的同步运作能有效打击类似孟加拉央行被黑的事件。这种系统首先能够记录保密交易，为将来的交易验证做准备，但系统不会完全公开交易细节（不像传统区块链那样所有的交易都是公开的）。其次，该系统还能存储和更新经过认证的合法信息及汇款人和收款人的信息。

如今，商业银行和金融机构自己负责运行内部风险管理系统及黑名单和制裁信息更新。把发展风险管理系统的责任留给商业银行只会导致严重的技术质量问题。而一个分布式系统可以让国际市场中任何人获益，不只是大型银行，就连缺乏风险管理技术的小银行也能使用。

通常，银行系统中的误报率很高，只要稍有可疑，交易就会被取消。但其实大部分交易都只是存在信息遗漏问题，在交易请求重新提交之前就已经改好了。这样一来，负责监控交易的银行工作人员反而会放松警惕，认为大部分交易都是无害的。分布式账簿系统可以由主要央行和大型商业银行维护。从长期来看，像SWIFT这种中央网络是否还有存在的必要肯定备受争议。确实，有了标准化的ISO格式，分布式系统完全可以运行自如或者由一些主要员工来帮助其运行。

合作研究“混血”系统

目前央行正在研发一些“混血”系统，由单一机构进行数据的中心化管理，但同时也鼓励发展一个大型的分布式账簿系统来保证网络安全。这类系统可以实现国际级、区域级和本土的运用，确保不同地区的中心化机构能够为共享式的去中心化系统构建另一道保护层。

但要研发这种基于国际化价值转移的系统通常都要耗费相当长的时间，成本也很大。同时还需要内部合作，可能连私有的数字密钥也会受到影响，也就是说，这段时间里，该系统很容易受到攻击。然而，与旧系统相比，这种混血系统识别欺诈交易和洗钱活动的速度更快，补救措施也更加到位。

注意：即使是最新最先进的技术也不能保证银行的风险管理系统是百分百完美的。黑客的攻击手段通常比较简单，而且很容易博得信任，其中包括植入病毒、禁用监控或打印功能，或者只是通过观察相关人员的工作模式及他们的弱点，然后选好时机下手，通常周末或者法定节假日对他们来说比较有利。