比特币怎样存放才能有效“防黑”？

最近在比特币论坛（Bitcoin Forum）上出现了一则回帖“建议不要把比特币存放在任何可以联网的电脑上。”

这听起来可能和比特币本身用途就相违背。比特币是目前世界上最流行的电子货币，被分散控制于世界不同的网络终端。这个建议的发帖人用户名为TradeFortress，是储存比特币和为全球提供电子钱包的网站inputs.io的创始人。最近该网站刚刚被黑客攻击，损失了超过百万金额的比特币。

虽然比特币是电子货币，其交易必须通过网络发生，但用户却可以在线下储存比特币，线下储存对投资者来说也是最为保险的一种方式。一定数额的比特币可以通过保密钥匙支付给对方，这种保密钥匙可以通过线上电子钱包储存起来，也可以储存在离线电脑中，甚至以物理实体的形式储存（比如写在纸上，或者刻在戒指里）。与在线储存方式相比，离线方式保证了比特币不会收到黑客的攻击。

如果不是上周发生黑客攻击事件，inputs.io可能是理想的比特币管理网站。网站不仅提供比特币钱包，而且将不同用户的钱包混合起来，对应的比特币数量完全匿名，加快比特币的支付，还省去了通常小额比特币交易需要支付的手续费用。

使用电子钱包的用户需要对网站有足够的信任，来管理自己的比特币。但这种信任存在着巨大的风险，inputs.io上周的事故就给用户们上了这一课。网站在10月23日和26日分别遭到黑客袭击，损失了大约4100比特币（合120万美元）。公司直到这周才将被袭击之事通知用户。TradeFortress在邮件中表示，“两次黑客活动总共盗走了约4100 比特币，公司无法赔付所有用户的存款。”此外，存放在TradeFortress另外的管理网站CoinLenders的比特币的一小部分也被盗走。

TradeFortrss通过科技博客WIRED表示，“虽然公司没有足够的比特币赔偿所有受到损失的用户，但会履行部分赔偿”，“我也将动用自己所有的比特币，以及inputs冻结的部分储存，但加起来一共只有1540比特币。”

TradeFortress解释说网站遭到一次“社会工程攻击”（social engineering attack），一种利用“社会工程学”发动的网络攻击行为。攻击者假装要进入不属于自己的云端托管方Linode，“以电子邮件账户为攻击目标，重置了Linode服务器的密码”，恢复了TradeFortrss六年前设置的一个邮件账户的密码。从ip地址显示攻击者租用澳大利亚的代理服务器，由于地理位置上相接近，因此不会因为邮件回收率而发出警报。此外，Linode调用登录ip记录证明攻击不是内部人员监守自盗。

TradeFortress在inputs.io网站上发帖表示“非常抱歉”，“我只能说我非常难过，但显然语言已经无法表达这种情绪。”原文如下：

两次黑客攻击共造成inputs.io 4100BTC的损失，而我们无法弥补攻击中造成的所有损失。攻击者通过电子邮件账户（非常老，没有电话号码相连接，非常容易重置）攻击云端托管账户。攻击者找到了服务器主机的缺陷绕过了2FA。

黑客同时得以访问数据库，但用户的密码及哈希加密仍然安全。比特币后端代码被转移到10;[email protected]:[email protected]（很可能是另一台已经破解的服务器）上。

如果储存在inputs.io超过1BTC，用户需要发邮件到[email protected]告知比特币地址（推荐使用离线的、开源的SPV钱包，如Multibit或Electrum）。使用与Inputs相同的邮箱地址。无论比特币是属于自己个人还是服务器，都不要再选择任何联网终端储存。

邮件并不能解决问题，我只能说我非常难过，但显然语言已经无法表达这种情绪。

网站目前对用户开放账户核查、交易历史查询等服务（https://inputs.io/index2），但不建议用户再追加储存比特币。