近日，币安再次陷入数据泄露事件，相传是内鬼所为。随后，黑客要挟用300个比特币的筹码换取1万个KYC信息内鬼消息。因没有马上拿到勒索款，该身份不明人士就通过网络泄露所掌握的信息。
数据泄露时常发生，似乎从未间断。据公开数据显示，2019年上半年，全球出现了至少10起类似信息被盗事件。
此次的“币安KYC泄露事件”，再一次将行业内的安全问题推到台前。
KYC提升安全性，可以规避机构经营风险
KYC来源于巴塞尔银行监管委员会在1998年12月通过的《关于防止犯罪分子利用银行系统的声明》，该声明提出金融机构在提供服务时应当对用户信息和用户画像进行采集和识别。
随后，KYC被各国的监管机构所接受并推行，成为金融监管的一个重要程序。
动态 | CryptoCompare更新加密交易所基准 币安被移出十大交易所名单:据Cointelegraph消息，加密数据提供商CryptoCompare更新了其加密交易所基准，将币安加密货币交易所从前十大交易所名单中移除。11月19日，该公司在Cointelegraph的新闻发布会上表示，目前为止，按每日交易量计算，币安是全球第二大密码交易所，但它没有被列入CryptoCompare的名单，因为该排名的分析并不依赖于总交易量数据。币安现在在CryptoCompare列表中排名第12，CryptoCompare联合创始人兼首席执行官Charles Hayter表示，在2019年5月交易所被黑客入侵之后，币安从前十名中退出。[2019/11/20]
国内，KYC是反法律制度的强制性要求，是金融机构及其工作人员必须履行的法律义务。
分析 | 币安被盗7,074枚BTC再次异动 小额资金可能已成功:上个月币安交易所遭黑客攻击损失了7,074枚BTC，黑客在展开一轮密集行动后，最终将资金分散于7个主要地址，并停止了转移。据PeckShield数字资产护航系统（AML）最新数据显示，自06月01日起，其中1个存储有1,060枚BTC的bc1q2r开头的地址出现多次频繁异动：1、黑客先将1,060枚BTC全部转入bc1qg6开头的新地址中。2、黑客又将新地址中的1060枚BTC进行了12次较大的切割，每个新地址包含19—120个BTC不等。3、黑客再将切割开的小的新地址进行数百次对半切分，循环往复，直至分割成1个BTC不等的小额资金。PeckShield安全人员分析认为，分散后的部分资金很可能已被成功抛售套现。截至目前，这1,060枚BTC异动资金，尚有615枚BTC暂存于bc1qze,bc1qsy开头的两个地址中，存在进一步分割的可能。[2019/6/14]
随着互联网金融的快速发展，监管对KYC提出了更高要求。KYC始于金融机构，而后渗透到各行各业，KYC也变得愈加重要。
动态 | 区块链分析公司：币安被盗比特币再次移动:区块链分析公司Coinfirm称，黑客现在正在访问包含币安5月被盗比特币的钱包。黑客在几次转账中移动了1,060.64474480 BTC（超过610万美元）。此后黑客将资金再次拆分转移。最终，黑客向bc1qcg开头钱包转移了约1021枚比特币，此后没有移动。[2019/6/14]
最常见的就是去银行办理业务，会对每位用户做尽职调查，收集客户信息；其次就是手机APP的实名认证，就是各个机构进行KYC的一个方式。
趣链科技北京分公司副总张贝龙告诉锌链接，在传统金融领域，KYC只是一个手段，主要是为了后面的AML，以及CFT。
溪塔科技市场总监孔庆阳告诉锌链接，之所以实行KYC，一方面是监管要求，保证金融安全；其次，不少公司通过收集KYC信息形成用户画像，如果在KYC信息采集不完整，上层数据分析就无法顺利开展。
声音 | 赵东：币安被盗可能只是一系列黑客事件的开始，各平台需严查自身安全问题:针对币安热钱包被盗一事，赵东发微博称：“突然想到，就不负责地阴谋论一下，币安被盗可能只是一系列黑客事件的开始，希望此事给大家敲响警钟，各家平台严查自身安全问题。你的系统可能早就被黑客潜伏大半年或者N年了。现在没丢币不代表没有安全问题。 ????”[2019/5/9]
据锌链接了解，目前KYC收集方式分很多种，比较简单的是身份实名认证，即提供姓名、身份证、银行卡等信息，通过调用银联开放平台或是官方授权的身份数据库接口来进行校验。此外，还有人脸识别、活体检测等。而这些信息要么客户主动上传，要么通过其他平台进行授权获取。
然而，KYC数据收集只是第一步，更重要的是数据核验以及数据存储。PlatON创始人孙立林告诉锌链接，尽管KYC提升了安全性，规避了机构的经营风险，但是却对用户隐私构成了威胁。
声音 | 加密分析师：币安被盗的新闻登上彭博终端机首页，加密行业逐渐步入主流:加密分析师SuZhu今日在推特上表示，币安被盗事件让我们看到加密行业的新闻已经成为主流。币安被盗的新闻今日出现在了彭博终端机的首页，而首页中的很多新闻都是各国央行的动向。[2019/5/8]
用户隐私遭受威胁
据悉，目前市场上惯用的KYC核验方式大概有三种：人工、调用的身份数据库或银联数据库开放的API接口比对、外包。
TEEX联合创始人余炀告诉锌链接，不论是人工审查，还是调用API，用户数据在整个过程中都是暴露的。企业内部员工，甚至是一些低权限的实习生操作员，都可以轻松拿走数据。而采取外包审查形式，数据出了公司，泄漏风险无疑会变得更大。再加上数据本身极易二次拷贝和沉淀，因此一些不法分子可以非常容易地利用用户隐私数据进行牟利。
不仅核验阶段数据极易泄露，存储阶段也不例外。据锌链接了解，目前一般都是采用中心化存储在服务器，部分公司甚至直接是明文存储。
中心化的储存方式很脆弱，一旦遭遇攻击，信息就会全部泄露，因此对服务器的安全性要求极高。
而对于KYC的保护，则需要付出高昂的成本。汤森路透最近的报告显示，一些金融机构每年要花费5亿美元来做客户尽职调查以及保证KYC的合规，其中人工成本占大头，其次还有硬件设备和其他费用。
站在攻击者的角度保护KYC
目前，市场对于KYC信息最好的保护方式就是将数据的所有权和使用权进行分离，机构通过数据使用权来实现KYC。
余炀告诉锌链接，从攻击者的角度出发，可以从两个方面保护KYC信息。一是防止外部黑客窃取。具体来说，需要加固KYC系统的安全性，最小化软件中的潜在漏洞。二是防止内部恶意员工的信息泄露，需要机构对KYC信息的访问权限进行严格的管控。
TEEX通过TEE技术结合GPU-TEE方案构建了一个可信KYC平台。据余炀介绍，该平台能够将整个自动化KYC过程保护起来。无论是谁都无法接触到验证过程中的KYC信息。对于人工审核，也可以通过可信显示技术，保证在将KYC信息显示给审核员的同时，信息本身不被窃取。
同时，对于调用第三方服务的机构则提供可信KYC服务调用前置机。利用TEE技术，将整个调用第三方服务的逻辑进行保护，包括第三方服务身份的验证、KYC信息的传递以及最终结果的获取。
另外，可信水印技术能够保证信息泄露之后，准确定位泄露主体。
可信KYC审核平台TEEX提供
PlatON则使用隐私计算，既能验证身份又能保护隐私的。据孙立林介绍，隐私计算主要采用多方安全计算，完全通过密码学的技术手段，在保护数据不被转移不被披露的情况下，还能计算并得到正确结果。
但TEE的硬件设备成本较高，再加上用户接受度方面的问题，可能在商业银行乃至互联网金融领域，都不是一个比较好的应用点，更适合于数字货币领域。据张贝龙介绍，而纯密码学是一件非常“乌托邦”的事情，目前大规模商用还存在问题，也难以解决KYC难题。
趣链科技则采用“密码学工程学”并行的方式推出BitXMesh。
技术详解趣链科技提供
张贝龙向锌链接介绍，BitXMesh使用智能合约控制数据使用权限并且仅在L1层中传输数据模型，把如KYC信息等大量数据存放在L2层，从而实现“数据可用不可见”，控制数据交易，进而在数据隐私与数据共享中找寻更合适的平衡点。该产品目前主要用于不同银行间黑名单数据的共享。
技术还需不断完善，新的商业模式正在酝酿。区块链技术有去中心化、可追溯、不可篡改等特性，或许能为KYC带来新的发展空间。
余炀告诉锌链接，目前KYC都是依靠中心化机构去实现的。区块链独特的去中心化信任体系，能够搭建一个公开的信任网络，让数据共享更可信。
孔庆阳则表示，区块链技术是一个构建信用体系的工具，做访问控制和存证，能够追溯到数据使用的全流程，对KYC起到一个监管的作用，但可能需要政府部门、监管机构和科技公司三方的介入来共同维护。
此外，区块链是可以帮助搭建统一的数字身份，来解决不同国家KYC标准和审查机制的差异。
数据只有流通起来才会发挥最大价值，不管是对机构还是用户，保护KYC数据不被泄露的同时实现共享是趋势也是目标。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。