12:48 UTC
根据大多数衡量标准，Stake是世界上最大的加密赌场，2023年9月4日，其以太坊热钱包做了热钱包每天做5万次的事情：签署一笔转账。这笔转账向该公司未控制的地址发送了约390万美元的USDT。在接下来的几分钟内进行了两笔转账，转移了超过6000个ETH——当时约980万美元——然后是一系列较小的转账，清空了剩余的稳定币和代币：USDC、DAI，以及另外两条链上的BNB和MATIC。
监视链上活动的分析师在赌场宣布任何信息前就注意到了这一点。PeckShield的初步估计（仅涵盖以太坊）为1570万美元；ZachXBT指出同一行为者从Stake的BNB Chain和Polygon钱包中还盗取了约2560万美元；Beosin的核对总额为4135万美元。当转账仍在进行时，Etherscan将接收地址标记为
| 链 | 约损失额 |
|---|---|
| 以太坊（ETH、USDT、USDC、DAI） | 1570万美元 |
| BNB Chain（BNB） | 1780万美元 |
| Polygon（MATIC） | 780万美元 |
| 总计 | 4135万美元 |
比特币、莱特币、XRP、EOS和TRON钱包未受影响。数据为2023年9月4日的价格，由追踪公司报告。
受影响的内容和未受影响的内容
Stake的第一条公开帖子表示其ETH和BSC热钱包进行了未授权交易，钱包正在调查中，用户资金安全。在三条受影响链上的充值和提现已暂停；其他一切继续运行。在21:28 UTC，该公司宣布所有服务已恢复——距离第一笔转账不到9小时，距离公开确认后仅几小时。
联合创始人Ed Craven将这次攻击描述为对赌场用于授权交易的服务进行的复杂破坏，并表示私钥未被泄露——攻击者能够从热钱包进行
- 未触及：游戏。没有种子泄露，没有结果被更改，没有投注被错误支付。那天进行的每一轮游戏今天的验证方式与当时完全一致。
- 未触及：冷存储。比特币、莱特币和XRP余额——赌场浮动资金的大部分——存储在其他地方，从未移动。
- 触及：运营浮存金。赌场保留的热钱，用于快速处理提现。4,100万美元是一笔庞大的热余额，但对于该规模网站的日均流水来说也只是冰山一角，这也是为什么赌场能够吸收这笔损失并继续照常处理提现。
数日后，一个名字
归因速度比往常快得多。联邦调查局在一周内宣布其调查显示，朝鲜民主主义人民共和国网络行为人——暗黑面组织（Lazarus Group），该局也将其追踪为 APT38——已从 Stake 的以太坊、BNB Chain 和 Polygon 钱包转移了被盗资金，并公布了该组织使用的地址，以便交易所可以拒收这笔钱。同一份公告将该组织 2023 年的盗窃总额列为超过 2 亿美元：6 月从 Atomic Wallet 盗取约 1 亿美元，7 月从 Alphapo 和 CoinsPaid 分别盗取 6,000 万美元和 3,700 万美元，以及现在的 Stake。
洗钱遵循了该组织自一年前 Ronin 桥接盗窃以来使用的模式：资金跨链转移、在 Avalanche 上合并、交换为包装比特币然后为本地比特币，追踪变得更加困难，受制裁的混币器完成后续工作。4,100 万美元中没有任何被追回，也没有人期望被追回。被国家级黑客入侵的赌场不会收回资金；它会收到一份新闻稿。
联邦调查局调查显示，朝鲜民主主义人民共和国网络行为人转移了与以太坊、币安智能链和 Polygon 网络相关的被盗资金，这些资金来自 Stake.com。联邦调查局公共服务公告，2023 年 9 月
两个承诺，但只有一个可证明
Stake was one of the sites that made “provably fair” a standard, and its games were provably fair on 4 September 2023 in the morning, during the theft and after it. That is not irony; it is the lesson. A provably fair system makes one promise: the result of each round is fixed by a committed seed before you bet, and you can recompute it afterwards. What a hash commitment proves is exactly that and nothing more. It says nothing about who can spend the balance you won.
保管是第二个承诺，用不同的语言表述。它是关于密钥、签署服务、冷存储比例以及允许接触这些的人员和软件的陈述——玩家无法从外部验证任何内容，因为公布签署架构的赌场会为下一个暗黑面组织绘制地图。网站能做的最好的事情是在受到测试时表现良好，就像 Stake 所做的那样：说明发生了什么，继续支付，并且不触碰唯一可证明的东西。
Betkyo 发布每个游戏的衍生和重新计算每一轮的验证器。它不发布其钱包如何加密、浮存金位于何处或什么可以签署提现，也不会这样做，原因如上。没有赌场的保管是
玩家能做的是算术，而不是密码学。保留在任何网站上的余额是对其热钱包的贷款。在网站上保留你打算玩的内容，提现你不打算玩的，并阅读提现窗口在发送前检查什么，这样暂停看起来像通常的样子——一次检查——而不是盗窃。你可以验证种子。你只能调整金库大小。
遊你可以验证的部分
从承诺的种子可重新计算每一轮——provably fair 实际上做出的承诺掷骰子 →
常见问题
Stake 黑客事件中被盗金额是多少？
根据 Beosin 的核对，约 4,100 万美元：以太坊上约 1,570 万美元，BNB Chain 上 1,780 万美元，Polygon 上 780 万美元，2023 年 9 月 4 日 UTC 时间 12:48 开始从热钱包中被抽走。
谁黑客入侵了 Stake？
联邦调查局在攻击发生后数天内将盗窃案归咎于暗黑面组织（APT38），一个朝鲜民主主义人民共和国国家网络单位，并公布了该组织使用的地址。联邦调查局将同一组织与 2023 年超过 2 亿美元的加密盗窃相关联，包括 Atomic Wallet、Alphapo 和 CoinsPaid。
Stake 用户的资金是否丢失？
Stake 表示用户资金安全，暂停了三条受影响链上的存款和提现，并报告所有服务于同一天 UTC 时间 21:28 恢复。比特币、莱特币、XRP、EOS 和 TRON 钱包未受影响。损失由公司承担。
游戏或 provably fair 系统是否被破坏？
没有。违规是针对用于授权热钱包交易的服务，而不是游戏引擎或其种子。每一轮都仍然可验证。Provably fair 证明游戏结果；它对资金保管说不了什么。
玩家如何保护自己免受赌场黑客攻击？
你无法从外部验证赌场的资产托管,所以应该限制风险敞口:只在网站上保留你打算玩的资金,提取其余部分,并了解网站的提取检查程序,这样例行暂停不会被误认为是被盗。
资料来源和参考
- Cointelegraph — “Crypto casino Stake resumes services hours after hack” (4–5 September 2023): the 12:48 UTC first transfer, the ETH and USDT amounts, the 21:28 UTC restoration, Beosin/PeckShield/ZachXBT estimates
- DL News — “Stake co-founder says hacker did not compromise private keys” (September 2023): Ed Craven’s account of the transaction-authorisation service, the ~50,000 transactions a day figure, researchers’ disagreement
- SecurityWeek — “FBI Blames North Korean Hackers for $41 Million Stake.com Heist” (11 September 2023): the FBI attribution to Lazarus, the networks named, the 2023 thefts list
- Blockworks — “FBI blames North Korea’s Lazarus Group for $40M Stake hack”: the Avalanche bridge and wrapped-to-native bitcoin laundering path
本文中的游戏