洗劫狐狸：ShapeShift被蓄意破坏的故事

比特币，和人类其它任何系统一样，展现了乌托邦的最高理想，同时还吸引了社会中最低级的渣滓。

注：本文有些名字采用化名，敏感信息有所改变。

Erik Voorhees

这是一篇ShapeShift被如何出卖的故事，做为区块链资产交易平台的领导者，一个月不到的时间被出卖了——不是一次两次，而是三次！

价值大约二十多万美元的虚拟货币被内外勾结的盗贼窃取，这之后的资源消耗就更别提了。然而不管怎么样，我们客户的资金没有受到威胁，这在经常发生失窃的比特币产业中意义重大，ShapeShift已经改进和重建，这次深刻的教训使ShapeShift觉得责任重大，也更加坚定了打造更加安全、零阻力资产交易所的决心。

本着比特币社区开放的精神，我们与社区分享这个故事，希望大家对此事知情，在成为大家茶余饭后谈资的同时，也希望同行们汲取教训，引以为戒。

故事背景

自从2014年推出以来，ShapeShift就像一个快速进化的生物一样，从开始只有比特币和莱特币之间的兑换试验，一直成长为支持大部分区块链资产间无摩擦兑换的一个高级引擎，从一种虚拟货币兑换成另外一种虚拟货币，零阻力兑换，无需账户，不需要注册。它就像虚拟货币领域的谷歌。

我们一直以来奋起直追，试着赶上这个产业的发展速度，我们不仅仅拓展比特币应用的深度，而且还拓展整个加密货币的宽度，这是一个具有挑战性的事业。

去年秋天的时候，我们意识到我们最初的“小微兑换”的服务架构是无法满足市场需求的，我们需要一名专业人士加入我们的小团队，来打造一个可以随着我们技术的发展而扩展且安全的服务架构。

我们雇用了一个人，很快我们就开始实施我们具有前瞻性的想法了。根据书面资料显示，这家伙看起来棒极了，我们参考了他以前从事的工作情况。他甚至早在2011年到2012年间就在自己屋子里组装了比特币矿机。非常棒，我们叫这名新雇员Bob,其实他的真名确实以B开头。

接下来的几个月，Bob构建并管理着ShapeShift的基础架构。他做的还可以，我们需要一位专业人士来保证我们的引擎可以在这种架构上运行，我们仅仅满足于此。

今年的第一季度中，我们发现，市场需要各种区块链资产的流动性，ShapeShift的交易量急剧增加，特别是以太坊。我们的基础架构还没有为这种增长速度做好准备。这就像是给自行车突然加了一个喷气式动力引擎一样。

不幸的是，Bob没帮到什么忙。当整个团队都在奋力工作的时候，他却无所事事。

不对，事实上，Bob有他自己的打算。他准备行窃。

背叛开始

3月14号，在我们上线以来承受最大交易量的几周中的一天上午，我接到我们运营管理者Greg的电话，“Erik，我们的热钱包丢了315个比特币。”你会问为什么热钱包放那么多钱？因为随着交易量的剧增，我们以前情况的热钱包在这种交易量的情况下一小时就空了，这时就要手动重新填充。有没有自动填充或者降低这种风险的方法？有是有，但这是在开发完成之后的事情。

就这样，315个比特币丢了。

对有丢失比特币经历的人来说，这种感觉让人感觉像呕吐。这种深入人心的感觉并不会即刻消失，它会深入一个人的骨髓。如果一个人认为自己维护的系统非常安全，却被攻破时，这种感觉非常的不舒服，这丢了的315个比特币相当于13万美元，这相当于一个人上大学的费用、半套房子的价钱、买食物可以吃10年、好长时间的工资…对于一个初创公司来说更是一大笔钱。

我冲到办公室，希望这只是搞错了。庆幸的是丢的是我们自己的钱，客户的资金、账户、信息没有任何风险，这是ShapeShift成立之初的设计原则。即使这样，迎面而来的一拳也感觉像掉进了火坑。

我和Greg，还有另外两名工程师调出服务日志，疯了似的想弄明白，到底发生了什么，315个比特币流到了一个不熟悉的比特币地址，现在还在那：

https://blockchain.info/address/1LchKFYxkugq3EPMoJJp5cvUyTyPMu1qBR

尽管我们通知所有员工到办公室开紧急会议，可是我们IT部的Bob在11：30才到，就是他负责基础设施安全的。

我们让Bob加入我们的讨论。我们让他看了我们被黑的情况，问他是否记录到什么没有，他好几次都回答没有。对于这个盗窃者，Bob既不震惊，也不生气，负责安全是他的职责啊？于是他就开始含糊其辞，“交易所被黑，这在业内是经常发生的事情。”Bob啊，我们交易所的账户是好好的啊。

“嗯，注意IP地址，这是西非地区的。”唉，区块上记录的IP地址只记录了转账的第一个节点，这根本没有什么意义，Bob，你算哪门子比特币爱好者啊？

很快我们意识到他没什么用处，我们的服务器伙计对他自己架构的系统被黑都没什么概念。

当翻完我们的日志文档后，我们发现，在失窃前一个小时，一些属于Bob的SSH密钥登录过那个失窃的服务器，失窃两分钟后又退出了。没有异常动作，这是必要的，因为Bob的密钥就应该定期的登录进去，虽然时间有点奇怪（早上6点）。我们还发现，黑客使用了VPN来入侵，这意味着，我们办公室的某人，或者有人通过我们的VPN来实施了盗窃。

我们要求每一位有权限进入服务器的员工提供他们的SSH密钥指纹，一遍我们对照他们的记录，每个人都这么做了，奇怪的是：Bob提供的密钥指纹没有任何记录，空白的，更奇怪的是这个密钥在任何服务器上都没有记录。

过了一会儿，Bob觉得到了他的午餐时间，就消失了1个小时，这可是在ShapeShift创建以来遭受最大创伤的时刻啊。其实我们并不在乎他的离去，他在这也是无用的，而且我们有点怀疑他了。他对我们每个人说他的笔记本电脑在开着下载一些记录，并确定我们都看到了。他变得有点怪怪的。

一个小时后，他回来了，坐在正在分析情况的工程师旁边。我在另一间屋里接电话。我电话接完出来看看进展，这时Bob收到一个电话称她妈妈需要去医院。他带上他的东西，拉着他在办公室的狗，走了。我们一半人感到解脱，另一半人感到惊愕：我们正在调查中，服务器管理员又走了？这不是他应该领导的调查吗？

他的回答是“我会在一个小时内回来。”此时是3月14号下午3点。

我们再也没见到他。

他离开不久，我们的一个工程师把我和Greg拉到一边说：“在你接电话时，我们都坐在这桌子旁边，发现Bob偷偷地删掉了两个SSH密钥记录，然后他还在记录日志里搜寻了几遍那两个密钥，之后才离开。这两个密钥就是我们服务器被黑之前进入的那两个。”

他刚刚从服务器中把他的密钥给删除了？这不是此地无银三百两吗？

于是我们假设Bob就是窃贼。他不在这里，我们锁定了一切，换掉所有密码。

我们又忙了几个小时，Bob没有来一个电话或短信，没有任何回音。这天就要结束的时候，就是他离开后三四个小时后，我们决定给他打个电话，起初没有泄漏我们的疑心。

“嘿！Bob，你在哪？”
“哦，嘿！我临时决定回家了。”
“你现在在家？”
“是啊，刚到家，有点事情处理。”

这TMD算什么事情啊。

我们对电话做了录音，接下来的30分钟对话我们掌握了一些证据。

“Bob，貌似你删除了你的SSH密钥，给我们的新密钥进入不了任何服务器啊。”
“嗯，是的，我觉得那个密钥不怎么重要就删除了。”

是的，这真的是从他嘴里说出的话，我们的服务器管理者，在我们调查偷了13万美元的窃贼时，偷偷把仅有的两个密钥给删了，而且在电话中说它们不重要。

这两个密钥案发前登录过比特币服务器，而且失窃后两分钟就登出了。恩，这确实不重要？

他没有为他异常的行为做解释，只是围绕着问题周旋，开始的时候很巧妙应付着，后来就开始认定我们在种族歧视了。

“嗯，Bob，我们把你作为目标是因为你的密钥在案发时进入过服务器，而且在调查期间你把他们删除并离开了。”

通话大约进行了45分钟，他说了其他荒谬的理由，都被录了下来。

我们发现了更多的证据细节，知道了到底发生了什么事情，以及谁是作案者，这让人感到欣慰。那天晚上我们整理了所有文档，准备起诉Bob。

我给他一个最后的弥补机会，我给所有员工发了一条信息，这样就不会让他觉得暴露自己了。

“这是你改过自新的最后机会，汲取教训，让这一切结束。如果上午十点前315个比特币被打到下面地址，我们就不会付诸法律行动，不再追究此事，和平分手。发送于此：35JBgzjyCUPswjRP9iqrUTkkX76QwrKkB9 ——艾瑞克”

我在早上4：36收到Bob的信息，“我没有删除任何密钥，我定期的登录服务器做检查。”

好啦，我们之前做的电话记录清楚的记录到他删除了密钥，而且他说那天上午没有登录过服务器。他撒谎的水平还不如他管理服务器的水平。

他还继续用青春期孩子般的口气说：“你们这就是种族歧视，这就是为你们种族主义者找借口。我从来没有犯罪记录，不像你在证监会做过的勾当。”

次日早上，我们的律师写了封正式邮件（email和平信）发给了Bob，阐明了我们掌握的证据并要求归还我们的财物。还有就是和他解除劳务合同（我想这是公平合理的）。Bob回复律师称，这些都构不成证据，“你的客户是一个种族主义者，看清楚你的合作对象。”

他就像还生活在因特网的幻象中一样。难道他真没有意识到问题的严重性？荒谬的事情才刚刚开始。

又过了一天，我们开始正式的民事诉讼。Bob给我们的地址是一个邮政地址，我们知道他的真实姓名、银行账户和身份证号。我们还雇了一名私家侦探，我们没几天就找到了他的住处。但是没见到他，尽管侦探听到了门后有狗叫声。我们发现了他的一辆车，他有两辆车，都是淘汰的无照牌警察巡逻车。

我们得对我们的投资人证明我们处理本次事件的努力，所以我们还作为刑事案件处理此事，本案已经构成三级犯罪，可以判4到12年的有期徒刑。其实，我们并不关心他是否受到惩罚，我们关系的是我们是否能够全款追回丢失的财产，还有他能够意识到这是一个足以改变他人生道路的错误。到目前为止，他还没有意识到。

我们进一步了解了Bob，他在他老家佛罗里达没有前科。

随着民事诉讼和刑事诉讼的推进，我们发现Bob逃去了佛罗里达（他的狗交给邻居临时照料，他的邻居也想知道他在哪，已经几周不见了），我们觉得这个案子算是有眉目了。我们迟早会逮到他。我们有希望追回我们的财产，或者等值的法币。
Rovion

我们在Bob离开后重建了一个服务器构架，他在我们系统中所做的工作算是最大的软肋。我们把服务移到了我们称作CloudCo的云服务中。

4月4号时，我们准备使用新的云服务构架上线运行时，混乱再次发生。

4月7号星期四，中午时分，我们发现以太坊热钱包中的币被转移了，这是采用CloudCo上的新服务架构，这个新架构还没没公开呢！开始时，我们以为是代码出了问题，可能是钱转移到了开发服务器上或者其它类似情况。这个时候，我们又发现比特币和莱特币都出现丢失情况。
小偷的比特币地址：14Kt9i5MdQCKvjX6HS2hEevVgbPhK13SKD
小偷的以太坊地址：0xC26B321d50910f2f990EF92A8Effd8EC38aDE8f5
小偷的莱特币地址：LL9jqgXVqxUbWbWVaJocBcF9Vm8uS3NaTd

现实很快就击中了你，这宛如晴天霹雳。这种沮丧再次来的那么直接。这TMD到底是怎么回事儿？

密钥没有公开就被黑了，太邪门了。我们把我们的系统关闭了，包括我们正在营业的网站，开始调查。自从上次被盗，我们的热钱包就没有放太多钱，所以损失没有上次大，但是也不算小。我们不敢相信，一个全新的系统架构，新生成的密钥还是会被盗。

经过几个小时的调查研究后，没有什么结果，我们觉得最合理的解释就是云提供商不安全，之前有交易所就发生过这种事。CloudCo的口碑很好，但是谁知道呢？云服务比较方便而且扩展性很好，但是我们不能完全相信它。所以我们决定吧网站暂停最少24小时，为我们的搬迁留出时间，又一次，新的系统架构，新的服务器。

和丢钱一样让人沮丧的是我根本不知道这是怎么发生的。记录日志没有发挥作用，没有任何记录，事实上它们被擦除了。

尽管如此，我们还是从区块链上追踪到黑客的踪迹，他把币转移到了一家交易所，我们掌握了他的账户信息：

姓名： Rovion Vavilov
Email：[email protected]
地址：Chayanova St. 15, Moscow
生日：1980.02.02
电话：+7 9625148445

这些信息可能是假的，但那天晚上我还是给他发了一封email。

邮件来自：Erik Voorhees [email protected]
发送给：[email protected]
主题：ShapeShift Hack…

“干的不错，你是怎么做到？——艾瑞克”

专业提示：黑帽式的黑客喜欢别人称赞自己的技术，不管他们所作的是否道德。像成年人一样和他们平静的对话，他们可能会透露点信息。这很奇怪，但很管用。不管怎样，我不奢望他给我回信。

那天晚上直到次日（8日，星期五），我们团队慌忙的重建了整个系统，新的架构，独立的服务器，干净的系统环境。

对于大部分人来说，ShapeShift只是一个服务网站。但是它背后需要工程师们大量的工作，后面的平台非常复杂。超过1400个资产交易对，集成了半打交易网站的API，还要和他们所提供的虚拟货币价格实时同步，给合作伙伴提供低延时的API，监控和计算交易所的汇率和挂单深度，这些交易可是地球上波动最大的交易，还要对一些只能称为alpha测试版的软件支持。

在比特币领域，这种事是没有指导手册的。

我不是一名工程师，我只是偶尔看一下我们创建的宏伟工程。我希望我能受得起这份荣誉，如果我们团队能看到这里，我想让你们知道你们设计了不可思议的机器，应该为这感到骄傲。

这个时候，事情有了进展。

星期五中午，那个黑客给我回email了：
邮件来自： [email protected]（一个新的邮件服务域名）
发送给：Erik Voorhees [email protected]
主题：ShapeShift Hack…

“一个字：BOB”

这封信就这几个字，我们都非常震惊。有那么几秒钟，我们觉得Bob就是这黑客，但是随后有了更合逻辑的答案：Bob把我们的信息卖给了黑客，黑客利用了这些信息。

Bob背叛了我们，背叛了他的职业地位，通过摧毁信任他的人来赚钱。他盗窃，撒谎，逃跑。在给他改过自新的时间里，他为了蝇头小利再次出卖我们。黑客会攻击，他找来一个杂碎去骗取一个团队的信任，他和支付他薪水的团队一起工作，然后把这个团队出卖，拿到的钱可以买辆特斯拉。是的，然后自己把自己的狗都丢弃了，这可能被动物服务机构记上一笔。

注意自己身边的这种人，一旦怀疑他是这种人，远离他。

不管怎么艰难，经过我们的努力，我们在周五晚上把一切都准备好了，这已经是24小时过后了。我们在新的云服务HostCo平台上线了，尽管有点瑕疵，但是可以运行了。我们公布了我们被攻击的情况，决定把我们被攻击的细节和教训发布出去。

交易所的买卖单开始挂起来了，我们松了口气。我在凌晨1点钟睡着了，睡得很香，我身心疲惫，我为我们的团队骄傲。

次日星期六早9点，我睡得迷迷糊糊的，电话响了，Greg打来的。

“我们又被黑了，在HostCo上的比特币和以太坊热钱包被盗了。”

我拿着电话，说不出话，我只是在想：“这TMD就是传说中的大灾变？”

这看起来是不可能的事，两天前的那次是看起来不可能，这次让人彻底混乱和沮丧了。我告诉Greg先把网站关了，我30分钟内给他回电话。这TMD让我们怎么跟社区交代，怎么跟客户说明，怎么像我们的投资人交代？我们跟自己怎么解释？

我从床上爬起来，没有恐慌，只是感觉被彻底击垮了。我洗了个人生中最糟糕的澡。愤怒缠绕着我，我们从黑客电邮里知道Bob跟这有关，我们还知道Bob负有3级刑事责任，司法部门三周前就知道了这个了，我们的私家侦探也提供了可以直接定罪的信息。然而此时发生了这种事情。

我集中了一下自己的想法，决定是时候求助于专业人士了。

Michael Perklin是Ledger Labs负责安全和调查的领导，他是我最先想到的求助对象，他在多伦多，同意当晚见我们，当时正在去医院的路上，他的一个脚趾破了，当接到我电话后，改变路程去了机场，冠军风范！

我还和几家交易所的领导通了电话，没有人喜欢小偷，他们乐意帮忙，尽管步伐、观点和兴趣有差异，但这个领域在需要的时候会团结在一起。

1500个以太坊追回了，交易所还在进一步的追查，这个小偷肯定不舒服，毕竟被偷是件不爽的事儿。

和小偷谈话

之前黑客给我回了“一个字：Bob”的email,我也回复了他，问他是否能提供更多信息，他说给钱就行，我给了他2个比特币。

“嗨！”他说，
“我想知道你跟Bob是什么关系。”我刚开始没有直接去问细节问题。
“我从Bob手中拿到了他‘入侵’你们的信息，然后我也入侵你们，我在Bob黑进你们服务器前也尝试这这么做，但没有成功。”
“你对Bob行动了解多少？”我又问。
“内部作案，315个比特币。之后我问Bob怎么入侵，他给了我更多关于系统架构的信息和一些密钥。”他回复说。
“为什么他会给你信息，他都给了你些什么？”我问。
“我给了他一些比特币，他给我一些IP地址，服务器策略，用户信息，可用的SSH密钥。现在密钥不能用了。”他回复说

通过进一步的交谈，我知道了他跟Bob通信的邮箱地址：[email protected]。

虽然我以前没有见过这个邮箱地址，但总觉得有点面熟。我想了一会儿，想到了Bob经常用0代替o，包括他从服务器中删除的密钥（这个特殊的密钥中有Bob的真实姓名）。Bob一般把密码设为和“m0m0ney”类似的形式。我们负责安全的家伙居然把“l33tspeak”这种 字符串作为密码，真够安全的。

我们已经清楚了，几周前Bob偷了我们的钱，现在也知道了，这个黑客，Rovion，给我们的信息也牵涉到Bob，Bob把我们的安全信息信息出卖给了别人。

另外一种思路，Bob是这个黑客从一开始就安插进来的间谍吗？有这个可能，但是Bob在3月14号的一举一动都在否定这种解释，特别是他在我们眼皮底下把密钥给删除了，然后离开办公室，再也没回来。还有其它的证据也不支持这种理论。

回到我和Rovion的对话，我问他“可用的SSH密钥”是哪个，他回答：“这就不必告诉你了。”但是他告诉我是从我们同事开着的笔记本电脑中得到的。

啊!如果这是真的，那么就是Bob在ShapeShift工作的时候进入了同事的电脑拷贝了一个密钥（或者多个？），这发生在他施行偷窃之前，整件事都是有预谋的？我怀疑。

我试着了解更多信息，但是Rovion没有回复，这是他最后的回复：“你的百万美元会拯救你的，ERIK VOORHEES，再见，我会再登录email的。”

那天晚上，我们的司法鉴定调查员Michael Perklin来了。我去机场接的他。在他到达之前我们没有再动服务器。虽然黑客模糊的说他利用了秘密的信息，但我们真不知道他是怎么攻破的。密钥在Bob离开后都修改了，有一个密钥忘记修改，但涉及到这个密钥的钱之前的那个星期四没有丢，这也无法解释星期六早上的失窃。CloudCo和HostCo上的钱都被盗了，而且都是重建的全新系统环境，密钥也都是新的。

我把上个月发生的事情向Michael阐明，然后开始制定他的调查计划，包括假定这个团队任何人都不是绝对可靠的。自从出了Bob这样的员工，我很难否认这样的假定。这让人感到沮丧。

司法鉴定工作有很多有趣的细节，但是出于保密限制，不便透露，这样做也不明智。过了一会，我们调出记录日志，从星期六的攻击开始，它们大部分被删除了，它们是怎么被删的？我们不确定。

我们现在知道怎么预防这种情况，确实，我们从这次事故中得到了大量的经验教训，虽然这有点陈词老调，如果你的初创企业涉及到服务器或信息安全问题，尽快找专业的第三方来帮忙，我们是一家小公司，所以一开始没有这么做。但等到焦头烂额你就会意识到，自己处理大量的资产的方式是不合标准的。

大部分的记录日志被删除，但我们用技术手段把一些文件从空的磁盘空间中恢复了一些，这是幸运的，可能是中本聪大神在某处眷顾我们（一周前我们可以这么恢复文件吗？当然。）

从恢复的数据中，我们发现了一个恶意软件，这个程序用go语言编译，安装在非常重要的服务器上，这个服务器直接和虚拟货币相连。这个程序的数据伪装的和服务器的设置程序一样，而且它的文件夹也看起来很普通。但它是导致我们财物被盗的作案工具。

它叫做“udevd-bridge”。

我们很高兴能发现它（是的，在CloudCo和HostCo的服务器环境中都发现了它）。但是我们还是不知道它是怎么被安放到这里的，我们掌握了很多信息，但显然这不是故事的全部。

之后几天我们也没弄清楚整个故事的来龙去脉，但是这时候，那个黑客来信了。

很意外，这个黑客Rovion在4月13号星期三给我寄来电子邮件,
邮件来自：Rovion Vavilov [email protected]
发送给：Erik Voorhees [email protected]
主题：回复：ShapeShift
“我在交易所的以太坊你有兴趣打折扣购买吗？如果你不信任我，我们可以一点一点的交易。”

是的，这家伙可能在为交易所冻结他的以太坊而苦恼，所以他回到他打劫过的商店，要求我们兑换成可流动资产，这等于是我们在用自己的比特币买回自己的以太坊。

如果我们能得到更多的信息，这样干也是值得的。因为我们彼此不信任，所以我们约定了一份协议：

1.我们支付2比特币，对话开始。
2.Rovion给我们一半信息。
3.我们兑换2000个以太坊，以0.02BTC/ETH为汇率。
4.Rovion给我们另一半信息。
5.我们兑换剩下的2500个以太坊，以相同汇率。
6.我们结束对话（最后一条是Rovion加上的）。

他要求我们把比特币发送到这个地址：14Kt9i5MdQCKvjX6HS2hEevVgbPhK13SKD

在支付了2个比特币之后，Rovion开始说4月7号入侵的事情：

“我们联系了Bob，他给了我们ShapeShift的核心源代码，核心服务器IP地址，一个SSH密钥，我用密钥登录核心服务器，安装了后门，从核心服务器中把币给偷走。”

“上面提到的密钥指纹是什么？”我问。
“9c:3f:4b:ad:d6:43:ec:9a:55:de:b9:0b:d8:f5:0a:cb”

我们发现这是Greg的密钥，在CloudCo环境上新创建的。在三月份Bob离开后一周它甚至还没被创建呢！这个黑客是怎么得到的？通过Bob？

我问了相关问题，Rovion说这是下一个步骤的问题了。我们进行了下一步的交易。

然后Rovion说：“我们利用了Bob在同事电脑上安装的远程控制程序。这就是为什麽我可以第二次入侵成功。”

哇，整个事情有些眉目了，Bob的皮被一层层的扒开露出了真面目。Bob在Greg的电脑上安装了远程控制程序，也可能在其他人电脑上安装，我们必须这样假定。

Rovion给我发来一份Bob邮件的拷贝（Bob出售的信息）：
“嗨，我收到50个比特币，源代码和SSH密钥在附件
核心IP地址：XX.XX.XX.XX
中转路由：XX.XX.XX.XX:XXXX
管理者密码：XXXXX
远程控制的IP地址：XX.XX.XX.XX
acadmin:pass
感谢你和我交易。
两个附件如下：
”
（IP细节我们不便透漏）

这就是这个故事，Bob把我们生产力服务器的信息出卖，进入ShapeShift内部网，获得ShapeShift的源代码，在同事的电脑上安装远程控制程序来入侵，然后把这些卖给了Rovion，50个比特币，还有IP地址和内部路由信息。

这几乎可以解释一切了，他进入Greg的电脑（或者其它的），通过远程控制，新的服务器环境被看得一清二楚，还能拿到新SSH密钥。这不是云提供商的失误，而是我们造成的。

我们是把我们的设备都换了一遍，但没有换掉我们和Bob一块使用的自己的个人电脑。这么做是不是有点偏执？是的，但这是正确的事情吗。很明显，是的。

在我们结束交流的时候，Rovion 说了最后一段话：“虽然我说要终结对话，但当Bob收到司法诉讼或其它你们要对他的惩罚时，可以告诉我一声吗？我感觉从自己雇主那里偷东西真的太恶心了。”

清扫混乱

这些信息将会成为Bob的犯罪证明。这不是一起临时起意的偷盗行为，这是有预谋的出卖。我都不知道这构成几级重罪了。

我们知道Rovion所说的可能不是故事的全部，我们必须设想其它关于此案的细节，和我们架构的细节。这也是为什么ShapeShift离线那么长时间的原因，我们每人都不希望这样，但我们得加倍小心，万分谨慎。

不管如何，我为我们的团队感到非常骄傲。在初创公司工作，特别是在比特币产业中，压力是非常大的，处理这样一连串的被出卖的事故，从这件事引起的危害（财务、技术、心理上的）中恢复，是非常艰难的。你们做的非常棒，看到你们团结一致不屈不挠，我也深受鼓舞。

这此事故并没有阻止我们在这特殊时期雇用四名新员工，这相当于我们团队人员加倍了，他们毫无防备的被拖进了这些事故中，而且他们做的很好。

ShapeShift用户不受影响

一个人想要在比特币行业生存，必须保持乐观。当背叛、失窃、删除等事件接连发生时，我们还是要看到一线希望。

首先，没有完美的个人和组织，我们认识到自己的缺陷和错误，我们纠正它们，尽力改善。这样的进步来之不易，但是，今天的ShapeShift确实比昨天的ShapeShift更加完善。一切重新走向了正轨。虽然没有一个组织能做到完美，但我们把接近完美作为我们的目标。

其次，虽然遭遇一连串的攻击，甚至是内部作案，我们客户的资金没有损失。通过去中心化、代码、创新、架构来保护客户免受损失是这个产业对整个社会的贡献，如中本聪在创世区块上所说，整个世纪的银行业都没有做到这一点。

ShapeShift将会一直在平台上完善客户保护系统，社区的其他企业也以不同的方式做着同样的事情。感谢你们开发的工具，和你们从事的工作，但是，还有很多需要我们去做的事情。

对于我们的客户，对于我们长时间的宕机，在这里我代表自己向你们道歉。为了保证客户资金的安全，有一些服务临时停止。再次强调，即使面对灾难，我们也把安全放在开发的第一位。

再次，感谢社区在我们遭受攻击时伸出援手，还有感谢我们的投资人对我们的理解。

最后，我们还要深刻的汲取经验教训，为我们的这段经历深思，使它成为我们人生财富。

在比特币行业，没有一天不激动人心。

——ShapeShift.io首席执行官Erik Voorhees

还有对Bob说，你的真名和身份证信息我们没有泄漏，给你留点面子。

原文：https://news.bitcoin.com/looting-fox-sabotage-shapeshift/
作者：Erik Voorhees
编译：lwvwlcn
BTC地址: 1JgAwbzQF5W4xiMz5xmDR52m5RKu6VLXoG
稿源（译）：资讯（ http://www.8btc.com/looting-fox-sabotage-shapeshift‎）