Hotbit下载：关于MWC钱包漏洞和双花攻击的回应

尊敬的Hotbit用户：

       Hotbit在2月13号（GMT+8）常规检测时发现平台MWC余额异常，本着为用户资产安全考虑，Hotbit第一时间暂停MWC提现，并联系MWC团队寻找原因。其中涉及金额为：3674.946865253+86644.463524027=90319.41038928 MWC。

      发生问题后，Hotbit技术团队立即对平台备份的所有交易记录进行了反复检验（MWC是隐私链，只能用钱包进行检验），2月13号-2月19号期间，Hotbit与MWC团队沟通后,MWC团队提供了常规检验方法。我们用MWC团队提供的方法进行检测未发现异常，MWC团队也强调我们的交易是有效的。但因账目始终不平衡，Hotbit团队反复与MWC团队就转账后、钱包不入账的问题进行沟通，直至2月20号，基于我们的提供的分析反馈，MWC团队制作提供了新的txs-bulk-validate检验工具供Hotbit技术同事使用，经过新检测工具检验，我们发现既往验证有效的交易在新工具的验证下是无效的，才找出原因是由于MWC713钱包无法检验无效交易，将双花后的转账金额也计入账户余额。Hotbit在1月8日，将交易确认区块数提升到60后，钱包计入无效交易的事情同样又发生，再次提示我们MWC731钱包无法识别真实交易，会录入无效的币。虽然Hotbit有完备的风控机制，人工审核部门会对每笔提现进行核查二次确认，但是1月7日有问题的入账一直没能被发现，也是这个原因造成。

       MWC链之前有多次被尝试攻击迹象，这次最终被双花攻击，使得MWC713钱包漏洞问题暴露出来，而双花攻击也正好利用了MWC713无法确认无效转账的漏洞。使得之前发生的交易以验证有效的方式被钱包存入接受，后资产在链上不存在变成无效，造成平台资产损失。

       因为MWC731钱包余额一直浮动，不能准确显示平台余额，1月9日，Hotbit技术联系他们，沟通原因并且关闭了MWC提现，MWC团队在可能/已经? 获知MWC被攻击的情况下，要求Hotbit打开充提。另外，MWC团队于2月11日为该账号的资产安全做担保，请求将该账户放入审核白名单中，方便提现快速放行，且按照MWC团队说辞，该用户已加入MWC团队。该用户提现金额总计为：527，799.9401MWC。（如果MWC团队已知问题，这就有可能是项目方利用MWC链的钱包漏洞让用户在Hotbit上资产受到损失。）

      基于MWC钱包漏洞造成资产损失，Hotbit请求MWC赔偿平台损失。MWC团队拒绝了Hotbit的赔偿请求，并提出Hotbit资产的损失，是由于交易验证次数过低（1月8日后Hotbit已将验证区块数提升到60个区块），但根据Hotbit团队的反复验证，对照时间以及历史资料显示，1月8日，在将区块验证次数提升到60后，无效验证再次出现，使得平台资产继续产生36938.221619844 MWC的缺口。而现在进行链上核对时，历史发生双花时产生的入账，仍然是有效的。MWC团队到现在为止也未解决钱包入账的漏洞问题。

       MWC项目方于2月23日承认他们于1月7日及1月13日两次遭到双花攻击，MWC团队想把钱包漏洞归咎于双花攻击，以及Hotbit没有进行足够的区块验证，综上信息来看是个逻辑上的极大错误，以及企图回避MWC自身技术漏洞。

        现Hotbit平台就MWC团队的回复和公告，作出如下回应和补充：

1.“We came to the same conclusion that you came to, that the funds were lost in the two 51% percent attacks of 1/7 and 1/13. But why would we compensate you for those losses? We advised you to increase your confirmations from 6 confirmations on November 22 in this telegram channel and you ignored our message.”

造成平台损失的原因和增加几个确认高度没有任何联系。由于MWC713钱包存在漏洞无法检验无效交易，其链被双花攻击，造成平台损失。无论确认高度改成多少，MWC713钱包也筛选不出任何有问题交易，都会认为那些交易有效。现在回溯双花交易，钱包仍然显示交易有效。况且MWC team在11月22号的说辞是建议，没有说必须，并没有告诉我们可能会出现的问题。

Hotbit在1月8号已把确认高度从6提高到60（如果你当天有交易可以进账户查到），结果有问题的交易在当时仍被入账。

另外要注意的是，在2月13号联系MWC team后，直到2月19号我们才拿到最新检测工具txs-bulk-validate才得以找到问题原因。期间，我们多次反馈最新结果均无法有效检验。且在2月13号之前，每当我们发现问题联系团队，团队建议只是让我方数据重组、节点升级，重做节点恢复钱包等，并没有建好现在的检测工具，也没有找到或告知我们MWC713可能存在问题。

2.“We also advised you to regularly sweep funds and run check which you also ignored. These actions would have prevented the situation you find yourself in now and if you would have communicated with us we would have been able to give you even more advice about how to prevent this situation.”

冷热钱包是平台自己的资金管理方式，钱包漏洞和链被双花攻击是原因，两者没关系。换冷热钱包只是避免资产被黑客盗走，但现在钱包没有被盗却资产丢失。正如前面所说，问题在于MWC713钱包有问题，造成平台在交易变成无效之前已入账，MWC713钱包检测不出问题交易。另外MWC主网刚上线，现在就被双花攻击，其链抗51安全性有待考量。

 3.“In addition, we sent the following email to Hotbit on January 14, 2020:

We also received no response to this email.” 

       正如Chris说的 “wanted to pass the information to your team”，商务收到这封邮件后第一时间转达给技术同事，我们有看到并做了记录。MWC上线后,需要商务沟通的邮件都有及时处理，并且在1月19号，我方技术同事在Telegram技术群里，和对方沟通过关于SWEEP的事情，并没有忽略这件事。

      并且，这也没有解决MWC713钱包无法检验无效交易的事实。

4.“The MWC chain has performed flawlessly according to the consensus rules since the launch of mainnet on November 11, 2019. Nevertheless, ​Hotbit halted MWC trading a few days ago after having had withdrawals and deposits closed for several days. They contacted us on February 13 2020, stating that they were missing about 70,000 MWC and that they thought it had happened between February 11 and February 13.

We agreed to help them with the investigation to determine what happened. After reviewing the data, it appears that on January 7th 2020 (the date of the first malicious mining attack) and January 13th (the data of the second malicious mining attack), Hotbit credited around 86,644 MWC in deposits that never confirmed on the blockchain. We believe the vast majority of these deposits were made by the miner behind the attack. Initially, when the reorgs on January 7th, 2020 occured, we contacted Hotbit immediately and asked them to confirm whether or not they had any losses. They told us at the time, they did not have any losses and reopened trading.”

这是MWC团队公告开头部分。其中提到的时间和金额，我们在最前面做了简述。此外，我们从未说过问题发生的时间在2月11-2月13期间，我们是在2月13号发现问题后联系的对方团队。

5．“It seems that Hotbit did not understand how to confirm which deposits were actually confirmed on the blockchain and which were not and also did not store all required data to fully analyze the situation in detail. They also did not ask us for any assistance in the analysis until February 13th, 2020.”

到目前为止，已经有400多个token,近800个交易对，几十条公链成功在Hotbit平台运行。显而易见，这就是最好的证明，我们不接受这种质疑。另外，

1）关于哪些存款是否确认，我们最初和@Christopher对接，依据当时的确认方式MWC713来判断入帐。发现问题后，我们一直在寻求MWC团队的帮助来找出无效交易，也一直反馈最新情况。如前面所说，直到19号团队才给出txs-bulk-validate 工具，得以有效检测。

2）我们有自己的数据备份。在沟通中，我们已把所有交易记录、工具验证的结果，分析好给到MWC团队，这些数据已足够去figure out交易问题，请问MWC还需要什么数据？

3）2月13号前，我们一旦发现异常会关闭提现联系项目方，有太多截图可以证明。何来的我们 “didn’t ask for any assistance in the analysis until Feb 13”? 且在问题解决之前，MWC多次要求我们开提现。

另外，在我们发现问题寻求帮助时，MWC团队的回复也可见截图：

6.“We had reached out to Hotbit on several occasions to state our concerns about their low level of confirmations required for deposits well before the attacks of January 7th, specifically on November 22, 2019 the team recommended to Hotbit that “I’m a little concerned that you allow so few confirmations (6) on deposits. We have a low hash rate and someone may try a double spend attack. I would suggest increasing it.” We received no response to this message.

出现的问题和增加几个确认高度没有任何联系。请看最前面第一点。 

7.“In addition, we sent the following email to Hotbit on January 14, 2020:

We also received no response to this email.”

前面第3点已作出详细回应。

补充：

1.我们将钱包的全部记录和检测工具打包公示如下，大家可以下载查看。相关时间节点在上文均有提到。MWC钱包全记录见附件（可通过安装解压工具7z进行解压后查看）
检测工具介绍和使用说明
https://github.com/mwcproject/mwc713/blob/master/docs/bulk_transaction_validation.md 
检测工具:
https://github.com/mwcproject/mwc713/releases/tag/3.0.0-beta.2 

另外，我们有足够的理由怀疑，目前MWC最新的验证工具可能仍不完全准确。我们发现,同一笔交易，有两份备份钱包，但工具检测出的结果一个为true,一个为false.

2.我们请求MWC赔偿平台损失，有理有据，且根据MWC公开的token分配, 我们相信团队有能力赔偿            他们给平台造成的损失。

3.Hotbit上曾经有数个账号短期内频繁大量提现，触发我们风控系统。在我们进行常规风控检查时，  团队曾多次帮助用户来催促我们放行提现，并质疑我们请用户提供KYC的正常操作流程。经过沟通，  MWC团队有意愿为其中一个因触发风控提现被卡的用户资产安全做担保，在我们明确担保的定义后，项目方反悔，并邮件向我们说明只担保另一个账户，即本公告开头提到的那个账户。结合这次双花攻击的事件，我们敦促项目方公开解释这些账户的所有人以及短期内巨额提现的意图。 

        Hotbit作为全球上币数量第二名的交易所，我们具备大量经验来理解每一个新的数字资产初期在技术和市场上遭遇的各种困难。Hotbit意图与所有项目共同成长为世界级。这次MWC链的安全问题，本完全可以在MWC团队更透明、积极的举措下将损失最小化。但我们很遗憾MWC团队自始至终缺乏这个态度，更在掌握巨额MWC资产的前提下拒绝承担责任。

         Hotbit将继续开放对话窗口，在问题解决之前，我们将无限期终止MWC交易与充提，并将公开向全行业发出MWC链安全性的警示。

        请相关客户进入我们的Tele群“MWC Security Issue in Hotbit”  与我们保持最新沟通。

对客户带来的不便我们深表歉意！     

Hotbit 团队

2020年2月26日