周杰伦几百万的NFT被偷？这玩意不是很安全吗？

安全最薄弱的一环，永远是人。本文来自微信公众号：差评 （ID：chaping321），撰文：刺猬，编辑：小鑫鑫、面线、江江，头图来自：视觉中国

周杰伦被偷家了！

听到这句话，大家可能觉得周董在《 英雄联盟 》里被偷家了。但这次偷的不是基地，而是标价 300 万元的猴子 NFT。 

事情是这样。周杰伦昨天发了一条 Instagram 动态，说他账号里的 NFT 被钓鱼网站给偷了。因为恰逢愚人节，为了表明自己不是开玩笑，周董还加上了“这不是愚人节玩笑”的 Tag。

差评君看到消息后也去 OpenSea（NFT 交易平台）上看了一眼，发现周杰伦账户（71DE21）的旁边多了个红色叹号，上面显示：

This account may be compromised 此账号可能被盗用。

而记录也显示周杰伦在 4.1 号凌晨把猴子“交易”给了 E34F00 用户。E34F00 到手后，半小时内交易给了 F794A0，没过几分钟 F794A0 又加价交易给了另外一个人。

所以周董这条动态，确实不是愚人节玩笑——NFT 真被偷了。

虽说大家不玩 NFT，也不信这玩意，但是对 NFT 整天宣传自己什么独一无二、不可复制的印象很深刻。这件事一出啊，网友们就吵开了锅。

“你们币圈的玩意，不是说很安全吗？”

“现在访问个网站，300 万就没了？”

差评君和你们一样，尽管 NFT 技术理念很先进，但对于当前热衷于炒作的趋势，我也不看好。不过一码归一码，因为这件事有网友说币圈东西不安全，我觉得还有待商榷的。

周董的 NFT 是和以太坊绑定的，而且还放在他的以太坊钱包里，所以要盗取猴子 NFT，就得先拿到周董的以太坊钱包秘钥。

咱们来破解看看。这个过程可以说是非常漫长，差评君给大家算一下（也可以直接跳到答案部分）。

以太坊秘钥，是一串 256 位的二进制数字，类似下面这样：

1011011011101101101110110110111011011011101101101110110110111011011011101101101110110110111011011011101101101110110110111011011011101101101110110110111011011011101101101110110110111011011011101101101110110110111011011011101101101110110110111011011011011011

每一位都有 2 种可能（0 或 1），要猜对全部 256 个数字，最多需要尝试 2²⁵⁶ 次。

这数字太宏大了，根据大家都学过的数学， 2²⁵⁶ 可以被分成：2⁶⁴ * 2⁶⁴ * 2⁶⁴ * 2⁶⁴ ，也就是 1800亿亿*1800亿亿*1800亿亿*1800亿亿。

咱们就把它拆分出来算算看。

假设第一个 1800 亿亿是每秒计算的速度：美国超级计算机 Summit 运算速度是每秒 20 亿亿次，就当人类究极进化了吧，每个人的计算速度都有 Summit 的  90 倍，这才能达到 1800 亿亿次/秒。

第二个 1800 亿亿则是有多少人在算：地球有 80 亿人口，得 22.5 亿个地球才有 1800 亿亿人。

第三个 1800 亿亿，看看在上面这个情况下，得算多久：1800 亿亿秒≈5700 亿年，为宇宙年龄（137 亿年）的 41 倍，我们需要算 41 个宇宙年龄的时间。

第四个 1800 亿亿我就不写了，没东西可以打比方了。

答案来了！即便有 22.5 亿个地球，地球上所有人都拥有 90 倍超级计算机的能力，然后从宇宙大爆炸就开始算，算到现在，再重复 41 次，也只有 1800 亿亿次分之一概率算对周董的秘钥。

总之，暴力破解秘钥，基本不可能。

所以 NFT 在技术上的安全性，绝对是够的。

看到这可能有差友要说，你差评君什么意思？既然这么安全，那周董的 NFT 怎么被偷的？

我们看下周杰伦原话，朋友为了帮他 Mint 黄立成新项目，结果 NFT 被钓鱼网站偷了。

Mint 有铸造的意思，你要购买 NFT 新项目就得 Mint。因为以太坊上的交易，需要矿工们打包放在区块链上才能完成，这会消耗他们的运算资源。所以不管 NFT 多少钱，你 Mint 就得付给矿工们一定费用（Gas）。

问题又来了，要支付费用，就得向交易网站授予钱包权限，来调动资产。所以差评君猜测，周董朋友为了支付 Gas 矿工费，把钱包权限给了钓鱼网站。

记录显示，周董朋友给了对方“批准所有”的权限▼

钓鱼网站前脚拿到权限，后脚就调走了周董的 NFT。所以这么看，这件事和 NFT 技术性上的安不安全没啥关系，它只是……周董被电信诈骗了。

不光是周董，最近被盗取 NFT 的受害者还挺多的，方式也各式各样。

比如币圈的人都用 Discord 交流，黑客会黑进 Discord 服务器冒充管理员，跟你说有免费 NFT 可以领取。有免费的东西不白嫖，那不是傻子么……于是，很多人在 Mint 时就把钱包权限授权给了钓鱼网站。

除了骗取授权，还有直接骗取秘钥的。

前面我们说秘钥有 256 位数，这一大串 0 和 1，你不看花眼就不错了，更别说记下来了。为了方便，助记词出现了，它由十几个英文单词按照一定顺序组成。

在权限上，助记词就等于秘钥，它只是换成了单词让你好记。所以骗子会告诉你钱包要升级，把助记词告诉他即可完成升级。结果小白啥也不懂，乖乖交出去了。

类似的套路还挺多，都在变着法子骗你钱包权限、套你秘钥、助记词。

所以啊，币圈在底层逻辑上很安全，但换个维度说，它又极其不安全。毕竟是加密货币，隐私至上。哪怕感知到风险，也不会像传统交易这样，给你安排人脸识别的。

再加上目前疯狂涌入 NFT 的买家们，多半是啥都不懂的小白。他们只是对发财更感兴趣，哪管什么安全不安全。

所以与其说他们是进入了加密货币的天堂，还不如是说闯入了黑客乐园，随时可能成为待宰的羔羊。

图片、资料来源

OpenSea

科普 | 比特币私钥总数有2的256次方 ， 这个数有多大？

本文来自微信公众号：差评 （ID：chaping321），撰文：刺猬，编辑：小鑫鑫、面线、江江