自由廣場》從國內券商客戶「被下單」談NFT – 自由評論網

上週有一則「駭」人聽聞的新聞，就是國內券商客戶「被下單」，自動購買港股。據報導原因疑似券商的複委託下單系統遭駭客入侵，導致部分客戶遭冒名下單。這也不禁喚起筆者關於今年三月間，駭客從NFT 市場Nifty Gateway用戶處竊取NFT的回憶。駭客從一些用戶的帳戶中竊取價值數千美元的數位藝術品，並予轉賣。駭客甚至利用某些用戶存檔的信用卡來購買額外的NFT，同樣花費數千美元，而獲利則被轉進駭客的其他電子錢包。

筆者將這起「被下單」事件特地引述NFT市場Nifty Gateway遭駭，乃因Nifty Gateway事後的調查聲明也許有他山之石之效。Nifty Gateway除表示該事件乃因少數用戶密碼遭破解或遭其他方式取得，且明確指出沒有一個受害者係使用雙因素身分驗證（即登錄的網路安全選項還要求驗證發送到用戶的手機或電子郵件的唯一一次性代碼）。因為缺乏兩階段驗證，使駭客盜用變得容易。雖然觀之國內券商網站介紹，彼等在複委託開戶有進行簡訊身分驗證，且複委託成交亦有成交回報，然於複委託下單卻從未思及有「被下單」可能而未為兩階段驗證。股市交易瞬息萬變，下單兩階段認證未必可行，然道高一尺、魔高一丈，如何避免此類事件再次發生，實屬當務之急。

隨著許多NFT成為高價值資產，如藝術家Beeple在佳士得以六九○○萬美元之天價出售一件NFT等，NFT平台成為駭客竊取數位藝術品或信用卡信息以購買其他產品之目標，自屬可以理解。且NFT基於區塊鏈不可修改的性質，一旦NFT被盜，平台如Nifty Gateway等就無法控制它，交易無法被逆轉，因此被竊用戶似乎不太可能取回他們的收藏。是由於加密貨幣的匿名性質及去中心化、無法逆轉被盜的NFT，加密貨幣自易淪為駭客覬覦的對象。然此亦無法阻擋NFT風起雲湧的發展。科幻經典巨作「駭客任務」將在十二月推出續集，片商華納兄弟(Warner Bros)將與NFT平台Nifty’s合作，推出以駭客任務為主題的NFT Avatar（數位替身）；國際名廚江振誠，近期便與兩位藝術家聯名「鑄造」一款「可以吃」的NFT，凡此不勝枚舉。如果NFT風潮已起，安全問題實值得重視，身為基層的法律工作者，深切期待立法先進能正視相關問題，制定法律，將之納入法治，以保障人民之權利。