前情回顧：Mixin 是一個號稱去中心化的資產管理網絡，並以私鑰分片加密的方式保障資產安全。由於創始人和技術細節的關係，Mixin 上線伊始就在安全和合規方面引起了不少討論。
Mixin 官方在2023 年9 月25 日上午10: 50 發表聲明，Mixin Network 雲端服務商資料庫於2023 年9 月23 日凌晨遭到駭客攻擊，導致主網部分資產遺失。經由Google和慢霧初步調查，涉案資金約2 億美元。
在一片歡呼與期待中，BTC 終於依靠現貨ETF 的消息面突破30000 美元，但幣圈朋友們想要實現財務自由，除了跟對行情趨勢外，還要保護好自己的資產，否則即使BTC to da moon ！也是竹籃打水一場空。 Cregis 總結了半個月前讓大家嘩然的Mixin 被盜事件，希望能讓大家在下一個牛市中更好地保管自己的數字資產！
（Mixin 官方X 發布被盜消息）
Binance CEO 趙長鵬隨即發布評論，對於MiXin“一個去中心化的點對點網絡”有一個“數據庫”，表示無法理解，並認為“並非所有聲稱去中心化的東西都是去中心化的”。
（CZ 在X 上質疑Mixin 的去中心化程度）
所以，為什麼一個號稱去中心化的網路會被駭客攻擊成功，而使用者的資產又是如何被竊取的呢？
為了讓大家了解來龍去脈，Cregis Reseach 整理了三個關鍵資訊：
Mixin 專案的產品形態
首先，Mixin 不僅是一個資管產品，整個專案由Mixin Network（BTC 的名義帳本）、Mixin Message（一個社交DAPP，號稱對標微信）與Xin Token（Mixin Network 的POS 質押工具，也用於交易）
Mixin network 的工作原理
Mixin Network 的有兩個核心元件：【Mixin 全節點】和【Mixin Domain】。
【Mixin Domain】是整個被盜事件的謎團核心！ 【Mixin Domain】實際上是一個類似熱錢包系統的元件，為每個Mixin 客戶提供獨立的比特幣充值位址，並透過Distributed key generation（簡稱DKG，MPC 的其中一種技術方案）方式將私鑰進行分片，而密鑰分片則由【Mixin Domain】和【Mixin 全節點】共同管理。
用戶向Mixin DAPP 的地址充值後，資產最後會歸集到由【Mixin Domain】和【Mixin 全節點】共同管理的多簽地址中保存，然後將數量對應到Mixin network 和Mixin DAPP 上。
Mixin 的危機伏筆也自此而生：
a）DKG 分片方式並非正統的GG 18 MPC 方案，由於存在原始私鑰，客觀上就有內部外部盜取資產風險；
b）密鑰分片保存在【Mixin Domain】和【Mixin 全節點】上，且Mixin 官方白皮書明確表示有對分片進行備份，客觀上存在內部外部竊取分片進行多簽交易的風險。 （此處，也是雲端伺服器資料被盜後導致用戶BTC 遺失的最大機率原因）
c）Mixin DAPP 上顯示的客戶資產並非真正的BTC，也不是經由智慧合約執行跨鏈的xBTC，只是Mixin Network 接收儲值通訊後產生記帳點數，和中心化交易所的帳戶餘額並無差別。
（以Mixin message 的發紅包功能為例，模擬的Mixin 產品工作流程）
Hacker 盜取Mixin 客戶的BTC 的N 種方式
到這裡，相信有經驗的朋友已經知道Mixin 的坑有多大了，而Cregis Reseach 仍然從內部作惡和外部作惡兩個維度和大家梳理Mixin 客戶的BTC 最有可能去了哪裡：
一、內部作惡（兩種方向）
如果Mixin network 的工作流程確實與白皮書說描述的一致，那麼內部作惡的方向有兩個：
a）專案方控制2/3+ 1 數量的全節點伺服器，可以隨時發起多簽交易。 Mixin 目前運行節點約為35 個，根據Mixin 的核心代碼設定檔猜測，Mixin 團隊自運營節點數約為27 個。另外，由於想要運行【Mixin 全節點】需要質押約200 萬美金的Mixin Token，而現實情況外部節點的數量遠遠不足，所以透過節點服務器發起多簽攻擊可以排除是外界所為。
Mixin network 的官方設定文檔
b）根據Mixin 的官方白皮書，為了防止密鑰分片遺失，Mixin 會在官方伺服器對於密鑰分片進行多重備份。所以即使無法
控制全節點伺服器簽署交易，也可以使用備份私鑰分片發起交易。
Mixin 官方白皮書對金鑰分片備份的描述
二、外部作惡（4 種方向）
站在駭客的角度推理，打穿Mixin Network 防禦的途徑如下：
a）攻破2/3+ 1 數量的全節點雲伺服器；
b）打穿私鑰分片備份伺服器/資料庫；
c）打穿【Mixin Domain】伺服器/資料庫，掌握大量儲值地址的私鑰後，竊取未歸集的熱錢包資產；
以上的純粹技術路徑看似簡單，但要成功所需的工作量極大，實際上黑客也有更簡單（碰運氣）的辦法，利用釣魚郵件或網站，攻擊Mixin 的核心技術或運維人員。一旦粗心大意的受害者上鉤，駭客即可透過木馬進入對方主機蒐集雲端伺服器密碼等訊息，進行精準打擊。
綜上所述，雖然目前沒有直接證據顯示Mixin 被盜屬於監守自盜，但其技術實現的邏輯本身確實存在漏洞。
Mixin 被竊事件，影響的絕不是資產損失的客戶。比特幣誕生於人們對中心化金融機構的失望與反抗，理想家們希望創造一個無須信任+無法作惡的經濟模型；但經歷了十多年的發展，數字資產似乎依然無法擺脫中心化的管理套路。而大部分資產遺失的原因，核心依然是對錯誤的對象付出了信任。
安全與便捷，加密託管的天平終將擺向何方？
透過MiXin 事件，我們發現任何人或機構，如果選擇混合共管的方式保存自己的數字資產，其本質都是中心化資產管理方式。
在享受諸如便利的社交登錄、私鑰恢復、帳戶找回等功能的同時，任何資產鏈上轉移的行為都必須經由第三方協作，難免會存在著內在或外在的風險。
而Cregis 的產品一直堅持客戶自架的安全策略，雖然會犧牲部分便利性，但可以確保客戶無須擔心自己的資產因Cregis 而丟失，這個產品特點與對安全極度關注的企業級資金管理需求不謀而合。
而當一個Web3.0 企業的規模發展壯大後，也許不再願意依賴於資產託管服務商的伺服器所提供的功能，這時候你需要Cregis 的私有化部署功能。 Cregis 可以從客戶端到算法庫到財務協作管理的全部原始代碼都授權部署到客戶的服務器中，這些代碼都經過審計，而且用6 年時間證明自己沒有安全漏洞。客戶既擁有和硬體錢包一樣的安全性，又能體驗Cregis 的豐富功能，而且如果沒有軟件升級和維護的要求，客戶無需再與Cregis 聯繫，可以完全保證自己的商業機密。
安全性
Cregis 的私有化部署在安全性方面將所有資料和交易活動限制在專案方機構私人服務器內，以確保了使用者資產和資料的安全可控。這樣的安全模型能有效阻隔各種外部威脅，包括但不限於駭客攻擊、資料竊取或第三方服務的不穩定性。即使是Cregis 也不能直接接觸到使用者的私鑰分片。
這種獨特的安全設計與市面上多數依賴中心化託管或混合託管的解決方案形成鮮明對比。
獨享服務器資源
隨著數字資產和Web3.0 應用的日益複雜和龐大，服務器資源的優化和管理變得尤為關鍵。在Cregis 的私有化部署模式下，可以獨享伺服器資源，無需與其他客戶或專案共用。
支持私有化定制
在日趨複雜的Web3.0 環境中，標準化的解決方案往往難以滿足所有機構或專案的特定需求。因此，Cregis 不僅可以滿足標準化需求，同時還能滿足個人化需求。 Cregis 的私有化部署，支援高度可自訂的財務協作管理功能和對特定業務需求的靈活客製化。
一對一技術諮詢服務
數字資產管理和Web3項目運營涉及多個複雜的方面，從交易執行和數據處理到安全防護和合規性。 Cregis 私有化部署不僅提供了強大的技術基礎設施，還提供一對一技術諮詢服務，無論您面臨的是系統配置、交易確認還是安全防護方面的問題，專業的技術團隊都能在第一時間給出解決方案。
錢包數量、地址和幣種不受限制
Cregis 私有化部署允許用戶無限制地添加新的錢包和地址，這意味著您可以自由地管理各種不同類型的數字資產。
