二月二十一号，一家交易平台披露被盗，损失接近十五亿美元的以太坊相关资产。这不是小数目，是加密行业历史上单笔最大的一次失窃，规模和手法都不像普通的个体团伙。
手法值得说一下，因为它不依赖什么高深的技术漏洞。攻击者先通过社工手段拿到一名内部人员的操作权限，然后篡改了前端界面——签名的时候，屏幕上显示的是一个正常的转账地址，实际被签的却是攻击者的地址。签名的人看到的是假的，签下去的是真的。
这件事对做系统的人有几点提示。
一是"看到的"和"实际执行的"可以是两回事。只要展示层和执行层之间有可被篡改的空间，人眼确认就不可靠。关键操作必须做到所见即所签，最好在独立设备上再核对一次。
二是人的因素绕不过去。再严的流程，只要有一个环节依赖某个人的某个动作，那就是攻击面。
三是中心化托管永远有单点风险。行业里讨论了很多年去中心化和自托管的取舍，每次出事都会把这个问题重新翻上来一次。
我当时的判断是，这类事件会推动监管把托管和审计的要求写得更细——这类事情每次都是这样，出一次事，规则往前挪一步。但我对速度不乐观：真正能落地的细则，得等稳定币这类基础规则先定下来。