久久免费看-久久免费久久-久久免费精品-久久免费精彩视频-午夜一区二区三区-午夜一区二区免费视频

        細(xì)數(shù)從前，不乏大型交易所被攻擊：2014年，Mt.Gox被盜85萬枚BTC，慘遭清算;2017年，韓國交易所Youbit遭受黑客攻擊，直接破產(chǎn);2018年，日本最大交易所Coincheck遭黑客攻擊，損失5.3億美金。

        在ZB.com資深安全架構(gòu)師楊總看來，交易所安全事件頻發(fā)的背后，不僅反映出數(shù)字貨幣交易所草莽生長的叢林環(huán)境現(xiàn)狀，也暴露出了去中心化架構(gòu)下的區(qū)塊鏈資產(chǎn)生態(tài)的硬傷。

交易所的安全之傷

        作為區(qū)塊鏈資產(chǎn)的流量入口，錢包私鑰掌握著交易所的生命，對于交易所用戶來說，賬號決定一切。用戶賬號、交易所私鑰一旦失竊將可能無法通過管理手段找回財(cái)富。

事實(shí)上，區(qū)塊鏈資產(chǎn)保管存儲的安全性一直是監(jiān)管部門所擔(dān)憂的。

        直到2018年10月美國監(jiān)管部門批準(zhǔn)Bitgo開展數(shù)字貨幣托管業(yè)務(wù)，為華爾街進(jìn)入?yún)^(qū)塊鏈?zhǔn)澜绱蜷_安全門，才掃除了美國議員對區(qū)塊鏈資產(chǎn)安全的擔(dān)憂。Bitgo托管業(yè)務(wù)獲批被認(rèn)為是區(qū)塊鏈?zhǔn)澜绨l(fā)展的重要標(biāo)志事件之一。

        近日OTCBTC創(chuàng)始人親自撰文，細(xì)數(shù)交易所的致命安全風(fēng)險(xiǎn)。在她看來，除了資產(chǎn)保管安全外，與傳統(tǒng)交易所不同，數(shù)字貨幣交易所的風(fēng)險(xiǎn)還包括線上錢包、智能合約漏洞等威脅。

        現(xiàn)實(shí)情況下，很多小型交易所沒有冷熱錢包分離措施，或者就算冷熱錢包分離，也沒有嚴(yán)格執(zhí)行定期分離的措施，導(dǎo)致 web 被入侵，錢包的錢在站上，同一組密鑰就被轉(zhuǎn)走。最后直接導(dǎo)致交易所破產(chǎn)。

        再者是上幣項(xiàng)目的智能合約漏洞，很多項(xiàng)目方的幣是基于 ETH 或 EOS 發(fā)的 Token，這些項(xiàng)目基于智能合約設(shè)計(jì)，智能合約出現(xiàn)漏洞，就很容易釀下大禍。不是項(xiàng)目方倒大霉就是交易所倒大霉。

        在金融行業(yè)，監(jiān)管不僅僅對業(yè)務(wù)和規(guī)則的監(jiān)管，還包括信息科技的風(fēng)險(xiǎn)管理。科技風(fēng)險(xiǎn)也作為操作風(fēng)險(xiǎn)反映在巴塞爾協(xié)議Ⅲ。一旦納入監(jiān)管，如果出現(xiàn)數(shù)據(jù)回滾、停機(jī)事故、盜幣事件，交易所面臨的將是監(jiān)管部門的巨額罰款、牌照吊銷、內(nèi)部整改等嚴(yán)厲懲罰。

保衛(wèi)交易所的生命線

        從Libra的波折經(jīng)歷看，監(jiān)管一直是區(qū)塊鏈業(yè)務(wù)發(fā)展達(dá)摩克里斯之劍。全面提升安全管理水平既是交易所發(fā)展的內(nèi)驅(qū)，也是迎接全面監(jiān)管的迫切需要。

作為食物頂端的交易所來說，滿足監(jiān)管合規(guī)要求是交易所安全建設(shè)的必由之路。

        安全是個(gè)持續(xù)對抗的過程，魔高一尺道高一丈。安全又是一個(gè)繁復(fù)的工作，從架構(gòu)設(shè)計(jì)到日常運(yùn)行，細(xì)無巨細(xì)。

        作為行業(yè)早期開荒者，ZB、火幣、OKEX等老牌交易所已經(jīng)運(yùn)營五六年時(shí)間，從一開始就將資產(chǎn)安全視為生命線。他們的優(yōu)勢在于，安全風(fēng)控系統(tǒng)已經(jīng)歷足夠用戶量級的檢驗(yàn)。

        除了常規(guī)的系統(tǒng)安全設(shè)計(jì)外，老牌交易所的安全管理更為全面和扎實(shí)。

        針對錢包存儲的安全風(fēng)險(xiǎn)，ZB.com采用冷熱錢包隔離，多簽授權(quán)、黑名單等權(quán)限控制，同時(shí)還增加了人工校驗(yàn)流程，對錢包余額、頭寸進(jìn)行核實(shí)，其目的之一是提前發(fā)現(xiàn)內(nèi)部人員內(nèi)鬼行為。

在金融系統(tǒng)中，通常在營業(yè)結(jié)束后，也會對收付單據(jù)的余額、頭寸和系統(tǒng)進(jìn)行比對，其原因也是為了及時(shí)發(fā)現(xiàn)內(nèi)部違法或錯(cuò)帳行為。這個(gè)措施和ZB.com采取的人工校驗(yàn)錢包余額的措施，如出一轍。

        在全球系統(tǒng)安全走在前面的Coinbase、Kraken、BitMex還引入眾包安全評估Bug Bounty。

        Bug Bounty是為個(gè)人提供的在安全系統(tǒng)中發(fā)現(xiàn)錯(cuò)誤，漏洞或錯(cuò)誤的獎(jiǎng)勵(lì)。這些程序?yàn)殚_發(fā)人員提供了發(fā)現(xiàn)錯(cuò)誤，解決錯(cuò)誤和防止廣泛濫用事件的機(jī)會。

        國際安全權(quán)威機(jī)構(gòu)CSS建議每個(gè)交易所都必須有一個(gè)公開的，自我托管的Bug Bounty計(jì)劃。在理想的情況下，Bug Bounty程序應(yīng)該在第三方的平臺進(jìn)行(Hackerproof，Hackerone，Bugcrowd等)。

不可控的用戶生態(tài)

        從安全問題發(fā)生的部位分析，可以為交易所端和用戶端兩個(gè)場所。

        只要肯砸錢，肯招人，交易所端發(fā)生問題不難解決。針對內(nèi)部管理問題，可以通過構(gòu)建多層堡壘機(jī)制、建立相互制約機(jī)制、多層次審批等機(jī)制，針對黑客行為，可以收縮攻擊面、嚴(yán)控API接入，購買保險(xiǎn)解決。

讓交易所老大難以入睡的是發(fā)生在用戶身上問題。用戶代幣被盜，即使被盜金額很小，如果處理不當(dāng)，都有可能波及交易所聲譽(yù)，引發(fā)維權(quán)。

        業(yè)界知名安全風(fēng)險(xiǎn)師Tony分析：“用戶的安全意識薄弱，用戶電腦端、手機(jī)端使用環(huán)境的安全級別是引發(fā)用戶代幣被盜的原因之一。”

        為了最大限度避免用戶引發(fā)的問題，吃過虧的老牌交易所都很重視用戶身份認(rèn)證的設(shè)計(jì)。

在真實(shí)世界，對用戶的身份認(rèn)證基本方法可以分為這三種：

        (1) what you know ，你知道什么，比如用戶密碼、ID。

        (2) what you have ，你有什么 ,比如智能卡、Google認(rèn)證。

        (3) who you are ，你是誰 ，比如指紋、面貌等。

在網(wǎng)絡(luò)世界中手段與真實(shí)世界中一致，為了達(dá)到更高的身份認(rèn)證安全性，某些場景會將上面3種挑選2種混合使用，即所謂的雙因素認(rèn)證。

        比如ZB.com交易所使用的雙重身份驗(yàn)證(2FA)和通用第二因素(U2F)就是雙因素認(rèn)證，具有較高的安全性。

        有些交易所在初期上線時(shí)，通常只提供基于用戶/密碼的認(rèn)證方式，也即是第一種認(rèn)證方式--what you know。ZB.com安全設(shè)計(jì)師徐先生認(rèn)為：“只采用what you know的身份認(rèn)證方式是最不安全的，容易受到暴力密碼攻擊、撞庫攻擊”。

        他解釋，交易所用戶安全機(jī)制應(yīng)該全方面設(shè)計(jì)，除了技術(shù)上提高用戶端安全性外，ZB.com還建立了反洗錢機(jī)制，應(yīng)對可能出現(xiàn)的非法資金進(jìn)入及控制，利用大數(shù)據(jù)做交易行為和資產(chǎn)變化分析，識別具有洗錢傾向或其他違規(guī)行為的用戶。

        區(qū)塊鏈引發(fā)的資產(chǎn)代幣化催發(fā)了交易所的野蠻生長，游離于金融監(jiān)管之外的交易平臺暫時(shí)沒有了監(jiān)管的壓力，但這并不意味著可以在安全防范有所松懈。

《電鰻快報(bào)》