La sécurité est un état dynamique, et non une certification sur papier. Bon nombre des projets piratés cette année avaient été audités, et certains l'avaient même été à plusieurs reprises. Cela ne signifie pas que les audits n'ont aucune valeur ; cela signifie seulement que les questions auxquelles un audit peut répondre sont bien plus étroites que ce que la plupart des gens supposent.
Un rapport d'audit décrit une certaine version qu'une certaine équipe a examinée un certain jour. Mais les contrats sont mis à niveau, les permissions sont modifiées, les oracles et les ponts inter-chaînes dont dépendent les projets changent, et de nouvelles techniques d'attaque émergent chaque semaine. Dès que le rapport est livré, il commence à expirer. Ce qui est encore plus problématique, c'est que les anciens contrats déployés il y a des années, qui avaient passé les audits sans encombre à l'époque, sont aujourd'hui réexaminés par lots, et des vulnérabilités profondes dans un contrat en service depuis des années peuvent être découvertes en à peine plus de dix minutes.
Ceci est le troisième volet de la série spéciale de Gate « Gate Security Course ». Nous avons invité le fournisseur de services de sécurité Web3 GoPlus Security et l'équipe de sécurité de Gate à discuter des audits et du filtrage des vulnérabilités du point de vue d'un fournisseur de services de sécurité et d'une plateforme de trading : pourquoi les projets audités rencontrent encore des problèmes, comment lire un rapport, quels contrôles la plateforme effectue avant et après la cotation, et comment les utilisateurs ordinaires peuvent effectuer une série d'auto-vérifications avant de signer.
Profils des invités
Adam, partenaire de GoPlus : Adam est partenaire de GoPlus et directeur de son institut de recherche en sécurité.
GoPlus Security construit la première couche de sécurité décentralisée pour le Web3 et l'IA. En s'appuyant sur la blockchain et des solutions de sécurité IA de pointe, elle fournit aux utilisateurs des produits et services de sécurité intelligents, efficaces et décentralisés. Depuis 2022, GoPlus a connu une croissance exponentielle, atteignant 30 millions d'appels API quotidiens et prévenant près de 100 milliards de dollars de pertes potentielles pour les utilisateurs.
Équipe de sécurité de Gate : Le département de sécurité de Gate est responsable de la construction des systèmes de sécurité des comptes, des transactions et des actifs de la plateforme, et traite également sur le long terme les appels et demandes d'assistance des utilisateurs concernant les comptes anormaux.
Fondée en 2013, Gate est la première plateforme de trading de l'industrie à lancer une preuve de réserves à 100 % et sert actuellement plus de 60 millions d'utilisateurs dans le monde. La sécurité est la condition préalable à la viabilité de cette activité, et à travers « Gate Security Course », nous espérons expliquer clairement les mécanismes courants qui sous-tendent ces risques réels.
Q1. Pourquoi de nombreux projets sont-ils encore piratés et subissent-ils encore des abus de permissions après avoir passé des audits ?
Adam, partenaire de GoPlus : « Un audit ponctuel » n'équivaut pas à « toujours sécurisé ». Les services traditionnels d'audit de contrats souffrent aujourd'hui de quatre défaillances structurelles :
1) Inspection de type instantané. Un audit est essentiellement une inspection semi-manuelle effectuée par des ingénieurs d'audit à un certain moment, et son efficacité dépend de la qualité des outils, des compétences individuelles et de l'état de travail. Mais le code des contrats est mis à niveau, les permissions administratives sont modifiées et les configurations de paramètres sont ajustées. Dès qu'un rapport d'audit ponctuel est livré, il « expire ».
2) Incapacité à prédire l'avenir. De nouveaux types de vulnérabilités et de nouvelles techniques d'attaque ne cessent d'émerger, et les audits historiques ne peuvent pas couvrir les risques futurs.
3) Dépendances externes non maîtrisées. Les projets dépendent couramment d'oracles, de ponts inter-chaînes et de protocoles tiers, et les changements de risque dans ces dépendances sortent du champ des audits traditionnels.
4) Explosions concentrées d'anciens contrats. Des contrats déployés il y a des années qui avaient été « audités » à l'époque sont redécouverts par lots par des outils automatisés, comme des vulnérabilités profondes dans Balancer, Yearn et des projets similaires qui sont restées non détectées pendant des années après leur mise en service.
Quant à l'abus de permissions, il survient davantage lors de la phase opérationnelle que dans le code du contrat lui-même. Les raisons incluent : des permissions Owner excessives (capacité à frapper arbitrairement, à mettre sur liste noire ou à suspendre les transactions), la fuite de clés privées d'administrateur, une gestion inappropriée des multisigs, des propositions malveillantes et des attaques de gouvernance... Ce sont tous des problèmes de sécurité qui surviennent facilement lors de la phase opérationnelle. Même si un rapport d'audit signale des risques liés aux permissions, qui continuera à surveiller ensuite ? La question de savoir si les opérations sont sûres et raisonnables ne peut pas être tranchée.
Passer en production après un audit de contrat n'est que le point de départ du travail de sécurité, pas la fin. Ce dont les projets ont besoin, c'est d'une sécurité continue couvrant l'ensemble du cycle de vie du contrat, et non d'un rapport d'audit ponctuel.
Gate Security Team : Les audits peuvent indiquer aux utilisateurs ce que le code peut faire, mais ils ne peuvent pas leur dire ce que l'équipe du projet a l'intention de faire.
C'est le point que nous avons ressenti le plus profondément au cours de nos années d'expérience dans les examens de cotation. La cause profonde de nombreux incidents réside dans les intentions de l'équipe du projet. Un contrat peut être techniquement parfaitement conforme, et la conception des permissions du propriétaire peut se situer dans la plage normale, mais l'équipe du projet peut néanmoins choisir un moment pour utiliser ces permissions : modifier les règles de trading, activer des listes noires ou émettre des tokens supplémentaires. Ces actions sont toutes légales au niveau du code, et les rapports d'audit ne les signaleront pas comme des vulnérabilités car elles font partie de la conception dès le départ.
Ainsi, au-delà des audits techniques, il doit exister une autre couche de contrainte. L'approche de Gate consiste à mener une sélection et un examen stricts des projets lors du processus de cotation, tout en signant des déclarations de non-malfaisance avec les équipes de projet et en supervisant leur conformité. Cette couche vise à résoudre la partie que les audits ne peuvent pas résoudre : l'absence de vulnérabilités dans le code ne signifie pas que l'équipe ne fera pas de choix nuisant aux utilisateurs.
Pour les projets cotés, nous effectuons des audits de sécurité réguliers et utilisons la surveillance des événements on-chain pour suivre l'état des contrats. Les utilisateurs peuvent également consulter à tout moment les éléments de risque actuels d'un contrat donné.
Q2. Puisqu'un audit ponctuel ne équivaut pas à une sécurité continue, comment les équipes de projet et l'ensemble de l'industrie doivent-ils s'adapter ?
Gate Security Team : L'industrie crypto présente une caractéristique structurelle : une grande partie de ses activités, en particulier la DeFi, fonctionne selon un mode proche de la finance modulaire. Diverses plateformes sont construites à partir de composants partagés : contrats, bibliothèques logicielles, portefeuilles, oracles de prix, ponts inter-chaînes, fournisseurs de services de connectivité, interfaces web et systèmes utilisés pour pousser des mises à jour.
Ainsi, au-delà de la sécurité de vos propres contrats, la question plus importante est de savoir si chaque maillon dont vous dépendez reste fiable. Si un composant en amont défaille, les pertes se propagent en aval. En revisitant les principales attaques, le problème réside souvent dans des maillons antérieurs à la logique du protocole : fournisseurs, outils de développement, mode d'acheminement du logiciel vers les utilisateurs, ou processus par lequel les utilisateurs approuvent les transferts.
GoPlus Partner Adam : Le paradigme d'attaque dans lequel les hackers utilisent des outils automatisés pour exploiter efficacement les vulnérabilités a déjà pris forme et se répand rapidement. Les attaques sont passées de « la recherche manuelle par des experts » à une « chaîne de montage ». Si la réflexion de l'industrie reste bloquée sur « trouver un cabinet d'audit pour émettre un rapport avant le lancement », ou « trouver une société de sécurité pour réparer les choses après la découverte d'un risque », c'est comme utiliser des arcs et des flèches contre des mitrailleuses. Utiliser des outils tout aussi efficaces pour contrer les attaques est la seule voie efficace.
La direction de l'ajustement au niveau de l'industrie est de passer des « audits ponctuels » ou de « la recherche d'experts après l'apparition de problèmes » à une « sécurité continue sur l'ensemble du cycle de vie ». Prenons l'exemple du « trio de sécurité des contrats » de GoPlus DeepScan ; il s'agit d'une boucle fermée qui peut être mise en œuvre :
Avant le lancement, auto-vérification de la sécurité des tokens : effectuer rapidement une auto-vérification en quelques minutes pour les risques de backdoor tels que les honeypots, la frappe malveillante, les listes noires, les taxes de transaction anormales et les permissions du propriétaire ;
Au lancement, audit de contrat par IA : analyser en profondeur le code source, la gestion des permissions et la logique métier, scanner les vulnérabilités au niveau syntaxique et au niveau de la logique métier, et livrer un rapport d'audit structuré ;
Après le lancement, surveillance continue de la sécurité et contrôles de santé réguliers : suivre en temps réel les nouvelles informations sur les vulnérabilités, les incidents d'attaque et les risques liés aux dépendances externes (oracles, ponts inter-chaînes, protocoles tiers), déterminer en continu si le projet est affecté et fournir des alertes de routine. Effectuer des contrôles de santé de sécurité réguliers et des audits continus des contrats.
Q3. Comment les méthodes de découverte de vulnérabilités ont-elles changé au cours des deux dernières années ? Pour un même actif, quelle est la différence de modèle de sécurité entre le détenir on-chain et le détenir sur un exchange ?
GoPlus Partner Adam : Franchement, à court terme, les méthodes des attaquants pour trouver des vulnérabilités sont devenues plus diverses. Il y a trois raisons :
1) Les outils automatisés ont considérablement abaissé le seuil de découverte des vulnérabilités. Un travail qui nécessitait autrefois des semaines pour les meilleurs chercheurs en sécurité peut désormais être exécuté via un pipeline d'attaque en quelques minutes ;
2) Un nombre massif d'anciens contrats qui ont été « audités à l'époque » se sont accumulés on-chain, ce qui en fait une « mine d'or » aux réserves énormes pour les attaquants ;
3) Les attaques constituent une monétisation à sens unique : trouver « une » vulnérabilité suffit, tandis que les défenseurs doivent se protéger contre « toutes » les vulnérabilités.
Il ne faut aux hackers que quelques minutes pour extraire cet argent, et il ne faut en réalité aux défenseurs que quelques minutes pour trouver la même vulnérabilité. La seule différence réside dans le fait que l'équipe du projet ait correctement mis les outils en œuvre avant les hackers ou non.
Plus crucial encore, les défenseurs disposent de trois avantages structurels que les attaquants n'ont pas :
1) L'avantage du premier arrivé : les défenseurs peuvent revérifier un nombre illimité de fois avant le lancement et pendant les opérations, tandis que les attaquants ne peuvent que parier que les défenseurs n'ont pas effectué la revérification ;
2) L'avantage des coûts : les audits par IA sont facturés à l'usage ou annuellement, avec des coûts suffisamment bas pour être routiniers et à grande échelle ;
3) La capitalisation des connaissances : la base de connaissances en sécurité continue d'évoluer à chaque nouvel incident d'attaque, et le système de défense devient plus fort à mesure qu'il est utilisé.
Dans les deux modèles, on-chain et off-chain, « qui protège vos actifs » et « les types de risques auxquels vous êtes confronté » sont complètement différents.
Auto-conservation on-chain : Sécurité = sécurité de la clé privée + sécurité du contrat. Vous êtes la seule partie responsable de la sécurité—si votre clé privée est perdue ou volée, il n'y a pas de « service client » vers qui faire appel ; chaque interaction comporte un risque on-chain (vulnérabilités d'approbation, signatures de phishing, arnaques de type honeypot) ; l'avantage est que vos actifs ne dépendent de la solvabilité d'aucune plateforme.
Conservation par l'échange : Sécurité = sécurité de la plateforme + sécurité du compte. Les clés privées sont gérées par la plateforme (séparation des portefeuilles chauds/froids, multisignature, contrôles des risques), ce qui équivaut à externaliser la « sécurité technique » vers l'échange ; mais vous devez également protéger correctement la sécurité de votre propre compte d'échange (mot de passe, 2FA, phishing, clé API, etc.), et en même temps veiller à choisir un échange dont la solvabilité de la plateforme est fiable.
Dans l'ensemble, l'on-chain c'est « protection de la clé privée + risque d'auto-opération », tandis que les échanges c'est « solvabilité de la plateforme + risque d'infrastructure de sécurité ». Le premier teste votre conscience de la sécurité Web3, tandis que le second teste l'infrastructure de la plateforme d'échange et vos habitudes de sécurité de compte.
Q4. En tant que plateforme de trading, quelles améliorations de sécurité Gate a-t-elle apportées ?
Équipe de sécurité de Gate : Premièrement, nous effectuons des audits de sécurité réguliers des projets listés, tout en suivant en continu l'état des contrats via la surveillance des événements on-chain. Qu'un contrat ait été mis à niveau, que les permissions aient changé, et que des opérations anormales de grande valeur se soient produites—tout cela nécessite une surveillance continue, car une conclusion de vérification au moment de la cotation, comme les rapports d'audit mentionnés par Adam, a également une durée de validité. Les utilisateurs peuvent également consulter à tout moment les éléments de risque actuels d'un contrat donné.
Maintenant, en ce qui concerne la plateforme elle-même. Le programme de primes pour les vulnérabilités de sécurité de Gate est toujours ouvert, et les chercheurs en sécurité du monde entier peuvent nous soumettre les problèmes qu'ils trouvent via trois canaux : [email protected], les tickets de support et la plateforme HackenProof. Nous exigeons que les équipes de projet se soumettent à une inspection, et nous devons nous-mêmes nous soumettre à une inspection également—cela ne devrait pas être une exigence à sens unique.
Après avoir parlé des coins et de la plateforme, parlons maintenant des comptes.
Notre conseil est de ne pas chercher cet « endroit le plus sûr », mais plutôt de répartir votre argent selon la fréquence d'utilisation, ce qui est plus pratique : gardez les fonds que vous tradez fréquemment dans votre compte spot pour y accéder à tout moment ; placez les fonds que vous ne toucherez pas pendant six mois à un an dans Gate Vault.
Le Vault utilise le MPC plus une signature 2-sur-3. La clé privée est divisée en trois fragments, détenus respectivement par l'appareil de l'utilisateur, Gate et un tiers indépendant. La clé privée complète n'est jamais assemblée à aucun moment, et ni Gate ni ce tiers ne peuvent initier une transaction seuls. Tous les retraits nécessitent également une période d'attente de 48 heures avant que les fonds n'arrivent—ces 48 heures servent de tampon de sécurité pour les utilisateurs, pendant lequel le retrait peut être gelé à tout moment. Dans la plupart des cas de vol, les utilisateurs remarquent le problème plus tard que l'attaquant, et une fois qu'un transfert on-chain est parti, il ne peut pas être inversé—mais pendant ces 48 heures dans Gate Vault, les utilisateurs peuvent le geler à tout moment. Même si quelque chose tourne mal, le délai de 48 heures vous donne le temps de le découvrir et de le geler.
Maintenant le deuxième point : le Programme de protection de la sécurité des comptes de Gate.
Le programme de protection de la sécurité des comptes de Gate repose sur un score de sécurité. Les paramètres de sécurité du compte étaient à l'origine dispersés sur diverses pages — vérification de connexion, authentificateur, vérification à deux facteurs, clés d'accès, limites de trading, limites de retrait — et il était difficile pour les utilisateurs de savoir exactement quelles étapes ils avaient accomplies. Le score de sécurité convertit ces éléments en un score de 0 à 100, afin que vous puissiez voir d'un coup d'œil ceux qui sont activés et ceux qui manquent encore ; lorsque le score change, le système rappelle également aux utilisateurs de les compléter.
Une fois que le score de sécurité atteint 80 et que le compte est en statut normal, vous pouvez activer le programme de protection. Après l'activation, cela signifie qu'après que les utilisateurs ont correctement mis en place leur propre protection, il existe une couche de secours supplémentaire : pendant la période de protection, si les actifs du compte sont transférés sans autorisation, les utilisateurs peuvent demander une indemnisation si les règles sont respectées, le montant maximal actuel par incident étant de 200 000 USD. Cette limite sera augmentée à l'avenir, échelonnée par niveau VIP jusqu'à un maximum de 1 million USD. Les demandes doivent être soumises dans les 45 jours suivant l'incident via « Ma protection » en contactant le service client sécurité, avec des documents incluant les procès-verbaux de police et les relevés de transfert d'actifs.
Q5. Que doit contenir un rapport d'audit complet ? Comment le score de sécurité, les principales conclusions et les recommandations de remédiation doivent-ils chacun être utilisés ?
Adam, associé chez GoPlus : Un rapport d'audit capable de guider l'action (plutôt que d'être simplement classé) doit contenir au moins quatre éléments :
1) Le score de sécurité (notation quantifiable), utilisé pour le « filtrage rapide », et non pour les « conclusions finales ». Les équipes de projet peuvent utiliser le score comme point d'ancrage quantitatif pour les évaluations de sécurité internes, en comparant les changements après chaque itération ; les exchanges peuvent l'utiliser pour le filtrage initial de cotation afin d'écarter dès le premier filtre les projets manifestement non conformes ; les utilisateurs ordinaires peuvent considérer le score comme un « point d'entrée » — éviter d'emblée les scores faibles et, pour les scores élevés, examiner plus en détail les principales conclusions.
2) Les principales conclusions (problèmes à haut risque et conclusions essentielles), utilisées pour la « prise de décision ». Il s'agit du « résumé exécutif » du rapport : quels problèmes sont de niveau bloquant et doivent être corrigés avant le lancement. Pour les managers sans background technique et les équipes d'examen de cotation, la compréhension des principales conclusions suffit.
3) Les détails des problèmes (preuves de vulnérabilité et description de l'impact), utilisés pour « localiser les problèmes ». C'est la partie destinée à l'équipe technique, incluant l'emplacement de la vulnérabilité (précis au contrat, à la fonction et à la ligne de code), le type de vulnérabilité, le niveau de gravité, la description du chemin d'attaque et l'analyse de la cause racine. De bons détails de problèmes doivent fournir un chemin d'exécution reproductible et des conditions de déclenchement, et pas seulement une liste de problèmes.
4) Les recommandations de remédiation (plans de correction actionnables), utilisées pour « boucler la boucle ». Les recommandations de remédiation doivent être spécifiques au niveau du code, actionnables, et après la remédiation, une vérification de régression par nouveau scan doit être effectuée, formant une boucle complète « score, principales conclusions, détails des problèmes, remédiation, nouveau scan ».
Équipe de sécurité de Gate : Nous souhaitons ajouter trois points issus de notre pratique de construction de fonctionnalités d'audit de contrats.
Premièrement, ce qui est le plus facilement omis, ce sont précisément les deux premiers éléments : les objectifs et limites de l'audit, et la description du périmètre. Nous avons défini huit dimensions pour les rapports — objectifs et limites de l'audit, description du périmètre, matrice de gravité, détermination des priorités, détails des vulnérabilités, chemins de risque, modèle de menace, analyse des fonctions clés et recommandations de remédiation — et ce qui détermine si les lecteurs vont mal interpréter l'ensemble du rapport, ce sont précisément les deux premiers éléments. Si les limites ne sont pas clairement énoncées, les lecteurs supposeront que le rapport couvre tout ; si le périmètre n'est pas clairement énoncé, les lecteurs ne peuvent pas savoir s'il n'a audité que le contrat principal ou aussi le pool de liquidité, les contrats de stratégie, les oracles et les dépendances externes. De nombreuses affirmations promotionnelles disent seulement « audité » sans préciser ce qui a été audité — de telles déclarations ne portent pratiquement aucune information.
Deuxièmement, lorsqu'on examine les principales conclusions, les risques qui, pris individuellement, ne constituent pas des vulnérabilités, doivent être examinés ensemble. Prenons une combinaison courante dans les rapports : le propriétaire du contrat peut mettre des adresses sur liste noire pour geler des actifs, la paire de trading peut être réinitialisée empêchant les utilisateurs ordinaires de transférer, une exigence de détention minimale empêche les utilisateurs de vendre entièrement, et un seul propriétaire peut modifier plusieurs règles clés à tout moment. Pris séparément, les quatre sont une conception normale ; pris ensemble, ils signifient que le contrôle de ce contrat est fortement concentré entre les mains d'une seule personne.
Troisièmement, vous devez savoir comment le rapport est généré, car cela détermine sa limite de fiabilité. Notre audit de contrat se déroule en trois étapes : d'abord, l'analyse statique pour vérifier les risques de base tels que le contrôle des permissions, la réentrance, la manipulation des prix, les prêts flash et la cohérence logique ; ensuite, la modélisation des scénarios métier, en extrayant les scénarios d'interaction principaux du contrat, en vérifiant les chemins métier et les conditions limites, et en trouvant les problèmes que l'analyse par règles ne peut pas couvrir ; enfin, la vérification sémantique, en vérifiant point par point les chemins métier clés pour confirmer si les risques identifiés lors des deux premières étapes sont réellement avérés. La troisième étape vise principalement à réduire le taux de faux positifs. Un rapport rempli de faux positifs fera rapidement perdre patience aux utilisateurs, qui finiront par sauter complètement l'étape d'inspection — le taux de faux positifs détermine donc directement si cet outil sera réellement utilisé.
Q6. Pour les utilisateurs ordinaires, quelles actions de renforcement peuvent être réalisées dès maintenant ?
Adam, Associé chez GoPlus :
1) Vérifiez la sécurité du Token avant de trader. Avant d'acheter une nouvelle pièce, vérifiez la sécurité du Token lui-même, et surveillez les risques de porte dérobée tels que les arnaques de type honeypot, la frappe malveillante, les listes noires, les taxes de transaction anormales et les permissions excessives du Owner.
2) Nettoyez régulièrement les approbations de contrats. Révoquez les Approbations pour les DApps que vous n'utilisez plus, en particulier les approbations illimitées — de nombreux vols proviennent de « contrats que vous avez autrefois approuvés » qui posent problème.
3) Renforcez la sécurité au niveau du compte. Utilisez des mots de passe forts et activez la 2FA ; gérez les clés API avec le principe du moindre privilège, et n'accordez jamais de permissions de retrait à des outils non fiables.
4) Faites de l'anti-hameçonnage un réflexe. Vérifiez le domaine avant de signer, ne cliquez pas sur les liens dans les messages privés, et méfiez-vous par défaut des « airdrops/service client/staking à haut rendement » ; le contenu d'hameçonnage est de plus en plus convaincant, restez donc toujours rationnel.
5) Stockez les actifs en couches selon leur usage. Ne gardez qu'une petite somme de fonds nécessaires dans les portefeuilles chauds ; pour les actifs importants, utilisez des portefeuilles matériels — ne mettez pas tous vos œufs dans le même panier.
6) Concentrez-vous sur l'« attitude en matière de sécurité » d'un projet plutôt que sur son « rapport d'audit ». L'existence d'un audit continu et d'un mécanisme de surveillance de la sécurité est plus importante qu'un rapport d'audit datant de plusieurs années ; privilégiez les projets qui accordent de l'importance à la sécurité et sont prêts à divulguer publiquement leurs mécanismes de construction de sécurité.
Équipe de sécurité de Gate : Les six points d'Adam sont déjà assez complets. Nous souhaitons les combiner avec les outils de Gate pour transformer plusieurs d'entre eux en opérations que vous pouvez effectuer immédiatement.
1) Vérifiez le Token avant de trader — ici, vous pouvez directement utiliser la fonction d'audit de contrat de Gate AI. Soumettez l'adresse du contrat et obtenez un rapport en quelques minutes ; concentrez-vous sur quatre éléments : les permissions du owner, la liste noire et les restrictions de trading, les permissions de frappe et la taxe de transfert. Si l'un de ces quatre éléments est signalé en rouge, vous devez vous arrêter — inutile de chercher plus loin.
2) Renforcez votre compte — commencez par faire passer votre score de sécurité au-dessus de 80. Mot de passe de fonds, authentificateur, vérification à deux facteurs, code anti-hameçonnage, clés d'accès, limite de retrait quotidienne, gestion des méthodes de retrait — tous ces éléments de protection figurent sur la liste de contrôle ; suivez simplement les invites et complétez-les un par un. La plus grande valeur du score de sécurité est de transformer des paramètres dispersés un peu partout en une liste de contrôle ordonnée, afin que vous n'ayez pas à décider lequel faire en premier. Atteindre 80 ou plus vous permet également d'activer le Programme de protection de la sécurité du compte, ce qui signifie une couche de repli supplémentaire après avoir correctement renforcé votre propre compte.
3) Deux outils prêts à l'emploi pour l'anti-hameçonnage. Si vous recevez un message prétendant venir de Gate, vérifiez d'abord le canal de vérification officiel pour voir si le domaine ou l'e-mail est bien le nôtre ; tous les e-mails envoyés par Gate incluront le code anti-hameçonnage que vous avez vous-même défini — tout message sans ce code est faux.
4) Avant de signer, vérifiez clairement le montant de l'approbation. Le fait que le contrat lui-même soit correct ne signifie pas que la transaction que la page vous demande de signer est correcte. Une DApp normale peut tout à fait ne demander que le montant nécessaire pour cette transaction ; demander immédiatement une approbation illimitée mérite en soi une pause. Si la fenêtre contextuelle ne contient qu'une chaîne de caractères incompréhensibles, refuser est toujours plus sûr que de signer d'abord et de poser des questions ensuite.
Enfin, nous voulons dire que la sécurité est dynamique, pas statique.
Passer en production après un audit n'est que le point de départ du travail de sécurité. Pour les équipes de projet, cela signifie que la surveillance continue après le lancement est plus importante que le rapport lui-même ; pour les plateformes de trading, cela signifie que la cotation n'est que le début de l'examen ; et pour les utilisateurs ordinaires, ces quelques minutes d'auto-vérification avant de signer sont l'étape au coût le plus faible, et aussi celle qui est le plus facilement sautée.
La sécurité n'a jamais été une certification à usage unique. Si toutes les parties font un pas de plus, l'équilibre entre l'attaque et la défense penchera en faveur de nous, les « gardiens ».
Retrouvons-nous ensemble à la quatrième session du « Cours de sécurité des portes » !
