Bezpieczeństwo to dynamiczny stan, a nie papierowy certyfikat. Wiele projektów zhakowanych w tym roku miało przeprowadzone audyty, a niektóre były audytowane wielokrotnie. Nie oznacza to, że audyty nie mają wartości; oznacza to jedynie, że pytania, na które audyty mogą odpowiedzieć, są znacznie węższe, niż zakłada większość ludzi.
Raport z audytu opisuje pewną wersję, którą pewien zespół sprawdził pewnego dnia. Ale kontrakty są aktualizowane, uprawnienia są zmieniane, orakle i mosty międzyłańcuchowe, od których zależą projekty, zmieniają się, a nowe techniki ataków pojawiają się co tydzień. W momencie dostarczenia raportu zaczyna on tracić ważność. Co jeszcze bardziej kłopotliwe, stare kontrakty wdrożone lata temu, które wtedy pomyślnie przeszły audyty, są teraz ponownie skanowane partiami, a głębokie luki w kontrakcie działającym od lat można znaleźć w zaledwie nieco ponad dziesięć minut.
To trzecia część specjalnego cyklu Gate „Kurs bezpieczeństwa Gate”. Zaprosiliśmy dostawcę usług bezpieczeństwa Web3 GoPlus Security oraz zespół bezpieczeństwa Gate do omówienia audytów i przesiewania luk w zabezpieczeniach z perspektywy dostawcy usług bezpieczeństwa i platformy handlowej: dlaczego audytowane projekty wciąż wpadają w kłopoty, jak czytać raport, jakie kontrole platforma przeprowadza przed i po notowaniu oraz jak zwykli użytkownicy mogą przeprowadzić rundę samokontroli przed podpisaniem.
Profile gości
Partner GoPlus Adam: Adam jest partnerem w GoPlus i szefem jego instytutu badań nad bezpieczeństwem.
GoPlus Security buduje pierwszą zdecentralizowaną warstwę bezpieczeństwa dla Web3 i AI. Wykorzystując blockchain i najnowocześniejsze rozwiązania w zakresie bezpieczeństwa AI, zapewnia użytkownikom inteligentne, wydajne i zdecentralizowane produkty i usługi bezpieczeństwa. Od 2022 roku GoPlus osiągnął wykładniczy wzrost, osiągając 30 milionów dziennych wywołań API i zapobiegając potencjalnym stratom użytkowników wynoszącym prawie 100 miliardów dolarów.
Zespół bezpieczeństwa Gate: Dział bezpieczeństwa Gate odpowiada za budowę systemów bezpieczeństwa kont, handlu i aktywów platformy, a także długoterminowo zajmuje się odwołaniami użytkowników i prośbami o pomoc dotyczącymi nietypowych kont.
Założona w 2013 roku Gate jest pierwszą w branży platformą handlową, która uruchomiła 100% dowód rezerw, i obecnie obsługuje ponad 60 milionów użytkowników na całym świecie. Bezpieczeństwo jest warunkiem wstępnym rentowności tego biznesu, a poprzez „Kurs bezpieczeństwa Gate” mamy nadzieję jasno wyjaśnić wspólne mechanizmy stojące za tymi rzeczywistymi zagrożeniami.
P1. Dlaczego wiele projektów po przejściu audytów wciąż jest hakowanych i wciąż doświadcza nadużyć uprawnień?
Partner GoPlus Adam: „Jednorazowy audyt” nie równa się „zawsze bezpieczny”. Tradycyjne usługi audytu kontraktów cierpią obecnie z powodu czterech strukturalnych niepowodzeń:
1) Kontrola w stylu migawki. Audyt jest zasadniczo półręczną kontrolą przeprowadzaną przez inżynierów audytu w określonym momencie, a jego skuteczność zależy od jakości narzędzi, indywidualnych umiejętności i statusu pracy. Ale kod kontraktu jest aktualizowany, uprawnienia administracyjne są zmieniane, a konfiguracje parametrów są dostosowywane. Od momentu dostarczenia jednorazowego raportu z audytu „traci ważność”.
2) Niezdolność do przewidywania przyszłości. Nowe typy luk i nowe techniki ataków ciągle się pojawiają, a historyczne audyty nie mogą pokryć przyszłych ryzyk.
3) Niekontrolowane zależności zewnętrzne. Projekty powszechnie zależą od orakli, mostów międzyłańcuchowych i protokołów stron trzecich, a zmiany ryzyka w tych zależnościach wykraczają poza zakres tradycyjnych audytów.
4) Skoncentrowane eksplozje starych kontraktów. Kontrakty wdrożone lata temu, które wtedy „przeszły audyt”, są teraz masowo odkrywane na nowo przez zautomatyzowane narzędzia, takie jak głębokie luki w Balancer, Yearn i podobnych projektach, które pozostawały nieodkryte przez lata po uruchomieniu.
Jeśli chodzi o nadużycia uprawnień, występują one częściej w fazie operacyjnej niż w samym kodzie kontraktu. Przyczyny obejmują: nadmierne uprawnienia Owner (możliwość arbitralnego mintowania, blacklistowania lub wstrzymywania handlu), wyciek kluczy prywatnych administratora, niewłaściwe zarządzanie multisig, złośliwe propozycje i ataki governance... Wszystkie te kwestie bezpieczeństwa łatwo pojawiają się w fazie operacyjnej. Nawet jeśli raport z audytu oznaczy ryzyka uprawnień, kto będzie je później obserwował? Czy operacje są bezpieczne i rozsądne, nie można odpowiedzieć.
Uruchomienie po audycie kontraktu to dopiero punkt wyjścia pracy nad bezpieczeństwem, a nie jej koniec. Projekty potrzebują ciągłego bezpieczeństwa obejmującego cały cykl życia kontraktu, a nie jednorazowego raportu z audytu.
Zespół ds. bezpieczeństwa Gate: Audyty mogą powiedzieć użytkownikom, co kod może zrobić, ale nie mogą powiedzieć użytkownikom, co zespół projektu zamierza zrobić.
To jest punkt, który odczuliśmy najgłębiej podczas naszych wieloletnich przeglądów giełdowych. Źródło wielu incydentów leży w intencjach zespołu projektu. Kontrakt może być technicznie w pełni zgodny, a projekt uprawnień właściciela może mieścić się w normalnym zakresie, ale zespół projektu nadal może wybrać moment, aby wykorzystać te uprawnienia: zmienić zasady handlu, włączyć czarne listy lub wybić dodatkowe tokeny. Te działania są legalne na poziomie kodu, a raporty z audytu nie oznaczą ich jako luk, ponieważ są one częścią projektu od samego początku.
Dlatego poza audytami technicznymi musi istnieć jeszcze jedna warstwa ograniczeń. Podejście Gate polega na przeprowadzaniu ścisłej selekcji i przeglądu projektów podczas procesu giełdowego, a jednocześnie na podpisywaniu z zespołami projektów deklaracji nieszkodzenia i nadzorowaniu ich przestrzegania. Ta warstwa ma rozwiązać tę część, której audyty nie mogą rozwiązać: brak luk w kodzie nie oznacza, że zespół nie podejmie decyzji szkodliwych dla użytkowników.
W przypadku projektów notowanych przeprowadzamy regularne audyty bezpieczeństwa i wykorzystujemy monitorowanie zdarzeń on-chain do śledzenia stanu kontraktów. Użytkownicy mogą również w dowolnym momencie sprawdzić bieżące pozycje ryzyka danego kontraktu.
P2. Skoro jednorazowy audyt nie równa się ciągłemu bezpieczeństwu, jak powinny dostosować się zespoły projektów i cała branża?
Zespół ds. bezpieczeństwa Gate: Branża kryptowalut ma cechę strukturalną: duża część jej działalności, zwłaszcza DeFi, działa w modelu zbliżonym do finansów modułowych. Różne platformy są zbudowane ze współdzielonych komponentów: kontraktów, bibliotek oprogramowania, portfeli, wyroczni cenowych, mostów międzyłańcuchowych, dostawców usług łączności, interfejsów webowych i systemów służących do wypychania aktualizacji.
Zatem poza tym, czy własne kontrakty są bezpieczne, ważniejszym pytaniem jest, czy każde ogniwo, od którego zależą, pozostaje niezawodne. Jeśli komponent wyżej w łańcuchu zawiedzie, straty rozprzestrzeniają się w dół łańcucha. Patrząc wstecz na poważne ataki, problem często leży w ogniwach wcześniejszych niż logika protokołu: dostawcach, narzędziach programistycznych, sposobie, w jaki oprogramowanie dociera do użytkowników, lub procesie, w którym użytkownicy zatwierdzają przelewy.
Partner GoPlus Adam: Paradygmat ataków, w którym hakerzy wykorzystują zautomatyzowane narzędzia do wydajnego wydobywania luk, już się ukształtował i szybko się rozprzestrzenia. Ataki przesunęły się z „eksperckich badań manualnych” do „linii montażowej”. Jeśli myślenie branży nadal utknie na „znajdź firmę audytorską, aby wydała raport przed uruchomieniem” lub „znajdź firmę bezpieczeństwa, aby naprawiła problemy po wykryciu ryzyka”, to jest jak użycie łuków i strzał przeciwko karabinom maszynowym. Używanie równie wydajnych narzędzi do przeciwdziałania atakom to jedyna skuteczna droga.
Kierunkiem dostosowania na poziomie branży jest przejście od „jednorazowych audytów” lub „znajdowania ekspertów po pojawieniu się problemów” do „ciągłego bezpieczeństwa w całym cyklu życia”. Weźmy jako przykład „triadę bezpieczeństwa kontraktów” GoPlus DeepScan; to jest zamknięta pętla, którą można wdrożyć:
Przed uruchomieniem, samokontrola bezpieczeństwa tokena: szybka samokontrola w ciągu kilku minut pod kątem ryzyk backdoorów, takich jak honeypoty, złośliwe wybijanie, czarne listy, nieprawidłowe podatki transakcyjne i uprawnienia Owner;
Przy uruchomieniu, audyt kontraktu AI: dogłębna analiza kodu źródłowego, zarządzania uprawnieniami i logiki biznesowej, skanowanie luk na warstwie składni i warstwie logiki biznesowej oraz dostarczenie ustrukturyzowanego raportu z audytu;
Po uruchomieniu, ciągłe monitorowanie bezpieczeństwa i regularne kontrole stanu: śledzenie w czasie rzeczywistym nowych informacji o lukach, incydentów ataków i ryzyk z zależności zewnętrznych (wyrocznie, mosty międzyłańcuchowe, protokoły stron trzecich), ciągłe ustalanie, czy projekt jest dotknięty, oraz dostarczanie rutynowych alertów. Przeprowadzanie regularnych kontroli stanu bezpieczeństwa i ciągłych audytów kontraktów.
P3. Jak zmieniły się metody wykrywania luk w ciągu ostatnich dwóch lat? Dla tego samego aktywa, jaka jest różnica w modelu bezpieczeństwa między trzymaniem go on-chain a trzymaniem go na giełdzie?
Partner GoPlus Adam: Szczerze mówiąc, w krótkim okresie metody atakujących dotyczące znajdowania luk stały się bardziej zróżnicowane. Są trzy powody:
1) Zautomatyzowane narzędzia znacznie obniżyły próg znajdowania luk. Praca, która kiedyś wymagała od najlepszych badaczy bezpieczeństwa tygodni, może teraz zostać przeprowadzona przez potok atakowy w ciągu minut;
2) Na łańcuchu nagromadziła się ogromna liczba starych kontraktów, które „wtedy zostały poddane audytowi”, co czyni je „kopalnią złota” o ogromnych zasobach dla atakujących;
3) Ataki to jednokierunkowa monetyzacja: znalezienie „jednej” luki wystarczy, podczas gdy obrońcy muszą chronić przed „wszystkimi” lukami.
Hakerom wyciągnięcie tych pieniędzy zajmuje tylko kilka minut, a obrońcom znalezienie tej samej luki również zajmuje tylko kilka minut. Jedyna różnica polega na tym, czy zespół projektu prawidłowo użył narzędzi, zanim zrobili to hakerzy.
Co bardziej istotne, obrońcy mają trzy przewagi strukturalne, których atakujący nie mają:
1) Przewaga pierwszego ruchu: obrońcy mogą wielokrotnie sprawdzać bez ograniczeń przed uruchomieniem i podczas eksploatacji, podczas gdy atakujący mogą jedynie liczyć na to, że obrońcy nie przeprowadzili ponownego sprawdzenia;
2) Przewaga kosztowa: audyty AI są rozliczane za użycie lub rocznie, a koszty są wystarczająco niskie, by były rutynowe i prowadzone na pełną skalę;
3) Kumulacja wiedzy: baza wiedzy o bezpieczeństwie stale się rozwija wraz z każdym nowym incydentem ataku, a system obronny staje się silniejszy im częściej jest używany.
W dwóch modelach, on-chain i off-chain, „kto chroni twoje aktywa” i „rodzaje ryzyk, z którymi się mierzysz” są całkowicie różne.
Samodzielne przechowywanie on-chain: Bezpieczeństwo = bezpieczeństwo klucza prywatnego + bezpieczeństwo kontraktu. Jesteś jedyną stroną odpowiedzialną za bezpieczeństwo—jeśli twój klucz prywatny zostanie utracony lub skradziony, nie ma „obsługi klienta”, do której można się odwołać; każda interakcja niesie ryzyko on-chain (luki w zatwierdzeniach, podpisy phishingowe, oszustwa typu honeypot); zaletą jest to, że twoje aktywa nie zależą od wiarygodności żadnej platformy.
Przechowywanie na giełdzie: Bezpieczeństwo = bezpieczeństwo platformy + bezpieczeństwo konta. Klucze prywatne są zarządzane przez platformę (rozdzielenie portfeli gorących/zimnych, multisig, kontrole ryzyka), co jest równoznaczne z outsourcingiem „bezpieczeństwa technicznego” do giełdy; ale musisz również należycie chronić bezpieczeństwo własnego konta giełdowego (hasło, 2FA, phishing, klucz API itp.), a jednocześnie koniecznie wybrać giełdę o wiarygodnej reputacji platformy.
Ogólnie rzecz biorąc, on-chain to „ochrona klucza prywatnego + ryzyko własnej obsługi”, podczas gdy giełdy to „wiarygodność platformy + ryzyko infrastruktury bezpieczeństwa”. Pierwsze testuje twoją świadomość bezpieczeństwa w Web3, podczas gdy drugie testuje infrastrukturę platformy giełdowej i twoje nawyki dotyczące bezpieczeństwa konta.
P4. Jako platforma handlowa, jakie ulepszenia bezpieczeństwa wprowadził Gate?
Zespół bezpieczeństwa Gate: Po pierwsze, przeprowadzamy regularne audyty bezpieczeństwa notowanych projektów, jednocześnie stale śledząc stan kontraktów poprzez monitorowanie zdarzeń on-chain. Czy kontrakt został zaktualizowany, czy uprawnienia uległy zmianie i czy wystąpiły nietypowe operacje o dużej wartości—wszystko to wymaga ciągłego monitorowania, ponieważ wnioski z kontroli w momencie notowania, podobnie jak raporty z audytu wspomniane przez Adama, również mają termin ważności. Użytkownicy mogą również w dowolnym momencie sprawdzić aktualne pozycje ryzyka danego kontraktu.
Teraz odnośnie samej platformy. Program nagród za luki w zabezpieczeniach Gate jest zawsze otwarty, a badacze bezpieczeństwa na całym świecie mogą zgłaszać nam znalezione problemy poprzez trzy kanały: [email protected], zgłoszenia supportowe oraz platformę HackenProof. Wymagamy, aby zespoły projektowe poddawały się kontroli, a my sami również musimy się jej poddawać—to nie powinno być jednostronne wymaganie.
Omówiliśmy monety i platformę, teraz porozmawiajmy o kontach.
Nasza rada jest taka, aby nie szukać tego „najbezpieczniejszego miejsca”, ale raczej podzielić swoje pieniądze według częstotliwości użytkowania, co jest bardziej praktyczne: środki, którymi handlujesz często, trzymaj na koncie spot, aby mieć do nich dostęp w każdej chwili; środki, których nie będziesz dotykać przez sześć miesięcy do roku, umieść w Gate Vault.
Vault wykorzystuje MPC plus podpisy 2 z 3. Klucz prywatny jest podzielony na trzy fragmenty, przechowywane odpowiednio przez urządzenie użytkownika, Gate i niezależną stronę trzecią. Kompletny klucz prywatny nigdy nie jest składany w żadnym momencie, a ani Gate, ani ta strona trzecia nie mogą samodzielnie zainicjować transakcji. Wszystkie wypłaty wymagają również 48-godzinnego okresu oczekiwania, zanim środki dotrą—te 48 godzin służą jako bufor bezpieczeństwa dla użytkowników, podczas którego wypłata może zostać w dowolnym momencie zamrożona. W większości przypadków kradzieży użytkownicy zauważają coś niepokojącego później niż atakujący, a gdy transfer on-chain zostanie wysłany, nie można go cofnąć—ale podczas tych 48 godzin w Gate Vault użytkownicy mogą go w dowolnym momencie zamrozić. Nawet jeśli coś pójdzie nie tak, 48-godzinne opóźnienie daje ci czas na odkrycie i zamrożenie.
Teraz drugi punkt: Program Ochrony Bezpieczeństwa Konta Gate.
Program Ochrony Bezpieczeństwa Konta Gate opiera się na ocenie bezpieczeństwa. Ustawienia bezpieczeństwa konta były początkowo rozproszone po różnych stronach—weryfikacja logowania, authenticator, weryfikacja dwuskładnikowa, passkeys, limity handlowe, limity wypłat—i użytkownikom trudno było dokładnie określić, które kroki zostały przez nich ukończone. Ocena bezpieczeństwa przekształca te elementy w punktację od 0 do 100, dzięki czemu na pierwszy rzut oka widać, które z nich są włączone, a których jeszcze brakuje; gdy ocena się zmienia, system również przypomina użytkownikom o ich uzupełnieniu.
Gdy ocena bezpieczeństwa osiągnie 80, a konto jest w normalnym statusie, można aktywować program ochrony. Po aktywacji oznacza to, że po należytym zadbaniu przez użytkowników o własne zabezpieczenia istnieje dodatkowa warstwa zabezpieczenia awaryjnego: w okresie ochrony, jeśli aktywa na koncie zostaną przeniesione bez autoryzacji, użytkownicy mogą ubiegać się o odszkodowanie, jeśli spełniają warunki regulaminu, przy czym obecna maksymalna kwota na jedno zdarzenie wynosi 200 000 USD. Limit ten będzie w przyszłości zwiększany, stopniowo według poziomu VIP, aż do maksymalnie 1 miliona USD. Wnioski należy składać w ciągu 45 dni od zdarzenia poprzez „Moja Ochrona”, kontaktując się z obsługą klienta ds. bezpieczeństwa, z materiałami obejmującymi protokoły zgłoszenia na policję oraz zapisy transferów aktywów.
P5. Co powinien zawierać kompletny raport z audytu? Jak należy wykorzystać ocenę bezpieczeństwa, kluczowe ustalenia i zalecenia dotyczące naprawy?
Adam, Partner w GoPlus: Raport z audytu, który może ukierunkować działania (a nie tylko zostać odłożony do akt), powinien zawierać co najmniej cztery elementy:
1) Ocena bezpieczeństwa (wymierna klasyfikacja), służąca do „szybkiej selekcji”, a nie do „ostatecznych wniosków”. Zespoły projektowe mogą wykorzystać ocenę jako wymierny punkt odniesienia do wewnętrznych ocen bezpieczeństwa, porównując zmiany po każdej iteracji; giełdy mogą wykorzystać ją do wstępnej selekcji przy wprowadzaniu do obrotu, aby odsiać oczywiście nieodpowiadające standardom projekty już na pierwszej bramce; zwykli użytkownicy mogą traktować ocenę jako „punkt wejścia”—unikać niskich ocen od razu, a w przypadku wysokich ocen przyjrzeć się bliżej kluczowym ustaleniom.
2) Kluczowe ustalenia (problemy wysokiego ryzyka i główne wnioski), służące do „podejmowania decyzji”. To „streszczenie dla kadry zarządzającej” raportu: które problemy są blokujące i muszą zostać naprawione przed uruchomieniem. Dla menedżerów bez technicznego wykształcenia oraz zespołów oceniających wprowadzenie do obrotu wystarczy zrozumienie kluczowych ustaleń.
3) Szczegóły problemów (dowody podatności i opis wpływu), służące do „lokalizowania problemów”. To część dla zespołu technicznego, obejmująca lokalizację podatności (precyzyjnie do kontraktu, funkcji i linii kodu), typ podatności, poziom istotności, opis ścieżki ataku oraz analizę przyczyn źródłowych. Dobre szczegóły problemów powinny zapewniać odtwarzalną ścieżkę wykonania i warunki wyzwalające, a nie tylko listę problemów.
4) Zalecenia dotyczące naprawy (wykonalne plany naprawcze), służące do „domknięcia pętli”. Zalecenia dotyczące naprawy muszą być konkretne na poziomie kodu, wykonalne, a po naprawie należy przeprowadzić ponowne skanowanie w celu weryfikacji regresji, tworząc kompletną pętlę „ocena, kluczowe ustalenia, szczegóły problemów, naprawa, ponowne skanowanie”.
Zespół ds. Bezpieczeństwa Gate: Chcielibyśmy dodać trzy punkty z naszej praktyki budowania funkcji audytu kontraktów.
Po pierwsze, najłatwiej pomijane są właśnie dwa pierwsze elementy: cele i ograniczenia audytu oraz opis zakresu. Zdefiniowaliśmy osiem wymiarów raportów—cele i ograniczenia audytu, opis zakresu, macierz istotności, określenie priorytetów, szczegóły podatności, ścieżki ryzyka, model zagrożeń, analiza kluczowych funkcji i zalecenia dotyczące naprawy—i to właśnie dwa pierwsze elementy decydują o tym, czy czytelnicy błędnie odczytają cały raport. Jeśli ograniczenia nie są jasno określone, czytelnicy założą, że obejmuje wszystko; jeśli zakres nie jest jasno określony, czytelnicy nie mogą stwierdzić, czy audytowano tylko główny kontrakt, czy także pulę płynności, kontrakty strategii, orakle i zależności zewnętrzne. Wiele twierdzeń promocyjnych mówi tylko „audytowane”, nie mówiąc, co zostało poddane audytowi—takie stwierdzenia zasadniczo nie niosą żadnej informacji.
Po drugie, patrząc na kluczowe ustalenia, ryzyka, które pojedynczo nie są uznawane za podatności, należy rozpatrywać łącznie. Weźmy typową kombinację w raportach: właściciel kontraktu może umieszczać adresy na czarnej liście w celu zamrożenia aktywów, para handlowa może zostać zresetowana, powodując niemożność transferu przez zwykłych użytkowników, wymóg minimalnego posiadania uniemożliwia użytkownikom pełną sprzedaż, a pojedynczy właściciel może w dowolnym momencie zmienić wiele kluczowych reguł. Rozpatrywane osobno, wszystkie cztery są normalnym projektem; rozpatrywane łącznie, oznaczają, że kontrola nad tym kontraktem jest silnie skoncentrowana w rękach jednej osoby.
Po trzecie, musisz wiedzieć, jak raport jest generowany, ponieważ to określa jego granice niezawodności. Nasz audyt kontraktów przebiega w trzech krokach: najpierw analiza statyczna w celu sprawdzenia podstawowych ryzyk, takich jak kontrola uprawnień, reentrancy, manipulacja ceną, pożyczki błyskawiczne i spójność logiczna; następnie modelowanie scenariuszy biznesowych, wyodrębnienie podstawowych scenariuszy interakcji kontraktu, weryfikacja ścieżek biznesowych i warunków brzegowych oraz znalezienie problemów, których skanowanie oparte na regułach nie obejmuje; wreszcie weryfikacja semantyczna, polegająca na punktowym sprawdzeniu kluczowych ścieżek biznesowych w celu potwierdzenia, czy ryzyka zidentyfikowane w dwóch pierwszych krokach rzeczywiście występują. Trzeci krok ma głównie na celu zmniejszenie odsetka fałszywych alarmów. Raport pełen fałszywych alarmów szybko straci cierpliwość użytkowników, którzy ostatecznie całkowicie pominą cały etap kontroli — dlatego odsetek fałszywych alarmów bezpośrednio decyduje o tym, czy to narzędzie będzie faktycznie używane.
P6. Jakie działania wzmacniające mogą podjąć zwykli użytkownicy już teraz?
Adam, Partner w GoPlus:
1) Sprawdź bezpieczeństwo Tokena przed transakcją. Przed zakupem nowej monety sprawdź bezpieczeństwo samego Tokena i uważaj na ryzyka backdoorów, takie jak oszustwa typu honeypot, złośliwe mintowanie, czarne listy, nietypowe podatki transakcyjne i nadmierne uprawnienia Ownera.
2) Regularnie usuwaj zatwierdzenia kontraktów. Odwołuj Approvals dla DApps, których już nie używasz, zwłaszcza nieograniczone zatwierdzenia — wiele kradzieży wynika z problemów z „kontraktami, które kiedyś zatwierdziłeś”.
3) Wzmacniaj bezpieczeństwo na poziomie konta. Używaj silnych haseł i włącz 2FA; zarządzaj kluczami API zgodnie z zasadą najmniejszych uprawnień i nigdy nie przyznawaj uprawnień do wypłaty niezaufanym narzędziom.
4) Uczyń ochronę przed phishingiem odruchem. Weryfikuj domenę przed podpisaniem, nie klikaj linków w wiadomościach prywatnych i domyślnie nie ufaj „airdropom/obsłudze klienta/stakingowi o wysokiej stopie zwrotu”; treści phishingowe są coraz bardziej przekonujące, więc zawsze zachowuj racjonalność.
5) Przechowuj aktywa warstwowo według przeznaczenia. Trzymaj w portfelach hot tylko niewielką kwotę środków, których potrzebujesz; w przypadku dużych aktywów używaj portfeli sprzętowych — nie wkładaj wszystkich jajek do jednego koszyka.
6) Skup się na „podejściu do bezpieczeństwa” projektu, a nie na jego „raporcie z audytu”. To, czy istnieje ciągły audyt i mechanizm monitorowania bezpieczeństwa, jest ważniejsze niż raport z audytu sprzed lat; priorytetowo traktuj projekty, które cenią bezpieczeństwo i są gotowe publicznie ujawnić swoje mechanizmy budowania bezpieczeństwa.
Zespół ds. bezpieczeństwa Gate: Sześć punktów Adama jest już dość kompletnych. Chcielibyśmy połączyć je z narzędziami Gate, aby kilka z nich zamienić w operacje, które możesz wykonać od razu.
1) Sprawdź Token przed transakcją — tutaj możesz bezpośrednio użyć funkcji audytu kontraktów Gate AI. Prześlij adres kontraktu i otrzymaj raport w kilka minut; skup się na czterech elementach: uprawnienia właściciela, czarna lista i ograniczenia handlu, uprawnienia do mintowania oraz podatek od transferu. Jeśli którykolwiek z tych czterech zostanie oznaczony na czerwono, powinieneś się zatrzymać — nie ma potrzeby szukać dalej.
2) Wzmocnij swoje konto — najpierw podnieś swój wynik bezpieczeństwa powyżej 80. Hasło do funduszy, authenticator, weryfikacja dwuskładnikowa, kod antyphishingowy, passkeys, dzienny limit wypłat, zarządzanie metodami wypłat — te elementy ochrony są wszystkie na liście kontrolnej; po prostu postępuj zgodnie z podpowiedziami i uzupełniaj je jeden po drugim. Największą wartością wyniku bezpieczeństwa jest zamiana ustawień rozproszonych w różnych miejscach w uporządkowaną listę kontrolną, dzięki czemu nie musisz decydować, które zrobić najpierw. Osiągnięcie 80 lub więcej pozwala również aktywować Program Ochrony Bezpieczeństwa Konta, co oznacza dodatkową warstwę zabezpieczenia po tym, jak należycie wzmocnisz swoje konto.
3) Istnieją dwa gotowe narzędzia do ochrony przed phishingiem. Jeśli otrzymasz wiadomość twierdzącą, że pochodzi od Gate, najpierw sprawdź oficjalny kanał weryfikacji, czy domena lub e-mail należą do nas; wszystkie e-maile wysyłane przez Gate będą zawierać kod antyphishingowy, który sam ustawiłeś — każdy bez tego kodu jest fałszywy.
4) Przed podpisaniem dokładnie sprawdź kwotę zatwierdzenia. To, że sam kontrakt jest w porządku, nie oznacza, że transakcja, którą strona prosi cię o podpisanie, jest w porządku. Normalna DApp może absolutnie żądać tylko kwoty potrzebnej do tej transakcji; żądanie od razu nieograniczonego zatwierdzenia samo w sobie jest warte zatrzymania się. Jeśli wyskakujące okno zawiera tylko ciąg niezrozumiałych znaków, odmowa jest zawsze bezpieczniejsza niż podpisanie najpierw i zadawanie pytań później.
Na koniec chcemy powiedzieć, że bezpieczeństwo jest dynamiczne, a nie statyczne.
Uruchomienie po audycie to dopiero punkt wyjścia pracy nad bezpieczeństwem. Dla zespołów projektowych oznacza to, że ciągłe monitorowanie po uruchomieniu jest ważniejsze niż sam raport; dla platform handlowych oznacza to, że notowanie to dopiero początek weryfikacji; a dla zwykłych użytkowników te kilka minut samokontroli przed podpisaniem to krok o najniższym koszcie, a także ten najłatwiej pomijany.
Bezpieczeństwo nigdy nie było jednorazową certyfikacją. Jeśli wszystkie strony zrobią jeszcze jeden krok, równowaga między atakiem a obroną przechyli się na korzyść nas „strażników bram”.
Spotkajmy się razem na czwartej sesji „Kursu bezpieczeństwa bram”!
