เริ่มจากระบบรักษาความปลอดภัย OKX และชี้แจงหัวข้อหลักสองประการของการรักษาความปลอดภัย Web3
เราไม่สามารถพูดถึงความปลอดภัยได้หากไม่มีคำตรงข้ามและความเสี่ยง
เมื่อเร็ว ๆ นี้ เหตุการณ์ด้านความปลอดภัยหลายครั้ง เช่น การขโมย MIxin และ CoinEx และการโจมตีกระเป๋าเงินร้อน HTX ได้มุ่งความสนใจของนักลงทุนไปที่ปัญหาความปลอดภัยของอุตสาหกรรมอีกครั้ง
จากสถิติของ Paidun ณ วันที่ 25 กันยายน Mixin (ขาดทุน 200 ล้านดอลลาร์สหรัฐ), Euler Labs (ขาดทุน 197 ล้านดอลลาร์สหรัฐ, แฮกเกอร์คืนเงิน 197 ล้านดอลลาร์สหรัฐ), Vyper/Curve (ขาดทุน 73.6 ล้านดอลลาร์สหรัฐ, แฮกเกอร์คืนเงินให้สหรัฐแล้ว) 52.3 ล้านดอลลาร์), CoinEx (ขาดทุน 70 ล้านดอลลาร์), Atomic Wallet (ขาดทุน 65 ล้านดอลลาร์), เงินเดิมพัน (ขาดทุน 41 ล้านดอลลาร์), CoinsPaid (ขาดทุน 37.7 ล้านดอลลาร์), Poly Network (ขาดทุน 26 ล้านดอลลาร์), คาร์โบไฮเดรตต่ำ- ผู้ทำสงครามครูเสด (ขาดทุน 25 ล้านดอลลาร์) ฟิชชิ่งต่อวาฬยักษ์ (ขาดทุน 24 ล้านดอลลาร์สหรัฐ) และการโจมตีของแฮ็กเกอร์สิบอันดับแรกอื่น ๆ ความสูญเสียทั้งหมดที่เกิดจากการโจมตีของแฮ็กเกอร์สิบอันดับแรกนั้นไม่น้อยกว่า 600 ล้านหยวน
ในป่าอันมืดมิดของโลก crypto ความเสี่ยงต่างๆ เช่น การโจมตีด้วยการแฮ็กและการหลอกลวงแบบฟิชชิ่งเกิดขึ้นตลอดเวลา
บทความนี้จะใช้ OKX ซึ่งให้ความสำคัญกับความปลอดภัยเป็นอันดับแรกในการออกแบบผลิตภัณฑ์ เป็นตัวอย่างในการรื้อระบบความปลอดภัยของกระเป๋าเงิน OKX Web3 และ OKX CEX อย่างเป็นระบบ และขุดค้นโลกแห่งความปลอดภัยของ Web3 จากสิ่งที่ทีมงานคิด และคิด คำถามสำคัญ
เมื่อพูดถึงเรื่องความปลอดภัยของกระเป๋าเงิน การระบุ การติดธง และการบล็อกความเสี่ยงแบบเรียลไทม์ถือเป็นกุญแจสำคัญ
ตามสถิติจากรายงานความปลอดภัยของอุตสาหกรรม Web3.0 สำหรับไตรมาสที่สองของปี 2023 ที่เผยแพร่โดย CertiK นั้น CertiK ค้นพบเหตุการณ์ด้านความปลอดภัยทั้งหมด 212 เหตุการณ์ และแฮกเกอร์และผู้ประสงค์ร้ายอื่น ๆ ได้บีบโทเค็นมูลค่า 310 ล้านดอลลาร์จากอุตสาหกรรม Web3.0 นี่แสดงให้เห็นถึงความร้ายแรงของปัญหาความปลอดภัยของสินทรัพย์ในห่วงโซ่
ยกตัวอย่างบัญชี EOA ที่ใช้กันทั่วไปของ Ethereum โดยทั่วไป สินทรัพย์สามารถโอนได้หากคีย์ส่วนตัวสูญหาย ฟังก์ชันการอนุมัติจะใช้เพื่ออนุญาตสัญญาที่เป็นอันตราย และฟังก์ชันการอนุญาตจะใช้เพื่อลงนามในการโอนสกุลเงินที่เป็นอันตราย ข้อความ.
ส่วนปัญหาการสูญเสียไพรเวทคีย์ ในด้านหนึ่ง ก็คือการสูญเสียคำช่วยจำที่เกิดจากการขาดประสบการณ์ของมนุษย์ซึ่งมักเกิดขึ้นกับมือใหม่ที่เพิ่งเข้าสู่วงการ ในทางกลับกัน อาจเป็นได้ว่าผู้เล่นล็อกอินเข้าสู่ เว็บไซต์ฟิชชิ่งเมื่อได้รับ airdrops และกรอกคีย์ส่วนตัว เกิดจากคีย์และตัวช่วยจำ ทั้งสองสถานการณ์เป็นเรื่องปกติมาก แน่นอนว่า มีหลายกรณีที่ดาวน์โหลดกระเป๋าเงินที่เป็นอันตรายหรือคอมพิวเตอร์/โทรศัพท์มือถือที่กระเป๋าเงินนั้นตั้งอยู่ถูกฝังด้วยโปรแกรมม้าโทรจันและถูกแฮกเกอร์ควบคุมในที่สุด อย่างไรก็ตาม ด้วยโทรศัพท์มือถือในปัจจุบันและ คอมพิวเตอร์ คุณจะต้องดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ปกติเท่านั้น และจำไว้ว่า หากคุณอัปเกรดเป็นเวอร์ชันล่าสุดทันเวลาและมีความรู้พื้นฐานด้านความปลอดภัยเครือข่าย คุณจะมีโอกาสถูกจับได้น้อยลง
เพื่อตอบสนองต่อปัญหาการสูญหายของคีย์ส่วนตัวที่เกิดจากการขาดประสบการณ์ของมนุษย์ OKX Web3 Wallet จะช่วยให้ผู้ใช้หลีกเลี่ยงความเสี่ยงด้วยการเปิดตัวกระเป๋าสตางค์แบบไม่มีคีย์ส่วนตัวของ MPC
ชื่อเต็มของ MPC คือ Multi-Party Computation ซึ่งสามารถเข้าใจได้ง่ายว่าเป็นกระเป๋าเงินหลายลายเซ็น กระเป๋าเงิน MPC ของ OKX Web3 ใช้เทคโนโลยี MPC เพื่อแยกส่วนคีย์ส่วนตัวออกเป็นสามส่วน ซึ่งถูกเก็บไว้โดยการแลกเปลี่ยน OKX อุปกรณ์ผู้ใช้ และการสำรองข้อมูลบนคลาวด์ (iCloud/Google Drive) เมื่อสร้างกระเป๋าเงิน ผู้ใช้จะต้องเข้าสู่ระบบใน แอป OKX และเลือกสร้างที่อยู่โดยไม่มีกระเป๋าคีย์ส่วนตัวและเปิดใช้งานการสำรองข้อมูลบนคลาวด์เพื่อสำรองข้อมูลส่วนที่สาม ไม่จำเป็นต้องเก็บตัวช่วยจำด้วยตนเอง และผู้ใช้จำเป็นต้องมี 2/3 ส่วนเพื่อให้การอนุญาตลายเซ็นสมบูรณ์เมื่อใช้งาน ทั้งหมด กระบวนการธุรกรรมจะไม่ ข้อความธรรมดาของคีย์ส่วนตัวปรากฏขึ้น ในระดับหนึ่งจะช่วยแก้ปัญหาความปลอดภัยของสินทรัพย์ที่เกิดจากการรั่วไหลของคีย์ส่วนตัว นอกจากนี้ OKX ยังได้ตั้งค่าฟังก์ชันการหลบหนีฉุกเฉินสำหรับกระเป๋าเงิน MPC เมื่อผู้ใช้เผชิญกับสถานการณ์พิเศษพวกเขาเพียงแค่ต้องป้อนรหัสผ่านการสำรองข้อมูลบนคลาวด์ที่ทางออกฉุกเฉินเพื่อรับคีย์ส่วนตัวและถ่ายโอนสินทรัพย์อย่างรวดเร็วซึ่งมีความปลอดภัยและ สะดวก.
ปัญหาด้านความปลอดภัยที่เกี่ยวข้องกับวลีช่วยจำที่เกิดจากประสบการณ์ของมนุษย์ที่ไม่เพียงพอมักเกิดขึ้นกับผู้ใช้ระดับเริ่มต้น สำหรับผู้ใช้ที่มีประสบการณ์แบบโต้ตอบ ความเสี่ยงส่วนใหญ่เกิดขึ้นในสองด้านของการอนุมัติการอนุมัติและลายเซ็นการอนุญาต เช่น ความเสี่ยงฟิชชิ่งที่กล่าวถึงข้างต้น
ฟังก์ชันการอนุมัติเป็นส่วนสำคัญของการโต้ตอบแบบออนไลน์ ทำให้สัญญาเรียกใช้ฟังก์ชัน TransferForm เพื่อโอนสินทรัพย์ไปยังที่อยู่ตามกฎที่ตกลงไว้ในรหัสสัญญา เมื่อการอนุมัติได้รับอนุญาตให้ทำสัญญาที่เป็นอันตราย จะมีความเสี่ยงที่จะถูกขโมยทรัพย์สินมากขึ้น
ความเสี่ยงด้านลายเซ็นส่วนใหญ่เกิดขึ้นจากฟังก์ชันการขยายใบอนุญาตของโปรโตคอล erc 20 ซึ่งอนุญาตให้ผู้ใช้ดำเนินการอนุญาตโดยการลงนามข้อความและส่งผลลายเซ็นไปยังกระเป๋าเงินอื่นเพื่อดำเนินการถ่ายโอนสินทรัพย์ให้เสร็จสมบูรณ์ เป็นเรื่องปกติเมื่อผู้ใช้ใช้ฟังก์ชัน DEX ที่รอดำเนินการ ยกตัวอย่างฟังก์ชัน Fusion ของ 1inch ฟังก์ชันนี้อนุญาตให้ผู้ใช้ลงนามในข้อความคำสั่งซื้อที่รอดำเนินการ หลังจากลงนามแล้ว ผู้ใช้สามารถมอบทรัพย์สินให้กับ 1inch เพื่อประมวลผลโดยไม่ต้องจ่ายค่าน้ำมัน จากนั้น 1 นิ้วจะให้เหรียญที่ผู้ใช้ต้องการซื้อ ในระหว่างกระบวนการนี้ หากเว็บไซต์ปลอมแปลงข้อความที่เป็นอันตรายเพื่อให้ผู้ใช้ลงนาม ผลที่ตามมามักจะเป็นเรื่องที่น่าเสียใจ
ดังนั้นการติดตามความเสี่ยงจึงมีความสำคัญอย่างยิ่ง
ทีม OKX Web3 ได้พัฒนาหน้าการจัดการการอนุญาต ผู้ใช้สามารถตรวจสอบสถานะการอนุญาตของตนได้โดยตรงบนโปรโตคอลและสกุลเงินในหน้านี้ ในเวลาเดียวกัน พวกเขาสามารถยกเลิกการอนุญาตได้โดยตรงในหน้านี้เพื่อหลีกเลี่ยงความเสี่ยงที่ไม่จำเป็น สำหรับสัญญาความเสี่ยงที่เป็นอันตรายเหล่านั้น กระเป๋าเงิน OKX Web3 จะช่วยให้ผู้ใช้ดำเนินการตรวจจับความเสี่ยงโดยการเข้าถึงระบบ KYT Sky Eye ปัจจุบัน ระบบมีที่อยู่สกุลเงินดิจิทัลมากกว่า 300 ล้านที่อยู่และสามารถตรวจจับที่อยู่ที่เป็นอันตราย ธุรกรรมที่น่าสงสัย (ดิสก์ pixiu/ฟิชชิ่ง ฯลฯ ) ) เพื่อดำเนินการตรวจจับความเสี่ยงและการเตือนภัยล่วงหน้าอัตโนมัติอย่างมีประสิทธิผล
นีล หัวหน้าฝ่ายสถาปัตยกรรมความปลอดภัยของทีม OKX Web3 กล่าวว่า OKX จะดำเนินการประมวลผลแท็กที่อยู่แบบลำดับชั้นต่อไป ที่อยู่ Whitelist จะถูกประมวลผลผ่านพร้อมท์ธรรมดา ที่อยู่ Graylist จะถูกประมวลผลผ่านพร้อมท์ความเสี่ยงทั่วไป และที่อยู่ Blacklist จะถูกดักจับ โดยตรง ในอนาคต ทีมงานจะยังคงสร้างในด้านต่างๆ ต่อไป เช่น การป้องกันความเสี่ยง การล้างความเสี่ยง การครอบคลุมความเสี่ยง และการให้ความรู้แก่ผู้ใช้เพื่อเสริมสร้างระบบป้องกันความปลอดภัยและทำหน้าที่เป็นเจ้าหน้าที่รักษาความปลอดภัยของผู้ใช้อย่างแน่วแน่
ในความเป็นจริง นอกเหนือจากความเสี่ยงที่ซ่อนอยู่ในสภาพแวดล้อมแบบโต้ตอบแล้ว ความปลอดภัยของกระเป๋าเงินเองก็มีความสำคัญอย่างยิ่งเช่นกัน ปัจจุบัน กระเป๋าเงิน OKX Web3 ได้เปิดซอร์ส SDK ลายเซ็นแบบหลายสายโซ่อย่างสมบูรณ์ ซึ่งเป็นอัลกอริธึมหลักของกระเป๋าเงินไร้กุญแจส่วนตัวของ MPC, กระเป๋าเงิน AA และ BRC 20-S ความสำคัญของโอเพ่นซอร์สโค้ดคือการทำให้ผลิตภัณฑ์โปร่งใสและเชื่อถือได้ และยอมรับ การตัดสิน ของเพื่อนร่วมงาน ในขณะเดียวกันก็ส่งเสริมการสื่อสารและการทำงานร่วมกันแบบเปิดระหว่างนักพัฒนา ซึ่งจะช่วยส่งเสริมการพัฒนาและความก้าวหน้าของเทคโนโลยี Web3
แน่นอนว่า นอกเหนือจากความเสี่ยงต่างๆ ในห่วงโซ่แล้ว ความเสี่ยงเชิงระบบที่เกิดจากการล่มสลายของแพลตฟอร์มแบบรวมศูนย์ เช่น FTX ยังมีความกังวลมากยิ่งขึ้น
ในส่วนของความปลอดภัยของ CEX นั้นมุ่งเน้นไปที่การควบคุมตนเองและการสร้างระบบควบคุมความเสี่ยงที่แข็งแกร่ง
จากการหายตัวไปของ Fcoin ไปจนถึงการล่มสลายของ FTX แพลตฟอร์ม CEX จำนวนมากไม่เคยรอดพ้นจากการล่มสลายในช่วงไม่กี่ปีที่ผ่านมา สาเหตุส่วนใหญ่มีสาเหตุมาจากการจัดการภายในที่ไม่ดีภายใต้ความแตกต่างระหว่างการเติบโตอย่างรวดเร็วและความตระหนักรู้เกี่ยวกับความรับผิดชอบขององค์กร แน่นอนว่า เหตุผลพื้นฐานที่มากกว่านั้นอยู่ที่ธรรมชาติของมนุษย์
ดังนั้นการยับยั้งชั่งใจและการควบคุมตนเองจึงกลายเป็นสิ่งจำเป็นสำหรับ CEX
ตั้งแต่ปลายปีที่แล้ว บริษัทชั้นนำในอุตสาหกรรมได้เปิดตัวโมเดลการกำกับดูแลตนเองเพื่อปรับปรุงความโปร่งใสของกองทุนผ่านกลไกต่างๆ เช่น POR และอัปโหลดเงินทุนของผู้ใช้ไปยังห่วงโซ่เพื่อการเปิดเผยต่อสาธารณะ
ตามข้อมูลอย่างเป็นทางการ OKX ได้ออกใบรับรองสำรองเป็นเวลา 11 เดือนติดต่อกัน และอัตราการสำรองของ 22 สกุลเงินสาธารณะเกิน 100% ในหมู่พวกเขา อัตราสำรองของ BTC, ETH และ USDT คือ 102%, 103% และ 102 % ตามลำดับ โดยมีมูลค่ารวม 11.2 พันล้านดอลลาร์สหรัฐ เป็นหนึ่งในการแลกเปลี่ยน crypto หลัก ๆ ไม่กี่แห่งในอุตสาหกรรมที่เผยแพร่ใบรับรองสำรองเป็นรายเดือน ผู้ที่เกี่ยวข้องกล่าวว่า OKX มุ่งมั่นที่จะปรับปรุงความโปร่งใสของ POR ให้เป็นไปตามมาตรฐานการตรวจสอบทางการเงินแบบดั้งเดิมและจะยังคงเป็นผู้นำในอุตสาหกรรมด้านความปลอดภัยและความโปร่งใส ขณะนี้ บริษัทได้อัปเกรดระบบ POR ผ่านเทคโนโลยีที่เป็นนวัตกรรม เช่น zk-STARK และผู้ใช้สามารถตรวจสอบ OKX ได้อย่างอิสระ ความสามารถในการละลายได้ตลอดเวลา จนถึงขณะนี้ ผู้ใช้หลายแสนรายได้เข้าร่วมในการเยี่ยมชมหน้า POR และทำการยืนยันตนเองเรียบร้อยแล้ว
เมื่อพูดถึงความปลอดภัยของ CEX เราไม่สามารถหนีจากความอ่อนแอในธรรมชาติของมนุษย์ได้ แต่สิ่งนี้ไม่สามารถเอาชนะได้ในระยะสั้น สำหรับผู้ใช้ทั่วไป พวกเขาควรใส่ใจมากขึ้นเกี่ยวกับวิธีการรับรองความปลอดภัยของสินทรัพย์เมื่อมีเหตุการณ์รุนแรงเกิดขึ้น สำหรับแพลตฟอร์ม จำเป็นอย่างยิ่งที่จะต้องตระหนักให้ชัดเจนว่าการช่วยให้ผู้ใช้ อยู่คนเดียว ในช่วงวิกฤตคือความสามารถในการแข่งขันหลัก
ในเหตุการณ์ความผิดพลาดของ Luna ระบบควบคุมความเสี่ยง OKX จะเปิดใช้งานกลไกการไถ่ถอนอัตโนมัติทันทีเพื่อช่วยให้ผู้ใช้ที่เข้าร่วมในการจัดการทางการเงินของ UST หลบหนีได้อย่างราบรื่น ในเหตุการณ์การรั่วไหลของข้อมูล 3 Commas API นั้น OKX เป็นผู้ใช้เพียงรายเดียวในบรรดาการแลกเปลี่ยนหลายแห่งที่ร่วมมือกับเพื่อ ประสบความสูญเสีย 0 ครั้ง และเป็นแพลตฟอร์มที่มีประสิทธิภาพการรักษาความปลอดภัยที่สมบูรณ์แบบที่สุด เมื่อเผชิญกับการทดสอบต่างๆ OKX ได้แสดงให้เห็นถึง คุณภาพ ที่ยอดเยี่ยม
กุญแจสำคัญในการขี่ผ่านลมและคลื่นได้หลายครั้งคือทีม OKX จำลองความเสี่ยงที่อาจเกิดขึ้นล่วงหน้าอยู่เสมอ และลงทุนเวลาและพลังงานอย่างมากในการสร้างและทำซ้ำระบบควบคุมความเสี่ยง บุคคลที่รับผิดชอบระบบควบคุมความเสี่ยงกล่าวว่า: ระบบ API ของ OKX มีฟังก์ชัน Fast API ที่มีประสิทธิภาพ รายการ IP ที่อนุญาต การควบคุมความเสี่ยงจากการฉ้อโกง และฟังก์ชันรายการอนุญาตของบุคคลที่สาม สิ่งเหล่านี้คือฟังก์ชันหลักของระบบควบคุมความเสี่ยง OKX API แม้แต่ หากแฮกเกอร์บุกรุกคีย์ API และคีย์จะไม่สามารถใช้งานได้ง่าย แม้ว่าผู้ใช้มักจะไม่รับรู้ถึงการมีอยู่ของมาตรการเหล่านี้ แต่พวกเขาก็ทำงานอย่างเงียบ ๆ ในช่วงเวลาวิกฤติเสมอ”
แท้จริงแล้ว การรักษาความปลอดภัยไม่จำเป็นต้องมีเรื่องราวที่เซ็กซี่ สาระสำคัญอยู่ที่ว่าแพลตฟอร์มสามารถรักษาความรู้สึกรับผิดชอบได้ตลอดเวลาหรือไม่ ซึ่งดูเหมือนว่าจะต้องมีจุดศูนย์กลาง คนที่รับผิดชอบด้านการควบคุมความเสี่ยงกล่าวอย่างตรงไปตรงมาว่าจุดศูนย์กลางความรู้สึกรับผิดชอบของ OKX ด้วยความหวังที่จะส่งเสริม เทคโนโลยีเพื่อสิ่งที่ดี การหยั่งรากใน Web3.
กลับไปสู่แก่นแท้ของปัญหาด้านความปลอดภัย
จะมีปัญหาด้านความปลอดภัยประเภทต่างๆ มากขึ้นเรื่อยๆ โดยเฉพาะในสภาพแวดล้อมของตลาดปัจจุบัน แฮกเกอร์จำนวนมากกำลังมุ่งเป้าไปที่โลกการเข้ารหัส สำหรับผู้พิทักษ์ความปลอดภัย ความท้าทายที่พวกเขาเผชิญก็จะเพิ่มขึ้นเช่นกัน บางทีด้วยความเชื่อเช่นนี้เท่านั้นที่ OKX จะสามารถเดินหน้าต่อไปได้
ด้วยการรื้อระบบความปลอดภัยของ OKX เราจึงมองเห็นแนวทางและแนวคิดเกี่ยวกับปัญหาด้านความปลอดภัยของ Web3 ได้อย่างชัดเจน พวกเขาได้ค้นพบ 2 หัวข้อหลักในการพัฒนาโลกแห่งความปลอดภัยของ Web3 และได้สร้างแนวป้องกันที่แข็งแกร่งตาม 2 หัวข้อหลัก
แม้ว่าปัญหาด้านความปลอดภัยจะกลับมาเสมอว่าผู้คนมีแนวโน้มไปทางดีหรือทางชั่ว ในฐานะผู้ใช้ทั่วไป มันเป็นเรื่องยากสำหรับเราที่จะสร้างความแตกต่าง เราทำได้เพียงพยายามอย่างดีที่สุดเพื่อปรับปรุงการรับรู้ด้านความปลอดภัยและเลือกแพลตฟอร์มที่มีอิทธิพลอย่างมากให้มากที่สุด มากที่สุด ยิ่งคุณมีพลังมากเท่าไหร่คุณก็ยิ่งหวงแหนขนของคุณเองมากเท่าไรก็ยิ่งสามารถรักษาความคิดอันชอบธรรมของคุณได้มากขึ้นเท่านั้น
