หลักสูตรความปลอดภัยประตูใหญ่ 03｜Gate & GoPlus: วิธีอ่านรายงานการตรวจสอบและตรวจหาช่องโหว่ในสัญญา
- ประเด็นหลัก: ความปลอดภัยเป็นกระบวนการที่ต่อเนื่องและเปลี่ยนแปลงตลอดเวลา ไม่ใช่การรับรองจากการตรวจสอบเพียงครั้งเดียว รายงานการตรวจสอบสะท้อนเพียงสถานะของสัญญา ณ จุดเวลาหนึ่งเท่านั้น ไม่สามารถครอบคลุมความเสี่ยงจากการอัปเกรด การเปลี่ยนแปลงสิทธิ์ และการพึ่งพาภายนอกที่ตามมา อุตสาหกรรมจำเป็นต้องเปลี่ยนไปสู่ความปลอดภัยแบบต่อเนื่องตลอดวงจรชีวิต
- องค์ประกอบสำคัญ:
- การตรวจสอบแบบดั้งเดิมมีความล้มเหลวเชิงโครงสร้างสี่ประการ: การตรวจสอบแบบสแนปช็อต, ไม่สามารถคาดการณ์วิธีการโจมตีใหม่ๆ, การพึ่งพาภายนอกที่ควบคุมไม่ได้, สัญญาเก่าที่ระเบิดออกมาเป็นกลุ่ม สัญญาที่ใช้งานมาหลายปีอย่าง Balancer, Yearn ยังถูกขุดพบช่องโหว่เชิงลึกเป็นจำนวนมาก
- การใช้สิทธิ์ในทางที่ผิดมักเกิดขึ้นในระยะดำเนินงาน สิทธิ์ Owner ที่มากเกินไป, การรั่วไหลของ Private Key, การจัดการ Multisig ที่ไม่เหมาะสม การดำเนินการที่ถูกต้องตามโค้ดเหล่านี้ รายงานการตรวจสอบไม่สามารถควบคุมเจตนาของฝ่ายโครงการได้
- เครื่องมืออัตโนมัติทำให้การโจมตีเปลี่ยนจากงานวิจัยด้วยมือของผู้เชี่ยวชาญเป็นกระบวนการแบบสายพาน เกณฑ์การขุดช่องโหว่ลดลงอย่างมาก ฝ่ายป้องกันจำเป็นต้องใช้เครื่องมือที่มีประสิทธิภาพเท่าเทียมกันในการต่อสู้ และมีข้อได้เปรียบสามประการ: การลงมือก่อน, ต้นทุน, และการทบต้นของความรู้
- ความปลอดภัยแบบ Self-custody บนเชนเท่ากับความปลอดภัยของ Private Key บวกความปลอดภัยของสัญญา ผู้ใช้เป็นผู้รับผิดชอบเพียงคนเดียว ความปลอดภัยแบบ Custodial ของ Exchange เท่ากับความปลอดภัยของแพลตฟอร์มบวกความปลอดภัยของบัญชี ความปลอดภัยทางเทคนิคสามารถ Outsourced ได้ แต่ต้องรักษานิสัยการใช้งานบัญชี
- Gate ดำเนินการตรวจสอบการlisted, คำประกาศไม่ทำสิ่งชั่วร้าย, การตรวจสอบเป็นประจำและการติดตามบนเชน ตู้เซฟใช้ MPC บวก签名 2-of-3 และการหน่วงเวลาการโอน 48 ชั่วโมงเป็นบัฟเฟอร์
- รายงานการตรวจสอบที่สมบูรณ์ควรมีสี่องค์ประกอบ: คะแนนความปลอดภัย, การค้นพบสำคัญ, รายละเอียดปัญหา, ข้อเสนอแนะในการแก้ไข และระบุเป้าหมายและข้อจำกัดขอบเขตการตรวจสอบอย่างชัดเจน เพื่อหลีกเลี่ยงการตีความขอบเขตความครอบคลุมผิดพลาด
- ผู้ใช้ทั่วไปสามารถดำเนินการเสริมความปลอดภัยหกประการ: ตรวจสอบ Token ก่อนทำธุรกรรม, ล้างการอนุญาตเป็นประจำ, เสริมความแข็งแกร่งบัญชีด้วย 2FA, ป้องกันฟิชชิ่ง, เก็บทรัพย์สินแบบแบ่งชั้น, และติดตามทัศนคติด้านความปลอดภัยของโครงการ
ความปลอดภัยเป็นสภาวะที่เปลี่ยนแปลงตลอดเวลา ไม่ใช่ใบรับรองเพียงใบเดียว ในปีนี้ โครงการที่ถูกแฮ็กหลายแห่งล้วนผ่านการตรวจสอบแล้ว และบางแห่งยังตรวจสอบหลายครั้งด้วยซ้ำ นี่ไม่ได้หมายความว่าการตรวจสอบไม่มีคุณค่า แต่หมายความว่าสิ่งที่การตรวจสอบสามารถตอบได้นั้นแคบกว่าที่คนส่วนใหญ่คิดไว้มาก
รายงานการตรวจสอบหนึ่งฉบับอธิบายถึงเวอร์ชันหนึ่งที่ทีมหนึ่งดูในวันหนึ่ง แต่สัญญาสามารถอัปเกรดได้ สิทธิ์สามารถเปลี่ยนได้ ออราเคิลและบริดจ์ข้าม 체นที่โปรเจกต์พึ่งพาสามารถเปลี่ยนได้ และวิธีการโจมตีแบบใหม่ก็เกิดขึ้นทุกสัปดาห์ ในวินาทีที่รายงานถูกส่งมอบ มันก็เริ่มหมดอายุแล้ว สิ่งที่ยุ่งยากกว่านั้นคือสัญญาเก่าที่ deploy หลายปีก่อนและผ่านการตรวจสอบอย่างราบรื่นในตอนนั้น กำลังถูกสแกนซ้ำแบบเป็นชุด 漏洞เชิงลึกของสัญญาที่ออนไลน์มาหลายปีอาจถูกค้นพบได้ภายในสิบนาที
นี่คือตอนที่สามของรายการพิเศษ《大门安全课》ที่ Gate จัดทำขึ้นเป็นพิเศษ เราเชิญ GoPlus Security ผู้ให้บริการด้านความปลอดภัย Web3 และทีมความปลอดภัยของ Gate มาพูดคุยเรื่องการตรวจสอบและการตรวจหาช่องโหว่จากสองมุมมอง คือผู้ให้บริการด้านความปลอดภัยและแพลตฟอร์มซื้อขาย: ทำไมโปรเจกต์ที่ผ่านการตรวจสอบแล้วยังเกิดเหตุได้ รายงานหนึ่งฉบับควรอ่านอย่างไร แพลตฟอร์มตรวจสอบอะไรบ้างก่อนและหลังการลงทะเบียนเหรียญ และผู้ใช้ทั่วไปสามารถตรวจสอบตนเองรอบหนึ่งก่อนเซ็นชื่อได้อย่างไร
แนะนำวิทยากร
Adam หุ้นส่วนของ GoPlus: Adam เป็นหุ้นส่วนของ GoPlus และหัวหน้าฝ่ายสถาบันวิจัยความปลอดภัย
GoPlus Security กำลังสร้างชั้นความปลอดภัยแบบกระจายศูนย์ชั้นแรกของ Web3 และ AI โดยใช้ประโยชน์จากบล็อกเชนและโซลูชันความปลอดภัย AI ที่ล้ำสมัย เพื่อมอบผลิตภัณฑ์และบริการด้านความปลอดภัยที่ชาญฉลาด มีประสิทธิภาพ และกระจายศูนย์ให้แก่ผู้ใช้ ตั้งแต่ปี 2022 GoPlus เติบโตแบบก้าวกระโดด โดยมีปริมาณการเรียก API ต่อวันถึง 30 ล้านครั้ง และป้องกันความสูญเสียที่อาจเกิดขึ้นให้แก่ผู้ใช้ได้เกือบหนึ่งแสนล้านดอลลาร์
ทีมความปลอดภัย Gate: ฝ่ายความปลอดภัยของ Gate รับผิดชอบการสร้างระบบความปลอดภัยของบัญชีแพลตฟอร์ม การซื้อขาย และสินทรัพย์ ขณะเดียวกันก็จัดการกับคำร้องเรียนเกี่ยวกับบัญชีผิดปกติและการร้องขอตรวจสอบร่วมของผู้ใช้มาเป็นเวลานาน
Gate ก่อตั้งขึ้นในปี 2013 เป็นแพลตฟอร์มซื้อขายแห่งแรกในอุตสาหกรรมที่เปิดตัวการพิสูจน์เงินสำรอง 100% ปัจจุบันให้บริการผู้ใช้ทั่วโลกมากกว่า 60 ล้านคน ความปลอดภัยเป็นเงื่อนไขเบื้องต้นที่ทำให้ธุรกิจนี้ดำรงอยู่ได้ เราหวังว่าจะอธิบายกลไกร่วมเบื้องหลังความเสี่ยงจริงเหล่านี้ให้ชัดเจนผ่าน《大门安全课》
Q1. ทำไมหลายโปรเจกต์ที่ผ่านการตรวจสอบแล้วยังถูกแฮ็กและยังเกิดการใช้สิทธิ์ในทางที่ผิด?
Adam หุ้นส่วนของ GoPlus: 「การตรวจสอบครั้งเดียว」ไม่เท่ากับ「ปลอดภัยตลอดไป」 บริการตรวจสอบสัญญาแบบดั้งเดิมในปัจจุบันมีความล้มเหลวเชิงโครงสร้างสี่ประการ:
1) การตรวจสอบแบบสแนปช็อต โดยแท้จริงแล้วการตรวจสอบคือการตรวจสอบกึ่งmanuelโดยวิศวกรตรวจสอบ ณ จุดเวลาหนึ่ง ซึ่งประสิทธิผลขึ้นอยู่กับคุณภาพของเครื่องมือ ระดับความสามารถของบุคคล และสภาวะการทำงาน แต่โค้ดสัญญาสามารถอัปเกรดได้ สิทธิ์ในการจัดการสามารถเปลี่ยนได้ การกำหนดพารามิเตอร์สามารถปรับได้ ตั้งแต่ моменที่รายงานการตรวจสอบแบบครั้งเดียวถูกส่งมอบ มันก็กำลัง "หมดอายุ" แล้ว
2) ไม่สามารถคาดการณ์อนาคตได้ ประเภทช่องโหว่ใหม่และวิธีการโจมตีใหม่เกิดขึ้นไม่หยุด การตรวจสอบในอดีตไม่ครอบคลุมความเสี่ยงในอนาคต
3) การพึ่งพาภายนอกหลุดการควบคุม โปรเจกต์มักพึ่งพาออราเคิล บริดจ์ข้ามเชน และโปรโตคอลของบุคคลที่สาม การเปลี่ยนแปลงความเสี่ยงของการพึ่งพาเหล่านี้ไม่อยู่ในขอบเขตการตรวจสอบแบบดั้งเดิม
4) สัญญาเก่าปะทุเป็นกลุ่ม สัญญาที่ deploy หลายปีก่อนและ "ผ่านการตรวจสอบ" ในตอนนั้น กำลังถูกเครื่องมืออัตโนมัติขุดหาช่องโหว่ซ้ำแบบเป็นชุด ตัวอย่างเช่น ช่องโหว่เชิงลึกของ Balancer และ Yearn ที่ออนไลน์อย่างเป็นทางการมาหลายปีแต่ไม่ถูกค้นพบ
ส่วนการใช้สิทธิ์ในทางที่ผิดนั้น มักเกิดขึ้นในขั้นตอนการดำเนินงานมากกว่าในโค้ดสัญญาเอง สาเหตุรวมถึงสิทธิ์ Owner มากเกินไป (สามารถเพิ่มการออกเหรียญได้ตามอำเภอใจ แบล็กลิสต์ ระงับการซื้อขาย) คีย์ส่วนตัวของผู้ดูแลรั่วไหล การจัดการ multisig ไม่เหมาะสม ข้อเสนอที่เป็นอันตรายและการโจมตีเชิงธรรมาภิบาล... เหล่านี้ล้วนเป็นปัญหาความปลอดภัยที่เกิดขึ้นได้ง่ายในขั้นตอนการดำเนินงาน แม้รายงานการตรวจสอบจะระบุความเสี่ยงด้านสิทธิ์ไว้ แต่หลังจากนั้นใครจะจับตา? การดำเนินการปลอดภัยและสมเหตุสมผลหรือไม่นั้นไม่สามารถตอบได้
การออนไลน์หลังการตรวจสอบสัญญาเป็นเพียงจุดเริ่มต้นของงานด้านความปลอดภัย ไม่ใช่จุดสิ้นสุด สิ่งที่โปรเจกต์ต้องการคือความปลอดภัยอย่างต่อเนื่องที่ครอบคลุมวงจรชีวิตทั้งหมดของสัญญา ไม่ใช่รายงานการตรวจสอบแบบครั้งเดียว
ทีมความปลอดภัย Gate: การตรวจสอบสามารถบอกผู้ใช้ได้ว่าโค้ดทำอะไรได้ แต่ไม่สามารถบอกผู้ใช้ได้ว่าโปรเจกต์วางแผนจะทำอะไร
นี่คือสิ่งที่เรารู้สึกได้ลึกที่สุดจากการทำการตรวจสอบการลงทะเบียนเหรียญมาหลายปี รากเหง้าของอุบัติเหตุหลายครั้งอยู่ที่เจตนาของโปรเจกต์ สัญญาหนึ่งสามารถถูกต้องตามข้อกำหนดในทางเทคนิค تمام และการออกแบบสิทธิ์ของเจ้าของก็อยู่ในขอบเขตปกติ แต่โปรเจกต์ก็ยังสามารถเลือกจุดเวลาหนึ่งเพื่อใช้สิทธิ์เหล่านี้ได้: เปลี่ยนกฎการซื้อขาย เปิดแบล็กลิสต์ เพิ่มการออกโทเค็น การกระทำเหล่านี้ถูกกฎหมายทั้งหมดในระดับโค้ด และรายงานการตรวจสอบก็จะไม่ทำเครื่องหมายว่าเป็นช่องโหว่ เพราะมันเป็นส่วนหนึ่งของการออกแบบตั้งแต่แรกอยู่แล้ว
ดังนั้นนอกเหนือจากการตรวจสอบทางเทคนิคแล้ว ยังต้องมีชั้นการกำกับดูแลอีกชั้น วิธีการของ Gate คือการคัดกรองและตรวจสอบโปรเจกต์อย่างเข้มงวดในขั้นตอนการลงทะเบียนเหรียญ พร้อมกับลงนามในคำประกาศไม่ทำสิ่งชั่วร้ายกับโปรเจกต์ แล้วติดตามการปฏิบัติตามข้อตกลง ชั้นนี้มีไว้เพื่อแก้ปัญหาส่วนที่การตรวจสอบแก้ไม่ได้: โค้ดไม่มีช่องโหว่ไม่ได้หมายความว่าทีมนี้จะไม่ทำการเลือกที่เป็นอันตรายต่อผู้ใช้
โปรเจกต์ที่ลงทะเบียนแล้วเราจะทำการตรวจสอบความปลอดภัยเป็นระยะ พร้อมกับติดตามสถานะสัญญาผ่านการเฝ้าระวังเหตุการณ์บนเชน ผู้ใช้ยังสามารถตรวจสอบรายการความเสี่ยงปัจจุบันของสัญญาใดสัญญาหนึ่งได้ตลอดเวลา
Q2. ในเมื่อการตรวจสอบครั้งเดียวไม่เท่ากับปลอดภัยตลอดไป โปรเจกต์และอุตสาหกรรมทั้งหมดควรปรับตัวอย่างไร?
ทีมความปลอดภัย Gate: อุตสาหกรรมคริปโตมีลักษณะเชิงโครงสร้างประการหนึ่ง: ธุรกิจส่วนใหญ่ โดยเฉพาะ DeFi มีรูปแบบการดำเนินงานใกล้เคียงกับการเงินแบบโมดูลาร์ แพลตฟอร์มต่างๆ ถูกสร้างขึ้นจากคอมโพเนนต์ที่ใช้ร่วมกัน ได้แก่ สัญญา ไลบรารีซอฟต์แวร์ กระเป๋าเงิน ออราเคิลราคา บริดจ์ข้ามเชน ผู้ให้บริการเชื่อมต่อ อินเทอร์เฟซเว็บ และระบบที่ใช้ในการ推送การอัปเดต
ดังนั้นนอกจากสัญญาของตัวเองปลอดภัยหรือไม่แล้ว ยังต้องถามว่าทุกส่วนที่พึ่งพานั้นยังเชื่อถือได้หรือไม่ ความล้มเหลวของคอมโพเนนต์ต้นน้ำบางตัวจะส่งผลให้ความสูญเสียส่งต่อลงมาตามห่วงโซ่ เมื่อมองย้อนกลับไปยังการโจมตีครั้งสำคัญๆ ปัญหามักเกิดขึ้นในขั้นตอนที่อยู่ก่อนตรรกะของโปรโตคอล: ผู้จัดจำหน่าย เครื่องมือพัฒนา วิธีการที่ซอฟต์แวร์เข้าถึงผู้ใช้ หรือขั้นตอนที่ผู้ใช้อนุมัติการโอน
Adam หุ้นส่วนของ GoPlus: รูปแบบการโจมตีที่แฮ็กเกอร์ใช้เครื่องมืออัตโนมัติขุดหาช่องโหว่ได้อย่างมีประสิทธิภาพได้ก่อตัวขึ้นแล้วและกำลังแพร่กระจายอย่างรวดเร็ว การโจมตีเปลี่ยนจาก "การวิจัยด้วยมือของผู้เชี่ยวชาญ" เป็น "สายการผลิต" หากความคิดของอุตสาหกรรมยังคง停留在 "หาบริษัทตรวจสอบออกรายงานก่อนออนไลน์" หรือเมื่อพบความเสี่ยงแล้วค่อยหาบริษัทความปลอดภัยมา "แก้ไขเมื่อวานสาย" ก็เหมือนการใช้ธนูสู้กับปืนกล การใช้เครื่องมือที่มีประสิทธิภาพเท่าเทียมกันในการต่อสู้กับการโจมตีคือเส้นทางเดียวที่มีประสิทธิผล
ทิศทางการปรับตัวในระดับอุตสาหกรรมคือการยกระดับจาก "การตรวจสอบแบบครั้งเดียว" หรือ "หาผู้เชี่ยวชาญเมื่อเกิดปัญหา" ไปสู่ "ความปลอดภัยอย่างต่อเนื่องตลอดวงจรชีวิต" ตัวอย่างเช่น "ชุดสามอย่างด้านความปลอดภัยสัญญา" ของ GoPlus DeepScan นี่คือวงจรปิดที่นำไปปฏิบัติได้จริง:
ก่อนออนไลน์ การตรวจสอบความปลอดภัยของ Token ด้วยตนเอง: ตรวจสอบอย่างรวดเร็วภายในไม่กี่นาทีถึงความเสี่ยงด้านหลังบ้าน เช่น 貔貅盘/蜜罐 การเพิ่มการออกเหรียญที่เป็นอันตราย (Mint) แบล็กลิสต์ ภาษีการซื้อขายผิดปกติ สิทธิ์ Owner เป็นต้น
ตอนออนไลน์ การตรวจสอบสัญญาด้วย AI: วิเคราะห์ซอร์สโค้ด การจัดการสิทธิ์ และตรรกะทางธุรกิจอย่างลึกซึ้ง สแกนช่องโหว่ในระดับไวยากรณ์และระดับตรรกะทางธุรกิจ ส่งมอบรายงานการตรวจสอบแบบมีโครงสร้าง
หลังออนไลน์ การเฝ้าระวังความปลอดภัยอย่างต่อเนื่องและการตรวจสุขภาพเป็นระยะ: ติดตามข้อมูลข่าวกรองช่องโหว่ใหม่ เหตุการณ์โจมตี และความเสี่ยงจากการพึ่งพาภายนอก (ออราเคิล บริดจ์ข้ามเชน โปรโตคอลของบุคคลที่สาม) แบบเรียลไทม์ ตัดสินอย่างต่อเนื่องว่าโปรเจกต์ได้รับผลกระทบหรือไม่ และแจ้งเตือนตามปกติ ดำเนินการตรวจสุขภาพความปลอดภัยของสัญญาเป็นระยะและตรวจสอบอย่างต่อเนื่อง
Q3. สองปีที่ผ่านมาวิธีการขุดหาช่องโหว่เปลี่ยนไปอย่างไร? สินทรัพย์จำนวนเดียวกัน วางบนเชนกับวางบนExchange มีแบบจำลองความปลอดภัยต่างกันอย่างไร?
Adam หุ้นส่วนของ GoPlus: พูดตามตรง ในระยะสั้นวิธีการขุดหาช่องโหว่ของผู้โจมตีในปัจจุบันมีความหลากหลายมากขึ้น ด้วยเหตุผลสามประการ:
1) เครื่องมืออัตโนมัติลดอุปสรรคในการขุดช่องโหว่ลงอย่างมาก งานที่เคยต้องใช้ผู้เชี่ยวชาญด้านความปลอดภัยระดับสูงทำงานหลายสัปดาห์ ตอนนี้สายการผลิตการโจมตีสามารถรันเสร็จได้ในไม่กี่นาที
2) บนเชนมีสัญญาเก่าที่ "ผ่านการตรวจสอบในตอนนั้น" สะสมอยู่เป็นจำนวนมหาศาล สำหรับผู้โจมตีแล้วนี่คือ "เหมืองทอง" ที่มีปริมาณสำรองมหาศาล
3) การโจมตีเป็นการเปลี่ยนเป็นเงินสดทางเดียว การหา "หนึ่ง" ช่องโหว่ก็เพียงพอแล้ว แต่ฝ่ายป้องกันต้องปกป้อง "ทั้งหมด" ช่องโหว่
แฮ็กเกอร์ใช้เวลาไม่กี่นาทีในการขโมยเงินเหล่านี้ ฝ่ายป้องกันก็ใช้เวลาเพียงไม่กี่นาทีในการหาช่องโหว่เดียวกัน ความแตกต่างอยู่เพียงว่าโปรเจกต์ได้ใช้เครื่องมืออย่างถูกต้องก่อนแฮ็กเกอร์หรือไม่
สิ่งที่สำคัญกว่าคือ ฝ่ายป้องกันมีความได้เปรียบเชิงโครงสร้างสามประการที่ฝ่ายโจมตีไม่มี:
1) ความได้เปรียบจากการลงมือก่อน: ฝ่ายป้องกันสามารถตรวจสอบซ้ำได้ไม่จำกัดครั้งก่อนออนไลน์และระหว่างการดำเนินงาน ผู้โจมตีทำได้เพียงเดิมพันว่าฝ่ายป้องกันไม่ได้ตรวจสอบซ้ำ
2) ความได้เปรียบด้านต้นทุน: การตรวจสอบด้วย AI คิดค่าบริการตามครั้งหรือแบบรายปี ต้นทุนต่ำพอที่จะทำให้เป็นปกติและครอบคลุมทั้งหมดได้
3) ดอกเบี้ยทบต้นของความรู้: ฐานความรู้ด้านความปลอดภัยพัฒนาอย่างต่อเนื่องตามเหตุการณ์โจมตีใหม่แต่ละครั้ง ระบบป้องกันยิ่งใช้ยิ่งแข็งแกร่ง
ในแบบจำลองบนเชนและนอกเชน "ใครกำลังปกป้องสินทรัพย์ของคุณ" และ "ประเภทความเสี่ยงที่คุณเผชิญ" นั้นแตกต่างกันโดยสิ้นเชิง
การถือครองตนเองบนเชน: ความปลอดภัย = ความปลอดภัยของคีย์ส่วนตัว + ความปลอดภัยของสัญญา คุณเป็นผู้รับผิดชอบด้านความปลอดภัยเพียงคนเดียว——การสูญหาย/ถูกขโมยคีย์ส่วนตัวไม่มี "ฝ่ายบริการลูกค้า" ให้ร้องเรียน ทุกครั้งที่มีการโต้ตอบคุณต้องแบกรับความเสี่ยงบนเชน (ช่องโหว่การอนุมัติ การเซ็นชื่อแบบฟิชชิ่ง 貔貅盘) ข้อดีคือสินทรัพย์ไม่ขึ้นอยู่กับเครดิตของแพลตฟอร์มใดๆ
การฝากไว้กับ Exchange: ความปลอดภัย = ความปลอดภัยของแพลตฟอร์ม + ความปลอดภัยของบัญชี คีย์ส่วนตัวได้รับการจัดการโดยแพลตฟอร์ม (การแยกกระเป๋าเงินร้อนเย็น multisig การควบคุมความเสี่ยง) เทียบเท่ากับคุณ "เอาท์ซอร์ส" ความปลอดภัยทางเทคนิคให้กับ Exchange แต่ก็ต้องปกป้องความปลอดภัยของบัญชี Exchange ของคุณเองอย่างเหมาะสม (รหัสผ่าน 2FA ฟิชชิ่ง API Key เป็นต้น) พร้อมกันนั้นต้องใส่ใจเลือก Exchange ที่มีเครดิตแพลตฟอร์มที่มั่นคง
โดยรวมแล้ว บนเชนคือ "การปกป้องคีย์ส่วนตัว + ความเสี่ยงจากการดำเนินการด้วยตนเอง" Exchange คือ "เครดิตแพลตฟอร์ม + ความเสี่ยงจากโครงสร้างพื้นฐานด้านความปลอดภัย" อันแรกทดสอบจิตสำนึกด้านความปลอดภัย Web3 ของคุณ อันหลังทดสอบโครงสร้างพื้นฐานของแพลตฟอร์ม Exchange และนิสัยด้านความปลอดภัยของบัญชีคุณ
Q4. ในฐานะแพลตฟอร์มซื้อขาย Gate มีการยกระดับด้านความปลอดภัยอะไรบ้าง?
ทีมความปลอดภัย Gate: ก่อนอื่นเราจะทำการตรวจสอบความปลอดภัยเป็นระยะสำหรับโปรเจกต์ที่ลงทะเบียนแล้ว พร้อมกับติดตามสถานะสัญญาอย่างต่อเนื่องผ่านการเฝ้าระวังเหตุการณ์บนเชน สัญญามีการอัปเกรดหรือไม่ สิทธิ์มีการเปลี่ยนแปลงหรือไม่ มีการดำเนินการขนาดใหญ่ที่ผิดปกติหรือไม่ สิ่งเหล่านี้ล้วน
