Hãy bắt đầu từ hệ thống bảo mật OKX và làm rõ hai luồng chính của bảo mật Web3.

Chúng ta không thể nói về sự an toàn mà không có từ trái nghĩa, rủi ro.

Gần đây, hàng loạt sự cố bảo mật như trộm MIxin và CoinEx hay vụ tấn công vào ví nóng HTX một lần nữa khiến các nhà đầu tư chú ý đến vấn đề bảo mật của ngành.

Theo thống kê của Paidun, tính đến ngày 25/9, Mixin (lỗ 200 triệu USD), Euler Labs (lỗ 197 triệu USD, hacker đã hoàn lại 197 triệu USD), Vyper/Curve (lỗ 73,6 triệu USD, hacker đã hoàn lại tiền cho Mỹ) 52,3 triệu USD), CoinEx ( Lỗ 70 triệu USD), Atomic Wallet (lỗ 65 triệu USD), Stake (lỗ 41 triệu USD), CoinsPaid (lỗ 37,7 triệu USD), Poly Network (lỗ 26 triệu USD), low-carb- thập tự chinh (tổn thất 25 triệu USD)), lừa đảo chống lại cá voi khổng lồ (tổn thất 24 triệu đô la Mỹ) và 10 cuộc tấn công hàng đầu khác của hacker, tổng thiệt hại do 10 cuộc tấn công hàng đầu của hacker gây ra không dưới 600 triệu nhân dân tệ.

Trong khu rừng tối tăm của thế giới tiền điện tử, nhiều rủi ro khác nhau như tấn công hack và lừa đảo luôn xảy ra.

Bài viết này sẽ sử dụng OKX, vốn coi bảo mật là nguyên tắc đầu tiên trong thiết kế sản phẩm, làm mẫu để tháo dỡ một cách có hệ thống hệ thống bảo mật của ví OKX Web3 và OKX CEX, đồng thời khai thác thế giới bảo mật của Web3 từ những gì nhóm làm. và suy nghĩ. Câu hỏi thiết yếu.

Khi nói đến bảo mật ví, việc xác định, gắn cờ và chặn rủi ro trong thời gian thực là chìa khóa.

Theo thống kê từ báo cáo bảo mật ngành Web3.0 trong quý 2 năm 2023 do CertiK phát hành, CertiK đã phát hiện tổng cộng 212 sự cố bảo mật và tin tặc cùng các tác nhân độc hại khác đã lấy trộm số token trị giá 310 triệu USD từ ngành Web3.0. Điều này cho thấy mức độ nghiêm trọng của vấn đề bảo mật tài sản trên chuỗi.

Lấy tài khoản EOA thường được sử dụng của Ethereum làm ví dụ, nói chung, tài sản chỉ có thể được chuyển nếu khóa riêng bị mất, chức năng phê duyệt được sử dụng để ủy quyền một hợp đồng độc hại và chức năng cấp phép được sử dụng để ký một giao dịch chuyển tiền độc hại. tin nhắn.

Về vấn đề mất khóa riêng, một mặt là mất từ ​​vựng do con người thiếu kinh nghiệm, thường xảy ra với những người mới vào nghề; mặt khác có thể do người chơi đăng nhập vào các trang web lừa đảo khi nhận được airdrop và chủ động điền khóa riêng của họ. Nguyên nhân là do khóa và ghi nhớ. Cả hai tình huống này đều rất phổ biến, tất nhiên cũng có trường hợp một ví độc hại được tải xuống hoặc máy tính/điện thoại di động nơi chứa ví bị cài chương trình Trojan horse và cuối cùng bị tin tặc kiểm soát. máy tính, bạn chỉ cần tải phần mềm từ trang web thông thường và nhớ nếu nâng cấp lên phiên bản mới nhất kịp thời và có kiến ​​thức cơ bản về bảo mật mạng thì bạn sẽ ít bị dính bẫy hơn.

Để giải quyết vấn đề mất khóa riêng do thiếu kinh nghiệm của con người, Ví OKX Web3 giúp người dùng tránh rủi ro bằng cách tung ra ví không khóa riêng MPC.

Tên đầy đủ của MPC là Multi-Party Computation có thể hiểu đơn giản là ví đa chữ ký. Ví OKX Web3 MPC sử dụng công nghệ MPC để phân chia khóa riêng thành ba phần, được lưu giữ bởi sàn giao dịch OKX, thiết bị người dùng và sao lưu đám mây (iCloud/Google Drive). Khi tạo ví, người dùng chỉ cần đăng nhập vào ví OKX APP và chọn Tạo địa chỉ không có ví khóa riêng và bật sao lưu đám mây để sao lưu đoạn thứ 3. Không cần phải ghi nhớ theo cách thủ công và người dùng cần 2/3 đoạn để hoàn thành ủy quyền chữ ký khi sử dụng. Tất cả quá trình giao dịch sẽ không xuất hiện văn bản thuần túy khóa riêng. Ở một mức độ nhất định, nó giải quyết được vấn đề bảo mật tài sản do rò rỉ khóa riêng. Ngoài ra, OKX cũng đã thiết lập chức năng thoát khẩn cấp cho ví MPC, khi người dùng gặp tình huống đặc biệt, họ chỉ cần nhập mật khẩu sao lưu đám mây tại lối thoát khẩn cấp để nhanh chóng lấy được khóa riêng và chuyển tài sản một cách an toàn và thuận lợi.

Các vấn đề bảo mật liên quan đến cụm từ ghi nhớ do con người chưa có đủ kinh nghiệm thường xảy ra ở những người dùng cấp thấp. Đối với người dùng có trải nghiệm tương tác, rủi ro chủ yếu xảy ra ở hai khía cạnh ủy quyền phê duyệt và chữ ký cấp phép, chẳng hạn như rủi ro lừa đảo nêu trên.

Chức năng phê duyệt là một phần quan trọng của tương tác trên chuỗi, cho phép hợp đồng gọi hàm transferForm để chuyển tài sản theo địa chỉ theo các quy tắc đã thỏa thuận trong mã hợp đồng. Sau khi phê duyệt được ủy quyền cho một hợp đồng độc hại, nó sẽ phải đối mặt với nguy cơ bị đánh cắp tài sản cao hơn.

Rủi ro chữ ký chủ yếu phát sinh từ chức năng gia hạn giấy phép của giao thức erc 20, cho phép người dùng hoàn thành các hoạt động ủy quyền bằng cách ký tin nhắn và gửi kết quả chữ ký đến ví khác để hoàn tất hoạt động chuyển tài sản. Điều phổ biến là khi người dùng sử dụng chức năng đặt hàng đang chờ xử lý DEX. Lấy chức năng Fusion của 1inch làm ví dụ. Chức năng này cho phép người dùng ký vào tin nhắn đặt hàng đang chờ xử lý. Sau khi ký, người dùng có thể ủy thác tài sản cho 1inch để xử lý mà không phải trả phí gas, sau đó 1inch sẽ cung cấp đồng xu mà người dùng muốn mua. Trong quá trình này, nếu một trang web giả mạo các thông điệp độc hại để bắt người dùng ký thì hậu quả rất có thể sẽ rất đáng tiếc.

Vì vậy, việc giám sát rủi ro là đặc biệt quan trọng.

Nhóm OKX Web3 đã phát triển trang quản lý ủy quyền, người dùng có thể trực tiếp kiểm tra trạng thái ủy quyền của mình trên các giao thức và tiền tệ trên trang này, đồng thời có thể trực tiếp hủy ủy quyền trên trang này để tránh những rủi ro không đáng có. Đối với những hợp đồng rủi ro độc hại, ví OKX Web3 giúp người dùng tiến hành phát hiện rủi ro bằng cách truy cập vào hệ thống KYT Sky Eye. Hiện tại, hệ thống chứa hơn 300 triệu địa chỉ tiền điện tử và có thể phát hiện các địa chỉ độc hại, giao dịch đáng ngờ (đĩa pixiu/lừa đảo, v.v.). ) ) để thực hiện phát hiện rủi ro và cảnh báo sớm tự động một cách hiệu quả.

Neil, người đứng đầu kiến ​​trúc bảo mật của nhóm OKX Web3, cho biết OKX tiếp theo sẽ thực hiện xử lý phân cấp các thẻ địa chỉ. Địa chỉ danh sách trắng sẽ được xử lý thông qua lời nhắc thông thường, địa chỉ danh sách xám sẽ được xử lý thông qua lời nhắc rủi ro chung và địa chỉ danh sách đen sẽ bị chặn Trong tương lai, Nhóm sẽ tiếp tục xây dựng ở nhiều khía cạnh khác nhau như phòng ngừa rủi ro, dọn dẹp rủi ro, bảo hiểm rủi ro và giáo dục người dùng để tăng cường hệ thống bảo vệ an ninh và kiên quyết đóng vai trò là người bảo vệ cho người dùng.

Trên thực tế, ngoài những rủi ro tiềm ẩn trong môi trường tương tác, bản thân tính bảo mật của ví cũng đặc biệt quan trọng. Hiện tại, ví OKX Web3 đã có mã nguồn mở hoàn toàn SDK chữ ký đa chuỗi, thuật toán cốt lõi của ví không khóa riêng MPC, ví AA và BRC 20-S. Tầm quan trọng của mã nguồn mở là làm cho sản phẩm trở nên minh bạch và đáng tin cậy, đồng thời chấp nhận sự “đánh giá” của các đồng nghiệp đồng thời thúc đẩy giao tiếp và cộng tác cởi mở giữa các nhà phát triển, từ đó thúc đẩy sự phát triển và tiến bộ của công nghệ Web3.

Tất nhiên, ngoài những rủi ro khác nhau trên chuỗi, những rủi ro hệ thống do sự sụp đổ của các nền tảng tập trung như FTX thậm chí còn đáng lo ngại hơn.

Về bảo mật CEX, trọng tâm là tự điều chỉnh và xây dựng hệ thống kiểm soát rủi ro mạnh mẽ

Từ sự biến mất của Fcoin đến sự sụp đổ của FTX, nhiều nền tảng CEX đã không thoát khỏi lời nguyền sụp đổ trong vài năm qua. Nguyên nhân phần lớn là do quản lý nội bộ kém, không phù hợp giữa tốc độ tăng trưởng nhanh và nhận thức về trách nhiệm doanh nghiệp, tất nhiên nguyên nhân cơ bản hơn nằm ở bản chất con người.

Vì vậy, việc tự kiềm chế, tự điều chỉnh đã trở thành điều bắt buộc đối với CEX.

Kể từ cuối năm ngoái, các công ty hàng đầu trong ngành đã đưa ra các mô hình tự điều chỉnh để cải thiện tính minh bạch của quỹ thông qua các cơ chế như POR và tải tiền của người dùng lên chuỗi để công bố công khai.

Theo thông tin chính thức, OKX đã phát hành chứng chỉ dự trữ trong 11 tháng liên tiếp và tỷ lệ dự trữ của 22 loại tiền công đã vượt quá 100%, trong đó tỷ lệ dự trữ của BTC, ETH và USDT là 102%, 103% và 102. % tương ứng. , với tổng giá trị là 11,2 tỷ USD, họ là một trong số ít sàn giao dịch tiền điện tử chính thống trong ngành xuất bản chứng chỉ dự trữ hàng tháng. Những người có liên quan cho biết OKX cam kết cải thiện tính minh bạch của POR theo các tiêu chuẩn kiểm toán tài chính truyền thống và sẽ tiếp tục dẫn đầu ngành về tính an toàn và minh bạch. Hiện tại, OKX đã nâng cấp hệ thống POR thông qua các công nghệ tiên tiến như zk-STARK và người dùng có thể xác minh độc lập OKX khả năng thanh toán bất cứ lúc nào. Cho đến nay, hàng trăm nghìn người dùng đã tham gia truy cập trang POR và hoàn tất quá trình tự xác minh.

Nói về tính bảo mật của CEX, chúng ta không bao giờ có thể thoát khỏi điểm yếu về bản chất con người, nhưng điều này không thể khắc phục trong thời gian ngắn. Đối với người dùng thông thường, họ nên chú ý hơn đến việc làm thế nào để đảm bảo an toàn cho tài sản khi xảy ra hiện tượng cực đoan? Đối với các nền tảng, càng cần nhận thức rõ ràng rằng việc giúp người dùng “sống một mình” trong khủng hoảng chính là năng lực cạnh tranh cốt lõi.

Trong sự cố Luna, hệ thống kiểm soát rủi ro OKX đã ngay lập tức kích hoạt cơ chế quy đổi tự động để giúp người dùng tham gia quản lý tài chính UST thoát nạn suôn sẻ; trong sự cố rò rỉ dữ liệu 3 Commas API, OKX là người dùng duy nhất trong số nhiều sàn giao dịch mà nó hợp tác để chịu tổn thất 0. Và đây là nền tảng có hiệu suất bảo mật hoàn thiện nhất. Khi đối mặt với nhiều thử nghiệm khác nhau, OKX đã chứng tỏ được “chất lượng” tuyệt vời.

Chìa khóa để có thể vượt qua sóng gió nhiều lần là đội ngũ OKX luôn mô phỏng trước những rủi ro tiềm ẩn và đầu tư nhiều thời gian, công sức vào việc thiết lập và lặp lại hệ thống kiểm soát rủi ro. Người phụ trách hệ thống kiểm soát rủi ro cho biết: Hệ thống API của OKX có các chức năng Fast API mạnh mẽ, danh sách trắng IP, kiểm soát rủi ro chống gian lận và chức năng danh sách trắng của bên thứ ba. Đây là những chức năng cốt lõi của hệ thống kiểm soát rủi ro API OKX. Thậm chí, nếu tin tặc xâm nhập khóa API và khóa không thể dễ dàng sử dụng. Mặc dù người dùng thường không thể nhận ra sự tồn tại của các biện pháp này nhưng họ luôn âm thầm làm việc vào những thời điểm quan trọng.

Quả thực, bảo mật không đòi hỏi những câu chuyện gợi cảm, bản chất của nó nằm ở việc nền tảng có thể duy trì được tinh thần trách nhiệm mọi lúc hay không, điều này dường như cần có một điểm tựa. Người phụ trách kiểm soát rủi ro thẳng thắn nói rằng điểm tựa về tinh thần trách nhiệm của OKX nằm với hy vọng thúc đẩy “công nghệ tốt đẹp” “Bắt rễ từ Web3.

Quay lại bản chất của vấn đề bảo mật

Khi ngành công nghiệp phát triển, sẽ ngày càng có nhiều loại vấn đề về bảo mật, đặc biệt là trong môi trường thị trường hiện nay, nhiều hacker đang nhắm đến thế giới mã hóa. Đối với những người bảo vệ an ninh, những thách thức họ gặp phải cũng sẽ tăng lên. Có lẽ chỉ với niềm tin như vậy OKX mới có thể tiếp tục tiến về phía trước.

Bằng cách tháo dỡ hệ thống bảo mật của OKX, chúng ta có thể thấy rõ cách tiếp cận và tâm lý của nó đối với các vấn đề bảo mật Web3. Họ đã tìm ra hai chủ đề chính trong sự phát triển của thế giới bảo mật Web3 và đã thiết lập các tuyến phòng thủ vững chắc dọc theo hai chủ đề chính. .

Mặc dù vấn đề bảo mật sẽ luôn quay trở lại việc con người nghiêng về thiện hay ác, nhưng với tư cách là người dùng bình thường, chúng ta khó có thể phân biệt được, chúng ta chỉ có thể cố gắng hết sức để nâng cao nhận thức về bảo mật và lựa chọn những nền tảng có sức ảnh hưởng lớn nhất có thể. Càng mạnh mẽ, bạn càng trân quý chiếc lông vũ của mình, bạn càng có thể duy trì chính niệm của mình.