大門安全課 04｜Gate & CertiK：機構如何保障上百億資產的安全？

在加密世界，保護自己的資產，可能只需要管好一組助記詞。但如果你管理的是一家機構的上百億資產，情況就複雜多了。

資產應該放在哪兒？交易需要經過哪些人確認？誰有多簽權限能動用資產？某個環節被攻擊者利用，能不能及時發現並阻止損失？這些問題，才是機構加密資產安全真正需要面對的考驗。

本期《大門安全課》，我們邀請 CertiK 與 Gate 安全團隊，將視角從個人錢包轉向機構資產管理，從安全審計機構和交易平台兩個視角，聊聊一家機構該如何在保障業務正常運轉的同時，把資產風險控制在可管理的範圍內。

嘉賓簡介

CertiK：CertiK 全球規模最大的 Web3 安全公司，深受全球監管機構、金融機構與 Web3 創新企業信賴。自 2017 年創建以來，CertiK 已為 150 多個國家和地區提供服務，發現超過 11.9 萬個代碼漏洞，保護了超過 6000 億美元的數字資產免受損失。

Gate 安全團隊：Gate 安全部門負責平台帳戶、交易與資產安全體系的建設，也長期為機構客戶提供權限管理、API 接入和資產保管方面的支持。

Gate 成立於 2013 年，是行業內首家承諾 100% 儲備金的主流交易平台，目前服務全球超過 6100 萬用戶。我們希望通過《大門安全課》這個系列課程，把用戶可能遇到的這些真實風險背後的共同機制講清楚。

Q1. 機構管理錢包和個人管理錢包，最大的區別是什麼？機構的安全問題通常出在哪裡？和普通用戶相比，機構面臨的風險有什麼不同？

CertiK：最本質的區別是資產控制權的組織方式。個人錢包主要圍繞個人如何保管密鑰、識別風險和確認交易；機構則需要讓多個崗位、系統和外部服務商按照明確的授權共同管理資產，並承擔資產保管、業務連續性和合規方面的責任。資金規模會放大後果，而組織與系統之間的依賴關係會增加出錯的路徑。

個人用戶常見的風險包括助記詞洩露、釣魚和惡意授權。機構同樣面臨這些威脅，但還要重點防範權限過度集中、審批與實際交易脫節、終端或第三方軟件被入侵，以及人員串通和操作失誤。分析機構事故時，不能只停留在「私鑰洩露」這一結果，還要追查攻擊者如何接觸到密鑰，或者如何在沒有拿到密鑰的情況下誘導系統完成簽名。

2025 年發生過一起典型事件：攻擊者篡改了 Safe 錢包前端，使簽名者看到正常轉帳信息，卻實際簽署了一筆替換錢包實現合約的惡意交易。多名簽名人完成了有效簽名，資產仍然被轉走。這說明，需要核對的不只是「有多少人簽了名」，還包括他們看到的、批准的和最終簽署的，是否真的是同一筆交易。

因此，評估機構安全時，需要沿著「誰提出指令、誰確認內容、誰能簽名、誰能修改規則」逐層檢查，判斷這些控制是否真正相互制約。

Gate 安全團隊：

個人錢包的安全模型會更好控制，措施都主要圍繞著不要讓助記詞洩露出去。

但機構的安全保障會更複雜，涉及到多簽、多人權限以及操作的頻繁程度。需要考慮如何讓不同崗位的人正常使用資金，同時又避免任何一個人能夠擅自轉走這筆錢。這兩件事的難度完全不在一個量級上。

從我們看到的公開安全事件來看，真正因為加密技術本身被破解而導致的事故非常少，更多的問題出在其他環節，大致可以分為三類。

第一類是使用的工具出了問題。比如，團隊使用的某個開源軟件、雲服務或開發工具被人動了手腳，那錢包風險也可能受到影響。

第二類是人的問題。包括有人冒充他人騙取權限、內部人員濫用權限，以及員工離職後，原來擁有的權限沒有及時收回。我們在第一期講到：攻擊者不一定要直接攻破系統，也可以想辦法接近有權限的人。而這個觀點在機構場景中同樣適用，攻擊者可能會通過招聘信息了解一家公司的技術情況，在代碼平台上尋找相關員工，或者在行業活動中與員工建立聯繫，整個準備過程可能持續數月。

第三類是流程的問題。比如，遇到緊急情況時跳過原本需要的審批，臨時開放的權限忘記收回，測試系統使用了真實業務數據，或者為了方便工作，把原本不該對外開放的內部工具直接暴露在互聯網上。

這些問題看起來都不複雜，但一旦發生在管理大量資產的機構中，就可能造成嚴重損失。

Q2. 機構通常會使用多簽錢包、MPC 託管和審批等方式來保護資產，這些方法分別能解決什麼問題？又有哪些風險需要注意？

CertiK：這三種機制回答的是不同的問題。多簽要求多把密鑰共同授權，降低單把密鑰失陷的風險；MPC 將簽名能力分散到不同密鑰份額，減少完整私鑰集中存儲和使用的風險；內部審批則決定一筆交易在業務上應不應該發生。機構真正要驗證的是：這三層控制在實際運行中能否彼此約束。

例如，多把密鑰如果由同一個團隊、同一套管理員權限控制，門限在形式上分散了，風險卻仍然集中。MPC 份額分別存放，也要看設備註冊、身份認證和恢復權限是否可能被同一人掌握。審批流程同樣如此：如果批准的是頁面上顯示的內容，而簽名系統接收的是另一筆交易，審批就無法約束資產轉移。

CertiK 在對 Gnosis Pay 事件的技術分析中發現，授權校驗模塊的缺陷使未經授權的交易被錯誤接受。這說明，評估不能止於密鑰和簽名算法，還要覆蓋身份認證、交易校驗、權限變更及恢復流程。

Gate 安全團隊：CertiK 提到的問題，也是我們在設計機構資產安全方案時重點考慮的。

在 Gate 自身的資產管理中，絕大部分資產放在多重簽名的冷錢包裡，離線管理、物理隔離；熱錢包採用多簽加多方安全計算，私鑰分布式管理，同時設定額度策略，一旦超過限額資產會立刻轉入冷錢包。

面向用戶時，我們也有不同的安全方案。比如說機構客戶，我們推出了 Gate Vault。Gate Vault 用的是 MPC 加 2-of-3 的簽名結構，簡單來說，Gate Vault 會把密鑰拆成三份，分別由用戶的設備、Gate 和一家獨立的第三方保管。完成交易需要滿足規定的授權條件，任何一方都無法單獨控制用戶的資產。

此外，Gate Vault 還設置了 48 小時的轉帳延遲期。所有從 Vault 發起的轉出，都要經過 48 小時的延遲期，在這段時間裡用戶可以主動凍結這筆交易。因為在機構場景裡，誤操作和被脅迫簽署也是真實存在的情況，所以延遲到帳的價值就在於給這些情況留了一個窗口期。

Q3. 機構應該如何建立一套完整的安全管理體系？哪些環節最容易被忽視？

CertiK：機構應圍繞一筆交易建立連續的控制：發起時核實業務目的、對手方、地址和限額；審批時讓相關人員看清交易的實際含義，並確保審批結果對應最終待簽的內容；簽名與託管階段保護密鑰、設備和操作權限；執行後監控異常交易，完成鏈上記錄與內部帳目的核對。每一步都需要明確責任人，也要留下能夠相互對應的記錄。

最容易被忽視的是那些不直接轉帳、卻會改變資產控制權的操作，例如修改收款地址白名單、提高限額、更換簽名人或更新錢包軟件。恢復流程同樣需要單獨設計和演練：關鍵人員離職、設備損壞或服務商中斷時，機構必須能夠恢復控制，同時保留必要的多人授權，不能讓備用路徑成為日常權限管理的漏洞。

Gate 安全團隊：在 Gate，機構通常可以通過主帳戶和子帳戶來管理資金，再為不同崗位的員工設置不同的操作權限。比如，有人只能查看帳戶，有人可以進行交易，還有人負責審批。這樣既能滿足日常工作需要，也能減少不必要的資金風險。

針對資產管理機構，我們還提供了專門的託管子帳戶。它主要解決一個問題：投資人希望把資金交給專業團隊操作，但又希望對方拿走資金。具體來說，投資人創建託管子帳戶後，無法自行創建用於程序操作的 API Key；交易團隊可以按照約定執行交易策略，但沒有提現權限。與此同時，在雙方合作期間，投資人也無法查看交易團隊的持倉、掛單和歷史記錄，避免交易策略被洩露。

在更具體的 API 安全設置上，因為機構的大部分操作是程序化完成的，人工下單只佔很小一部分。所以我們的 API Key 支持細粒度的權限配置，讀取、交易、提現可以分開設置。

Q4. 監管機構在評估一家平台或一個項目時，最關注哪些安全和合規問題？

CertiK：監管機構首先要判斷，平台能否持續控制資產、保持關鍵服務運行，並在風險發生時說明問題是如何發現和處理的。對於交易平台，這涉及客戶資產保管、帳目核對、權限管理、反洗錢和事件處置；對於央行數字貨幣系統，發行與帳本的完整性、支付連續性及故障後的精確恢復更加關鍵。兩類系統的業務不同，但都需要可測試、可覆核的證據。

這也是 CertiK 近期與吉爾吉斯央行合作所涉及的實際問題。雙方簽署的備忘錄擬圍繞數字索姆安全評估、形式化驗證、網絡安全與運營韌性，以及數字資產監管、反洗錢和託管等方向開展交流與探索。落實到評估時，監管方需要看到具體結果：關鍵權限由誰掌握，高風險問題是否整改，異常交易如何處置，故障演練後服務和帳目能否恢復。

Gate 安全團隊：

CertiK 提到的這些問題，也是我們在不同國家和地區申請、維持相關牌照時的切身感受。

大家平時談到平台安全，往往更關注技術是否先進。但從監管角度來看，還有一個非常重要的問題：用戶的錢和平台自己的錢，是否真正分開管理？ 一旦發生問題，能不能清楚地查明每筆資產屬於誰？

這也是儲備金證明的重要意義。對普通用戶來說，它可以幫助大家確認平台是否有足夠的資產償還用戶餘額；對監管機構來說，它也是檢查平台資產管理情況的重要依據。

以 Gate 為例，平台是首家使用默克爾樹和零知識證明技術，讓用戶能夠驗證自己的資產是否被計入，同時兼顧用戶信息的保護。最新一期數據顯示，Gate 的總儲備金為 86.88 億美元，整體儲備率為 118.49%。其中，比特幣儲備為 25,727 枚，儲備率為 121.60%；以太坊儲備為 449,042 枚，儲備率為 123.78%。

簡單來說，儲備率超過 100%，意味著平台披露的對應資產儲備超過了用戶的相關資產餘額。

Q5. 機構在選擇資產交易平台時，應該如何判斷平台是否安全？有哪些信息可以自己檢查和驗證？

CertiK：機構選擇平台時，先要弄清安全證據是否覆蓋自己實際使用的服務、系統和版本。審計報告評估了哪些組件？發現的問題是否整改？誰能轉移資產或修改關鍵權限？如果涉及託管，還應了解密鑰控制、資產核對、備份恢復和第三方依賴如何運作。

在 CertiK，我們通過 Skynet 把複雜的鏈上、鏈下信號整理成更直觀、持續更新的評分。以 Web3 項目為例，評分從代碼安全、基本面健康度、運營韌性、社區信任、市場穩定性和治理能力六個維度呈現信息，幫助機構快速找到值得進一步核查的風險點。機構還可以在 Skynet 查看項目已公開的 CertiK 審計報告、具體發現及處理狀態，再核對報告範圍是否與當前部署版本相符。交易所和錢包有各自適用的評估信息；對於公開頁面無法說明的內部權限和託管安排，機構仍應要求平台提供材料，並通過盡調或受控測試驗證。

Gate 安全團隊：我們認為，機構可以從以下幾個方面檢查一個平台的安全情況。

第一，看儲備金。以 Gate 為例，平台公開了儲備金驗證程序的源代碼，用戶可以在 GitHub 上查看和下載。結合自己對應的驗證數據，就可以在本地檢查自己的帳戶餘額是否被正確計入。

第二是漏洞賞金計劃。簡單來說，就是平台是否願意付錢，請外部安全研究人員幫忙找出系統漏洞進行定期優化。可以關注計劃是否長期運行、獎勵是否合理，以及發現問題後平台是否及時回應。比如 Gate 長期運行安全漏洞賞金計劃，歡迎全球的安全研究人員提交發現的問題。

第三是牌照。機構需要確認平台在哪些國家和地區獲得了相關許可，牌照對應的是哪家公司，以及目前是否仍然有效。需要注意的是，擁有牌照不代表平台絕對安全，但意味著平台需要滿足相應地區的監管要求。

Q6. 對一家剛開始配置加密資產的機構來說，最應該優先做哪些事情？

CertiK：先確定配置目的和風險邊界：持有哪些資產，通過哪些平台、鏈和交易對手開展業務，單筆及總體敞口控制在什麼範圍。隨後明確誰負責發起、審批、簽名、對帳和異常處置，並決定自託管、第三方託管或兩者結合時，各方分別掌握什麼權限。

首次轉帳前，還應核實收款方及地址。CertiK 在關於機構數字資產交易對手的研究中強調，一個鏈上地址本身不能證明背後是誰、由誰控制；地址控制權、風險歷史和交易對手情況需要結合起來核查。完成平台盡調後，機構可以用小額試點走通交易、提現和對帳，並演練設備故障或服務中斷時的處理，再依據結果逐步擴大規模。

Gate 安全團隊：對剛開始配置加密資產的機構，我們有四個建議。

第一，不要把雞蛋放在同一個籃子裡。日常交易需要的錢、中期備用的錢，以及長期不打算動用的錢，應該分別管理，並設置不同的使用額度。這件事最好在開戶之前就規劃好，否則等業務已經開始運行，再調整資金管理方式就會困難得多。對於長期不需要動用的資產，也可以考慮使用帶有 48 小時延遲轉出機制的託管方案，多一道檢查時間，能夠為處理異常情況留出餘地。

第二，把不同的操作交給不同的人。發起轉帳、審批轉帳和實際執行轉帳，最好不要全部由同一個人完成。通過子帳戶和員工權限設置，就可以實現基本的分工，不一定需要額外開發系統。

第三，嚴格管理用於程序操作的密鑰。默認不要開放提現權限，每個密鑰都要有明確的用途和負責人，並提前規定什麼時候需要收回或刪除。

第四，選擇平台之前做好背調檢查。比如前面聊到的儲備金是否可以驗證、資金由誰保管、有沒有漏洞賞金計劃，以及相關牌照是否有效，這些都應該提前了解清楚。

從個人錢包到機構資產，管理的資金越多，參與的人越多，需要考慮的風險也就越複雜。但無論面對什麼樣的場景，安全的核心始終是提前發現風險，並盡可能避免損失真正發生。

這也是《大門安全課》希望傳遞的理念：安全不應該只在問題發生後才被重視，而應該成為每一次操作、每一個決策中的習慣。

感謝 CertiK 與 Gate 安全團隊的分享，我們下期《大門安全課》再見！

免責聲明

本內容不構成任何邀約、招攬、或建議。您在做出任何投資決定之前應始終尋求獨立的專業建議。請注意，Gate 可能會限制或禁止來自