《UP牛来啦》你不知道的安全潜规则

《UP牛来啦！》 你不知道的安全潜规则

《UP牛来啦！》是UP链参于2020年新的线上访谈节目。主题：你不知道的安全潜规则

UP链参3月4日为大家邀请到的嘉宾是慢雾科技创始人余弦、imToken首席安全官Blue、RenrenBit联合创始人王威，带来了干货满满的精彩分享。

以下是访谈实录（经编辑整理）

UP链参修涤（主持人）：首先请三位老板做一个简单的自我介绍。

余弦(慢雾科技创始人)：

我是慢雾科技创始人余弦，慢雾科技是一家专注区块链生态安全的公司，是国内成立最早且比较国际化的区块链安全公司，

Blue（imToken首席安全官）：

大家好，我是Blue，目前在imToken任职首席安全官，负责公司整体的安全。imToken是一款去中心化的多链钱包，安全的首要一点就是坚持去中心化、让用户自己完全掌控私钥和资产，目前我们已经将钱包核心的代码开源：https://github.com/consenlabs/token-core，期望对区块链的发展贡献我们自己的一份力量；

同时发起了开源漏洞赏金计划：https://github.com/consenlabs/token-core/security/policy，也更新在了慢雾区平台上：https://slowmist.io/imtoken/index.html；奖金丰厚，欢迎并感谢大家帮我们一起加强安全。

王威（RenrenBit联合创始人）：

大家好，我是RenrenBit的联合创始人，RenrenBit目前是亚洲区域服务客户最多、业务规划最大借贷为主的区块链金融服务平台。除了RenrenBit之外，我们旗下还有istring 资金托管平台，另外最近开源了hd钱包，rrwallet.org

UP链参修涤：感谢三位老板今天抽时间来为大家答疑解惑，以下我们进入问答环节

问题一：最近交易所频繁出事，巨鲸用户丢币，安全问题越来越引起大家的关注，三位嘉宾能从各自领域说下对安全问题的认知？以及各自公司是如何保证安全？

余弦(慢雾科技创始人)：

首先我提个概念：安全的本质是信任，安全的核心是攻防对抗，攻防的核心又是成本对抗。安全不是绝对的：从来不存在一家100%安全的公司或项目；安全是动态的：随着业务的发展也可能会引入新的安全问题。我们在安全攻防领域从业了十多年，以前我们谈安全最小化原则或信任最小化原则，但这几年在区块链行业，有大量有价值的加密货币，地下黑客盗币后溯源是个棘手的事，又严重缺乏国家法律力量的安全保障，我们需要有更强有力的安全框架来指导我们的安全工作，这个安全框架就是：零信任安全架构。

这要求我们的系统与系统之间，系统内部各功能模块，甚至我们的人员，默认都互相不信任。这个默认不信任不是一上来就要怀疑谁，而是出安全问题了，我们能很快知道问题所在，能把攻击在业务的每一步都设置好阻拦点，能快速止损，这样就不会导致出安全问题，我们要互相怀疑。大家都知道信任感的建立是个艰难的过程，而坍塌又可以来得非常的快，这对团队的打击是很大的。

Blue（imToken首席安全官）：

关于安全问题的认知：在区块链的世界，安全问题带来的最明显的体现就是资产丢失，被盗、被骗等，而且就目前的环境来讲很难有效追回，是痛中之痛。所以相较于其它行业，区块链从业者和用户需要更高等级的安全意识，包括对私钥、助记词的安全保管，手机或电脑的安全使用，大额资产使用硬件钱包等。对于区块链项目方，产品运行的服务器环境是否安全、产品研发流程上是否有安全方面的审计、资产管理是否有硬件加密存储等，都是避免出现安全问题和降低发生问题后资产损失的重点。

关于imToken如何保证安全，可以分几个层面来讲：

1.?产品安全，像之前说到的，我们安全部门的工作嵌入到了产品流程当中，研发时每次提交Code audit，功能上线前进行安全测试，上线后有时时的安全监控，重大产品发布上线还会和第三方安全公司有审计合作，还有开放的漏洞赏金计划，可以说是从内到外全方位的安全保障。

2.??办公安全，包括办公环境及人的安全；办公环境上不必多说，可以建议一点，尽量选择安全的办公软件及解决方案，如企业邮箱、会议聊天、文档存储等（推荐Google Suite）；员工层面，从员工入职到离职会有整体的安全培训及安全处理流程，当然背调也是安全的一方面；针对我们自身的安全意识也会时常进行没有防备的社工测试，简单有效。

3.?用户安全，这是做钱包最重要的方面，在产品上imToken有完善自建的用户风控系统，通过自身的数据积累及对接优秀的行业第三方数据（如慢雾AML），在用户转账及DApp操作等时提醒或阻断操作来避免用户受到恶意黑客、诈骗等的侵害。同时我们有专门的用户安全小组，来及时处理用户安全事件，并通过文章连载、社交渠道预警、App内通知等对用户进行安全教育和提醒。

王威（RenrenBit联合创始人）：

我先谈谈对安全的认知，在这个行业里，安全是每家企业的生命线。如果安全不做好，用户隐私信息泄漏了，币丢了，这些是每家企业都无法承受的打击。无论你的业务做的再好，安全是根本！

另外 我谈谈 我们如何保障安全的，首先 安全必须是公司最高层高度重视的，这是先决条件，我们renrenbit第一行代码没有写的时候就找慢雾谈了安全深度合作。另外在安全资金投入层面，这两年 我们的安全预算在IT预算占比 从20%上升到50%以上，只有投入的资金够，安全才有保证。第二 除了高层重视外，各个部门都需要背KPI，30%的KPI，安全这个事不是一撮而就的，需要持续的规划 升级安全强度，即便如此，也不可能100%的没有安全事故出现。

修涤问题二：DeFi近期bZx被爆遭到“攻击”，“攻击者”操纵多个DeFi项目上的代币价格，从而实现15秒内套利36万美元。这次套利中，“攻击者”利用了DeFi上最新的闪电贷（flashloans）功能。闪电贷是什么？这次攻击是如何实现的？DeFi应该如何避免攻击问题。

余弦(慢雾科技创始人)：

先简单聊聊闪电贷，闪电贷这个玩意因为bZx事件更为大家所知。简单理解下闪电贷：就拿以太坊上的智能合约举例，就是在一笔交易内发生的贷款一系列操作（从借贷到某些动作最终到偿还），都是在一笔以太坊的交易内完成，可以理解为这是一笔特殊且相对复杂的交易，通过智能合约来搞定。而以太坊区块打包是差不多15秒，所有的动作都在这15秒内完成，如果最终贷款没偿还，交易会回滚。这种特性，让DeFi生态更具有想象力。

简单总结下攻击的关键点：

1.?闪贷存在的好处是让攻击者可以有足够的前期资金，这些资金可以省去很多麻烦，因为不是自己的不用担心被中心化交易所反洗钱冻结

2.?闪贷拿到的前期资金只有十几秒内的存活期（以太坊区块打包的时间），需要在一笔复杂交易内完成攻击（花完+偿还），虽然只有十几秒，但是足够了，复杂交易里的所有动作都在目标智能合约里自动完成

3.?预言机是个关键，没有稳定健壮的预言机，再结合闪贷的前期资金的攻击，价格会出现比较大的浮动，这给了攻击者在十几秒的一次攻击里带来最终的利润。

谈下防御：整体来看，这种攻击不仅仅是目标智能合约项目（如bZx）系统内的问题，还包括系统外的问题，在我们看来可能不存在最完美的防御方式，但一个可靠稳健的价格锚定体系非常的关键。

Blue（imToken首席安全官）：

我们imToken公众号上有一篇比较详细的文章《什么是「闪电贷」？如何利用它在 13 秒内套利 36 万美元？》

关于避免攻击问题：在这里提一个方面，做好价格保护，攻击的原理实质上是价格被操控导致波动的有利可图，那DeFi项目方在这种价格剧烈波动时应该及时发现并止损，或者对大额交易有安全的限制策略。

修涤问题三：借贷业务是如何保证资金的安全性，和平台的透明性？

王威（RenrenBit联合创始人）：

我先详细说说 我们是如何保证资金安全的，RenrenBit有四句方针第一用户隐私信息不泄露。第二异常行为早拦截。第三提出去的币没问题。第四进来的币是安全的。

第一renrenbit的安全的所有动作，都围绕这句话展开的。从安全部门?和 慢雾 安全合作伙伴角度，主要帮助我们防护?来自外部的渗透、安全规划?和 紧急事件响应 和 红蓝对抗。今年我们会很重视红蓝对抗，只有模拟真实的攻击?才能验证 我们的防护能力 和应急响应能力。

第二 从 企业钱包角度，这块 主要 分offchain和onchain，冷热温包括运营钱包，需要把资金分维度 分层的 分散掉，既能保证用户提币速度也能保证安全。这里面重要的是需要把流程定义清楚 角色定义清楚，安全部门从中识别关键流程点 进行重点风控。举个例子，如果冷钱包突然转币到一个非合规地址，这个时候风控系统就应该马上识别到 然后拦截。

第三我们的研发流程，其实安全这件事?90%以上的问题 来自于低级错误。

第四?就是在运营层的风控防护。如果cmc数据被篡改了会怎么样？我相信90%的公司遇到这个问题都是没有办法的，所以?不要相信单一渠道，除了cmc 还需要自己引入其他渠道进行对比。

我再谈一谈透明的问题，目前中心化平台，好处就是体验好，没有那么多gas损耗 速度又快。但很大的问题是?因为不透明 很多平台会私下挪用用户的资产，14年门头沟倒闭的很大问题，不是因为黑客而是因为平台伪造数据?动用了用户的币。

所以我们就推出100%准备金透明，意思就是 平台准备金/用户资金 大于100%，

这样不会出现用户挤兑的问题，同时 我们基于梅克尔树 数学算法，公开了 我们的链上地址的资产 和 数据库里每个用户的资产，当然用户信息只会透露hash。

我们在官网上提供了 这个证明的方案 源代码 以及 验证工具，只要你在renrenbit存入一些btc 就可以验证 我们是不是100%准备金，目前来看 这是最好的透明方案。

余弦(慢雾科技创始人)：

RenrenBit我觉得做得好的在于，从上到下有安全基因，零信任安全架构是他们的安全实施框架。因为慢雾科技在RenrenBit创建起就进行了深度全面的安全服务，作为一家第三方中立的安全公司，我们可以在一些程度上证明起资产透明性，当然由于RenrenBit早就开放了证明方法，大家也都可以去验证。

修涤问题四：对于近期央行发布《金融分布式账本技术安全规范》各位是否可以从各自领域的角度出发进行解读？

余弦(慢雾科技创始人)：

央行发布的《金融分布式账本技术安全规范》，我第一时间看了，挺好的，不过我们可以理解为更多是在联盟链的场景，约束了挺多内容，安全、隐私、保密、监管、治理、应急等等最终都是自主可控。这确实只是一种行业规范，一种比较全面框架化的规范，可以作为参考。但在具体执行上还有很多内容需要细化或标准化。

Blue（imToken首席安全官）：

对区块链从业者来说肯定是重大利好，在规范下做事情有据可依减少风险，也能更好地为用户资产保驾护航。

王威（RenrenBit联合创始人）：

参与起草这个规范的 都是 银行 还有互联网金融巨头，国家推动这个规范落地应该是希望 借助区块链技术 来打通各个企业的数据，更透明 更易于监管。另外 一套社会用户信用体系，这是国家非常看重的。

修涤问题五：放在交易所里的币安全么？交易所会挪用你的币么？去中心化交易所会比中心化交易所安全么？

余弦(慢雾科技创始人)：

哪有绝对的安全呢？没有强监管或透明监管下的交易所，会不会挪用你的币，如何去说呢？去中心化和中心化交易所场景其实很不一样，没什么可比性，脱离场景谈安全不靠谱，安全方面，各有问题。

Blue（imToken首席安全官）：

1.?放在交易所里的币安全么？ 推荐选择知名交易所，有品牌保障和赔付能力。

2.?交易所会挪用你的币么？中心化的交易所对用户资产100%掌控，是否挪用还是要看交易所本身是否想挪用，多看一些交易所历史事件就了解了，对了这方面RenrenBit的100%资产证明值得借鉴。

3.??去中心化交易所会比中心化交易所安全么？去中心化交易所并不掌握用户私钥，从这点上来说不存在跑路（跑路不影响用户资产）或挪用（没有权力挪用）风险。

王威（RenrenBit联合创始人）：

首先 绝大多数用户自己管理不好私钥，另外 中心化交易所有非常好的体验，所以大多数用户都是使用中心化交易所，那么就和blue说的 选择 推荐选择知名交易所，有品牌保障和赔付能力。

2. 交易所会挪用你的币么？这个除了像我们RenrenBit做100%准备金透明外，你只能相信各交易所老板的人品了。

3. 去中心化交易所会比中心化交易所安全么？私钥在自己手里 不存在跑路，但很多人管理不好自己的私钥。

修涤问题六：那么交易所应该怎么保障自身资产安全以及用户资产安全？

余弦(慢雾科技创始人)：

这是个非常复杂的话题，我简单说说，前面提到零信任安全架构核心目的是围绕资产安全和用户隐私安全。这里我正好有一个图可以分享下

我们看看地下黑客的攻击手法，才好说去做防御。首先一个我们公开过的统计：慢雾科技公开的被黑统计（hacked.slowmist.io）都是已披露且是项目方的场景，至今被黑金额有 90 多亿美金，其中交易所占了 45 多亿，50%，这个比例是很可怕的了，一半的被黑都来自交易所。而未被披露的更多，根据我们内部数据统计，已披露被黑事件占未披露的大概是 1/3。

造成这些被黑事件的主要原因有几个：

1. 跟随加密货币大生态的发展，地下黑客职业军团相继出现。

2. 加密货币相关项目方或个人的安全意识及安全体系化建设经验还相对滞后，这给了地下黑客足够多的入侵机会。

3. 由于金钱魔力，内鬼作案是个比较普遍的现象。

之前的一个总结，我直接发出来，大家也可以看看，主要的几个攻击手法：

1. 内鬼作案。确实在金钱魔力面前，人性经不住考验，而许多交易所的内部安全风控建设工作又过于缺失，这促使了内鬼有足够动机作案，导致被盗币。

2. 假充值漏洞攻击。一些交易所在对接的各种公链或代币上的安全经验不足，导致充值环节中出现假资金情况，但交易所系统却认为是真的，导致被盗币。

3. APT 攻击。职业的地下黑客通过高级钓鱼及木马植入，层层渗透最终拿到交易所的私钥权限，导致被盗币。

4. 供应链攻击。交易所使用的第三方组件被黑植入了恶意代码，从而间接影响了交易所的安全防线，导致被盗币。

5. 粗心大意。由于交易所内部人员的安全意识缺失，本不该暴露的系统缺陷暴露了，给了地下黑客可乘之机，导致被盗币。

上面分享的那张图，大家可以对应着看，其实安全工作内容很多。任何环节都可能带来致命的安全问题，这就是我们为什么总强调：零信任安全架构。

交易所内部的安全逻辑与被黑重点，注意越红的越是需要注意的

链上链下的威胁图

Blue（imToken首席安全官）：

交易所做好自身的产品、保护好自身的资产不受损失即是对用户负责，使用硬件来管理私钥、做好冷热隔离、对账、风控系统等都是必要手段。

UP链参修涤问题七：资产放在钱包里是否安全？市面上的钱包应该如何选择？

余弦(慢雾科技创始人)：

没有绝对的安全，但安全确有相对，我们肯定会选择品牌口碑好的，安全建设能力强的钱包。

我眼中安全且强大的硬件钱包：

1. 支持的主流币种最好是要足够的多，省心也很重要，一个人手里的硬件钱包原则上不超过两种，而且真安全的硬件钱包其实也很少

2. 硬件层面使用的相关硬件模组都是国际顶级标准且生产及发货供应链也是顶级

3. 固件绝对不是基于安卓改改，根本改不过来，固件和硬件模组的耦合安全设计绝对得一流

4. 硬件使用蓝牙、USB 等对外通信模组都是最新安全标准工艺

5. 硬件钱包最好有屏幕，方便转账出去时用户肉眼确认目标地址的正确性，因为这块会出现目标地址被劫持替换的情况，比如旧版的 Electrum、一些主流币种配套的在线 Web 环境等等

6. 配套硬件钱包使用的联网电脑或手机环境保证纯洁单一，没把握的，就别在其他环境下混用

7. 硬件钱包如果能支持多签也是个不错的安全管理方式，而多方计算在硬件钱包上的支持估计还很有路要走

8. 助记词记录和保管甚至共管上的设计能引入 SSSS 实践那会更好

9. 也别忽视了硬件钱包的物理安全，不能被轻易破坏，破坏了也不能完美复原，更不能最终解出私钥明文

10. 别忽略的固件及配套软件的升级安全机制，也许会带来未来的安全问题

11. 硬件钱包安全团队拥有足够实力剖析同行的不足，且披露得到业内广泛技术口碑

12. 私钥生成、存储到使用，私钥的几乎绝对安全性，这个是最基本要求，这都做不到，上面的那些点就不用费劲了

13. 开源

Blue（imToken首席安全官）：

理论上来讲资产放在钱包（这里指去中心化钱包）里会更安全，毕竟是自己完全掌控资产。imToken+imKey硬件钱包，自己深度跟进安全质量也一直在用，安全放心。

当然其它优秀的钱包也值得选择，但强烈建议大家有条件的话能上硬件钱包，私钥永不触网很重要。

王威（RenrenBit联合创始人）：

imToken目前应该是全球用户规模最大的HD钱包了，blue和我分享过几次他们在安全上的思考，作为个人来说 我是推荐imtoken的。另外 我推荐一下rrwallet推荐理由，第一 是我们自己开发出来 自己在用，几个亿的资产放在里面。第二 我们开源了，而且我们用的版本也是从开源git上拉的，因为做到了代码全部透明，大家可以试用也可以在上看做二次扩展。我们遵循MIT开源协议。

修涤问题八：私钥应该如何保存？

Blue（imToken首席安全官）：

抄在纸上放在只有自己知道的地方，还有硬件钱包的附属品助记词密盒也不错，关键是不要让其它任何人知道。

王威（RenrenBit联合创始人）：

推荐看看这两篇文章。

https://www.voosay.com/artical/20583235902582651

https://www.voosay.com/artical/20583235483712610

自由问答：

问：只存助记词不存私钥，是不是不够安全？

Blue（imToken首席安全官）：

助记词本来就是为了帮你记住私钥而存在的，两者可存其一，足够了。换言之，你存了两份，丢的可能性也增大了。私钥是你的一切，助记词等同。

问：有些助记词在各个钱包间并不通用，私钥会不会更加通用一些呢？

Blue（imToken首席安全官）：

助记词是行业规范，不通用的钱包证明代码规范实现上存在问题。

问：代码开源，是不是方便了黑客，更容易攻击呢？

Blue（imToken首席安全官）：

开源会让大家让关注你的代码，让漏洞无处遁形，但也会被利用，所以要有足够的审计和奖励机制来保障。

问：最近又出现了木马程序威胁区块链安全，想问下怎么避免中毒或账号被盗？

Blue（imToken首席安全官）：

提高自身的安全意识，不点莫名的链接，不随意下载文件，不去一些乱七八糟的网站。另外，账号密码管理推荐1Password。

王威（RenrenBit联合创始人）：

账号一定要开二次验证。

余弦(慢雾科技创始人)：

我分享个多年前的一个总结 https://evilcos.me/yinsi.html 一直默默低调地挂在我的个人blog上 对个人安全加强有帮助。这篇虽然没列加密货币有关的 但很多技巧是通用的 供大家参考。

感谢以下媒体的支持

添加新手交流群：币种分析、每日早晚盘分析

添加虎哥微信，一对一亲自指导：hugelunbi02

—-

编译者/作者：UP链参

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。