Bybit 15 億美元被盜事件引發(fā)行業(yè)深思：多簽錢(qián)包安全漏洞與解決方案

Bybit 15 億美元的駭案震驚全球，暴露出多簽錢(qián)包（如 Safe）的安全隱患。神魚(yú)指出，多簽錢(qián)包依賴(lài)的前端、硬件、瀏覽器等基礎(chǔ)設(shè)施存在薄弱環(huán)節(jié)，尤其是前端篡改和盲簽問(wèn)題，導(dǎo)致交易意圖與實(shí)際操作不一致，為黑客提供了可乘之機(jī)。為此，他提出了域名白名單、交易解析插件等臨時(shí)方案，并倡導(dǎo)端到端閉環(huán)風(fēng)控體系，結(jié)合 AI 與第三方校驗(yàn)，提升安全性。

神魚(yú)首次分享了個(gè)人去年被釣魚(yú) 1.2 萬(wàn)個(gè) ETH 的經(jīng)歷，強(qiáng)調(diào)硬件錢(qián)包盲簽風(fēng)險(xiǎn)，呼吁行業(yè)采用分層分權(quán)、零信任架構(gòu)，并加強(qiáng)安全文化建設(shè)。他還提到，面對(duì)國(guó)家級(jí)黑客攻擊，行業(yè)需通過(guò)技術(shù)迭代和安全意識(shí)提升來(lái)應(yīng)對(duì)挑戰(zhàn)。最后，神魚(yú)展望了 AI 與 Crypto 的結(jié)合前景，認(rèn)為未來(lái) AI Agent 可能在區(qū)塊鏈網(wǎng)絡(luò)中扮演重要角色，推動(dòng)行業(yè)創(chuàng)新。

域名白名單與交易解析插件：臨時(shí)方案應(yīng)對(duì)安全漏洞

多簽錢(qián)包目前依賴(lài)多家開(kāi)發(fā)的基礎(chǔ)設(shè)施和中間服務(wù)，這些應(yīng)用和硬件技術(shù)之間的交互存在 bug 和薄弱點(diǎn)，導(dǎo)致大額安全事故頻發(fā)。神魚(yú)指出，盲簽和前端到桌面的插件到硬件的連接是最薄弱的環(huán)節(jié)。為此，他提出了域名訪問(wèn)白名單和交易解析插件等臨時(shí)方案，以防范釣魚(yú)攻擊和二維碼篡改。

端到端閉環(huán)風(fēng)控體系：AI 與第三方校驗(yàn)提升安全性

神魚(yú)強(qiáng)調(diào)，行業(yè)需要端到端的解決方案，而非簡(jiǎn)單的組合。他倡導(dǎo)引入獨(dú)立第三方，結(jié)合 AI 與第三方校驗(yàn)，建立端到端閉環(huán)風(fēng)控體系，從交易發(fā)起解析、風(fēng)控審核到簽名，全方位提升安全性，以應(yīng)對(duì)國(guó)家級(jí)黑客的長(zhǎng)期滲透攻擊。

硬件錢(qián)包盲簽風(fēng)險(xiǎn)：分層分權(quán)與零信任架構(gòu)

神魚(yú)分享了自己被釣魚(yú)的經(jīng)歷，強(qiáng)調(diào)硬件錢(qián)包盲簽的風(fēng)險(xiǎn)。他認(rèn)為，應(yīng)對(duì)此類(lèi)風(fēng)險(xiǎn)，需要引入分層分權(quán)、零信任架構(gòu)，并加強(qiáng)安全文化建設(shè)。同時(shí)，硬件錢(qián)包需要實(shí)現(xiàn)軟硬件一體化，引入獨(dú)立第三方進(jìn)行驗(yàn)證和攔截報(bào)警。

“山寨幣”現(xiàn)象消失：缺乏驅(qū)動(dòng)力與期待

神魚(yú)認(rèn)為，“山寨幣”行情的短暫是因?yàn)樾袠I(yè)缺乏像 2020 年、2021 年那樣清晰的落地應(yīng)用和真實(shí)需求場(chǎng)景。大量玩家留在傳統(tǒng)美股市場(chǎng)，資金未流入加密市場(chǎng)，導(dǎo)致“山寨幣”缺乏溢出效應(yīng)。他期待市場(chǎng)在下半年通過(guò)美國(guó)國(guó)家儲(chǔ)備層面的決策，吸引更多新增資金。

歷史被盜案例總結(jié)：應(yīng)對(duì)國(guó)家級(jí)黑客需分層分權(quán)、零信任架構(gòu)與安全文化滲透

幣圈歷史上被盜案例頻發(fā)，此次 Bybit 事件更是創(chuàng)下紀(jì)錄。神魚(yú)指出，面對(duì)國(guó)家級(jí)黑客，行業(yè)需采用零信任模型，分層、分權(quán)、分散管理私鑰，并建立安全生命周期的閉環(huán)管理，才能在高風(fēng)險(xiǎn)攻擊中生存下來(lái)。

合規(guī)交易平臺(tái)安全投入更多，離岸交易平臺(tái)因增長(zhǎng)壓力大，安全措施不足

合規(guī)交易平臺(tái)如 Coinbase 在安全投入上更為重視，而離岸交易平臺(tái)因增長(zhǎng)壓力大，往往在安全措施上有所欠缺。神魚(yú)認(rèn)為，隨著行業(yè)發(fā)展，大家逐漸意識(shí)到安全的重要性，安全投入也會(huì)越來(lái)越多。

創(chuàng)業(yè)者安全建議：實(shí)踐零信任模型、多審計(jì)交叉驗(yàn)證、定期安全演練

對(duì)于初創(chuàng)項(xiàng)目，神魚(yú)建議實(shí)踐零信任模型，進(jìn)行多審計(jì)交叉驗(yàn)證，定期進(jìn)行安全演練，并利用安全監(jiān)控和風(fēng)控體系，提高生存概率。他強(qiáng)調(diào)，創(chuàng)業(yè)者在安全和內(nèi)部零信任架構(gòu)上應(yīng)花費(fèi)不少注意力，并建立安全文化和制度。

不參與本輪 Memecoin：身體不適、聚焦 AI

神魚(yú)表示，由于身體不適，他并未參與本輪 Meme 幣。他的注意力主要集中在 AI 上，認(rèn)為 AI 與加密貨幣的結(jié)合將帶來(lái)顛覆式變革，未來(lái) AI Agent 可能會(huì)成為區(qū)塊鏈網(wǎng)絡(luò)中的重要角色。

展望 AI 與 Crypto 結(jié)合前景：AI Agent 未來(lái)可能在區(qū)塊鏈網(wǎng)絡(luò)中發(fā)揮重要作用

神魚(yú)認(rèn)為，雖然目前 AI 自身能力尚未達(dá)到理想狀態(tài)，但 AI 的發(fā)展速度非?？?。未來(lái)，AI 可能會(huì)改變交互方式，并通過(guò)智能合約平臺(tái)進(jìn)行價(jià)值交換，形成類(lèi)似 Web 社交網(wǎng)絡(luò)或價(jià)值社交網(wǎng)絡(luò)的東西，為 AI Agent 提供應(yīng)用場(chǎng)景。

Safe 錢(qián)包盲簽問(wèn)題解決方案：企業(yè)簽工具 + AI 風(fēng)控 + 黑白名單管理

針對(duì) Safe 錢(qián)包的盲簽問(wèn)題，神魚(yú)團(tuán)隊(duì)即將發(fā)布 Safe 的企業(yè)簽工具，通過(guò)機(jī)器學(xué)習(xí)、黑白名單、風(fēng)險(xiǎn)控制模板、AI Agent 能力等，管理好風(fēng)險(xiǎn)，并結(jié)合 Cobo 的合約及參數(shù)控制方案，保障大額資金交易安全。

關(guān)于 Bybit 被盜事件中的錢(qián)包安全問(wèn)題的各安全專(zhuān)家觀點(diǎn)

BlockSec CEO 周亞金教授、OneKey 首席增長(zhǎng)官 Nig 及 Cobo 首席安全官 Moon 也對(duì) Bybit 事件發(fā)表了看法。他們指出，Bybit 事件是由于使用 Safe 合約錢(qián)包管理資金時(shí)操作與實(shí)際交易不一致，導(dǎo)致錢(qián)包被惡意升級(jí)、資金被盜。Safe 方案及合約本身較安全，但應(yīng)用時(shí)信任鏈條長(zhǎng)，易出現(xiàn)意外狀況。此次 Bybit 被攻擊大概率是外包層面問(wèn)題，而非合約問(wèn)題。Safe 錢(qián)包前端篡改頻發(fā)及主流多簽方案 Safe 的安全性需要進(jìn)一步加強(qiáng)。交易平臺(tái)和高凈值人群除使用合約錢(qián)包外，還應(yīng)建立人工對(duì)賬、監(jiān)控異常等嚴(yán)格機(jī)制，利用自動(dòng)化程序?qū)徍?，并提升安全意識(shí)，規(guī)避 Web2 攻擊。

原文鏈接 歡迎加入idea2003 BlockBeats 官方社群： Telegram 訂閱群：http://iy168.cn/theblockbeats Telegram 交流群：http://iy168.cn/BlockBeats_App Twitter 官方賬號(hào)：http://iy168.cn/BlockBeatsAsia