Web3安全专家:区块链项目亟需加强基础安全防护
随着朝鲜"ClickFake"网络攻击活动再次引发对加密货币公司网络安全的关注,安全专家指出,Web3领域最大的安全漏洞并非智能合约,而是人为因素。Oak Security董事总经理Jan Philipp Fritsche向媒体表示,大多数区块链项目甚至缺乏最基本的操作安全标准。
朝鲜网络攻击活动引发关注
据悉,朝鲜黑客组织Lazarus Group正在开展一项名为"ClickFake Interview"的网络攻击活动,专门针对加密货币专业人士。该组织通过LinkedIn和X平台伪装成招聘人员,诱骗受害者参与虚假面试,借机传播恶意软件。
这款名为"ClickFix"的恶意软件使攻击者能够远程访问并窃取加密货币钱包凭证等敏感数据。研究人员表示,Lazarus组织使用逼真的文件和完整的面试对话来增强可信度。
Web3项目面临的安全挑战
Fritsche指出,大多数去中心化自治组织(DAO)和早期团队仍然依赖个人设备进行开发和Discord聊天,这使他们容易受到国家级攻击者的威胁。与传统企业不同,许多DAO无法强制执行安全标准。
"目前无法强制实施安全规范,"Fritsche表示,"太多团队,尤其是小型团队,忽视了这一点,只是寄希望于最好的结果。"
Fritsche强调,即使是设备安全的假设也可能存在缺陷。对于高价值项目而言,这意味着开发人员永远不应该拥有单方面将更改推送到生产环境的能力。
传统金融的安全启示
Fritsche建议:"公司发放的具有有限权限的设备是一个良好的开端,但还需要设置安全机制——任何单一用户都不应该拥有这种控制权。"
他进一步指出,传统金融领域的经验教训是:在证明不存在风险之前,每个风险都被视为真实存在。"在传统金融领域,你甚至需要一张门禁卡才能查看收件箱,"Fritsche说,"这种标准的存在是有原因的。Web3需要迎头赶上。"