资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
Bybit黑客事件：给加密货币安全敲响警钟
Bybit遭遇的黑客攻击导致加密货币交易所史上最大规模的资金损失。这一事件为那些对数字资产领域安全威胁持自满态度的人敲响了警钟。我们必须从此次事件中吸取教训：企业级托管解决方案不仅需要技术支持，更需要透明度。
不同于以往的安全漏洞
与以往许多事件不同，这次资金损失并非源于智能合约故障、密钥丢失/管理不善或用户资金的故意管理不当或再抵押，而是利用了操作安全漏洞的复杂社会工程攻击。此次黑客攻击与早期事件不同之处在于，它发生在了一家重视安全和合规的大型全球交易所身上。这提醒我们，在加密货币领域，没有所谓的"足够好"的安全。
黑客攻击的技术剖析
了解Bybit攻击的技术细节对于企业如何主动加强安全防御至关重要。最初，由Safe（一家为Bybit提供多重签名以太坊钱包的资产管理平台）的开发人员机器遭到入侵。这次初始入侵使攻击者获得了未经授权访问Safe的亚马逊网络服务（AWS）环境的权限，包括其S3存储桶。
随后，攻击者将一个恶意的JavaScript文件推送到该存储桶中，该文件随后通过Safe的用户界面分发给用户。JS代码在用户签名过程中操纵了显示给用户的交易内容，有效欺骗用户授权将资金转移到攻击者的钱包，而用户却以为自己正在确认合法的交易。
这凸显了即使在技术层面上非常强大的安全性（如多重签名），如果实施不当，也可能存在漏洞。它们可能会让用户产生一种虚假的安全感，而这种安全感可能是致命的。
多层次安全体系
虽然多重签名安全设置长期以来被认为是数字资产安全的黄金标准，但Bybit黑客事件强调了对这些系统实施方式需要进行进一步分析和透明化的必要性，包括现有的安全层次，以减轻利用操作安全漏洞和人为因素进行的攻击，以及对智能合约本身的验证。
保护数字资产的强大安全框架应优先考虑多层次验证，并限制潜在交互的范围。这样的框架显著提高了对攻击的防护能力。
一个设计良好的系统会对所有交易实施彻底的验证过程。例如，三重检查验证系统包括移动应用程序验证服务器的数据、服务器检查移动应用程序的数据，以及硬件钱包验证服务器的数据。如果其中任何一项检查失败，交易将不会被签署。这种多层次方法与直接与链上合约交互的系统形成对比，后者可能缺乏关键的服务器端检查。这些检查对于容错至关重要，特别是当用户界面被入侵时。
一个安全的框架应该限制与数字资产保险库可能进行的交互范围。将操作限制在最小集合内，如发送、接收和管理签名者，可以减少与复杂智能合约修改相关的潜在攻击向量。
使用专用的移动应用程序进行敏感操作，如交易创建和显示，增加了另一层安全性。与基于浏览器的钱包或多重签名界面相比，移动平台通常提供更好的抗妥协和防欺骗能力。这种对专用应用程序的依赖增强了整体安全态势。
透明度提升
为了提高透明度，企业可以利用储备证明软件的功能。这些功能可以通过提供链状态/所有权的独立、可自我审计的视图，并验证在给定地址/合约中花费资金的正确密钥集（类似于健康检查），来保护多重签名托管设置免受针对UI的攻击。
随着机构对比特币（BTC）和数字资产的持续采用，托管提供商必须透明地传达其系统安全模型的详细信息，以及背后的设计决策：这才是加密货币安全的真正"黄金标准"。
透明度还应延伸到基础协议的性质如何改变托管设置（包括多重签名钱包）的攻击面。比特币优先考虑人类可验证的转账，其中签名者直接确认目标地址，而不是确认参与复杂的智能合约，后者需要额外的步骤/依赖关系来揭示资金流向。
在Bybit黑客事件中，这将使人类签名者更容易检测到硬件钱包显示的地址与伪造的UI不匹配。
虽然表达性智能合约扩展了应用程序设计空间，但它们增加了攻击面，并使正式安全审计更具挑战性。比特币完善的多重签名标准，包括本机多重签名操作码，为抵御此类攻击创造了额外的安全屏障。比特币协议历来在其设计中偏爱简单性，这不仅减少了智能合约层的攻击面，也减少了UX/人类层（包括硬件钱包用户）的攻击面。
监管接受度的提高显示了比特币自早期广泛黑客攻击和欺诈时代以来已经走了多远，但Bybit事件表明我们绝不能放松警惕。比特币代表着金融自由——而自由的代价是永恒的警惕。
