Sicherheit ist ein dynamischer Zustand, keine Zertifizierung auf einem Stück Papier. Viele der in diesem Jahr gehackten Projekte waren auditiert worden, und einige waren mehrfach auditiert worden. Das bedeutet nicht, dass Audits keinen Wert haben; es bedeutet nur, dass die Fragen, die Audits beantworten können, weit enger gefasst sind, als die meisten Menschen annehmen.
Ein Auditbericht beschreibt eine bestimmte Version, die ein bestimmtes Team an einem bestimmten Tag geprüft hat. Aber Verträge werden aktualisiert, Berechtigungen werden geändert, die Orakel und Cross-Chain-Bridges, von denen Projekte abhängen, ändern sich, und jede Woche tauchen neue Angriffstechniken auf. In dem Moment, in dem der Bericht geliefert wird, beginnt er zu verfallen. Noch problematischer ist, dass alte Verträge, die vor Jahren bereitgestellt wurden und damals die Audits reibungslos bestanden haben, jetzt in Stapeln erneut gescannt werden, und tiefe Schwachstellen in einem Vertrag, der seit Jahren live ist, können in nur etwas mehr als zehn Minuten gefunden werden.
Dies ist der dritte Teil von Gates Spezialbericht „Gate Security Course“. Wir haben den Web3-Sicherheitsdienstleister GoPlus Security und das Gate-Sicherheitsteam eingeladen, um über Audits und Schwachstellenprüfung aus der Perspektive eines Sicherheitsdienstleisters und einer Handelsplattform zu sprechen: warum auditierte Projekte immer noch in Schwierigkeiten geraten, wie man einen Bericht liest, welche Prüfungen die Plattform vor und nach der Listung durchführt und wie gewöhnliche Nutzer vor der Unterzeichnung eine Runde Selbstprüfung durchführen können.
Gastprofile
GoPlus Partner Adam: Adam ist Partner bei GoPlus und Leiter des Sicherheitsforschungsinstituts.
GoPlus Security baut die erste dezentrale Sicherheitsschicht für Web3 und KI. Durch die Nutzung von Blockchain und modernsten KI-Sicherheitslösungen bietet es Nutzern intelligente, effiziente und dezentrale Sicherheitsprodukte und -dienstleistungen. Seit 2022 hat GoPlus ein exponentielles Wachstum erreicht, mit 30 Millionen täglichen API-Aufrufen und der Verhinderung von fast 100 Milliarden US-Dollar potenzieller Verluste für Nutzer.
Gate Security Team: Die Sicherheitsabteilung von Gate ist für den Aufbau der Konto-, Handels- und Vermögenssicherheitssysteme der Plattform verantwortlich und bearbeitet langfristig auch Nutzerbeschwerden und Unterstützungsanfragen zu anomalen Konten.
Gate wurde 2013 gegründet und ist die erste Handelsplattform der Branche, die einen 100%igen Reserve-Nachweis eingeführt hat, und bedient derzeit weltweit mehr als 60 Millionen Nutzer. Sicherheit ist die Voraussetzung dafür, dass dieses Geschäft lebensfähig ist, und durch „Gate Security Course“ hoffen wir, die gemeinsamen Mechanismen hinter diesen realen Risiken klar zu erklären.
F1. Warum werden viele Projekte trotz bestandener Audits immer noch gehackt und leiden immer noch unter Berechtigungsmissbrauch?
GoPlus Partner Adam: „Ein einmaliges Audit“ ist nicht gleichbedeutend mit „immer sicher“. Traditionelle Vertragsprüfungsdienste leiden heute unter vier strukturellen Mängeln:
1) Snapshot-artige Prüfung. Ein Audit ist im Wesentlichen eine halbmanuelle Prüfung durch Audit-Ingenieure zu einem bestimmten Zeitpunkt, und seine Wirksamkeit hängt von der Qualität der Werkzeuge, der individuellen Fähigkeit und dem Arbeitsstatus ab. Aber Vertragscode wird aktualisiert, administrative Berechtigungen werden geändert und Parameterkonfigurationen werden angepasst. Von dem Moment an, in dem ein einmaliger Auditbericht geliefert wird, „verfällt“ er.
2) Unfähigkeit, die Zukunft vorherzusagen. Neue Schwachstellentypen und neue Angriffstechniken tauchen ständig auf, und historische Audits können zukünftige Risiken nicht abdecken.
3) Unkontrollierte externe Abhängigkeiten. Projekte hängen häufig von Orakeln, Cross-Chain-Bridges und Drittanbieter-Protokollen ab, und Risikoänderungen in diesen Abhängigkeiten liegen außerhalb des Rahmens traditioneller Audits.
4) Konzentrierte Explosionen alter Verträge. Verträge, die vor Jahren bereitgestellt und damals „auditiert“ wurden, werden von automatisierten Werkzeugen in Stapeln wiederentdeckt, wie etwa tiefe Schwachstellen in Balancer, Yearn und ähnlichen Projekten, die jahrelang nach dem Livegang unentdeckt blieben.
Was den Berechtigungsmissbrauch betrifft, so tritt er eher in der Betriebsphase als im Vertragscode selbst auf. Gründe hierfür sind: übermäßige Owner-Berechtigungen (Möglichkeit, willkürlich zu prägen, auf die schwarze Liste zu setzen oder den Handel auszusetzen), Offenlegung von Administrator-Privatschlüsseln, unsachgemäße Multisig-Verwaltung, böswillige Vorschläge und Governance-Angriffe ... Dies sind alles Sicherheitsprobleme, die in der Betriebsphase leicht auftreten. Selbst wenn ein Auditbericht Berechtigungsrisiken kennzeichnet, wer wird danach weiter aufpassen? Ob der Betrieb sicher und angemessen ist, kann nicht beantwortet werden.
Nach einem Vertrags-Audit live zu gehen, ist nur der Ausgangspunkt der Sicherheitsarbeit, nicht das Ende. Was Projekte brauchen, ist kontinuierliche Sicherheit über den gesamten Vertragslebenszyklus hinweg, nicht ein einmaliger Audit-Bericht.
Gate Security Team: Audits können Nutzern sagen, was der Code tun kann, aber sie können Nutzern nicht sagen, was das Projektteam zu tun beabsichtigt.
Dies ist der Punkt, den wir in unseren jahrelangen Listing-Reviews am tiefsten empfunden haben. Die Grundursache vieler Vorfälle liegt in den Absichten des Projektteams. Ein Vertrag kann technisch vollständig konform sein, und die Gestaltung der Owner-Berechtigungen kann im normalen Bereich liegen, aber das Projektteam kann dennoch einen Moment wählen, um diese Berechtigungen zu nutzen: Handelsregeln ändern, Blacklists aktivieren oder zusätzliche Token prägen. Diese Aktionen sind auf Code-Ebene alle legal, und Audit-Berichte werden sie nicht als Schwachstellen kennzeichnen, weil sie von Anfang an Teil des Designs sind.
Daher muss es über technische Audits hinaus eine weitere Ebene der Einschränkung geben. Der Ansatz von Gate besteht darin, während des Listing-Prozesses eine strenge Projektprüfung und -überprüfung durchzuführen und gleichzeitig mit Projektteams Nicht-Schädigungserklärungen zu unterzeichnen und die Einhaltung zu überwachen. Diese Ebene soll den Teil lösen, den Audits nicht lösen können: Die Abwesenheit von Code-Schwachstellen bedeutet nicht, dass das Team keine Entscheidungen treffen wird, die den Nutzern schaden.
Für gelistete Projekte führen wir regelmäßige Sicherheitsaudits durch und nutzen On-Chain-Event-Monitoring, um den Vertragsstatus zu verfolgen. Nutzer können auch jederzeit die aktuellen Risikopunkte eines bestimmten Vertrags überprüfen.
Q2. Da ein einmaliges Audit nicht gleich kontinuierliche Sicherheit ist, wie sollten Projektteams und die Branche als Ganzes sich anpassen?
Gate Security Team: Die Krypto-Branche hat ein strukturelles Merkmal: Ein großer Teil ihres Geschäfts, insbesondere DeFi, operiert in einem Modus, der modularer Finanz nahekommt. Verschiedene Plattformen werden aus gemeinsamen Komponenten aufgebaut: Verträge, Softwarebibliotheken, Wallets, Preis-Orakel, Cross-Chain-Bridges, Konnektivitätsdienstleister, Web-Oberflächen und Systeme, die zum Ausrollen von Updates verwendet werden.
Daher ist die wichtigere Frage, ob jeder Link, von dem Sie abhängen, zuverlässig bleibt, und nicht nur, ob Ihre eigenen Verträge sicher sind. Wenn eine Komponente weiter oben in der Kette ausfällt, breiten sich Verluste die Kette hinunter aus. Wenn man auf große Angriffe zurückblickt, liegt das Problem oft in Gliedern, die früher als die Protokolllogik liegen: Anbieter, Entwicklungswerkzeuge, die Art und Weise, wie Software zu Nutzern gelangt, oder der Prozess, durch den Nutzer Überweisungen genehmigen.
GoPlus Partner Adam: Das Angriffsparadigma, in dem Hacker automatisierte Werkzeuge nutzen, um Schwachstellen effizient abzubauen, hat bereits Gestalt angenommen und breitet sich rasch aus. Angriffe haben sich von "manueller Expertenforschung" zu einer "Fließbandproduktion" verschoben. Wenn das Denken der Branche noch an "vor dem Launch eine Audit-Firma finden, die einen Bericht ausstellt" oder "nach Entdeckung eines Risikos eine Sicherheitsfirma finden, die es behebt" festhält, ist das wie der Einsatz von Pfeil und Bogen gegen Maschinengewehre. Ebenso effiziente Werkzeuge zur Abwehr von Angriffen einzusetzen, ist der einzige wirksame Weg.
Die Richtung der Anpassung auf Branchenebene besteht darin, von "einmaligen Audits" oder "nach Auftreten von Problemen Experten finden" zu "kontinuierlicher Sicherheit über den gesamten Lebenszyklus" aufzusteigen. Nehmen wir das "Contract Security Trio" von GoPlus DeepScan als Beispiel; dies ist ein geschlossener Kreislauf, der umgesetzt werden kann:
Vor dem Launch, Token-Sicherheitsselbstprüfung: schnelle Selbstprüfung in Minuten auf Backdoor-Risiken wie Honeypots, bösartiges Prägen, Blacklists, anormale Transaktionssteuern und Owner-Berechtigungen;
Beim Launch, KI-Vertragsaudit: tiefgehende Analyse von Quellcode, Berechtigungsverwaltung und Geschäftslogik, Scan auf Schwachstellen auf Syntaxebene und Geschäftslogikebene und Lieferung eines strukturierten Audit-Berichts;
Nach dem Launch, kontinuierliche Sicherheitsüberwachung und regelmäßige Gesundheitschecks: Verfolgung neuer Schwachstellen-Intelligenz, Angriffsvorfälle und Risiken aus externen Abhängigkeiten (Orakel, Cross-Chain-Bridges, Drittprotokolle) in Echtzeit, kontinuierliche Feststellung, ob das Projekt betroffen ist, und Bereitstellung routinemäßiger Warnmeldungen. Durchführung regelmäßiger Sicherheits-Gesundheitschecks und kontinuierlicher Audits von Verträgen.
Q3. Wie haben sich die Methoden zur Entdeckung von Schwachstellen in den letzten zwei Jahren verändert? Für dasselbe Asset, was ist der Unterschied im Sicherheitsmodell zwischen dem Halten on-chain und dem Halten auf einer Börse?
GoPlus Partner Adam: Offen gesagt, kurzfristig sind die Methoden der Angreifer zur Entdeckung von Schwachstellen vielfältiger geworden. Es gibt drei Gründe:
1) Automatisierte Werkzeuge haben die Schwelle zur Entdeckung von Schwachstellen stark gesenkt. Arbeit, die einst Wochen für Top-Sicherheitsforscher erforderte, kann heute in Minuten durch eine Angriffs-Pipeline ausgeführt werden;
2) Eine riesige Anzahl alter Verträge, die "damals auditiert wurden", hat sich on-chain angesammelt und macht sie zu einer "Goldgrube" mit enormen Reserven für Angreifer;
3) Angriffe sind eine Einbahnstraße der Monetarisierung: Es reicht, „eine“ Schwachstelle zu finden, während Verteidiger gegen „alle“ Schwachstellen absichern müssen.
Hacker brauchen nur wenige Minuten, um dieses Geld zu extrahieren, und tatsächlich brauchen Verteidiger auch nur wenige Minuten, um dieselbe Schwachstelle zu finden. Der einzige Unterschied besteht darin, ob das Projektteam die Werkzeuge korrekt eingesetzt hat, bevor die Hacker es tun.
Noch entscheidender ist, dass Verteidiger drei strukturelle Vorteile haben, die Angreifer nicht haben:
1) First-Mover-Vorteil: Verteidiger können vor dem Start und während des Betriebs unbegrenzt oft erneut prüfen, während Angreifer nur darauf wetten können, dass Verteidiger die erneute Prüfung nicht durchgeführt haben;
2) Kostenvorteil: KI-Audits werden pro Nutzung oder jährlich abgerechnet, wobei die Kosten niedrig genug sind, um routinemäßig und im großen Maßstab durchgeführt zu werden;
3) Wissensakkumulation: Die Sicherheitswissensdatenbank entwickelt sich mit jedem neuen Angriffsvorfall weiter, und das Verteidigungssystem wird umso stärker, je mehr es genutzt wird.
In den beiden Modellen, On-Chain und Off-Chain, sind „wer Ihre Vermögenswerte schützt“ und „die Arten von Risiken, denen Sie ausgesetzt sind“ völlig unterschiedlich.
On-Chain-Selbstverwahrung: Sicherheit = Private-Key-Sicherheit + Vertragssicherheit. Sie sind die einzige für die Sicherheit verantwortliche Partei – wenn Ihr Private Key verloren geht oder gestohlen wird, gibt es keinen „Kundendienst“, an den Sie sich wenden können; jede Interaktion birgt On-Chain-Risiken (Genehmigungsschwachstellen, Phishing-Signaturen, Honeypot-Betrug); der Vorteil ist, dass Ihre Vermögenswerte nicht von der Kreditwürdigkeit einer Plattform abhängen.
Börsenverwahrung: Sicherheit = Plattformsicherheit + Kontosicherheit. Private Keys werden von der Plattform verwaltet (Trennung von Hot-/Cold-Wallet, Multisig, Risikokontrollen), was dem Auslagern der „technischen Sicherheit“ an die Börse entspricht; aber Sie müssen auch die Sicherheit Ihres eigenen Börsenkontos ordnungsgemäß schützen (Passwort, 2FA, Phishing, API Key usw.) und gleichzeitig unbedingt eine Börse mit zuverlässiger Plattform-Kreditwürdigkeit wählen.
Insgesamt ist On-Chain „Private-Key-Schutz + Selbstbedienungsrisiko“, während Börsen „Plattform-Kreditwürdigkeit + Risiko der Sicherheitsinfrastruktur“ sind. Ersteres testet Ihr Web3-Sicherheitsbewusstsein, während Letzteres die Infrastruktur der Börsenplattform und Ihre Kontosicherheitsgewohnheiten testet.
Q4. Welche Sicherheitsverbesserungen hat Gate als Handelsplattform vorgenommen?
Gate Security Team: Zunächst führen wir regelmäßige Sicherheitsaudits der gelisteten Projekte durch und verfolgen kontinuierlich den Vertragsstatus durch On-Chain-Event-Überwachung. Ob ein Vertrag aktualisiert wurde, ob sich Berechtigungen geändert haben und ob abnormale Operationen mit großen Werten aufgetreten sind – all dies muss kontinuierlich überwacht werden, denn eine Prüfschlussfolgerung zum Zeitpunkt der Listung hat, wie die von Adam erwähnten Auditberichte, ebenfalls eine Haltbarkeitsdauer. Nutzer können auch jederzeit die aktuellen Risikopunkte eines bestimmten Vertrags überprüfen.
Nun zur Plattform selbst. Das Sicherheitslücken-Bounty-Programm von Gate ist stets offen, und Sicherheitsforscher weltweit können gefundene Probleme über drei Kanäle an uns melden: [email protected], Support-Tickets und die HackenProof-Plattform. Wir verlangen von Projektteams, sich einer Prüfung zu unterziehen, und wir müssen uns selbst ebenfalls einer Prüfung unterziehen – dies sollte keine einseitige Anforderung sein.
Nachdem wir Coins und die Plattform behandelt haben, sprechen wir nun über Konten.
Unser Rat ist, nicht nach dem „sichersten Ort“ zu suchen, sondern Ihr Geld nach Nutzungshäufigkeit aufzuteilen, was praktischer ist: Behalten Sie Gelder, mit denen Sie häufig handeln, in Ihrem Spot-Konto für jederzeitigen Zugriff; legen Sie Gelder, die Sie sechs Monate bis ein Jahr nicht anfassen werden, in den Gate Vault.
Der Vault verwendet MPC plus 2-von-3-Signaturen. Der Private Key wird in drei Shards aufgeteilt, die jeweils vom Gerät des Nutzers, von Gate und von einem unabhängigen Dritten gehalten werden. Der vollständige Private Key wird zu keinem Zeitpunkt zusammengesetzt, und weder Gate noch dieser Dritte können allein eine Transaktion initiieren. Alle Auszahlungen erfordern zudem eine 48-stündige Wartezeit, bevor die Gelder ankommen – diese 48 Stunden dienen als Sicherheitspuffer für die Nutzer, während dessen die Auszahlung jederzeit eingefroren werden kann. In den meisten Diebstahlsfällen bemerken Nutzer etwas später als der Angreifer, und sobald eine On-Chain-Überweisung abgeht, kann sie nicht rückgängig gemacht werden – aber während dieser 48 Stunden im Gate Vault können Nutzer sie jederzeit einfrieren. Selbst wenn etwas schiefgeht, gibt Ihnen die 48-stündige Verzögerung Zeit, es zu entdecken und einzufrieren.
Nun der zweite Punkt: das Kontosicherheitsschutzprogramm von Gate.
Das Kontosicherheitsschutzprogramm von Gate basiert auf einem Sicherheitswert. Kontosicherheitseinstellungen waren ursprünglich über verschiedene Seiten verstreut – Anmeldeverifizierung, Authenticator, Zwei-Faktor-Verifizierung, Passkeys, Handelslimits, Auszahlungslimits – und es war für Nutzer schwer zu erkennen, welche Schritte sie bereits abgeschlossen hatten. Der Sicherheitswert wandelt diese Punkte in eine Punktzahl von 0 bis 100 um, sodass Sie auf einen Blick sehen können, welche aktiviert sind und welche noch fehlen; wenn sich der Wert ändert, erinnert das System die Nutzer auch daran, sie zu vervollständigen.
Sobald der Sicherheitswert 80 erreicht und das Konto im normalen Status ist, können Sie das Schutzprogramm aktivieren. Nach der Aktivierung bedeutet dies, dass nachdem die Nutzer ihren eigenen Schutz ordnungsgemäß durchgeführt haben, eine zusätzliche Absicherungsebene besteht: Während der Schutzfrist können Nutzer, wenn Vermögenswerte im Konto unbefugt abgezogen werden, eine Entschädigung beantragen, sofern die Regeln erfüllt sind, wobei der derzeitige Höchstbetrag pro Vorfall 200.000 USD beträgt. Dieses Limit wird künftig erhöht, gestaffelt nach VIP-Stufe bis zu einem Maximum von 1 Million USD. Anträge müssen innerhalb von 45 Tagen nach dem Vorfall über „Mein Schutz“ durch Kontaktaufnahme mit dem Sicherheitskundendienst eingereicht werden, mit Materialien einschließlich Polizeiberichten und Aufzeichnungen über Vermögenstransfers.
F5. Was sollte ein vollständiger Prüfbericht enthalten? Wie sollten der Sicherheitswert, die wichtigsten Feststellungen und die Behebungsempfehlungen jeweils genutzt werden?
Adam, Partner bei GoPlus: Ein handlungsleitender Prüfbericht (und nicht nur einer, der abgelegt wird) sollte mindestens vier Elemente enthalten:
1) Sicherheitswert (quantifizierbare Bewertung), verwendet für „Schnellauswahl“, nicht für „endgültige Schlussfolgerungen“. Projektteams können den Wert als quantitative Verankerung für interne Sicherheitsbewertungen nutzen und die Veränderungen nach jeder Iteration vergleichen; Börsen können ihn für die Erstlistungsprüfung verwenden, um offensichtlich unzureichende Projekte bereits am ersten Tor auszusortieren; normale Nutzer können den Wert als „Einstiegspunkt“ betrachten – niedrige Werte von vornherein meiden und bei hohen Werten die wichtigsten Feststellungen weiter prüfen.
2) Wichtigste Feststellungen (Hochrisikoprobleme und Kernschlussfolgerungen), verwendet für „Entscheidungsfindung“. Dies ist die „Zusammenfassung für die Geschäftsleitung“ des Berichts: welche Probleme blockierend sind und vor dem Start behoben werden müssen. Für Manager ohne technischen Hintergrund und Listing-Prüfteams reicht das Verständnis der wichtigsten Feststellungen aus.
3) Problemdetails (Schwachstellennachweise und Auswirkungsbeschreibung), verwendet zur „Lokalisierung von Problemen“. Dies ist der Teil für das technische Team, einschließlich Schwachstellenort (präzise auf Vertrag, Funktion und Codezeile), Schwachstellentyp, Schweregrad, Beschreibung des Angriffspfads und Ursachenanalyse. Gute Problemdetails sollten einen reproduzierbaren Ausführungspfad und Auslösebedingungen bereitstellen, nicht nur eine Liste von Problemen.
4) Behebungsempfehlungen (umsetzbare Korrekturpläne), verwendet zum „Schließen des Kreislaufs“. Behebungsempfehlungen müssen auf Codeebene spezifisch und umsetzbar sein, und nach der Behebung muss eine erneute Scan-Regressionsverifizierung durchgeführt werden, wodurch ein vollständiger Kreislauf aus „Wert, wichtigsten Feststellungen, Problemdetails, Behebung, erneutem Scan“ entsteht.
Gate-Sicherheitsteam: Wir möchten aus unserer Praxis beim Aufbau von Vertragsprüfungsfunktionen drei Punkte ergänzen.
Erstens sind die am leichtesten ausgelassenen Punkte genau die ersten beiden: Prüfziele und -grenzen sowie Bereichsbeschreibung. Wir haben acht Dimensionen für Berichte definiert – Prüfziele und -grenzen, Bereichsbeschreibung, Schweregradmatrix, Prioritätsbestimmung, Schwachstellendetails, Risikopfade, Bedrohungsmodell, Analyse der Schlüsselfunktionen und Behebungsempfehlungen – und was bestimmt, ob Leser den gesamten Bericht falsch interpretieren, sind genau die ersten beiden Punkte. Wenn Grenzen nicht klar angegeben sind, nehmen Leser an, dass alles abgedeckt ist; wenn der Bereich nicht klar angegeben ist, können Leser nicht erkennen, ob nur der Hauptvertrag oder auch der Liquiditätspool, Strategieverträge, Orakel und externe Abhängigkeiten geprüft wurden. Viele Werbeaussagen sagen nur „geprüft“, ohne zu sagen, was geprüft wurde – solche Aussagen enthalten im Grunde keine Information.
Zweitens sollten bei der Betrachtung der wichtigsten Feststellungen Risiken, die einzeln nicht als Schwachstellen gelten, zusammen betrachtet werden. Nehmen Sie eine häufige Kombination in Berichten: Der Vertragsinhaber kann Adressen auf eine schwarze Liste setzen, um Vermögenswerte einzufrieren, das Handelspaar kann zurückgesetzt werden, sodass normale Nutzer nicht übertragen können, eine Mindesthaltanforderung verhindert, dass Nutzer vollständig verkaufen, und ein einzelner Inhaber kann mehrere Schlüsselregeln jederzeit ändern. Einzeln betrachtet sind alle vier ein normales Design; zusammengenommen bedeuten sie, dass die Kontrolle über diesen Vertrag stark in den Händen einer Person konzentriert ist.
Drittens müssen Sie wissen, wie der Bericht erstellt wird, denn dies bestimmt seine Zuverlässigkeitsgrenze. Unser Vertrags-Audit erfolgt in drei Schritten: Zuerst die statische Analyse zur Prüfung grundlegender Risiken wie Berechtigungskontrolle, Reentrancy, Preis Manipulation, Flash Loans und logische Konsistenz; dann die Modellierung von Geschäftsszenarien, bei der die zentralen Interaktionsszenarien des Vertrags extrahiert, Geschäftspfade und Randbedingungen verifiziert und Probleme gefunden werden, die regelbasierte Scans nicht abdecken können; schließlich die semantische Verifikation, bei der die wichtigsten Geschäftspfade Punkt für Punkt geprüft werden, um zu bestätigen, ob die in den ersten beiden Schritten identifizierten Risiken tatsächlich zutreffen. Der dritte Schritt dient hauptsächlich dazu, die Falsch-Positiv-Rate zu senken. Ein Bericht voller Falsch-Positive wird schnell die Geduld der Nutzer verlieren lassen, und sie werden den gesamten Prüfschritt schließlich ganz überspringen – die Falsch-Positiv-Rate entscheidet also direkt darüber, ob dieses Tool tatsächlich genutzt wird.
F6. Welche Härtungsmaßnahmen können normale Nutzer sofort ergreifen?
Adam, Partner bei GoPlus:
1) Prüfen Sie die Token-Sicherheit vor dem Handel. Bevor Sie eine neue Münze kaufen, prüfen Sie die Sicherheit des Tokens selbst und achten Sie auf Backdoor-Risiken wie Honeypot-Betrug, bösartiges Minting, Blacklists, abnormale Transaktionssteuern und übermäßige Owner-Berechtigungen.
2) Bereinigen Sie regelmäßig Vertragsgenehmigungen. Widerrufen Sie Approvals für DApps, die Sie nicht mehr nutzen, insbesondere unbegrenzte Genehmigungen – viele Diebstähle resultieren daraus, dass „Verträge, die Sie einmal genehmigt haben“ Probleme haben.
3) Härten Sie auf Kontoebene. Verwenden Sie starke Passwörter und aktivieren Sie 2FA; verwalten Sie API-Keys mit minimalen Berechtigungen und erteilen Sie niemals Auszahlungsberechtigungen an nicht vertrauenswürdige Tools.
4) Machen Sie Anti-Phishing zum Muskelgedächtnis. Überprüfen Sie die Domain vor der Signatur, klicken Sie nicht auf Links in privaten Nachrichten und misstrauen Sie standardmäßig „Airdrops/Kundenservice/hochrentierlichen Staking-Angeboten“; Phishing-Inhalte werden zunehmend überzeugender, bleiben Sie daher stets rational.
5) Bewahren Sie Vermögenswerte nach Verwendungszweck geschichtet auf. Halten Sie nur einen kleinen Betrag an Mitteln, den Sie benötigen, in Hot Wallets; für große Vermögenswerte verwenden Sie Hardware-Wallets – legen Sie nicht alle Eier in einen Korb.
6) Achten Sie auf die „Sicherheitshaltung“ eines Projekts statt auf seinen „Audit-Bericht“. Ob es kontinuierliche Audits und einen Sicherheitsüberwachungsmechanismus gibt, ist wichtiger als ein Audit-Bericht von vor Jahren; bevorzugen Sie Projekte, die Sicherheit schätzen und bereit sind, ihre Sicherheitskonstruktionsmechanismen öffentlich offenzulegen.
Gate Security Team: Adams sechs Punkte sind bereits recht vollständig. Wir möchten sie mit den Tools von Gate kombinieren, um mehrere davon in Operationen umzuwandeln, die Sie sofort durchführen können.
1) Prüfen Sie Token vor dem Handel – hier können Sie direkt die Vertrags-Audit-Funktion von Gate AI nutzen. Reichen Sie die Vertragsadresse ein und erhalten Sie in Minuten einen Bericht; konzentrieren Sie sich auf vier Punkte: Owner-Berechtigungen, Blacklist und Handelsbeschränkungen, Minting-Berechtigungen und Transfersteuer. Wenn einer dieser vier Punkte rot markiert ist, sollten Sie stoppen – kein weiteres Nachsehen nötig.
2) Härten Sie Ihr Konto – bringen Sie zuerst Ihren Sicherheitswert über 80. Fondspasswort, Authenticator, Zwei-Faktor-Verifizierung, Anti-Phishing-Code, Passkeys, tägliches Auszahlungslimit, Verwaltung der Auszahlungsmethoden – diese Schutzpunkte stehen alle auf der Checkliste; folgen Sie einfach den Aufforderungen und erledigen Sie sie einen nach dem anderen. Der größte Wert des Sicherheitswerts besteht darin, überall verstreute Einstellungen in eine geordnete Checkliste zu verwandeln, sodass Sie nicht entscheiden müssen, welche zuerst zu erledigen ist. Wenn Sie 80 oder mehr erreichen, können Sie außerdem das Account-Sicherheitsschutzprogramm aktivieren, was eine zusätzliche Absicherung bedeutet, nachdem Sie Ihr eigenes Konto ordnungsgemäß gehärtet haben.
3) Für Anti-Phishing gibt es zwei fertige Tools. Wenn Sie eine Nachricht erhalten, die vorgibt, von Gate zu sein, prüfen Sie zuerst im offiziellen Verifizierungskanal, ob die Domain oder E-Mail-Adresse uns gehört; alle von Gate versendeten E-Mails enthalten den Anti-Phishing-Code, den Sie selbst festgelegt haben – jede ohne diesen Code ist gefälscht.
4) Prüfen Sie vor der Signatur den Genehmigungsbetrag genau. Dass der Vertrag selbst in Ordnung ist, bedeutet nicht, dass die Transaktion, die die Seite Sie zu signieren bittet, in Ordnung ist. Eine normale DApp kann durchaus nur den für diese Transaktion benötigten Betrag anfordern; eine sofortige unbegrenzte Genehmigung ist an sich schon ein Grund zum Innehalten. Wenn das Popup nur eine Zeichenkette unverständlicher Zeichen enthält, ist Ablehnen immer sicherer, als zuerst zu signieren und später Fragen zu stellen.
Abschließend möchten wir sagen, dass Sicherheit dynamisch ist, nicht statisch.
Nach einem Audit live zu gehen, ist nur der Ausgangspunkt der Sicherheitsarbeit. Für Projektteams bedeutet dies, dass die kontinuierliche Überwachung nach dem Launch wichtiger ist als der Bericht selbst; für Handelsplattformen bedeutet es, dass das Listing nur der Beginn der Prüfung ist; und für normale Nutzer sind diese paar Minuten Selbstprüfung vor der Signatur der kostengünstigste Schritt und zugleich der am leichtesten übersprungene.
Sicherheit war nie eine einmalige Zertifizierung. Wenn alle Beteiligten einen Schritt weiter gehen, wird sich die Waage zwischen Angriff und Verteidigung zu unseren Gunsten – der „Gatekeeper“ – neigen.
Treffen wir uns gemeinsam zur vierten Sitzung des „Gate Security Course“!
