Shenyu ile Diyalog: 12.000 ETH'nin çalınmasıyla ilgili kişisel deneyimim ve Web3'te AI'nın rolü

Orijinal başlık: "Wu Shuo, Shenyu ile Diyalog Kuruyor: 12.000 ETH'nin Nasıl Dolandırıldığını İlk Kez Açıklıyor ve Başlangıç Ekiplerine Güvenlik Tavsiyeleri Veriyor"

Orijinal Kaynak: Wu Shuo Blockchain

Bu tartışma Bybit'ten yapılan 1,5 milyar dolarlık hırsızlıkla başladı ve çoklu imzalı cüzdanların (Güvenli gibi) güvenlik açıklarına ve çözümlerine odaklandı. Shenyu, çoklu imzalı cüzdanların dayandığı ön uç, donanım, tarayıcı ve diğer altyapıların zayıf halkalara sahip olduğunu, özellikle ön uçta yapılan müdahale ve kör imzalama sorunlarının, işlem niyetleri ile gerçek işlemler arasında tutarsızlıklara yol açtığını ve bilgisayar korsanları tarafından kolayca suistimal edilebildiğini belirtti. Bu amaçla, alan adı beyaz listeleri ve işlem analizi eklentileri gibi geçici çözümler önerdi ve güvenliği artırmak için yapay zeka ve üçüncü taraf doğrulamasını birleştiren uçtan uca kapalı devre bir risk kontrol sistemini savundu.

Shenyu ayrıca geçen yıl 12.000 ETH'nin dolandırıldığına dair deneyimini ilk kez paylaştı ve donanım cüzdanlarıyla kör imzalama yapmanın risklerini vurguladı, sektörü katmanlı, merkezi olmayan, sıfır güven mimarisini benimsemeye ve güvenlik kültürü oluşturmayı güçlendirmeye çağırdı. Ayrıca, devlet düzeyindeki hacker saldırıları karşısında sektörün teknolojik yenileme ve güvenlik farkındalığını artırarak zorluklara yanıt vermesi gerektiğini belirtti. Son olarak Shenyu, Yapay Zeka ve Kripto'nun birleşmesinin beklentilerini dört gözle beklediğini ve Yapay Zeka Aracılarının gelecekte blok zinciri ağlarında önemli bir rol oynayabileceğine ve sektörde inovasyonu teşvik edebileceğine inandığını belirtti.

Ses transkripsiyonu GPT ile yapılır ve hatalar içerebilir. Lütfen podcast'in tamamını dinleyin:

Xiaoyuzhou: https://www.xiaoyuzhoufm.com/episodes/67bf221605a90dfd0d0c7332

YouTube: https://youtu.be/85Ogctbmito

Çoklu imzalı bağımlılık altyapısının güvenlik açıklarını düşünün, alan adı beyaz listeleri ve işlem ayrıştırma eklentileri gibi geçici çözümler önerin ve uçtan uca kapalı devre risk kontrolünü savunun

Colin: Lütfen Bybit olayı hakkındaki görüşlerinizi ve bu olayda dikkate değer olduğunu düşündüğünüz noktaları paylaşın.

Shenyu:Bu sefer aslında çok tipik bir durum. Mevcut çoklu imzalı endüstri çözümünün çok sayıda altyapı ve ara hizmete dayanması gerektiğinden, bu altyapı ve ara hizmetler birden fazla şirket tarafından geliştirilmektedir. Geleneksel anlamda bu daha merkezsiz ve dağıtıktır ve sorunlara yol açma olasılığı daha düşüktür, ancak şu anki sorun, bu birden fazla şirket tarafından geliştirilen uygulamaların ve donanım teknolojileri arasındaki etkileşimlerin bazı hatalara ve bazı potansiyel zayıf noktalara sahip olmasıdır. Bu durum son dönemde bir dizi büyük çaplı güvenlik olayına yol açtı ve ülke çapında hacker güçleriyle karşı karşıya kaldık.

Bu sorunun özü şu ki, geçen yıl eylül ayında saldırıya uğradığımdan beri bu konuyu düşünüyorum. Kasım ayı civarında çeşitli donanım üreticileriyle de iletişime geçtik. Kör imzanın çok ciddi bir sorun olduğunu ve ön uçtan masaüstü eklentisine ve donanıma olan bağlantının da kolayca bozulabildiğini fark ettik. Bunun en zayıf nokta olduğunu fark ettik. O dönemde hemen OneKey, Ledger ve diğer şirketlerle iletişime geçerek çözüm yollarını görüştük.

Bu süreçte bazı sorunlar keşfedildi. Çeşitli şirketlerin bazı çözümleri vardı ancak çözümü uygulamak ve saldırılara karşı koymak zordu. Daha önce birinin de belirttiği gibi, yinelemenin yarım yıldan fazla sürmesi gerekebilir ve Ledger aslında sistematik bir çözüm geliştirmiştir. Sözleşme nedeniyle, pasif olarak güncellenmeleri gerekir ve bu döngü de çok uzundur. Soru şu ki, bu tam bağlantı, çapraz bağlantıların neden olduğu boşlukları veya hataları nasıl daha iyi kapatabilir?

Pazarda aslında uçtan uca bir çözüm eksik. Şu anda çeşitli şirketler çözümleri birleştiriyor, ancak birleştirme sürecinde kazalar olacak ve bu da bilgisayar korsanlarına avantaj sağlama fırsatı verecek. Bu süreçte aslında ilk önce kendi içimizde bazı küçük araçlar ve bazı demolar yaptığımızı söylemiştim.

İlk olarak, web sayfası tarafından açılan web sitesinin doğru olduğundan ve kurcalanmadığından emin olmak için alan adı erişiminin bir beyaz listesini oluşturduk. Bu, özellikle yanlış URL girme ve rastgele web sayfası atlamaları gibi bazı tipik kimlik avı saldırılarını önleyebilir. İkinci olarak, mobil cihazlarda çalıştırılabilen bir işlem ayrıştırma eklentisi yaptık. Bazı donanım cüzdanları eklentiyle veya Safe ile QR kodu aracılığıyla iletişim bile kurar. QR koduyla iletilen bilginin kurcalanıp kurcalanmadığını doğrulayacağız ve ardından donanım cüzdanındaki ayrıştırılmış içeriği doğrulayacağız. Bazı küçük eklentiler yaptım, ancak bunların kullanılamayacak kadar dağınık olduğunu hissettim. Uçtan uca tüm süreç tam olarak bağlı değildi ve kullanılacak çok fazla adım vardı. O yüzden bu olaydan sonra bunu düşünmeye devam edeceğiz.

Öz nokta, sektörümüzün artık çok büyük olması, trilyonlarca dolarlık bir hacme sahip olması ve üst düzey hacker ekiplerinden saldırılara maruz kalmasıdır. Bu süreçte ekip arkadaşlarımızın da belirttiği gibi aslında hem yatayda hem de dikeyde çok derin kazmanız gerekiyor. Ancak sektör çok hızlı geliştiği ve kendini çok hızlı bir şekilde tekrarladığı için, insanlar iş yaparken bu potansiyel riskler dizisini çoğu zaman göz ardı ediyorlar.

Bu süreçte, şu anki fikrimiz veya yaptığımız şey, umut ettiğimiz şeydir çünkü çeşitli özel anahtarları (donanım ve yazılım zincirlerindeki özel anahtarlar) yönetiyorduk ve daha sonra bu süreçte bir dizi risk yönetimi yeteneği ve bazı risk kontrol motorları biriktirdik. Bu yüzden Safe gibi tipik bir senaryoda, koruyucu olabileceğimizi ve özel bir anahtara sahip olabileceğimizi umuyoruz. Özel bir anahtarla, tamamen bağımsız bir yazılım ve donanım ortamı setine ve analiz için bir dizi risk kontrol motorumuza sahip oluyoruz. Aynı zamanda, bu süreçte özelleştirilmiş denetim çözümlerimiz serisini, otomatik AI analizini, manuel incelemeyi tanıtıyoruz ve ardından bazı kara ve beyaz listeler ve hatta bazı gelişmiş sözleşme parametresi kontrol şeyleri ekliyoruz.

Aslında bunlar DeFi sürecinde kullandığımız teknolojiler ancak henüz ürünleştirme aşamasında bunları tam olarak bir araya getirmedik. Bu tür merkeziyetsizlikle, bazı özel anahtarlar tüm ekip tarafından değil, bağımsız olarak bazı dış üçüncü taraflarca elde ediliyor ve bu da konuyu uçtan uca kapalı devre ve kontrol edilebilir hale getiriyor. Bu bizim şu anki düşüncemiz ve zincir üstü DeFi operasyonları sırasında gerçekten de bu şekilde çalışıyoruz çünkü EOA gerçekten de özellikle kimlik avına karşı hassas ve çoklu imzaya geçiş Bybit ile benzer sorunlarla karşı karşıya. Özellikle uzun bağlantılarımız ve çeşitli risklerimiz var.

Mevcut düşüncemiz ve çözümümüz, bağımsız bir üçüncü tarafı tanıtmak ve ardından bağımsız üçüncü tarafın, risk kontrol motoru da dahil olmak üzere tamamen bağımsız teknoloji yığınını ve entegre donanım ve yazılım çözümlerini tanıtması ve hatta işlem başlatma analizinden, risk kontrol incelemesine, imzalama koordinasyonuna kadar kapalı bir döngüyü tamamlamak için bazı yapay zeka yetenekleri eklemesi ve ardından devlet düzeyindeki bilgisayar korsanlarının çok sabırlı ve uzun vadeli sızma saldırılarından kaçınmaya çalışmasıdır.

Shenyu'nun kimlik avı deneyimi, yapay zeka ve üçüncü taraf doğrulamasının birleşimini gerektiren donanım cüzdanlarının kör imzalanması riskini vurgular

Colin: Az önce EOA kimlik avı sorunundan bahsettiniz. Ayrıca varlıklarınızın bir kısmının geçen yıl yanlışlıkla kimlik avına uğramış olabileceğini de biliyoruz. O sıradaki özel durumun ne olduğunu ve paranın sonunda Kuzey Kore'den sözde bilgisayar korsanları tarafından transfer edilip edilmediğini hatırlayabiliyor musunuz?

Shenyu:O zamanki geçmişim, belirli bir projenin bir airdrop gerçekleştirmesiydi. Fiziksel durumum pek de ideal değildi ve biraz dikkatim dağılmıştı. Yanlış bağlantıya tıkladım. Bağlantılardan birinde sorun vardı. Ancak sorun şu ki, fonlar donanım cüzdan tarafına ulaştığında, aslında alan adları ve DNS çözümü için üçüncü taraf bir risk kontrol mekanizmamız vardı. Sonuç olarak, bu çözüm atlatıldı ve risk kontrol sistemimiz hedefi ıskaladı. Bunu atlattıktan sonra biraz dikkatim dağıldığı için çok dikkatli kontrol edemedim ve sonra donanım cüzdan tarafına geçtim çünkü donanım cüzdan tarafı kör imzalama yapıyor. O düğmeye bastıktan sonra bir şeylerin yanlış olduğunu hissettim, bu yüzden hemen kontrol ettim ve yanlış bir şey buldum. Gerisi tarih. İşte bu olaydan sonra kör imzalama sorununu donanım cüzdanlarıyla çözme yoluna gittik. Bu süreçte geçen yıl Ulusal Bayram dolayısıyla OneKey ve diğer partilerle toplantılar yaptık, ancak sorunun çözümünün o kadar da kolay olmadığını gördük. EOA'nın dolandırıcılığa uğraması çok kolay olduğundan, hedef alınması ve "saldırıya uğraması" da çok kolaydır.

Daha sonra çoklu imza için Safe'i kullanmaya başladık. Çoklu imza süreci sırasında, bu sorunun bir şekilde daha ciddi olduğunu fark ettim, çünkü temelde her işlem kör bir imzaydı ve daha sonra bu sorunları çözmek için bir sürü küçük araç yapmak zorunda kaldık. Sonuç olarak, hala kapalı devre bir çözüme ihtiyacımız var ve donanım cüzdanımızın donanım ve yazılım entegrasyonu hedefine ulaşması gerekiyor çünkü donanım kullanıcı arayüzü gerçekten de kontrol edilecek son nokta. Ayrıca, bu süreçte insanlar yanlış durumda olduğunda müdahaleyi, alarmları ve işlemeyi önleyebilecek bazı bağımsız üçüncü taraflar da tanıtmamız gerekiyor. Bu yüzden bu alanda yineleme yapmaya ve bunu ürünleştirmeye başladık.

"Altcoin sezonu"nun olmamasının nedenleri: itici güç eksikliği ve piyasa gelişimini teşvik etmek için ulusal rezerv karar alma beklentisi

Colin: Ayrıca, geçen yıl "altcoin"lerin olmaması sorununu ilk gündeme getiren sizdiniz ve herkes hararetle tartıştı. Birçok ünlü de dahil olmak üzere bazı insanlar "altcoin"lerin olması gerektiğini eleştirdi ve bazıları da bunu kabul etti. Geçtiğimiz Aralık ayında ise “altcoin” trendi gerçekten çok kısa sürdü. O dönemde siz de "altcoin" piyasasının geldiğini hissedebilir ve "altcoin" piyasasının çoktan başladığını söyleyebilirsiniz.

Sonuç olarak, çok geçmeden, başlangıçta söylediğiniz gibi, bu döngüde "altcoin'ler" neredeyse yok gibi görünüyordu. Elbette, tahminlerde bulunmuyoruz. Kısa vadeli tahminlere gelince, bunları daha önce kim yaptı bilmiyorum, sadece Tanrı bilir. Ama şimdi yeni düşünceleriniz var mı? "Altcoin'lerin" bu döngüde ortaya çıkmasının neredeyse imkansız olduğunu düşünüyor musunuz, çünkü esas olarak Bitcoin'in piyasa döngüsünde olabilir. Ayrıca, sözde boğa piyasasının sona erdiğini veya ayı piyasasına dönmeye başladığını düşünmüyor musunuz?

Shenyu: Şu anki hissiyatım, son iki veya üç yıldaki bazı küçük duygusal sıcak noktalar dışında, tüm endüstrinin 2020 ve 2021'deki gibi çok net bir uygulama ve gerçek talep senaryosundan hala yoksun olduğudur. Bence temel sorun burada yatmaktadır. İçsel bir itici güç olmadığı için, gerçekten değerli yeni uygulama varlıkları biriktirilmeyecektir.

Öte yandan, bu döngüde, çok sayıda oyuncu aslında geleneksel ABD borsa piyasasında kaldı. ETF'ler yapılandırdılar ve Robinhood gibi platformlar aracılığıyla işlem yaptılar. Kripto para varlıklarına gerçekten sahip değillerdi, bu yüzden piyasada çok fazla para gerçekten tutulmadı ve herkesin özellikle dört gözle beklediği, Bitcoin ve Ethereum'dan diğer para birimlerine yayılmayan sözde taşma etkisi ortaya çıkmadı. Bu iki faktörün bir araya gelmesiyle, bir şekilde, "altcoin" piyasası kısa vadeli duygularla, sadece birkaç hafta ile yönlendirilebilir ve yaygın bir salgın olmaz. Ben hala önceki yargımı neredeyse koruyorum.

Bu yılki görüşüm veya piyasa için beklentim, piyasanın bu yılın ikinci yarısında, belki Haziran'dan Ekim'e kadar daha iyi gelişebileceği yönünde. ABD ulusal rezerv seviyesindeki şeyler netleşip geçtikten sonra, tüm sektöre veya piyasaya daha fazla yeni fon akabilir. Ama şu anda, bu aşamada veya kısa-orta vadede, sorunu uygulama düzeyinde kısa-orta vadede çözemeyebiliriz. Saha içi ve saha dışı seviyelerde çılgın bir para girişi görünmüyor. Bu nedenle yılın ikinci yarısını sabırsızlıkla bekliyorum.

Bu konuyu bugün yargılamayacağım. Sonuç olarak, ABD'deki ulusal rezervle ilgili sorunların bu yıl bazı sonuçlar verip vermeyeceğine bağlı olabilir. Sonuç alınamazsa, piyasa bitmiş olabilir. Şu anda geçme ihtimalinin hala nispeten yüksek olduğunu hissediyoruz, ancak bunu söylemek zor, bu nedenle yılın ikinci yarısına daha fazla beklenti koyuyoruz. (Bu Alan 25 Şubat'ta yayınlandı ve Trump Mart ayında Bitcoin'in ulusal rezervi hakkında bir yürütme emri imzaladı)

Tarihi hırsızlık vakalarının özeti: Devlet düzeyindeki bilgisayar korsanlarıyla başa çıkmak katmanlı merkeziyetsizlik, sıfır güven mimarisi ve güvenlik kültürü penetrasyonu gerektirir

Colin: Aslında Shenyu, sen de kripto para birimi çevresinde deneyimli bir oyuncusun. Uzun yıllar oldu. Ben 2017'de katıldım. Kripto para birimi çevresinin tarihinde çok fazla hırsızlık oldu, her türden heyecan verici. Elbette bu sefer Bybit'ten çalınan para miktarı tarihi bir rekora imza attı ama bu miktar tam olarak telafi edilebilecek kadar karlı. Tarihsel hafızanızda, erken dönemler de dahil olmak üzere, hafızanızda yer eden en derin hırsızlık deneyimlerinizden hangileri paylaşmaya en değer?

Shenyu: Saldırı ve savunmanın sürekli olarak geliştirildiğini ve ilk saldırı araçlarının çok ilkel olduğunu düşünüyorum. Biz uygulayıcılar, devlet düzeyinde bir güçle karşı karşıya olduğumuzun farkında olmalıyız. Bunlar sıradan hacker'lar değil. Örgütlüler ve ergenliklerinden beri yoğun bir eğitimden geçiyorlar. Şirketlerimize içeriden sızmak ve bizi insan düzeyinde zorlamak için çekirdek tesislerimize saldırmaya benzer çeşitli yöntemler ve yaklaşımlar kullanıyorlar. Hepimiz böyle bir rakip ile karşı karşıya olduğumuzun açıkça farkında olmalıyız. Bu süreçte insanlarda gevşemeler meydana gelecek ve insan tabiatında bazı sorunlar ortaya çıkacaktır. Sonuçta, bu sınava dayanabilecek araç ve yöntemleri benimsememiz gerekiyor.

İnternet tarihinde Cobo, bir güvenlik metodolojisi olan sıfır güven modelini benimseyen Çin kökenli ilk şirket olabilir. Bu metodoloji setini benimsememizin nedeni, yalnızca bu metodoloji setinin devlet düzeyindeki güçlerin sızmasına karşı koyabildiğinin kanıtlanmış olmasıdır. Bu nedenle sıfır güven dönüşümünü şirket içinde 2018 ve 2019 yıllarında uygulamaya başladık ve tüm iç servislerimize ve tüm çalışanların bilgisayar ve mobil telefonlarına çeşitli kurulumlar yapmak durumunda kaldık. İşte bunu fark ettikten sonra bu çözüm setini benimsemeli ve ardından çeşitli sistemlerimizi minimum güven durumuna getirmeliyiz.

Aynı zamanda bizim için en temel varlık özel anahtardır ve katmanlama, merkeziyetsizlik ve dağılım düşüncesini devreye sokmalıyız. Tabakalaşma ne demektir? Cüzdanlarımızı daha küçük parçalara bölmemiz gerekiyor. Daha önce kişisel düzeyde dört cüzdan teorim olduğunu paylaşmıştım. Ancak kurumsal düzeyde, en azından sıcak, ılık ve soğuk olmak üzere üç katmanlı bir cüzdan mimarisi olmalı ve mimarinin her katmanının kendine özgü özellikleri olabilir. Sonra kara listeler ve beyaz listeler ve zaman gecikmeleri de dahil olmak üzere bir dizi süreç olabilir. Çoğu zaman, özellikle bu kadar hızlı gelişen bir sektörde, verimlilik uğruna güvenliği tehlikeye atar ve feda ederiz. Ancak, zorunlu zaman gecikmeleri genellikle güvenlik riskine maruz kalmanızı çok düşük bir seviyeye düşürür. Özellikle soğuk cüzdanlar ve sıcak cüzdanlar düzeyinde, bu sistemsel risklerden kaçınmak için katmanlaştırma yapmalı, her katman için farklı güvenlik riskleri belirlemeli ve bir dizi denetim sistemi ve süreci oluşturmalıyız. Soğuk cüzdanlar, mutlak güvenliği garanti ettiği için fiziksel düzeyde saklanması en iyisidir.

İkincisi ise gücü merkezden uzaklaştırmaktır. Sektör uzun yıllardır geliştiği ve katılımcı sayısı arttığı için başlangıçta bir çözümümüz olmayabilir ve sadece ekibimizin kendi içinde bir şeyler yapmasına güvenebiliriz. Özellikle uzaktan çalışmanın daha popüler olduğu şu dönemde, Kuzey Kore tarafından kurum içi çalışanların sızdırıldığı, hatta kurum içinde üst düzey yöneticilerin bile elde edildiği durumlar yaşandı, dolayısıyla bu iç süreçlere tam anlamıyla güvenemeyiz. Bu nedenle, bu seviyede merkeziyetsizlik gereklidir. Bazı özel anahtarları kontrol etmek ve doğrulama yapmak için harici bağımsız bir üçüncü tarafı tanıtmamız gerekir. Bu da çok kritiktir. Artık farklı seviyelerde özel anahtarlar tutabilen birçok saklama şirketi, güvenlik şirketi ve sigorta şirketi var, bazıları sıcak cüzdanlar için özel anahtarlar, bazıları sıcak cüzdanlar için özel anahtarlar ve bazıları da soğuk cüzdanlar için özel anahtarlar. Harici bağımsız bir üçüncü taraf olarak, kendi güvenlik çözümlerine sahipler ve ardından biraz risk yönetimi ve kontrolü yapıyorlar. Bir dizi önlemle saldırının maliyeti ve eşiği katlanarak artacaktır.

Sonra sonunda, aslında dağılmadır. Yazılımımızı ve donanımımızı dünya çapında dağıtmada daha iyi bir iş çıkarmış olabiliriz, çünkü herkes temelde nispeten dağılmış bir durumdadır. Bu açıdan bakıldığında, öncelikle minimum güven sistemini kullanmalı ve sıfır güven risk tasarım konseptini kullanarak tüm iç sistemimizi ve mimarimizi tasarlamalı, ardından katmanlı, merkezi olmayan ve dağıtılmış bir çekirdek varlık yönetimi yöntemini benimsemeli, ardından bunu bir dizi yazılım ve donanım güvenlik modülüyle ve sıkı iç erişim kontrol süreçleriyle donatmalı ve ardından güvenli bir yaşam döngüsü kapalı devre yönetimi kurmalıyız. Ayrıca, yüksek riskli ve belirsiz saldırı olaylarında daha uzun süre hayatta kalabilmemizi sağlayacak bazı acil müdahale ve çözümlerimiz de olay sırasında ve sonrasında olabilir.

Uyumluluk ticaret platformları güvenliğe daha fazla yatırım yaparken, offshore ticaret platformları büyük büyüme baskısı nedeniyle yetersiz güvenlik önlemlerine sahip

Colin: Ben şahsen Coinbase ve diğer uyumlu ticaret platformları hakkında bilgi edinmek istiyorum. Dürüst olmak gerekirse, offshore ticaret platformlarının aksine, neredeyse her zaman çalınan ve birçok ticaret platformu birçok kez çalınan daha az hırsızlık olduğu anlaşılıyor. Bunun nedeni nedir? Aslında tam olarak anlayamıyorum. Teorik olarak, onların kullanacağı mimari aynı zamanda offshore ticaret platformları tarafından da kullanılabilir mi? Çünkü offshore işlem platformlarının sermayeleri daha fazladır veya işleyişleri biraz farklıdır. Acaba güvenlik sahasından hangi konuğum bu soruyu bana cevaplayabilir?

Ayrıca Shenyu, Kuzey Koreli hackerlar tarafından bu tür bir saldırıyla karşı karşıya kalmanın, bu sektörde bir iş kurmayı çok zorlaştıracağını, sıradan girişimciler için güvenlik maliyetlerinin artmasına veya ihtiyaç duydukları yatırımın çok yüksek olmasına neden olacağını ve bunun da bu sektörün gelişimini büyük ölçüde engelleyeceğini düşünüyor musunuz? Görünüşe göre artık herkes, sektörün Kuzey Koreli hackerların saldırılarına dayanıp dayanamayacağı konusunda şüpheci.

Shenyu: Uyumlu ticaret platformlarının verimliliğe kıyasla güvenliğe daha fazla önem verdiği yönündeki sezgisel hissimi de eklememe izin verin. Mesela bazı konularda daha sıkılar, dolayısıyla güvenliğe yapılan yatırım da çok büyük.

Offshore ticaret platformları teorik olarak çok fazla fona sahiptir ve güvenliğe daha fazla yatırım yapabilirler. İster erken dönem Binance olsun, ister diğerleri, bu sefer de dahil, hırsızlıkların oldukça sık yaşandığı görülüyor.

Bunun nedeni, açık deniz ticaret platformunun büyüme konusunda çok fazla baskı altında olması, sürekli yüksek frekanslı yinelemeler gerektirmesi ve bunun sonucunda da birçok kullanıcı şikayetinin ortaya çıkması olabilir. Ancak uyumlu işlem platformlarında, sıradan kullanıcıların beklentileri o kadar yüksek değildir ve çekimlerin o kadar hızlı olmasını gerektirmezler. Bazıları T+1 veya T+2'de büyük çekimlere bile izin verir. Hatta T+7'yi bile gördüm ve kullanıcılar bunu kabul edebilir çünkü müşteri tabanı farklıdır. Uyumlu işlem platformlarının müşteri tabanı çoğunlukla kurumlardır. Bu iki işlem platformunun uzun bir geçmişi olabilir. Hiç hırsızlık yaşayıp yaşamadıklarını bilmiyorum. Şirket içi güvenlik sorunlarıyla başa çıkma konusunda çok fazla deneyimleri olmalı. Güvenlik sorunları temelde şirketin "olgunlaşması" olarak kabul edilebilir.

Bu sektörde yeterli kar marjı olduğu sürece, bazı SaaS ürünlerine yatırım yapmanın bu sektörün sorunlarını ve ihtiyaçlarını karşılamaya kesinlikle yardımcı olacağını düşünüyorum. Sadece insanların güvenlik farkındalığı veya ödeme isteği şu anda o kadar güçlü değil. Çok iyi güvenlik ürünleri de gördük ama herkes emeğinin karşılığını alıyor, maliyetini bile dengelemek zor, dolayısıyla başka yönlerden gelen sübvansiyonlara güvenmek zorunda kalıyorlar.

Bu seviye aslında bir sorun, ancak saldırı ve savunmanın yükseltilmesiyle birlikte insanların giderek güvenliğin çok önemli olduğunu fark ettiğini ve güvenliğe yapılan yatırımın artacağını düşünüyorum. Bu ayrıca güvenlik SaaS'ına odaklananlar gibi şirketler için belirli miktarda geliştirme alanı ve fon sağlıyor. Güvenlik ve mimari perspektifinden, etkili ve doğrulanabilir çözümler vardır. Ancak, Safe durumunda, yaklaşık dört ila beş yukarı ve aşağı akış tarafı vardır. Bir işlemi tamamlamak için, her taraf arasındaki koordinasyon ve işbirliği çok yavaştır ve donanım yinelemesi özellikle yavaştır, bu nedenle sonunda bilgisayar korsanları için bir zaman penceresi vardır.

Blockchain sektöründeki sorunlar tam olarak ortaya konulduğunda ve tartışıldığında, bir veya iki yineleme döngüsüyle çözülebilmelidir. Ayrıca Web2'de de benzer sorunlar yaşanıyor, ancak Web2'de güvenlik sorunlarına ayrılan kaynaklar blockchain sektöründeki kadar büyük değil. Şifre güvenliğini korumaya yönelik tasarlanan Passkey'in uzun yıllardır tanıtımının yapıldığını ve nihayet son bir iki yıldır özellikle bazı hassas finansal alanlarda geniş çapta kullanılmaya başlandığını gördük. Dolayısıyla kullandığımız Apple cihazları da dahil olmak üzere, altta yatan teknolojiler tekrar kullanılabilir ve geliştirilebilir; bu cihazlar da güvenlik seviyesinde hızla yineleme yapıyor. Sonunda bir çözüm var, sadece biraz zaman ve finansal yatırım gerekebilir. Bu süreçte, risk algısı zayıf olan ve daha agresif davranan bazı geliştiriciler bazı maliyetlere katlanabilir, ancak sorun çözülebilir.

Girişimciler için güvenlik tavsiyeleri: sıfır güven modeli, çoklu denetim çapraz doğrulama ve düzenli güvenlik tatbikatları uygulayın

Colin: Girişimciler için, bir girişim projesi yakın zamanda 50 milyon dolar çalındı, ancak topluluktaki birçok insan onları destekliyor. Girişimci projelerinin güvenliği konusunda, uzun yıllara dayanan deneyimi olan ve çok şey yaşamış biri olarak, girişimcilerin güvenlik farkındalıklarını daha iyi artırabilmeleri için ne gibi önerileriniz var?

Shenyu: Girişimcilik sürecinde sıfır güven modelinin uygulanmasının çok önemli olduğunu düşünüyorum. Ancak mevcut ortamda, yalnızca bu metodoloji ve kavram seti herkesi koruyabilir. Aynı zamanda, tekil hata noktalarına ve tek taraflı sözleşme denetimlerine güvenemeyiz. Temel gereklilik, denetimi yürütmek için en az iki veya üç tarafın olması ve süreçte bazı sorunların ortaya çıkarılabilmesi için bazı çapraz doğrulamaların gerekli olmasıdır. Ayrıca, fon miktarını çok hızlı artırmayın. İlk aşamalarda, bazı dahili ve kamusal testler aracılığıyla fon miktarını yavaşça artırabilir ve fonları izole ederek riskleri nispeten iyi yönetebilirsiniz.

Aslında sektörde güvenlik izleme ve risk kontrol sistemleri gibi birçok ucuz güvenlik çözümü bulunmakta olup, bunlar hayatta kalma olasılığını büyük ölçüde artırabildiği için mutlaka kullanılmalıdır.

Girişimcilik sürecinde bir yandan da iş modeli kullanıcı tarafını hesaba katmalıdır. Özellikle teknik altyapısı olmayan girişimciler güvenliğe ve iç sıfır güven mimarisine çok dikkat etmeli, en azından yüzde 20 ila 30 oranında dikkatlerini buna vermeliler. Şirket bu iç güvenlik kültürünü ve sistemlerini vurgulamaz, şirket içinde düzenli olarak güvenlik dolandırıcılığı testleri ve saldırı ve savunma tatbikatları yapmazsa, hem çalışan düzeyinde hem de insan düzeyinde herkes tembelleşecektir. Her an hackerların sizi izleyebileceğini unutmayın. Dolayısıyla kaynakların ve dikkatin güvenliğe odaklanması gerekiyor.

Colin: Evet, bu sektör büyüdükçe, ister bireysel patron olsun ister şirket, hırsızlıkla karşılaşmayacak neredeyse hiçbir şirket kalmayacağını düşünüyorum. Neyse ki bu sefer yenilmezsek hem bireysel olarak hem de sektörün tamamı olarak bir miktar ilerleme kaydedeceğiz.

Bu Memecoin turuna neden katılmıyorsunuz: iyi hissetmiyorum, AI'ya odaklanıyorum

Web3 Jiaozi: Shenyu, şifreleme sektöründeydin ve aynı zamanda bu sektörde tanınmış bir isimsin. En erken, Cobo cüzdanı herkesi birlikte madenciliğe yönlendirebilir. Bunların hepsine katılan en erken kişi bendim. Bu yılki piyasa koşullarında Shenyu'nun sektörle ilgili konularda nadiren konuştuğunu gördüm. Bugün paylaşılan bağlantıda da PVP'den çok kısa bahsedildi. Daha çok endişelendiğim şey, sektör için, piyasa koşullarının son dalgasından sonra sektörün bir darboğaza girmiş gibi görünmesi. Shenyu'ya sormak istiyorum, bir sonraki çıkış nerede?

Colin: Evet, Shenyu, her zaman her türlü yeni şeyi denemeyi severdin, ancak bu Meme turu çok popüler görünüyor, ancak seni özel bir şekilde katılırken görmedim. Nedeni nedir?

Shenyu: Meme oynamamamın temel nedeni vücudumun buna dayanamaması ve 2000'lerde doğanlarla kıyaslanamayacağım. Bir diğer etken de son zamanlarda dikkatimin AI'ya odaklanmış olması. AI'nın gelecekte kripto para birimiyle bazı yıkıcı kombinasyonlar yapabileceği ve bunun yeni büyümeler getirebileceği anlaşılıyor. Bir yıldan fazla bir süre önce düzenlediğimiz bir offline etkinlikte, kripto paraların nihai kullanıcılarının insanlardan ziyade Yapay Zeka Ajanları veya Yapay Zeka robotları olabileceğini öne sürmüştük, bu yüzden Yapay Zeka'nın nasıl kullanılacağını öğrenmeye çok fazla enerji harcadım. Gerçekten artık PVP oynayamıyorum. Genellikle sadece herkese para vermek için katılıyorum ve pek olumlu geri bildirim yok, bu yüzden ana odak noktam AI.

Yapay Zeka ve Kripto'nun birleştirilmesi ihtimalini dört gözle beklerken, Yapay Zeka Aracısı'nın gelecekte blok zinciri ağlarında önemli bir rol oynayabileceğine inanılıyor

Colin: Yapay Zeka hakkında şu anda ne düşünüyorsun? Çünkü daha önce sözde bir AI Agent patlaması yaşandı ve özellikle sert bir düşüş yaşandı. Birçok arkadaşım AI'ya yatırım yaptıkları için iflas etti. Önceki yapay zeka ajanının ilgi çekici bir şey ürettiğini düşünüyor musunuz? Yapay zeka ve kripto paraların gelecekte hangi uygulamalarda kullanılacağını düşünüyorsunuz?

Shenyu: Bence alttaki temel, AI'nın kendi yeteneklerinin henüz o aşamaya ulaşmamış olmasıdır. Şimdi hala kavram doğrulama aşamasındalar. Daha sonra AI'nın geliştirme hızının çok hızlı olduğunu ve altta yatan hesaplama gücü modelinin sürekli yineleme yaptığını görebiliriz. AI'nın gelecekte bir duruma ulaşmasını, yani genel AGI'ye (yapay zeka) sahip olmasını bekliyoruz.

Kripto para olayında iki nokta var. Bir yandan da tamamen dijital olan şeylere karşı çok dostça çünkü veriler açık ve şeffaf. Yani bir yandan, AI etkileşim şeklimizi değiştirebilir. Bu karmaşık akıllı sözleşmeler ve insan karşıtı güvenlik operasyonları için, bazı yardımcı kararlar almamıza yardımcı olması için bazı güvenilir ve akıllı AI ajanlarına güvenebilmeliyiz. Şaka yollu şunu söylüyorum: Şu anda merkezi olmayan finans işletiyorum ve uzaktan birkaç yapay zeka ajanını bu işi izlemem için görevlendirmem gerekiyor. Gelecekte gerçekten böyle olabilir, yapay zeka mühendisleri ve belki bir veya iki yapay zeka ajanı ekranı izliyor olabilir. Daha da ileriye baktığımızda, yapay zekanın aslında blockchain ağına bağlı olabileceği düşünülüyor.

Yapay zeka ajanlarının birbirleriyle etkileşime girdiği, değer ve veri alışverişi yaptığı, bunun sözleşme düzeyinde de olabileceğini ve hatta gevşek bir şekilde oluşturulmuş bir şirket veya DAO oluşturabileceğini hayal ediyoruz. Akıllı sözleşmeler gibi platformları kullanarak bazı değer düzeyindeki alışverişleri gerçekleştirebilirler. Önümüzdeki üç veya beş yıl içerisinde, blockchain üzerinde bir web sosyal ağı veya değer sosyal ağı benzeri bir şeyin oluşabileceğini ve bunun eninde sonunda bu yapay zeka ajanları grubu tarafından kullanılacağını düşünüyorum.

Bu şey bir kez ortaya çıktığında, getireceği değer ve etki çok büyük olabilir. Web3'ün ağ etkisinden her zaman bahsettik. Bu şeyin getirdiği varlık ölçeği veya değer, şu anda gördüğümüz geleneksel İnternet şirketlerinden çok daha büyük olabilir, bu nedenle bu, mevcut trilyon ölçeğinden daha yüksek bir şey olabilir. Bunun ne olduğunu ve bu konuda neler yapabileceğimizi düşünüyordum. Oldukça iyimserim. Son iki üç yıldır sektörde iyi uygulama yönleri ortaya çıkmamış olsa da, gelecekte ortaya çıkmaları gerektiğini düşünüyorum. Çözebileceğimiz bazı engeller de var, bu yüzden o günü sabırsızlıkla bekliyorum.

Güvenli Cüzdan'ın kör imza sorununa çözüm: Kurumsal imzalama aracı + AI risk kontrolü + kara liste ve beyaz liste yönetimi

TheCheerSong: Zincir üstü otomatik ticaret yapan bir tüccarım. Bu olaydan sonra işimizi durduramazken, güvenlik önlemlerimizi de yükseltiyoruz. En sorunlu kısmın Güvenli Cüzdan'ın kör imzalama kısmı olduğunu düşünüyorum. Şimdi yapabileceğimiz şey, bazı açık kaynaklı izin kontrol modüllerine sahip olmak ve bunları Güvenli Cüzdan'a uygulamak.

Bu kullanım sürecinde işlem isteklerinin çoğu otomatik olduğundan, Güvenli Cüzdan temel olarak yalnızca bazı token'ların manuel transfer işlemleri için kullanılır. Öğretmenlere sormak istediğim, nispeten basit istekler için imza içeriklerimizi doğrulamak için kullanabileceğimiz herhangi bir araç var mı?

Shenyu:Aslında, birileri önümüzdeki hafta bu dahili araç setini ürünlere dahil edeceğimizi ve bu Güvenli kurumsal imzalama araçlarını piyasaya süreceğimizi söyledi. Özü, Güvenli bir özel anahtar elde etmek ve ardından makine üzerinden bazı kara listeler ve beyaz listeler eklemektir, bunlara bazı risk kontrol şablonları da dahildir. Jeton miktarını sınırlama, işlem hızı, kara listeler ve beyaz listeler oluşturma gibi bazı genel risk kontrol önlemlerini özelleştirebilirsiniz. Ayrıca, AI Agent'ın bazı yetenekleri ve bazı büyük kayıp durumlarını göz önünde bulundurarak, bu süreç setini çözebilir ve aynı zamanda riskleri yönetebiliriz.

Bu çözüm, Cobo'nun önceki erişim kontrol listesi tabanlı sözleşmelerini ve Argus zincirindeki parametre düzeyindeki kontrolleri birleştirir. Şu anda yalnızca bunu yaparak büyük fonlarımın zincir üzerinde işlem gördüğünde kendimi rahat hissedebileceğimi düşünüyorum. Bu bizim kullandığımız güvenli bir uygulamadır.

Bybit hırsızlık olayındaki cüzdan güvenliği sorunlarına ilişkin güvenlik uzmanlarının görüşleri

Bu Alanda, BlockSec CEO'su Profesör Zhou Yajin, OneKey Büyüme Sorumlusu Nig ve Cobo Güvenlik Sorumlusu Moon da görüşlerini dile getirdiler.

Bybit olayındaki ticaret platformunun güvenlik sorunlarıyla ilgili olarak Profesör Zhou Yajin, olayın, fonları yönetmek için Güvenli sözleşme cüzdanını kullanma işlemi ile gerçek işlem arasındaki tutarsızlıktan kaynaklandığını ve bunun da cüzdanın kötü niyetli bir şekilde yükseltilmesine ve fonların çalınmasına yol açtığını söyledi. Nedeni henüz kamuoyuna açıklanmadı. Birçok proje sahibi, cüzdanları yönetmek için Güvenli çoklu imzayı kullanmanın güvenli olduğuna inanıyor, ancak aslında güvenliğin, operasyonları, teknik olmayan ve teknik düzeyleri kapsayan bir sistem yapısı olduğu gerçeğini göz ardı ediyorlar.

Özel anahtar yönetimi ve işlem yorumlamasında yetersiz saklama, imza ve işlem ayrıştırma ve yorumlama ve özel anahtarların fiziksel güvenliğinin sağlanması sırasında kullanıcı dostu olma gereğinden kaynaklanan güvenlik bağlantılarının kötü işlenmesi gibi açıklar bulunmaktadır. Büyük miktardaki fonların çoklu imzalı transferleri için güven zinciri uzundur, ancak işlem yorumlama ve işlem arayüzü bilgilerinin üçüncü tarafça çift doğrulaması eksiktir. Bu nedenle, büyük miktardaki fonları yönetmek için sözleşme cüzdanlarının kullanımı, üçüncü taraf doğrulama ve kimlik doğrulamasının getirilmesini gerektirir ve sözleşme cüzdanlarının esnek strateji kontrolünü uygulamak için bir beyaz liste veya merkeziyetsizlik kurulmalıdır.

Safe cüzdan ön yüzünün sık sık kurcalanması ve ana akım çoklu imza çözümü Safe'in güvenliği konusunda Moon, Safe çözümünün ve sözleşmenin kendisinin nispeten güvenli olduğuna inanıyor, ancak uygulandığında güven zincirinin uzun olduğunu ve beklenmeyen durumların ortaya çıkma olasılığının yüksek olduğunu düşünüyor. Bybit'e yönelik bu saldırının bir sözleşme sorunundan ziyade bir dış kaynak kullanımı sorunu olduğu düşünülüyor. Bu durum, güvenlik farkındalığının günlük olarak artırılmasının ne kadar önemli olduğunu ortaya koyuyor. Güvenli cüzdanı güvenli bir şekilde kullanmak için, onu hem dikey hem de yatay olarak değerlendirmeniz gerekir. Her dikey bağlantının, bağımsız ekipman gibi kontrol edilebilir bir teknik çözümü olması gerekir; yatay çoklu imza, imzalayan tarafından bağımsız doğrulama gerektirir ve uzun bir güven zinciri, bilgisayar korsanlarının doğrulamayı atlatmak için kullanabileceği çapraz bağlantılara kolayca yol açabilir. Bu nedenle, yatay genişleme yalnızca imzalayanların sayısını artırmayı değil, aynı zamanda imzalayanın planının ve ortamının bağımsız olmasını ve Güvenli'nin rolünü tam olarak oynamasını sağlamak için ayrı ayrı doğrulanmasını da gerektirir.

Ayrıca, sözleşme cüzdanlarını kullanmanın yanı sıra, ticaret platformları ve yüksek net gelire sahip kişiler, manuel mutabakat ve anormal izleme gibi katı mekanizmalar oluşturmalı, otomatik program denetimleri kullanmalı ve Web2 saldırılarını önlemek için güvenlik farkındalığını artırmalıdır. Cobo ayrıca, Safe'in çoklu imza yeteneklerini kullanarak farklı imza sahiplerinin bağımsız ve eksiksiz uçtan uca imza bağlantılarına sahip olmasını sağlayan, MPC ve Safe'i birleştiren bir yönetim çözümünü de piyasaya sürecek.

Bybit olayındaki donanım cüzdanıyla ilgili sorunlara ilişkin olarak Nig, Bybit'in EOA cüzdanını kontrol etmek için NPC kullandığını (çünkü imzasının ayrıştırılması kolay), Güvenli akıllı sözleşme cüzdanı imzasının ise karmaşık ve ayrıştırılması zor olduğunu ve güvenlik ekibinin bunu zamanında fark etmemiş olabileceğini söyledi. Mevcut donanım cüzdanları (Ledger gibi) sınırlı performansa sahiptir ve karmaşık akıllı sözleşme ayrıştırma ve kör imzalama işlemlerini ele almak zordur. Daha önce önlemler alınmış olsaydı, bu saldırı önlenebilirdi. Shenyu ekibi ve OneKey ilgili ayrıştırma araçlarını geliştirdiler.

Ledger'ın Clear Signing'i yavaş ilerliyor ve imza verileri ağ cihazlarından iletildiğinde kolayca kirleniyor. Niyetin tutarlılığını sağlamak için yalnızca donanım cüzdanı ayrıştırmaya güvenmek yeterli değil. Bybit bu sefer erken uyarıda bulunamadı, çünkü ilk imzalayan hacklendi ve diğerleri donanım sorunları nedeniyle körü körüne imza attı. Yüksek net gelire sahip bireylerin ve kurumların, izinsiz giriş riskini azaltmak için fon işlemleriyle ilgili İnternet cihazlarını ofis ekipmanlarından bağımsız ve izole tutmaları önerilir. Radium daha önce ortam izole edilmediği için hacklenmişti.

Güvenli güvenlik, üçüncü taraf izleme işlevleri ve yapay zekanın blok zinciri güvenliğinde uygulanması konusunda Profesör Zhou Yajin, Güvenli sözleşmelerin geçmişte oldukça güvenli olduğunu ve birden fazla tarafça incelendiğini, ancak uzun kullanım sürecinin riskler getirdiğine inanıyor. Falcon Safe ekibi tarafından geliştirilen güvenlik sistemi, kullanıcı işlemlerini üçüncü taraf bakış açısıyla inceleyebiliyor, işlem içeriklerini analiz edebiliyor, transferler ve sözleşme etkileşimleri gibi önemli işlem bilgilerine ilişkin hatırlatıcılar sağlayabiliyor; böylece kullanıcının bilişsel eşiğini düşürerek güvenlik sorunlarının önüne geçiyor. Yapay zeka uygulamaları açısından, bir yandan yapay zeka kötülük yapma maliyetini azaltır ve kimlik avı araçlarının toplu üretimini kolaylaştırır; diğer yandan, sektör yapay zeka ile denetim ve otomatik denetim kodlarının birleşimini araştırıyor. İdeal durumdan uzak olsa da yapay zeka, kripto para kullanıcılarının ürünleri kullanma eşiğini düşürebilir ve karmaşık kullanıcı işlem sorunlarını çözmeye yardımcı olabilir.

Donanım cüzdanlarıyla ilgili sorunlar konusunda Nig, şirketin, bazı akranları gibi, ticaret platformu çalındıktan sonra satışlarda büyük bir artışı teşvik etmek için bir savaş raporu yayınlamayacağını söyledi. Satış artışı iyi olsa da, birçok kişinin özel anahtarların güvenliğine yeni yeni dikkat etmeye başladığını da yansıtıyor. Bu güvenlik olayından donanım cüzdanı sorumludur. Ledger ve Safe'in performansı beklentileri karşılamadı. Safe ön uç ve yerel desteği durdurdu. Önceki nesil donanım cüzdanları, güvenlik kaygıları nedeniyle sınırlı ayrıştırma yeteneklerine sahipti. Ultra ve Pro gibi yeni nesil ürünler, yerel karmaşık sözleşme ayrıştırmayı güçlendirecek ve temel işlem öğelerinin analizini destekleyecektir. Classic ayrıca görüntüleme için önemli parçaları seçecektir. APP, ana akım EVM işlem analizini uygulayacak ve donanım tarafı güvenlik testleri nedeniyle daha sonra olacaktır.

Güvenli için, ilgili saldırılara karşı savunma yöntemlerini göstereceğiz ve yakın gelecekte kullanıcı güvenliği eğitimleri gerçekleştireceğiz. Gelecekte, OKX'in donanım cüzdanı erişimi konusunda isteksizliği ve kurumların NPC cüzdanlarını desteklemesi gibi teknolojilerin çeşitliliğine rağmen, imzalama süreci çevrimiçi bir ortamda mnemoniklerin ifşa olma riskini taşır, bu nedenle donanım cüzdanları her zaman fiziksel izolasyonun çekirdeği etrafında döner. Mnemonik standartlarında yükseltmeler gibi değişiklikler olsa bile, çekirdek güvenlik savunması değişmeyecektir.

Orijinal bağlantı

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia