加密貨幣中的安全性：從被動防御到預測保護

！image

資料來源：CryptoNewsNet 原始標題：加密貨幣的安全性：從被動防御到預測保護 原始連結:

2025年交易所安全危機

2025年已成爲交易所安全事件最頻發的一年。年初某大型交易所的安全漏洞導致超15億美元瞬間流失，這對業內人士來說並不意外。

這是整個行業仍然將安全視爲事後應對、取證報告和事後總結的必然結果。這些工具雖然重要，但它們不是戰略，只是承認已經出現了問題。

當行業失敗時，所有人都要付出代價

在Phemex，2025年1月的安全事件迫使我們直面這一現實。我們保護了用戶資金，快速解決了問題，並披露了事件經過。但內部暴露的問題更深層：大多數交易所（包括我們當時）仍然依賴於在威脅出現後捕捉它們的模型，而不是防止它們成爲威脅。

當攻擊者可以自動化盜取憑證、利用暗網流傳的泄露數據、使用幾乎無法區分的AI生成釣魚郵件時，被動反應已經不再是保護。

被動安全已達極限

任何交易所今天最重要的問題不再是"我們能多快地做出反應？"而是"爲什麼我們還在讓攻擊者走這麼遠？"

十年前設計的安全模型無法抵御跨平台、跨司法管轄區、規模龐大到人工團隊無法手動追蹤的對手生態。

數據顯示，62%的被盜資金來自熱錢包漏洞，社交工程佔所有事件的33%。被動安全已經達到了它的極限。

轉向預測性架構

1月後我們的轉變不是加快工單響應或增加另一層審批。我們重新設計了核心架構，從檢測轉向預測。

這意味着實時評估每筆交易、登入、提現請求和行爲模式，並將其與合法用戶在平台上行爲的動態模型進行比較。這意味着當發現異常時自動暫停交易，無需等待人工團隊起牀、閱讀消息或升級處理。

結果是具體的。重新設計後的幾個月內，我們的系統自動暫停了847次可疑提現嘗試，其中包括127例已確認的帳戶被接管案例，用戶完全不知道他們的憑證已被泄露。這些不是理論風險，而是每天都在發生的真實攻擊，只是因爲預測系統在資金轉移前進行了幹預。

AI在交易所安全中的真實角色

這就是爲什麼AI很重要，但不是大多數市場部描述的那樣。機器學習不是口號，而是以人類無法達到的規模識別模式的方式。攻擊者不再依賴單一漏洞或單一技術，而是將泄露的數據庫、舊密碼、SIM卡交換嘗試和設備指紋識別結合成協調的序列。

傳統安全模型一次只能發現該序列的一個部分。預測模型即使從未見過該特定攻擊，也能識別模式。

其他行業已經證明這種方法有效。某合規平台使用AI驅動的審計日志在任何損害發生前捕捉了一名員工的數據提取嘗試。Darktrace的自主系統使用從未見過該特定威脅的算法在幾分鍾內檢測並隔離了交易所網路上的加密挖礦惡意軟件。

加密行業不能假裝自己因爲發展速度快就豁免於這些標準。

透明度定義信任

但技術本身不能建立信任。透明度才能。

能在下一個週期存活的交易所是那些允許用戶隨時驗證其資金狀況的交易所。儲備金證明不應該是季度營銷事件，應該是持續且可驗證的。

用戶應該能夠以密碼方式確認其餘額、查看冷錢包分配、檢查負債與儲備的比率，而無需等待新聞稿。

在Phemex，我們發布由CoinGecko和CoinMarketCap驗證的月度儲備金證明，並允許用戶通過使用哈希客戶端標識符的默克爾樹結構驗證其個人餘額。

超過70%的資產保存在冷存儲中，使用Shamir祕密共享和AWS Nitro Enclaves進行分布式密鑰管理，確保任何單個人或受損設備都無法移動資金。

我們還運營一個公開漏洞賞金計劃，獎勵在攻擊者利用漏洞前發現漏洞的安全研究人員，並維護一個專門結構化的保險基金，以覆蓋交易和清算產生的平台風險。

這種透明度水平不是競爭優勢，而是責任。交易所應該願意披露它們如何存儲資金、誰批準轉移、需要多少密鑰以及有哪些系統防止內部濫用。

該行業多年來一直告訴用戶"相信系統"，但信任是通過可驗證的結構而不是保證來建立的。

安全必須支持用戶，而不是限制他們

最後一個經常被忽視的部分是可用性。拖累用戶的安全會促使他們尋找變通辦法，最終削弱系統。目標不是用摩擦力壓倒用戶，而是只在重要的地方應用摩擦力：新設備、新IP地址、不尋常的提現模式或偏離用戶歷史檔案的行爲。

日常活動應該保持無縫。高風險操作應該需要更深入的驗證。機構客戶應該比零售交易者有更強的保障，平台應該相應地適應。

領先的交易所現在提供自適應安全控制，其中生物識別認證、提現地址白名單和基於風險的雙因素認證僅在需要時觸發。

在Phemex，用戶可以根據自己的個人風險承受能力定制安全設置，同時爲所有人保持基本保護。

接下來會發生什麼

該行業的下一次重大漏洞不是推測問題，而是時間問題。但該漏洞是否變成災難還是得到控制完全取決於交易所今天建立的架構。

如果我們希望用戶用我們來保護他們的資產，我們必須願意展示這些資產如何被保護，並在公衆面前對自己負責。

在Phemex，我們的承諾很直白。預測優於反應。透明度優於模糊。用戶一致的控制優於僵化的復雜性。九個月沒有成功漏洞不是慶祝，而是我們所做的轉變是正確的證據。

該行業可以等待另一個十億美元的教訓，也可以現在改變方向。

我們選擇後者。