意见作者：Stillmark的主要投资者Vikash Singh
Bybit Hack通过历史上的加密货币交易所给网络黑客造成了最大的资金损失。它是那些对数字资产空间中安全威胁状态的自满的人的警钟。每个人都必须从这个抢劫中学到课程 – 企业级监护解决方案要求技术伴随透明度。
与以前的许多事件不同，这种资金损失并不是由于智能合约有故障，损失/管理不善的密钥或故意管理不善或重新支配用户资金，而是一种复杂的社会工程攻击，从而利用了运营安全方面的脆弱性。
这种黑客与较早的时代有所不同，因为它发生在一个重大的全球交易所，该交易所认真对待安全性和合规性。提醒您，在加密货币中，没有“足够好”的安全性。
抢劫的解剖
对BYBIT攻击的技术概述是了解公司如何积极加强对此类攻击的安全性的关键。最初，属于Safe的开发人员机器是一个资产管理平台，该平台为BYBIT使用的Multisig以太坊钱包提供了损害。最初的漏洞 授予攻击者未经授权的访问 到Seaf的Amazon Web服务（AWS）环境，包括其S3储物桶。
然后，攻击者将恶意的JavaScript文件推入此存储桶，随后通过访问安全UI将其分配给用户。 JS代码操纵在签名过程中显示给用户的交易内容，有效地欺骗了他们授权转移到攻击者钱包的同时，同时相信他们正在确认合法的交易。
最近的： certik Exec解释了如何在Bybit Hack之后确保加密货币安全
这强调了在技术层面（例如Multisig）在技术层面上的高度鲁棒性安全性，如果无法正确实施，则如何脆弱。他们可以将用户融入可能致命的错误安全感。
分层安全性
虽然长期以来，多符号安全设置已被视为数字资产安全性的黄金标准，但Bybit Hack强调了对这些系统实施的进一步分析和透明度的必要性，包括为了减轻运营安全性和人类层的攻击而存在的安全层，除了对智能合约验证本身。
用于保护数字资产的强大安全框架应优先考虑多层验证并限制潜在互动的范围。这样的框架明显增强了防止攻击的保护。
精心设计的系统为所有交易实施了彻底的验证过程。例如，三个检查验证系统涉及验证服务器数据的移动应用程序，检查移动应用程序数据的服务器以及验证服务器数据的硬件钱包。如果这些检查中的任何一个失败，则不会签署交易。这种多层方法与直接与OnChain合同接口的系统形成对比，可能缺少关键的服务器端检查。这些检查对于可容忍度至关重要，尤其是如果用户的接口受到损害。
安全框架应限制与数字资产保险库可能交互的范围。将动作限制为最小设置，例如发送，接收和管理签名者，可以减少与复杂的智能合同修改相关的潜在攻击向量。
使用专用移动应用程序进行敏感操作，例如创建和显示，添加了另一个安全层。与基于浏览器的钱包或Multisig界面相比，移动平台通常提供更好的折衷和欺骗性阻力。对专用应用程序的这种依赖增强了整体安全姿势。
透明度升级
为了增强透明度，企业可以利用保留软件的功能。这些可以通过提供独立的，自我审计的对链状态/所有权的看法，并验证正确的钥匙集是否可以在给定的地址/合同中（类似于健康检查）来捍卫多个登记的监护权设置。
作为对比特币的机构采用（BTC）和数字资产继续，除了其背后的设计决策外，保管提供商还必须透明地对其系统安全模型进行此类详细信息：这是加密安全的真正“黄金标准”。
透明度应扩展到基础协议的性质如何改变保管设置的攻击表面，包括多符号钱包。比特币已经优先考虑了可验证的转移，其中签名者直接确认目的地地址，而不是确认参与复杂的智能合约，这需要其他步骤/依赖项来揭示资金的流动。
在Bybit Hack的情况下，这将使人签名能够更容易地检测到硬件钱包所示的地址与欺骗UI不符。
虽然表达智能合约扩大了应用程序设计空间，但它们增加了攻击表面并使正式的安全审核更具挑战性。比特币建立了良好的多符号标准，包括本机的Multisig Opcode，为此类攻击创造了其他安全障碍。比特币协议在历史上一直赞成其设计中的简单性，这不仅在智能收缩层，而且在UX/人类层（包括硬件钱包用户）降低了攻击表面。
越来越多的监管接受表明，比特币自比特币的早期遭受了广泛的黑客和欺诈行为以来已经走了多远，但是Bybit表明我们绝不能让我们的后卫滑倒。比特币代表财务自由 – 自由的价格是永恒的警惕。
意见作者：Stillmark的首席投资者Vikash Singh。
本文是出于一般信息目的，不打算被视为法律或投资建议。这里表达的观点，思想和观点是作者独自一人，不一定反映或代表Cointelegraph的观点和观点。
