Gate Security Academy เปิดตัวร่วมกับ CertiK ครอบคลุมวิธีที่สถาบันปกป้องการถือครองสินทรัพย์ดิจิทัลขนาดใหญ่
Gate ได้เปิดตัว Gate Security Academy ซึ่งเป็นซีรีส์ที่เน้นความเสี่ยงด้านความปลอดภัยในคริปโต ตอนแรกซึ่งผลิตขึ้นร่วมกับ CertiK จะตรวจสอบว่าการปกป้องสินทรัพย์ดิจิทัลขนาดใหญ่สำหรับสถาบันทำงานอย่างไร
สำหรับผู้ใช้รายบุคคล การปกป้องคริปโตอาจตรงไปตรงมาเท่ากับการรักษาประโยคกู้คืน สำหรับสถาบันที่จัดการมูลค่านับหมื่นล้านดอลลาร์ ความท้าทายจะเพิ่มขึ้นอย่างมาก
การถือครองดังกล่าวควรเก็บไว้ที่ไหน ใครต้องอนุมัติธุรกรรม ใครได้รับอนุญาตให้เคลื่อนย้ายเงินทุนในการตั้งค่าลายเซ็นหลายราย และหากผู้โจมตีใช้ประโยชน์จากช่องโหว่ที่ไหนสักแห่ง องค์กรสามารถตรวจจับภัยคุกคามและหยุดการสูญเสียได้ทันเวลาหรือไม่
คำถามเหล่านี้อยู่ที่ศูนย์กลางของความปลอดภัยสินทรัพย์ดิจิทัลของสถาบัน
ในฉบับนี้ของ Gate Security Academy ทีม CertiK และทีมรักษาความปลอดภัยของ Gate เข้าร่วมการสนทนา โดยเปลี่ยนโฟกัสจากกระเป๋าเงินส่วนบุคคลไปสู่การจัดการสินทรัพย์ของสถาบัน จากมุมมองของผู้ตรวจสอบความปลอดภัยอิสระและแพลตฟอร์มซื้อขายคริปโต การสนทนาครอบคลุมถึงวิธีที่สถาบันสามารถรักษาการดำเนินงานที่ราบรื่นในขณะที่ควบคุมความเสี่ยงด้านสินทรัพย์
CertiK: CertiK เป็นบริษัทความปลอดภัย Web3 ที่ได้รับความไว้วางใจจากหน่วยงานกำกับดูแล สถาบันการเงิน และผู้ริเริ่ม Web3 ทั่วโลก นับตั้งแต่ก่อตั้งในปี 2017 CertiK ได้ให้บริการลูกค้าในกว่า 150 ประเทศและภูมิภาค ระบุช่องโหว่ภายในโค้ดกว่า 119,000 รายการ และช่วยปกป้องสินทรัพย์ดิจิทัลมูลค่ากว่า 600 พันล้านดอลลาร์
ทีมรักษาความปลอดภัยของ Gate: ทีมรักษาความปลอดภัยของ Gate มีหน้าที่รับผิดชอบในการพัฒนาและบำรุงรักษาระบบความปลอดภัยของบัญชี การซื้อขาย และสินทรัพย์ของแพลตฟอร์ม ทีมงานยังให้การสนับสนุนอย่างต่อเนื่องแก่ลูกค้าสถาบันในด้านต่างๆ เช่น การควบคุมการเข้าถึง การรวม API และการดูแลสินทรัพย์
Gate ก่อตั้งขึ้นในปี 2013 เป็นหนึ่งในตลาดแลกเปลี่ยนรายใหญ่รายแรกที่ให้คำมั่นสัญญาในการพิสูจน์ทุนสำรอง 100% และปัจจุบันให้บริการผู้ใช้มากกว่า 62 ล้านคนทั่วโลก
ความแตกต่างหลักคือวิธีการจัดระเบียบการควบคุมสินทรัพย์
สำหรับผู้ใช้รายบุคคล ความปลอดภัยของกระเป๋าเงินส่วนใหญ่ขึ้นอยู่กับการปกป้องคีย์ส่วนตัว การรู้จักภัยคุกคาม และการตรวจสอบธุรกรรม อย่างไรก็ตาม สถาบันต้องประสานงานหลายบทบาท ระบบ และผู้ให้บริการภายนอกภายใต้กฎการอนุญาตที่กำหนดไว้อย่างชัดเจน พวกเขายังรับผิดชอบในการดูแลสินทรัพย์ ความต่อเนื่องทางธุรกิจ และการปฏิบัติตามข้อกำหนด
ขนาดจะขยายผลกระทบของความล้มเหลวใดๆ และการพึ่งพาระหว่างทีมและระบบจะทวีคูณวิธีที่สิ่งต่างๆ อาจผิดพลาด
ความเสี่ยงทั่วไปสำหรับผู้ใช้รายบุคคล ได้แก่ ประโยคการกู้คืนที่ถูกบุกรุก การโจมตีแบบฟิชชิง และการอนุมัติธุรกรรมที่เป็นอันตราย สถาบันต้องเผชิญกับภัยคุกคามเดียวกันนี้ แต่ยังต้องป้องกันการรวมศูนย์สิทธิพิเศษที่มากเกินไป ความไม่สอดคล้องกันระหว่างสิ่งที่ได้รับการอนุมัติและสิ่งที่ดำเนินการจริง อุปกรณ์หรือซอฟต์แวร์ของบุคคลที่สามที่ถูกบุกรุก การสมรู้ร่วมคิดภายใน และข้อผิดพลาดในการปฏิบัติงาน
เมื่อตรวจสอบเหตุการณ์ด้านความปลอดภัยของสถาบัน การสรุปว่าคีย์ส่วนตัวถูกบุกรุกนั้นไม่เพียงพอ ผู้ตรวจสอบต้องตรวจสอบด้วยว่าผู้โจมตีเข้าถึงคีย์ได้อย่างไร หรือผู้โจมตีสามารถหลอกลวงระบบให้ลงนามในธุรกรรมที่เป็นอันตรายโดยไม่ได้รับคีย์เองได้อย่างไร
เหตุการณ์สำคัญในปี 2025 แสดงให้เห็นถึงความเสี่ยงนี้ ผู้โจมตีดัดแปลงส่วนติดต่อผู้ใช้ของ Safe wallet ทำให้ผู้ลงนามเห็นสิ่งที่ดูเหมือนการโอนที่ถูกต้อง ในขณะที่จริงๆ แล้วกำลังลงนามในธุรกรรมที่เป็นอันตรายซึ่งแทนที่สัญญาการนำไปใช้งานของกระเป๋าเงิน ผู้ลงนามที่ได้รับอนุญาตหลายรายอนุมัติธุรกรรม แต่สินทรัพย์ก็ยังถูกขโมย
สิ่งที่สำคัญไม่ใช่แค่จำนวนคนที่ลงนามเท่านั้น สถาบันต้องตรวจสอบด้วยว่าสิ่งที่ผู้ลงนามเห็น สิ่งที่พวกเขาอนุมัติ และสิ่งที่พวกเขาลงนามในที่สุดนั้นเป็นธุรกรรมเดียวกันทุกประการ
ดังนั้น การประเมินความปลอดภัยของสถาบันจึงต้องตรวจสอบห่วงโซ่การควบคุมทั้งหมด: ใครเป็นผู้เริ่มธุรกรรม ใครตรวจสอบเนื้อหา ใครสามารถลงนาม และใครสามารถเปลี่ยนกฎ — และการควบคุมแต่ละอย่างตรวจสอบซึ่งกันและกันจริงหรือไม่
ความปลอดภัยของกระเป๋าเงินส่วนบุคคลค่อนข้างตรงไปตรงมา มาตรการป้องกันส่วนใหญ่หมุนรอบหลักการสำคัญข้อเดียว: การเก็บประโยคกู้คืนและคีย์ส่วนตัวของคุณให้พ้นจากมือคนผิด
ความปลอดภัยของสถาบันนั้นซับซ้อนกว่ามาก มันเกี่ยวข้องกับการจัดการลายเซ็นหลายราย การเข้าถึงหลายระดับ และธุรกรรมที่บ่อยครั้ง สถาบันต้องแน่ใจว่าพนักงานในบทบาทต่างๆ สามารถใช้เงินทุนเพื่อวัตถุประสงค์ทางธุรกิจที่ถูกต้อง ในขณะที่ป้องกันไม่ให้บุคคลใดบุคคลหนึ่งเคลื่อนย้ายสินทรัพย์โดยไม่ได้รับอนุญาต
ทั้งสองอย่างไม่สามารถเทียบเคียงได้ในแง่ของความยาก
ในเหตุการณ์ที่รายงานต่อสาธารณะ กรณีที่การเข้ารหัสลับถูกทำลายนั้นหายากมาก ความล้มเหลวส่วนใหญ่เกิดขึ้นที่อื่นในกระบวนการ โดยทั่วไปแล้ว ความล้มเหลวแบ่งออกเป็นสามประเภท
ประเภทแรกเกี่ยวข้องกับเครื่องมือที่ถูกบุกรุก หากผู้โจมตีดัดแปลงซอฟต์แวร์โอเพนซอร์ส บริการคลาวด์ หรือเครื่องมือพัฒนาที่องค์กรใช้ กระเป๋าเงินขององค์กรก็อาจถูกเปิดเผยได้เช่นกัน
ประเภทที่สองเกี่ยวข้องกับบุคคล ซึ่งรวมถึงการแอบอ้างเพื่อให้ได้มาซึ่งการเข้าถึง พนักงานที่ใช้สิทธิพิเศษในทางที่ผิด และอดีตพนักงานที่ยังคงได้รับอนุญาตซึ่งควรถูกเพิกถอนแล้ว
ผู้โจมตีไม่จำเป็นต้องเจาะเข้าระบบโดยตรงเสมอไป บ่อยครั้งที่มันง่ายกว่าที่จะเข้าใกล้ใครสักคนที่เข้าถึงได้อยู่แล้ว
หลักการเดียวกันนี้ใช้กับสถาบัน ผู้โจมตีอาจศึกษาประกาศรับสมัครงานเพื่อเรียนรู้เกี่ยวกับสแต็กเทคโนโลยีของบริษัท ระบุพนักงานที่เกี่ยวข้องผ่านแพลตฟอร์มโฮสต์โค้ด หรือสร้างความสัมพันธ์กับพนักงานในงานอุตสาหกรรม การเตรียมการนี้อาจดำเนินต่อไปเป็นเวลาหลายเดือนก่อนที่จะเกิดการโจมตี
ประเภทที่สามเกี่ยวข้องกับจุดอ่อนในขั้นตอนการปฏิบัติงาน ตัวอย่างเช่น การข้ามข้อกำหนดการอนุมัติปกติในช่วงฉุกเฉิน การไม่เพิกถอนการเข้าถึงชั่วคราว การใช้ข้อมูลทางธุรกิจจริงในสภาพแวดล้อมทดสอบ หรือการเปิดเผยเครื่องมือภายในต่ออินเทอร์เน็ตสาธารณะเพื่อความสะดวก
ไม่มีสิ่งใดที่ซับซ้อนเป็นพิเศษ แต่ที่สถาบันที่ถือสินทรัพย์จำนวนมาก สิ่งใดสิ่งหนึ่งอาจนำไปสู่การสูญเสียอย่างร้ายแรง
กลไกทั้งสามนี้จัดการกับความปลอดภัยในด้านต่างๆ
กระเป๋าเงินแบบหลายลายเซ็นต้องได้รับอนุญาตจากหลายคีย์ ลดความเสี่ยงที่เกี่ยวข้องกับคีย์เดียวที่ถูกบุกรุก การคำนวณแบบหลายฝ่าย (MPC) กระจายความสามารถในการลงนามไปยังส่วนแบ่งคีย์ที่แยกจากกัน ลดความเสี่ยงในการจัดเก็บหรือใช้คีย์ส่วนตัวที่สมบูรณ์ในที่เดียว ขั้นตอนการอนุมัติภายในกำหนดว่าควรดำเนินการธุรกรรมจากมุมมองทางธุรกิจหรือไม่
สิ่งที่สถาบันต้องตรวจสอบคือสามชั้นนี้ตรวจสอบซึ่งกันและกันในทางปฏิบัติจริงหรือไม่
ตัวอย่างเช่น หากหลายคีย์ถูกควบคุมโดยทีมเดียวกันหรือชุดสิทธิ์ผู้ดูแลระบบชุดเดียวกัน เกณฑ์การลงนามอาจดูเหมือนกระจาย ในขณะที่ความเสี่ยงพื้นฐานยังคงรวมศูนย์
ในทำนองเดียวกัน แม้ว่าส่วนแบ่งคีย์ MPC จะถูกเก็บแยกกัน สถาบันต้องตรวจสอบว่าการลงทะเบียนอุปกรณ์ การยืนยันตัวตน และสิทธิพิเศษในการกู้คืนสามารถควบคุมโดยบุคคลคนเดียวได้หรือไม่
เช่นเดียวกับขั้นตอนการอนุมัติ หากพนักงานอนุมัติสิ่งที่ปรากฏบนหน้าจอ แต่ระบบลงนามได้รับธุรกรรมอื่น กระบวนการอนุมัติไม่สามารถป้องกันการโอนสินทรัพย์โดยไม่ได้รับอนุญาตได้อย่างมีประสิทธิภาพ
ในการวิเคราะห์ทางเทคนิคของเหตุการณ์ Gnosis Pay CertiK พบว่าข้อบกพร่องในโมดูลการตรวจสอบการอนุญาตทำให้ธุรกรรมที่ไม่ได้รับอนุญาตผ่านการตรวจสอบ
สิ่งนี้แสดงให้เห็นว่าเหตุใดการประเมินความปลอดภัยจึงต้องไปไกลกว่าคีย์ส่วนตัวและอัลกอริธึมการลงนาม ต้องครอบคลุมถึงการยืนยันตัวตน การตรวจสอบธุรกรรม การเปลี่ยนแปลงสิทธิ์ และขั้นตอนการกู้คืน
สิ่งเหล่านี้คือปัญหาที่เราออกแบบที่ Gate
สำหรับการจัดการสินทรัพย์ของ Gate เอง สินทรัพย์ส่วนใหญ่ถูกเก็บไว้ในกระเป๋าเงินเย็นแบบหลายลายเซ็น เก็บไว้แบบออฟไลน์และแยกจากเครือข่าย
กระเป๋าเงินร้อนของเรารวมการป้องกันแบบหลายลายเซ็นเข้ากับ MPC โดยกระจายการจัดการคีย์ส่วนตัวไปยังส่วนประกอบต่างๆ กระเป๋าเงินร้อนยังอยู่ภายใต้ขีดจำกัดยอดคงเหลือ: จำนวนเงินที่เกินขีดจำกัดจะถูกกวาดไปยังที่เก็บเย็นทันที
สำหรับผู้ใช้ของเรา เรามีโซลูชันความปลอดภัยที่แตกต่างกันตามความต้องการของพวกเขา
สำหรับลูกค้าสถาบัน เรานำเสนอ Gate Vault ซึ่งรวม MPC เข้ากับรูปแบบการลงนาม 2 ใน 3
พูดง่ายๆ คือ คีย์การลงนามจะถูกแบ่งออกเป็นสามส่วน ถือแยกกันโดยอุปกรณ์ของผู้ใช้ Gate และบุคคลที่สามที่เป็นอิสระ ธุรกรรมใดๆ ต้องใช้สองในสามส่วน ดังนั้นไม่มีฝ่ายใดฝ่ายหนึ่งสามารถเคลื่อนย้ายสินทรัพย์ได้เพียงลำพัง
การโอนออกทุกครั้งจาก Gate Vault จะถูกระงับไว้เป็นเวลา 48 ชั่วโมง ในระหว่างนั้นผู้ใช้สามารถระงับการโอนได้ ในการตั้งค่าของสถาบัน ข้อผิดพลาดในการปฏิบัติงานและการลงนามภายใต้การบังคับขู่เข็ญนั้นเกิดขึ้นได้ ความล่าช้าสร้างหน้าต่างที่สามารถระบุและหยุดการโอนที่น่าสงสัยหรือไม่ได้ตั้งใจก่อนที่สินทรัพย์จะออกไป
สถาบันควรสร้างห่วงโซ่การควบคุมอย่างต่อเนื่องรอบทุกธุรกรรม
ในขั้นตอนการเริ่มต้น พวกเขาจำเป็นต้องตรวจสอบวัตถุประสงค์ทางธุรกิจ คู่สัญญา ที่อยู่ปลายทาง และขีดจำกัดการทำธุรกรรม
ในระหว่างการอนุมัติ บุคลากรที่เกี่ยวข้องต้องเข้าใจว่าธุรกรรมทำอะไรจริง ๆ และรายละเอียดที่ได้รับอนุมัติต้องตรงกับธุรกรรมสุดท้ายที่ส่งเพื่อลงนาม
ในขั้นตอนการลงนามและการดูแล สถาบันต้องปกป้องคีย์ อุปกรณ์ และสิทธิ์ในการปฏิบัติงาน
หลังจากการดำเนินการ พวกเขาควรตรวจสอบธุรกรรมที่ผิดปกติและกระทบยอดบันทึกบนเชนกับบันทึกทางบัญชีภายใน
ทุกขั้นตอนต้องมีเจ้าของที่กำหนดไว้อย่างชัดเจน พร้อมด้วยบันทึกที่สามารถตรวจสอบข้ามกันได้
ความเสี่ยงที่ถูกมองข้ามมากที่สุดบางประการเกี่ยวข้องกับการกระทำที่ไม่โอนสินทรัพย์โดยตรง แต่สามารถเปลี่ยนผู้ควบคุมสินทรัพย์ได้
ซึ่งรวมถึงการแก้ไขบัญชีขาวที่อยู่ถอน การเพิ่มขีดจำกัดการทำธุรกรรม การแทนที่ผู้ลงนามที่ได้รับอนุญาต หรือการอัปเดตซอฟต์แวร์กระเป๋าเงิน
ขั้นตอนการกู้คืนยังต้องมีการวางแผนโดยเฉพาะและการทดสอบเป็นประจำ
หากพนักงานสำคัญลาออก อุปกรณ์ล้มเหลว หรือผู้ให้บริการไม่สามารถใช้งานได้ สถาบันต้องสามารถควบคุมสินทรัพย์ของตนได้อีกครั้งในขณะที่รักษาข้อกำหนดการอนุญาตหลายบุคคลที่เหมาะสม
เส้นทางการกู้คืนต้องไม่กลายเป็นทางลัดที่เลี่ยงการควบคุมการเข้าถึงประจำวัน
บน Gate สถาบันมักจะจัดการเงินทุนผ่านการรวมกันของบัญชีหลักและบัญชีย่อย โดยมีสิทธิ์ที่แตกต่างกันให้กับพนักงานตามความรับผิดชอบของพวกเขา
ตัวอย่างเช่น พนักงานบางคนอาจได้รับอนุญาตให้ดูข้อมูลบัญชีเท่านั้น คนอื่นอาจได้รับอนุญาตให้ซื้อขาย ในขณะที่บุคลากรที่กำหนดจัดการอนุมัติ
โครงสร้างนี้สนับสนุนการดำเนินงานประจำวันในขณะที่ลดความเสี่ยงที่ไม่จำเป็นต่อเงินทุน
สำหรับผู้จัดการสินทรัพย์ เรายังมีบัญชีย่อยที่มีการจัดการโดยเฉพาะ
สิ่งเหล่านี้ถูกออกแบบมาเพื่อจัดการกับข้อกังวลทั่วไป: นักลงทุนอาจต้องการให้ทีมงานมืออาชีพจัดการสินทรัพย์ของตนโดยไม่ให้ทีมนั้นสามารถถอนเงินทุนได้
ภายใต้การจัดการนี้ เมื่อนักลงทุนสร้างบัญชีย่อยที่มีการจัดการ พวกเขาไม่สามารถสร้างคีย์ API เองสำหรับการดำเนินงานอัตโนมัติ ทีมซื้อขายสามารถดำเนินกลยุทธ์การซื้อขายที่ตกลงกันไว้ แต่ไม่มีสิทธิ์ในการถอน
ตลอดระยะเวลาของอาณัติ นักลงทุนยังไม่สามารถดูสถานะ คำสั่งที่เปิดอยู่ หรือประวัติการซื้อขายของทีมซื้อขาย ดังนั้นกลยุทธ์ของทีมจะยังคงเป็นความลับ
สิทธิ์ API ก็มีความสำคัญไม่แพ้กัน
การซื้อขายของสถาบันส่วนใหญ่เป็นแบบโปรแกรม โดยคำสั่งซื้อขายด้วยตนเองเป็นเพียงเศษเสี้ยว ดังนั้นคีย์ API ของเราจึงรองรับสิทธิ์แบบละเอียด: อ่าน ซื้อขาย และถอน สามารถเปิดใช้งานแยกกันได้
หน่วยงานกำกับดูแลต้องพิจารณาก่อนว่าแพลตฟอร์มสามารถรักษาการควบคุมสินทรัพย์ รักษาบริการที่สำคัญให้ทำงาน และแสดงให้เห็นอย่างชัดเจนว่าตรวจพบและจัดการความเสี่ยงอย่างไรเมื่อเกิดเหตุการณ์
สำหรับแพลตฟอร์มซื้อขาย ซึ่งรวมถึงการดูแลสินทรัพย์ของลูกค้า การกระทบยอดบัญชี การจัดการการเข้าถึง การควบคุมการฟอกเงิน และการตอบสนองต่อเหตุการณ์
สำหรับระบบสกุลเงินดิจิทัลของธนาคารกลาง (CBDC) ความสมบูรณ์ของการออกและบันทึกบัญชีแยกประเภท ความต่อเนื่องของการชำระเงิน และการกู้คืนที่แม่นยำหลังจากความล้มเหลวมีความสำคัญเป็นพิเศษ
แม้ว่าระบบเหล่านี้จะมีวัตถุประสงค์ที่แตกต่างกัน แต่ทั้งสองต้องการหลักฐานที่สามารถทดสอบและตรวจสอบอย่างอิสระ
สิ่งเหล่านี้ยังเป็นปัญหาในทางปฏิบัติที่เกี่ยวข้องกับความร่วมมือล่าสุดของ CertiK กับธนาคารแห่งชาติของสาธารณรัฐคีร์กีซ
ภายใต้บันทึกความเข้าใจที่ลงนามแล้ว ทั้งสองฝ่ายตั้งใจที่จะสำรวจพื้นที่ต่างๆ รวมถึงการประเมินความปลอดภัยของซอมดิจิทัล การตรวจสอบอย่างเป็นทางการ ความปลอดภัยทางไซเบอร์และความยืดหยุ่นในการปฏิบัติงาน ตลอดจนกฎระเบียบสินทรัพย์ดิจิทัล การป้องกันการฟอกเงิน และการดูแล
ในการประเมินเชิงปฏิบัติ หน่วยงานกำกับดูแลต้องการหลักฐานที่เป็นรูปธรรม
ใครควบคุมสิทธิ์ที่สำคัญ ช่องโหว่ที่มีความเสี่ยงสูงได้รับการแก้ไขหรือไม่ จัดการธุรกรรมที่น่าสงสัยอย่างไร หลังจากความล้มเหลวของระบบจำลอง บริการและบันทึกทางบัญชีสามารถเรียกคืนได้อย่างถูกต้องหรือไม่
คำตอบแสดงให้เห็นว่าการควบคุมทำงานจริงหรือไม่
เราเห็นปัญหาเหล่านี้โดยตรงเมื่อยื่นขอและรักษาใบอนุญาตในเขตอำนาจศาลต่างๆ
เมื่อผู้คนพูดถึงความปลอดภัยของแพลตฟอร์ม พวกเขามักจะเน้นที่เทคโนโลยีที่ทันสมัยเพียงใด
แต่จากมุมมองด้านกฎระเบียบ คำถามอีกข้อหนึ่งก็สำคัญไม่แพ้กัน: สินทรัพย์ของลูกค้าถูกแยกจากเงินทุนของแพลตฟอร์มหรือไม่ และหากมีสิ่งผิดปกติเกิดขึ้น แพลตฟอร์มสามารถระบุได้อย่างชัดเจนว่าสินทรัพย์ใดเป็นของใคร
นี่คือจุดที่พิสูจน์ทุนสำรองเข้ามามีบทบาท
สำหรับผู้ใช้ทั่วไป มันช่วยให้พวกเขาตรวจสอบว่าแพลตฟอร์มถือสินทรัพย์เพียงพอที่จะครอบคลุมยอดคงเหลือของลูกค้าหรือไม่ สำหรับหน่วยงานกำกับดูแล มันยังสามารถให้หลักฐานที่เป็นประโยชน์เมื่อประเมินว่าแพลตฟอร์มจัดการสินทรัพย์อย่างไร
Gate รวม Merkle trees เข้ากับการพิสูจน์ความรู้เป็นศูนย์ ช่วยให้ผู้ใช้สามารถตรวจสอบว่าสินทรัพย์ของพวกเขารวมอยู่ในการคำนวณทุนสำรองในขณะที่ปกป้องข้อมูลส่วนบุคคลของพวกเขา
ตามตัวเลขที่เผยแพร่ล่าสุด Gate ถือทุนสำรองรวม 8.688 พันล้านดอลลาร์ โดยมีอัตราส่วนทุนสำรองโดยรวม 118.49%
ทุนสำรอง Bitcoin อยู่ที่ 25,727 BTC โดยมีอัตราส่วนทุนสำรอง 121.60% ในขณะที่ทุนสำรอง Ethereum รวม 449,042 ETH โดยมีอัตราส่วนทุนสำรอง 123.78%
พูดง่ายๆ อัตราส่วนทุนสำรองที่สูงกว่า 100% หมายความว่าทุนสำรองที่เปิดเผยของแพลตฟอร์มสำหรับสินทรัพย์ที่เกี่ยวข้องนั้นเกินยอดคงเหลือของลูกค้าที่เกี่ยวข้อง
เมื่อประเมินแพลตฟอร์ม สถาบันควรพิจารณาก่อนว่าหลักฐานความปลอดภัยที่มีอยู่นั้นครอบคลุมบริการ ระบบ และเวอร์ชันซอฟต์แวร์ที่พวกเขาตั้งใจจะใช้หรือไม่
ส่วนประกอบใดบ้างที่รวมอยู่ในการตรวจสอบ ช่องโหว่ที่ระบุได้รับการแก้ไขแล้วหรือไม่ ใครสามารถโอนสินทรัพย์หรือแก้ไขสิทธิ์ที่สำคัญ
หากมีบริการดูแล สถาบันควรเข้าใจด้วยว่าการควบคุมคีย์ การกระทบยอดสินทรัพย์ การสำรองข้อมูลและการกู้คืน และการพึ่งพาบุคคลที่สามได้รับการจัดการอย่างไร
ที่ CertiK เราใช้ Skynet เพื่อจัดระเบียบสัญญาณบนเชนและนอกเชนที่ซับซ้อนให้เป็นคะแนนความปลอดภัยที่เข้าถึงได้ง่ายขึ้นและอัปเดตอย่างต่อเนื่อง
สำหรับโครงการ Web3 คะแนนเหล่านี้ครอบคลุมหกมิติ: ความปลอดภัยของโค้ด สุขภาพพื้นฐาน ความยืดหยุ่นในการปฏิบัติงาน ความไว้วางใจของชุมชน เสถียรภาพของตลาด และความแข็งแกร่งของการกำกับดูแล
สิ่งนี้ช่วยให้สถาบันระบุพื้นที่ที่ควรค่าแก่การตรวจสอบเพิ่มเติมได้อย่างรวดเร็ว
สถาบันยังสามารถใช้ Skynet เพื่อตรวจสอบรายงานการตรวจสอบ CertiK ที่เปิดเผยต่อสาธารณะ ตรวจสอบสิ่งที่ค้นพบเฉพาะและสถานะการแก้ไข และตรวจสอบว่าขอบเขตการตรวจสอบตรงกับเวอร์ชันที่ปรับใช้อยู่ในปัจจุบันหรือไม่
ตลาดแลกเปลี่ยนและกระเป๋าเงินได้รับการประเมินตามเกณฑ์ของตนเอง
สำหรับการควบคุมการเข้าถึงภายในและการจัดการการดูแลที่ไม่สามารถประเมินได้ผ่านข้อมูลที่เปิดเผยต่อสาธารณะ สถาบันยังควรขอเอกสารสนับสนุนจากแพลตฟอร์มและตรวจสอบการควบคุมที่เกี่ยวข้องผ่านการตรวจสอบสถานะหรือการทดสอบที่มีการควบคุม
สถาบันสามารถเริ่มต้นด้วยสามด้าน
ประการแรกคือการพิสูจน์ทุนสำรอง
ตัวอย่างเช่น Gate ได้เปิดเผยซอร์สโค้ดเครื่องมือตรวจสอบทุนสำรองบน GitHub ด้วยข้อมูลการตรวจสอบของตนเอง ผู้ใช้สามารถตรวจสอบในเครื่องว่ายอดคงเหลือในบัญชีของตนรวมอยู่ในการคำนวณทุนสำรองอย่างถูกต้องหรือไม่
ประการที่สองคือโปรแกรมรางวัลสำหรับการแจ้งจุดบกพร่อง
กล่าวอีกนัยหนึ่ง: แพลตฟอร์มเต็มใจที่จะจ่ายเงินให้นักวิจัยภายนอกเพื่อค้นหาจุดอ่อนของมันหรือไม่
สถาบันควรดูว่าโปรแกรมดำเนินมายาวนานหรือไม่ รางวัลสมเหตุสมผลหรือไม่ และแพลตฟอร์มตอบสนองต่อปัญหาที่รายงานอย่างรวดเร็วหรือไม่
Gate ดำเนินโปรแกรมรางวัลสำหรับการแจ้งจุดบกพร่องมายาวนาน และยินดีต้อนรับนักวิจัยด้านความปลอดภัยจากทั่วโลกให้รายงานช่องโหว่
ประการที่สามคือการออกใบอนุญาต
สถาบันควรตรวจสอบว่าประเทศและภูมิภาคใดที่ให้ใบอนุญาตที่เกี่ยวข้องแก่แพลตฟอร์ม นิติบุคคลใดที่ถือใบอนุญาตเหล่านั้น และใบอนุญาตยังคงมีผลบังคับใช้หรือไม่
ใบอนุญาตไม่ได้ทำให้แพลตฟอร์มปลอดจากความเสี่ยง แต่มันหมายความว่าแพลตฟอร์มนั้นจำเป็นต้องเป็นไปตามมาตรฐานด้านกฎระเบียบที่บังคับใช้ในเขตอำนาจศาลนั้น
ขั้นตอนแรกคือการกำหนดวัตถุประสงค์ของการจัดสรรและกำหนดขีดจำกัดความเสี่ยงที่ชัดเจน
สถาบันควรกำหนดว่าพวกเขาตั้งใจที่จะถือสินทรัพย์ใด แพลตฟอร์ม บล็อกเชน และคู่สัญญาใดที่พวกเขาจะใช้ และควรใช้ขีดจำกัดใดกับธุรกรรมแต่ละรายการและการเปิดรับโดยรวม
จากนั้นพวกเขาควรมอบหมายความรับผิดชอบอย่างชัดเจนสำหรับการเริ่มต้นธุรกรรมการอนุมัติ การลงนาม การกระทบยอด และการตอบสนองต่อเหตุการณ์
เมื่อตัดสินใจระหว่างการดูแลตนเอง การดูแลโดยบุคคลที่สาม หรือการรวมกันของทั้งสอง พวกเขายังต้องกำหนดว่าฝ่ายใดจะควบคุมสิทธิ์ใด
ก่อนทำการโอนครั้งแรก สถาบันควรตรวจสอบผู้รับและที่อยู่ปลายทาง
ในการวิจัยเกี่ยวกับคู่สัญญาสินทรัพย์ดิจิทัลของสถาบัน CertiK ได้เน้นย้ำว่าที่อยู่บนเชนเพียงอย่างเดียวไม่ได้ระบุว่าใครอยู่เบื้องหลังหรือใครควบคุมมัน
ความเป็นเจ้าของที่อยู่ ตัวบ่งชี้ความเสี่ยงในอดีต และข้อมูลคู่สัญญาต้องได้รับการตรวจสอบร่วมกัน
เมื่อการตรวจสอบสถานะแพลตฟอร์มเสร็จสมบูรณ์ สถาบันสามารถเริ่มต้นด้วยการนำร่องขนาดเล็กเพื่อดำเนินการซื้อขาย การถอน และการกระทบยอดตั้งแต่ต้นจนจบ
พวกเขาควรซ้อมการตอบสนองต่อความล้มเหลวของอุปกรณ์หรือการหยุดชะงักของบริการ
จากนั้นควรปรับขนาดการเปิดรับตามผลลัพธ์
สำหรับสถาบันที่เพิ่งเริ่มจัดสรรเงินทุนให้กับสินทรัพย์ดิจิทัล เรามีคำแนะนำสี่ข้อ
ประการแรก แยกเงินทุนตามวัตถุประสงค์
เงินทุนที่จำเป็นสำหรับการซื้อขายประจำวัน เงินสำรองระยะกลาง และการถือครองระยะยาวควรได้รับการจัดการแยกกัน โดยมีขีดจำกัดที่แตกต่างกันในการใช้งาน
ตามหลักการแล้ว โครงสร้างนี้ควรวางแผนก่อนเปิดบัญชี เมื่อการดำเนินงานเริ่มต้นขึ้นแล้ว การเปลี่ยนวิธีการจัดการเงินทุนอาจทำได้ยากขึ้นมาก
สำหรับการถือครองระยะยาวที่จะไม่ถูกแตะต้อง สถาบันยังสามารถพิจารณาโซลูชันการดูแลที่มีการหน่วงเวลาการถอน 48 ชั่วโมง
ระยะเวลารอคอยเพิ่มเติมนั้นให้เวลาในการตรวจสอบและตอบสนองต่อกิจกรรมที่น่าสงสัยที่อาจเกิดขึ้น
ประการที่สอง แยกหน้าที่
การเริ่มต้นการโอน อนุมัติ และดำเนินการ ตามหลักการแล้วไม่ควรจัดการโดยบุคคลเดียวกัน
การใช้บัญชีย่อยและการตั้งค่าสิทธิ์ของพนักงาน สถาบันสามารถสร้างการแบ่งแยกหน้าที่พื้นฐานนี้ได้โดยไม่ต้องสร้างอะไรภายในองค์กร
ประการที่สาม ควบคุมคีย์ API ที่ใช้สำหรับการดำเนินงานอัตโนมัติอย่างเคร่งครัด
ควรปิดใช้งานสิทธิ์การถอนตามค่าเริ่มต้น
ทุกคีย์ API ควรมีวัตถุประสงค์ที่กำหนดไว้อย่างชัดเจนและเจ้าของที่กำหนด และสถาบันควรกำหนดล่วงหน้าว่าคีย์นั้นจะต้องถูกเพิกถอนหรือลบเมื่อใด
ประการที่สี่ ดำเนินการตรวจสอบสถานะอย่างละเอียดก่อนเลือกแพลตฟอร์ม
ดังที่เราได้กล่าวไว้ก่อนหน้านี้ สถาบันควรตรวจสอบว่าการพิสูจน์ทุนสำรองของแพลตฟอร์มสามารถตรวจสอบได้โดยอิสระหรือไม่ ใครรับผิดชอบในการดูแลเงินทุน มีโปรแกรมรางวัลสำหรับการแจ้งจุดบกพร่องหรือไม่ และใบอนุญาตที่เกี่ยวข้องยังคงมีผลบังคับใช้หรือไม่
สิ่งเหล่านี้คือคำถามทั้งหมดที่ควรตอบก่อนที่จะมอบสินทรัพย์
ไม่ว่าจะเป็นกระเป๋าเงินส่วนบุคคลหรือคลังของสถาบัน เงินที่มากขึ้นและผู้คนที่มากขึ้นหมายถึงความเสี่ยงที่ซับซ้อนมากขึ้น
แต่ไม่ว่าจะในสถานการณ์ใด เป้าหมายพื้นฐานของความปลอดภัยยังคงเหมือนเดิม: ระบุความเสี่ยงตั้งแต่เนิ่นๆ และเท่าที่เป็นไปได้ ป้องกันไม่ให้ความเสี่ยงกลายเป็นการสูญเสียจริง
นั่นคือข้อความที่เราหวังจะสื่อผ่าน Gate Security Academy
ความปลอดภัยไม่ควรกลายเป็นลำดับความสำคัญหลังจากมีสิ่งผิดปกติเกิดขึ้นเท่านั้น ควรเป็นนิสัยในทุกการดำเนินงานและการตัดสินใจทุกครั้ง
ขอขอบคุณ CertiK และทีมรักษาความปลอดภัยของ Gate สำหรับการแบ่งปันข้อมูลเชิงลึก
Gate ก่อตั้งขึ้นในปี 2013 โดย Dr. Han เป็นหนึ่งในแพลตฟอร์มสกุลเงินดิจิทัลและบริการทางการเงินแบบบูรณาการชั้นนำของโลก ครอบคลุมกรณีการใช้งานทางการเงินและในชีวิตประจำวัน รวมถึงการจัดการสินทรัพย์ การซื้อขาย และการชำระเงิน ให้บริการผู้ใช้กว่า 62 ล้านคนทั่วโลก รองรับการซื้อขายสินทรัพย์ดิจิทัลมากกว่า 5,400 รายการและสินทรัพย์หุ้นและ ETF มากกว่า 12,800 รายการ ในขณะที่ให้การเข้าถึงสินทรัพย์ TradFi ที่ครอบคลุม รวมถึงโลหะ หุ้น ดัชนี สกุลเงินต่างประเทศ และสินค้าโภคภัณฑ์ เพื่อตอบสนองความต้องการแบบครบวงจรของผู้ใช้ในการถือครอง การซื้อขาย และการใช้จ่ายสินทรัพย์ ในฐานะที่เป็นเกณฑ์มาตรฐานของอุตสาหกรรม Gate เป็นหนึ่งในแพลตฟอร์มแรกๆ ที่ใช้การพิสูจน์ทุนสำรอง 100% ระบบนิเวศของมันรวมถึง Gate Money, Gate Wallet, Gate Ventures, Gate for AI Agent และผลิตภัณฑ์และบริการที่หลากหลาย
แชร์ไปยัง
ข้อจำกัดความรับผิดชอบ: เนื้อหาในบทความนี้มาจากสื่อภายนอก ใช้เพื่อการอ้างอิงเท่านั้น และไม่ถือเป็นคำแนะนำการลงทุน คริปโตและผลิตภัณฑ์ทางการเงินอื่นมีความเสี่ยงจากความผันผวนของราคาสูง โปรดตัดสินใจอย่างรอบคอบ
Tether มีความเสี่ยงประมาณ 4.8 พันล้านดอลลาร์ในตลาดหุ้นสหรัฐฯ ผ่านการถือหุ้นในบริษัทจดทะเบียน 13 แห่ง รวมถึง Rumble, Twenty One Capital และบริษัทเหมืองทองคำ
BitMine ขาดทุนสุทธิ 6.3 พันล้านดอลลาร์จากราคา ETH ที่ลดลง ในขณะที่ staking สร้างรายได้ 97% การซื้อ ETH ใกล้สิ้นสุด
Bitcoin ดีดตัวขึ้นจาก $72,677 โดยฟื้นตัวกลับขึ้นมาเหนือค่าเฉลี่ยเคลื่อนที่ 200 วันของมันไปอยู่ที่ประมาณ $73,706 ในขณะที่ผู้ซื้อป้องกันแนวรับ
Gemini จัดอันดับ 10 เหรียญ Altcoin ที่ขาดทุนมากที่สุดในปี 2026 โดย Bitcoin Cash ลดลง 61.76%