Học viện Bảo mật Gate ra mắt cùng CertiK, đề cập đến cách các tổ chức bảo vệ các khoản nắm giữ tài sản kỹ thuật số lớn.
Gate đã giới thiệu Học viện Bảo mật Gate, một loạt bài tập trung vào các rủi ro bảo mật trong tiền điện tử. Phần đầu tiên, được sản xuất cùng với CertiK, xem xét cách thức bảo vệ tài sản kỹ thuật số quy mô lớn hoạt động cho các tổ chức.
Đối với người dùng cá nhân, việc bảo vệ tiền điện tử có thể đơn giản như bảo vệ một cụm từ khôi phục. Đối với một tổ chức quản lý hàng chục tỷ đô la, thách thức trở nên lớn hơn đáng kể.
Nên giữ các khoản nắm giữ đó ở đâu? Ai phải ký duyệt một giao dịch? Ai được phép di chuyển tiền trong một thiết lập đa chữ ký? Và nếu kẻ tấn công khai thác một lỗ hổng ở đâu đó, tổ chức có thể phát hiện mối đe dọa và ngăn chặn tổn thất kịp thời không?
Những câu hỏi này nằm ở trung tâm của bảo mật tài sản kỹ thuật số tổ chức.
Trong ấn bản này của Học viện Bảo mật Gate, CertiK và nhóm bảo mật của Gate tham gia thảo luận, chuyển trọng tâm từ ví cá nhân sang quản lý tài sản tổ chức. Từ góc nhìn của một kiểm toán viên bảo mật độc lập và một nền tảng giao dịch tiền điện tử, cuộc trò chuyện bao gồm cách các tổ chức có thể duy trì hoạt động trơn tru trong khi vẫn kiểm soát được rủi ro tài sản.
CertiK: CertiK là một công ty bảo mật Web3 được các cơ quan quản lý, tổ chức tài chính và các nhà đổi mới Web3 trên toàn thế giới tin tưởng. Kể từ khi thành lập vào năm 2017, CertiK đã phục vụ khách hàng tại hơn 150 quốc gia và vùng lãnh thổ, xác định hơn 119.000 lỗ hổng trong mã và giúp bảo vệ hơn 600 tỷ đô la tài sản kỹ thuật số.
Nhóm Bảo mật Gate: Nhóm bảo mật của Gate chịu trách nhiệm phát triển và duy trì các hệ thống bảo mật tài khoản, giao dịch và tài sản của nền tảng. Nhóm cũng cung cấp hỗ trợ liên tục cho các khách hàng tổ chức trong các lĩnh vực như kiểm soát truy cập, tích hợp API và lưu ký tài sản.
Được thành lập vào năm 2013, Gate là một trong những sàn giao dịch lớn đầu tiên cam kết 100% bằng chứng dự trữ và hiện phục vụ hơn 62 triệu người dùng trên toàn thế giới.
Sự khác biệt cốt lõi nằm ở cách tổ chức kiểm soát tài sản.
Đối với người dùng cá nhân, bảo mật ví phần lớn phụ thuộc vào việc bảo vệ khóa riêng, nhận biết các mối đe dọa và xác minh giao dịch. Các tổ chức, tuy nhiên, phải phối hợp nhiều vai trò, hệ thống và nhà cung cấp dịch vụ bên ngoài theo các quy tắc ủy quyền được xác định rõ ràng. Họ cũng chịu trách nhiệm về lưu ký tài sản, tính liên tục của hoạt động kinh doanh và tuân thủ.
Quy mô khuếch đại tác động của bất kỳ lỗi nào và sự phụ thuộc lẫn nhau giữa các nhóm và hệ thống nhân lên nhiều cách mà mọi thứ có thể sai.
Các rủi ro phổ biến đối với người dùng cá nhân bao gồm các cụm từ khôi phục bị xâm phạm, các cuộc tấn công lừa đảo và các phê duyệt giao dịch độc hại. Các tổ chức phải đối mặt với những mối đe dọa tương tự, nhưng cũng phải bảo vệ chống lại sự tập trung quá mức các đặc quyền, sự không khớp giữa những gì được phê duyệt và những gì thực sự được thực thi, các thiết bị hoặc phần mềm bên thứ ba bị xâm phạm, thông đồng nội bộ và các lỗi vận hành.
Khi điều tra một sự cố bảo mật tổ chức, không đủ để kết luận rằng một khóa riêng đã bị xâm phạm. Các nhà điều tra cũng phải xác định cách kẻ tấn công có được quyền truy cập vào khóa hoặc cách kẻ tấn công đã lừa một hệ thống ký một giao dịch độc hại mà không có được chính khóa đó.
Một sự cố lớn vào năm 2025 minh họa cho rủi ro này. Những kẻ tấn công đã giả mạo giao diện người dùng của ví Safe, khiến người ký thấy một giao dịch chuyển tiền có vẻ hợp pháp trong khi thực tế đang ký một giao dịch độc hại thay thế hợp đồng triển khai của ví. Nhiều người ký được ủy quyền đã phê duyệt giao dịch, nhưng tài sản vẫn bị đánh cắp.
Điều quan trọng không chỉ là có bao nhiêu người đã ký. Các tổ chức cũng phải xác minh rằng những gì người ký thấy, những gì họ phê duyệt và những gì họ cuối cùng ký là cùng một giao dịch.
Do đó, đánh giá bảo mật tổ chức yêu cầu kiểm tra toàn bộ chuỗi kiểm soát: ai khởi tạo giao dịch, ai xác minh nội dung của nó, ai có thể ký và ai có thể thay đổi các quy tắc — và liệu mỗi biện pháp kiểm soát này có thực sự kiểm tra lẫn nhau hay không.
Bảo mật ví cá nhân tương đối đơn giản. Hầu hết các biện pháp bảo vệ xoay quanh một nguyên tắc trung tâm: giữ cụm từ khôi phục và khóa riêng của bạn tránh xa những kẻ xấu.
Bảo mật tổ chức phức tạp hơn nhiều. Nó liên quan đến các thỏa thuận đa chữ ký, nhiều cấp độ truy cập và các giao dịch thường xuyên. Các tổ chức cần đảm bảo rằng nhân viên ở các vai trò khác nhau có thể sử dụng tiền cho các mục đích kinh doanh hợp pháp, đồng thời ngăn chặn bất kỳ một cá nhân nào di chuyển tài sản mà không có sự cho phép.
Hai điều này đơn giản là không thể so sánh về độ khó.
Trong các sự cố được báo cáo công khai, các trường hợp mà bản thân mã hóa bị phá vỡ là cực kỳ hiếm. Hầu hết các lỗi xảy ra ở nơi khác trong quy trình. Nói rộng ra, chúng rơi vào ba loại.
Loại thứ nhất liên quan đến các công cụ bị xâm phạm. Nếu kẻ tấn công giả mạo phần mềm nguồn mở, dịch vụ đám mây hoặc công cụ phát triển được tổ chức sử dụng, các ví của tổ chức đó cũng có thể bị lộ.
Loại thứ hai liên quan đến con người. Điều này bao gồm mạo danh để có được quyền truy cập, nhân viên lạm dụng đặc quyền của họ và các nhân viên cũ vẫn giữ các quyền đáng lẽ đã bị thu hồi.
Những kẻ tấn công không phải lúc nào cũng cần phải đột nhập trực tiếp vào một hệ thống. Thông thường, sẽ dễ dàng hơn để tiếp cận một người đã có quyền truy cập.
Nguyên tắc tương tự cũng áp dụng cho các tổ chức. Những kẻ tấn công có thể nghiên cứu các bài đăng tuyển dụng để tìm hiểu về công nghệ của công ty, xác định các nhân viên liên quan thông qua các nền tảng lưu trữ mã hoặc thiết lập mối quan hệ với nhân viên tại các sự kiện trong ngành. Sự chuẩn bị này có thể tiếp diễn trong nhiều tháng trước khi một cuộc tấn công diễn ra.
Loại thứ ba liên quan đến các điểm yếu trong quy trình vận hành. Ví dụ bao gồm bỏ qua các yêu cầu phê duyệt thông thường trong trường hợp khẩn cấp, không thu hồi quyền truy cập tạm thời, sử dụng dữ liệu kinh doanh thực trong môi trường thử nghiệm hoặc phơi bày các công cụ nội bộ ra internet công cộng để thuận tiện.
Không có điều nào trong số này đặc biệt tinh vi. Nhưng tại một tổ chức nắm giữ tài sản đáng kể, bất kỳ điều nào trong số chúng cũng có thể dẫn đến tổn thất nghiêm trọng.
Ba cơ chế này giải quyết các khía cạnh khác nhau của bảo mật.
Ví đa chữ ký yêu cầu ủy quyền từ nhiều khóa, giảm rủi ro liên quan đến một khóa duy nhất bị xâm phạm. Tính toán đa bên (MPC) phân phối khả năng ký trên các phần khóa riêng biệt, giảm rủi ro lưu trữ hoặc sử dụng một khóa riêng hoàn chỉnh ở một nơi. Các quy trình phê duyệt nội bộ xác định liệu một giao dịch có nên được thực hiện từ góc độ kinh doanh hay không.
Điều các tổ chức cần xác minh là liệu ba lớp này có thực sự kiểm tra lẫn nhau trong thực tế hay không.
Ví dụ: nếu nhiều khóa được kiểm soát bởi cùng một nhóm hoặc cùng một bộ đặc quyền quản trị viên, ngưỡng ký có vẻ như được phân phối trong khi rủi ro cơ bản vẫn tập trung.
Tương tự, ngay cả khi các phần khóa MPC được lưu trữ riêng biệt, các tổ chức phải kiểm tra xem liệu đăng ký thiết bị, xác minh danh tính và đặc quyền khôi phục có thể đều do một người kiểm soát hay không.
Điều tương tự cũng áp dụng cho các quy trình phê duyệt. Nếu nhân viên phê duyệt những gì xuất hiện trên màn hình, nhưng hệ thống ký lại nhận được một giao dịch khác, quy trình phê duyệt không thể ngăn chặn hiệu quả các chuyển tài sản trái phép.
Trong phân tích kỹ thuật của mình về sự cố Gnosis Pay, CertiK đã phát hiện ra rằng một lỗ hổng trong mô-đun xác thực ủy quyền đã cho phép các giao dịch trái phép vượt qua xác thực.
Điều này chứng minh tại sao các đánh giá bảo mật phải vượt ra ngoài các khóa riêng và thuật toán ký. Chúng cũng phải bao gồm xác minh danh tính, xác thực giao dịch, thay đổi quyền và quy trình khôi phục.
Đây chính xác là những vấn đề mà chúng tôi thiết kế tại Gate.
Đối với việc quản lý tài sản của chính Gate, phần lớn tài sản được nắm giữ trong các ví lạnh đa chữ ký, được giữ ngoại tuyến và cách ly không khí.
Các ví nóng của chúng tôi kết hợp bảo vệ đa chữ ký với MPC, phân phối việc quản lý khóa riêng trên nhiều thành phần. Ví nóng cũng phải tuân theo giới hạn số dư: bất kỳ số tiền nào vượt quá giới hạn sẽ ngay lập tức được chuyển vào kho lạnh.
Đối với người dùng của chúng tôi, chúng tôi cung cấp các giải pháp bảo mật khác nhau tùy theo nhu cầu của họ.
Đối với khách hàng tổ chức, chúng tôi cung cấp Gate Vault, kết hợp MPC với sơ đồ ký 2-of-3.
Nói một cách đơn giản, khóa ký được chia thành ba phần, được nắm giữ riêng biệt bởi thiết bị của người dùng, Gate và một bên thứ ba độc lập. Bất kỳ giao dịch nào cũng yêu cầu hai trong ba phần, vì vậy không một bên nào có thể tự mình di chuyển tài sản.
Mọi chuyển tiền ra khỏi Gate Vault cũng bị giữ lại trong 48 giờ, trong thời gian đó người dùng có thể đóng băng nó. Trong môi trường tổ chức, các lỗi vận hành và chữ ký bị ép buộc có thể xảy ra. Sự chậm trễ tạo ra một khoảng thời gian để các chuyển tiền đáng ngờ hoặc ngoài ý muốn có thể được xác định và ngăn chặn trước khi tài sản rời đi.
Các tổ chức nên thiết lập một chuỗi kiểm soát liên tục xung quanh mọi giao dịch.
Ở giai đoạn khởi tạo, họ cần xác minh mục đích kinh doanh, đối tác, địa chỉ đích và giới hạn giao dịch.
Trong quá trình phê duyệt, nhân sự liên quan phải hiểu giao dịch thực sự làm gì và các chi tiết được phê duyệt phải khớp với giao dịch cuối cùng được gửi để ký.
Ở giai đoạn ký và lưu ký, các tổ chức phải bảo vệ khóa, thiết bị và quyền vận hành.
Sau khi thực hiện, họ nên giám sát các giao dịch bất thường và đối chiếu các bản ghi trên chuỗi với các bản ghi kế toán nội bộ.
Mỗi bước cần có một chủ sở hữu được chỉ định rõ ràng, cùng với các bản ghi có thể được đối chiếu chéo với nhau.
Một số rủi ro bị bỏ qua nhiều nhất liên quan đến các hành động không trực tiếp chuyển tài sản nhưng có thể thay đổi ai kiểm soát chúng.
Chúng bao gồm sửa đổi danh sách trắng địa chỉ rút tiền, tăng giới hạn giao dịch, thay thế người ký được ủy quyền hoặc cập nhật phần mềm ví.
Các quy trình khôi phục cũng yêu cầu lập kế hoạch chuyên dụng và kiểm tra thường xuyên.
Nếu một nhân viên chủ chốt rời đi, một thiết bị bị hỏng hoặc một nhà cung cấp dịch vụ không còn khả dụng, tổ chức phải có khả năng giành lại quyền kiểm soát tài sản của mình trong khi vẫn duy trì các yêu cầu ủy quyền nhiều người phù hợp.
Một đường dẫn khôi phục không bao giờ được trở thành một lỗ hổng để vượt qua các kiểm soát truy cập hàng ngày.
Trên Gate, các tổ chức thường quản lý quỹ thông qua sự kết hợp của tài khoản chính và tài khoản phụ, với các quyền khác nhau được gán cho nhân viên theo trách nhiệm của họ.
Ví dụ: một số nhân viên chỉ có thể được phép xem thông tin tài khoản, những người khác có thể được ủy quyền giao dịch, trong khi nhân sự được chỉ định xử lý phê duyệt.
Cấu trúc này hỗ trợ các hoạt động hàng ngày đồng thời giảm các rủi ro không cần thiết đối với quỹ.
Đối với các nhà quản lý tài sản, chúng tôi cũng cung cấp các tài khoản phụ được quản lý chuyên dụng.
Chúng được thiết kế để giải quyết một mối quan tâm phổ biến: một nhà đầu tư có thể muốn một nhóm chuyên nghiệp quản lý tài sản của họ mà không cho nhóm đó khả năng rút tiền.
Theo thỏa thuận này, khi một nhà đầu tư tạo một tài khoản phụ được quản lý, họ không thể tự tạo khóa API cho các hoạt động tự động. Nhóm giao dịch có thể thực hiện các chiến lược giao dịch đã thỏa thuận nhưng không có quyền rút tiền.
Trong suốt thời gian ủy quyền, nhà đầu tư cũng không thể xem các vị thế, lệnh mở hoặc lịch sử giao dịch của nhóm giao dịch, do đó chiến lược của nhóm vẫn được giữ bí mật.
Quyền API cũng quan trọng không kém.
Hầu hết giao dịch tổ chức là theo chương trình, với các lệnh thủ công chỉ chiếm một phần nhỏ, vì vậy các khóa API của chúng tôi hỗ trợ các quyền chi tiết: đọc, giao dịch và rút tiền có thể được kích hoạt riêng biệt.
Các cơ quan quản lý trước tiên cần xác định liệu một nền tảng có thể duy trì quyền kiểm soát đối với tài sản, giữ cho các dịch vụ quan trọng hoạt động và chứng minh rõ ràng cách các rủi ro được phát hiện và xử lý khi sự cố xảy ra hay không.
Đối với các nền tảng giao dịch, điều này bao gồm lưu ký tài sản khách hàng, đối chiếu tài khoản, quản lý truy cập, kiểm soát chống rửa tiền và ứng phó sự cố.
Đối với các hệ thống tiền kỹ thuật số của ngân hàng trung ương (CBDC), tính toàn vẹn của hồ sơ phát hành và sổ cái, tính liên tục của thanh toán và khả năng khôi phục chính xác sau các lỗi là đặc biệt quan trọng.
Mặc dù các hệ thống này phục vụ các mục đích khác nhau, cả hai đều yêu cầu bằng chứng có thể được kiểm tra và xác minh độc lập.
Đây cũng là một trong những vấn đề thực tế liên quan đến sự hợp tác gần đây của CertiK với Ngân hàng Quốc gia Cộng hòa Kyrgyzstan.
Theo một biên bản ghi nhớ đã được ký kết, hai bên dự định khám phá các lĩnh vực bao gồm đánh giá bảo mật của đồng som kỹ thuật số, xác minh chính thức, an ninh mạng và khả năng phục hồi hoạt động, cũng như quy định về tài sản kỹ thuật số, chống rửa tiền và lưu ký.
Trong các đánh giá thực tế, các cơ quan quản lý cần bằng chứng cụ thể.
Ai kiểm soát các quyền quan trọng? Các lỗ hổng có rủi ro cao đã được khắc phục chưa? Các giao dịch đáng ngờ được xử lý như thế nào? Sau một lỗi hệ thống được mô phỏng, các dịch vụ và hồ sơ kế toán có thể được khôi phục chính xác không?
Các câu trả lời cho thấy liệu các biện pháp kiểm soát có thực sự hoạt động hay không.
Chúng tôi thấy những vấn đề này trực tiếp khi xin và duy trì các giấy phép trên khắp các khu vực pháp lý.
Khi mọi người thảo luận về bảo mật nền tảng, họ thường tập trung vào mức độ tiên tiến của công nghệ.
Nhưng từ góc độ quản lý, một câu hỏi khác cũng quan trọng không kém: tài sản của khách hàng có được tách biệt khỏi quỹ của chính nền tảng không? Và nếu có sự cố xảy ra, nền tảng có thể xác định rõ ràng tài sản nào thuộc về ai không?
Đây là lúc bằng chứng dự trữ phát huy tác dụng.
Đối với người dùng hàng ngày, nó giúp họ xác minh liệu một nền tảng có nắm giữ đủ tài sản để trang trải số dư của khách hàng hay không. Đối với các cơ quan quản lý, nó cũng có thể cung cấp bằng chứng hữu ích khi đánh giá cách một nền tảng quản lý tài sản của mình.
Gate kết hợp cây Merkle với bằng chứng không kiến thức, cho phép người dùng xác minh rằng tài sản của họ được bao gồm trong tính toán dự trữ trong khi bảo vệ thông tin cá nhân của họ.
Theo các số liệu công bố mới nhất, Gate nắm giữ tổng dự trữ là 8,688 tỷ đô la, với tỷ lệ dự trữ tổng thể là 118,49%.
Dự trữ Bitcoin của nó là 25.727 BTC, với tỷ lệ dự trữ là 121,60%, trong khi tổng dự trữ Ethereum là 449.042 ETH, với tỷ lệ dự trữ là 123,78%.
Nói một cách đơn giản, tỷ lệ dự trữ trên 100% có nghĩa là dự trữ được công bố của nền tảng cho các tài sản liên quan vượt quá số dư khách hàng tương ứng.
Khi đánh giá một nền tảng, các tổ chức trước tiên nên xác định xem liệu bằng chứng bảo mật có sẵn có thực sự bao gồm các dịch vụ, hệ thống và phiên bản phần mềm mà họ dự định sử dụng hay không.
Những thành phần nào đã được bao gồm trong cuộc kiểm toán? Các lỗ hổng đã được xác định đã được sửa chữa chưa? Ai có thể chuyển tài sản hoặc sửa đổi các quyền quan trọng?
Nếu có liên quan đến dịch vụ lưu ký, các tổ chức cũng nên hiểu cách quản lý kiểm soát khóa, đối chiếu tài sản, sao lưu và khôi phục, cũng như các phụ thuộc bên thứ ba.
Tại CertiK, chúng tôi sử dụng Skynet để tổ chức các tín hiệu phức tạp trên chuỗi và ngoài chuỗi thành các điểm số bảo mật dễ tiếp cận hơn, được cập nhật liên tục.
Đối với các dự án Web3, các điểm số này bao gồm sáu khía cạnh: bảo mật mã, sức khỏe cơ bản, khả năng phục hồi hoạt động, niềm tin cộng đồng, ổn định thị trường và sức mạnh quản trị.
Điều này giúp các tổ chức nhanh chóng xác định các lĩnh vực cần điều tra thêm.
Các tổ chức cũng có thể sử dụng Skynet để xem xét các báo cáo kiểm toán CertiK có sẵn công khai, kiểm tra các phát hiện cụ thể và tình trạng khắc phục của chúng, đồng thời xác minh xem phạm vi kiểm toán có khớp với phiên bản hiện đang được triển khai hay không.
Các sàn giao dịch và ví được đánh giá dựa trên các tiêu chí riêng của chúng.
Đối với các kiểm soát truy cập nội bộ và thỏa thuận lưu ký không thể đánh giá thông qua thông tin công khai, các tổ chức vẫn nên yêu cầu tài liệu hỗ trợ từ nền tảng và xác minh các kiểm soát liên quan thông qua thẩm định hoặc kiểm tra có kiểm soát.
Các tổ chức có thể bắt đầu với ba lĩnh vực.
Đầu tiên là bằng chứng dự trữ.
Ví dụ: Gate đã mã nguồn mở công cụ xác minh dự trữ của mình trên GitHub. Với dữ liệu xác minh của riêng họ, người dùng có thể kiểm tra cục bộ xem số dư tài khoản của họ đã được bao gồm chính xác trong tính toán dự trữ hay chưa.
Thứ hai là chương trình tiền thưởng lỗi (bug bounty).
Nói cách khác: nền tảng có sẵn sàng trả tiền cho các nhà nghiên cứu bên ngoài để tìm ra điểm yếu của nó không?
Các tổ chức nên xem xét liệu chương trình có hoạt động lâu dài hay không, phần thưởng có hợp lý hay không và nền tảng có phản hồi kịp thời đối với các vấn đề được báo cáo hay không.
Gate đã điều hành một chương trình tiền thưởng lỗi lâu dài và hoan nghênh các nhà nghiên cứu bảo mật từ khắp nơi trên thế giới báo cáo các lỗ hổng.
Thứ ba là giấy phép.
Các tổ chức nên xác minh quốc gia và khu vực nào đã cấp cho nền tảng các giấy phép liên quan, pháp nhân nào nắm giữ các giấy phép đó và liệu các giấy phép đó có còn hiệu lực hay không.
Giấy phép không làm cho nền tảng không có rủi ro, nhưng nó có nghĩa là nền tảng được yêu cầu tuân thủ các tiêu chuẩn quy định hiện hành tại khu vực pháp lý đó.
Bước đầu tiên là xác định mục đích của việc phân bổ và thiết lập các giới hạn rủi ro rõ ràng.
Các tổ chức nên xác định tài sản nào họ dự định nắm giữ, nền tảng, blockchain và đối tác nào họ sẽ sử dụng, và những giới hạn nào nên áp dụng cho các giao dịch riêng lẻ và mức độ tiếp xúc tổng thể.
Sau đó, họ nên phân công rõ ràng trách nhiệm cho việc khởi tạo, phê duyệt, ký, đối chiếu và ứng phó sự cố giao dịch.
Khi quyết định giữa tự lưu ký, lưu ký bên thứ ba hoặc kết hợp cả hai, họ cũng cần thiết lập quyền nào mà mỗi bên sẽ kiểm soát.
Trước khi thực hiện chuyển tiền đầu tiên, các tổ chức nên xác minh người nhận và địa chỉ đích.
Trong nghiên cứu của mình về các đối tác tài sản kỹ thuật số tổ chức, CertiK đã nhấn mạnh rằng một địa chỉ trên chuỗi đơn thuần không xác định được ai đứng sau nó hoặc ai kiểm soát nó.
Quyền sở hữu địa chỉ, các chỉ số rủi ro lịch sử và thông tin đối tác phải được xem xét cùng nhau.
Sau khi hoàn tất thẩm định nền tảng, các tổ chức có thể bắt đầu với một thử nghiệm nhỏ để chạy giao dịch, rút tiền và đối chiếu từ đầu đến cuối.
Họ cũng nên diễn tập cách ứng phó với các lỗi thiết bị hoặc gián đoạn dịch vụ.
Sau đó, mức độ tiếp xúc nên được mở rộng dựa trên kết quả.
Đối với các tổ chức mới bắt đầu phân bổ vốn vào tài sản kỹ thuật số, chúng tôi có bốn khuyến nghị.
Đầu tiên, tách biệt quỹ theo mục đích.
Quỹ cần thiết cho giao dịch hàng ngày, dự trữ trung hạn và nắm giữ dài hạn nên được quản lý riêng biệt, với các giới hạn khác nhau về cách chúng có thể được sử dụng.
Lý tưởng nhất là cấu trúc này nên được lên kế hoạch trước khi mở tài khoản. Khi các hoạt động đã được tiến hành, việc thay đổi cách quản lý quỹ có thể trở nên khó khăn hơn nhiều.
Đối với các khoản nắm giữ dài hạn sẽ không được động đến, các tổ chức cũng có thể xem xét các giải pháp lưu ký với thời gian chậm rút tiền 48 giờ.
Khoảng thời gian chờ đợi bổ sung đó cung cấp thời gian để xem xét và ứng phó với các hoạt động có khả năng đáng ngờ.
Thứ hai, tách biệt nhiệm vụ.
Khởi tạo một chuyển tiền, phê duyệt nó và thực hiện nó lý tưởng nhất là không nên do cùng một người xử lý.
Sử dụng tài khoản phụ và cài đặt quyền nhân viên, các tổ chức có thể thiết lập sự phân chia nhiệm vụ cơ bản này mà không cần xây dựng bất cứ điều gì nội bộ.
Thứ ba, kiểm soát chặt chẽ các khóa API được sử dụng cho các hoạt động tự động.
Quyền rút tiền nên bị vô hiệu hóa theo mặc định.
Mỗi khóa API nên có một mục đích được xác định rõ ràng và một chủ sở hữu được chỉ định, và các tổ chức nên thiết lập trước khi nào khóa đó phải bị thu hồi hoặc xóa.
Thứ tư, tiến hành thẩm định kỹ lưỡng trước khi chọn một nền tảng.
Như chúng tôi đã thảo luận trước đó, các tổ chức nên kiểm tra xem liệu bằng chứng dự trữ của nền tảng có thể được xác minh độc lập hay không, ai chịu trách nhiệm lưu ký quỹ, liệu có chương trình tiền thưởng lỗi hay không và liệu các giấy phép liên quan có còn hiệu lực hay không.
Đây đều là những câu hỏi cần được trả lời trước khi cam kết tài sản.
Cho dù đó là ví cá nhân hay kho bạc tổ chức, càng nhiều tiền và càng nhiều người thì rủi ro càng phức tạp.
Nhưng bất kể bối cảnh nào, mục tiêu cơ bản của bảo mật vẫn giữ nguyên: xác định rủi ro sớm và, nếu có thể, ngăn chặn chúng biến thành tổn thất thực tế.
Đó cũng là thông điệp mà chúng tôi hy vọng truyền tải thông qua Học viện Bảo mật Gate.
Bảo mật không nên trở thành ưu tiên chỉ sau khi có sự cố xảy ra. Nó nên là một thói quen trong mọi hoạt động và mọi quyết định.
Chúng tôi cảm ơn CertiK và Nhóm Bảo mật Gate đã chia sẻ những hiểu biết của họ.
Gate, được thành lập vào năm 2013 bởi Tiến sĩ Han, là một trong những nền tảng dịch vụ tài chính tích hợp và tiền điện tử hàng đầu thế giới, trải dài các trường hợp sử dụng tài chính và hàng ngày bao gồm quản lý tài sản, giao dịch và thanh toán. Phục vụ hơn 62 triệu người dùng trên toàn cầu, nền tảng này hỗ trợ giao dịch trên 5.400+ tài sản kỹ thuật số và 12.800+ tài sản cổ phiếu và ETF, đồng thời cung cấp quyền truy cập vào một loạt toàn diện các tài sản TradFi, bao gồm kim loại, cổ phiếu, chỉ số, ngoại hối và hàng hóa để đáp ứng nhu cầu từ đầu đến cuối của người dùng trên toàn bộ việc nắm giữ, giao dịch và chi tiêu tài sản. Là một chuẩn mực của ngành, Gate là một trong những nền tảng đầu tiên triển khai 100% Bằng chứng Dự trữ. Hệ sinh thái của nó bao gồm Gate Money, Gate Wallet, Gate Ventures, Gate for AI Agent và một loạt các sản phẩm và dịch vụ.
Chia sẻ tới
Tuyên bố miễn trừ trách nhiệm: Nội dung bài viết đến từ bên thứ ba, chỉ mang tính tham khảo và không phải lời khuyên đầu tư. Tiền mã hóa và các sản phẩm tài chính khác có rủi ro biến động giá lớn, vui lòng cân nhắc kỹ trước khi quyết định.
Arthur Hayes cho biết GPU chơi game có thể đào tiền điện tử thông qua Flop Labs. Một thử nghiệm trên RTX 5080 đã hoạt động, nhưng chưa có thu nhập thực tế.
Gần 40 triệu đô la vị thế mua đòn bẩy XRP đã bị thanh lý, đẩy giá xuống 1,09 đô la và đe dọa giảm xuống dưới 1 đô la.
Tin tặc Triều Tiên đã đánh cắp 6,4 tỷ đô la từ Binance và đang rửa tiền qua memecoin trên TRON, Solana và NEAR, theo báo cáo của Elliptic.
Các kẻ rửa tiền Triều Tiên đang tạo ra các meme coin vô giá trị trên NEAR để rửa số tiền bị đánh cắp từ Binance theo phát hiện của Elliptic.