Gate与CertiK在新教育系列中探讨机构资产安全

Gate推出了Gate安全学院，这是一个专注于加密安全风险的系列。第一集与CertiK联合制作，探讨机构如何实现大规模数字资产保护。

对于个人用户来说，保护加密货币可能就像保护助记词一样简单。对于管理数百亿美元资产的机构来说，挑战则要大得多。

这些资产应该存放在哪里？谁必须批准交易？在多签名设置中，谁被允许转移资金？如果攻击者利用某处的漏洞，组织能否及时发现威胁并阻止损失？

这些问题正是机构数字资产安全的核心。

在本期Gate安全学院中，CertiK和Gate安全团队加入讨论，将焦点从个人钱包转向机构资产管理。从独立安全审计师和加密货币交易平台的角度，对话涵盖机构如何在保持资产风险受控的同时维持顺畅运营。

关于嘉宾

CertiK：CertiK是一家Web3安全公司，受到全球监管机构、金融机构和Web3创新者的信任。自2017年成立以来，CertiK已为超过150个国家和地区的客户提供服务，识别了超过119,000个代码漏洞，并帮助保护了超过6000亿美元的数字资产。

Gate安全团队：Gate的安全团队负责开发和维护平台账户、交易和资产安全系统。团队还为机构客户提供持续支持，涉及访问控制、API集成和资产托管等领域。

Gate成立于2013年，是最早承诺100%储备金证明的主要交易所之一，目前为全球超过6200万用户提供服务。

问题1：管理个人钱包和机构钱包最大的区别是什么？机构安全故障通常发生在哪里？风险与个人用户有何不同？

CertiK：

核心区别在于资产控制如何组织。

对于个人用户，钱包安全主要在于保护私钥、识别威胁和验证交易。然而，机构必须在明确界定的授权规则下协调多个角色、系统和外部服务提供商。他们还承担资产托管、业务连续性和合规的责任。

规模会放大任何故障的影响，团队和系统之间的依赖关系使出错的方式成倍增加。

个人用户常见的风险包括恢复短语泄露、网络钓鱼攻击和恶意交易审批。机构面临同样的威胁，但还必须防范特权过度集中、批准与实际执行之间的不匹配、受感染的设备或第三方软件、内部勾结和操作失误。

在调查机构安全事件时，仅仅断定私钥被泄露是不够的。调查人员还必须确定攻击者如何获得密钥，或者攻击者如何在不获取密钥的情况下诱使系统签署恶意交易。

2025年的一起重大事件说明了这一风险。攻击者篡改了Safe钱包的前端，使签名者看到看似合法的转账，而实际签署的是一笔替换了钱包实现合约的恶意交易。多名授权签名者批准了该交易，但资产仍被盗取。

关键不仅仅是签名的人数。机构还必须验证签名者所见、所批准以及最终签署的是否完全是同一笔交易。

因此，评估机构安全需要检查整个控制链：谁发起交易，谁验证内容，谁可以签名，谁可以更改规则——以及这些控制是否真正相互制衡。

Gate安全团队：

个人钱包安全相对简单。大多数保护措施围绕一个核心原则：让恢复短语和私钥不落入错误之手。

机构安全则复杂得多。它涉及多重签名安排、多级访问权限和频繁交易。机构需要确保不同职位的员工可以出于合法业务目的使用资金，同时防止任何个人在未经授权的情况下转移资产。

两者的难度完全不可同日而语。

在公开报道的事件中，密码学本身被攻破的情况极为罕见。大多数故障发生在流程的其他环节。大致可分为三类。

第一类涉及被攻破的工具。如果攻击者篡改了组织使用的开源软件、云服务或开发工具，其钱包也可能暴露。

第二类涉及人员。包括通过冒名获取访问权限、员工滥用权限，以及前员工保留本应被撤销的权限。

攻击者并不总是需要直接入侵系统。通常，接近已经拥有访问权限的人更容易。

同样的原则适用于机构。攻击者可能通过研究招聘信息了解公司的技术栈，通过代码托管平台识别相关员工，或在行业活动中与工作人员建立关系。这种准备工作可能在攻击发生前持续数月。

第三类涉及操作流程中的弱点。例如，在紧急情况下绕过正常审批要求、未能撤销临时访问权限、在测试环境中使用真实业务数据，或为方便而将内部工具暴露在公共互联网上。

这些都不算特别复杂。但在一家持有大量资产的机构中，任何一个都可能导致严重损失。

问题2：机构通常使用多重签名钱包、MPC托管和内部审批流程来保护资产。每种方法解决了什么问题？机构应注意哪些风险？

CertiK：

这三种机制各自解决安全的不同方面。

多重签名钱包需要多个密钥的授权，降低了单个密钥泄露的风险。多方计算（MPC）将签名能力分散到独立的密钥份额中，降低了在一个地方存储或使用完整私钥的风险。内部审批流程则从业务角度决定是否应执行交易。

机构需要验证的是，这三层是否在实践中真正相互制衡。

例如，如果多个密钥由同一团队或同一组管理员权限控制，签名门槛看似分散，但底层风险仍然集中。

同样，即使MPC密钥份额分开存储，机构也必须检查设备注册、身份验证和恢复权限是否可由一个人控制。

审批流程也是如此。如果员工批准屏幕上显示的内容，但签名系统收到的是不同的交易，审批流程就无法有效防止未经授权的资产转移。

在其对Gnosis Pay事件的技术分析中，CertiK发现授权验证模块中的一个缺陷，使得未经授权的交易通过了验证。

这证明了安全评估必须超越私钥和签名算法。还必须涵盖身份验证、交易验证、权限更改和恢复流程。

Gate安全团队：

这些正是我们在Gate设计时考虑的问题。

对于Gate自身的资产管理，绝大多数资产存放在多重签名冷钱包中，保持离线并隔离网络。

我们的热钱包结合了多重签名保护和MPC，将私钥管理分散到多个组件中。热钱包还设有余额上限：任何超出上限的资金会立即转入冷存储。

对于我们的用户，我们根据需求提供不同的安全解决方案。

对于机构客户，我们提供Gate Vault，它结合了MPC和2-of-3签名方案。

简而言之，签名密钥被分为三份，分别由用户的设备、Gate和独立的第三方持有。任何交易需要三份中的两份，因此任何单一一方都无法独自转移资产。

Gate Vault的每笔对外转账也会暂停48小时，期间用户可以冻结。在机构环境中，操作失误和胁迫下的签名确实会发生。延迟创造了一个时间窗口，可以在资产离开前识别并阻止可疑或非预期的转账。

问题3：机构应如何构建全面的安全管理框架？哪些领域最常被忽视？

CertiK：

机构应在每笔交易周围建立连续的控制链。

在发起阶段，他们需要验证业务目的、交易对手、目的地地址和交易限额。

在批准期间，相关人员必须了解交易的实际内容，批准细节必须与提交签名的最终交易一致。

在签名和托管阶段，机构必须保护密钥、设备和操作权限。

执行后，他们应监控异常交易，并将链上记录与内部会计记录进行核对。

每一步都需要明确指定的负责人，以及可以相互交叉核对的记录。

一些最容易被忽视的风险涉及不直接转移资产但可以改变资产控制权的操作。

这些包括修改提现地址白名单、提高交易限额、更换授权签名者或更新钱包软件。

恢复流程也需要专门的规划和定期测试。

如果关键员工离职、设备故障或服务提供商不可用，机构必须能够在保持适当的多重授权要求的同时重新获得资产控制权。

恢复路径绝不能成为绕过日常访问控制的后门。

Gate安全团队：

在Gate，机构通常通过主账户和子账户的组合来管理资金，根据员工职责分配不同的权限。

例如，某些员工可能只允许查看账户信息，其他员工可能被授权交易，而指定人员处理审批。

这种结构支持日常运营，同时减少对资金的不必要风险。

对于资产管理人，我们还提供专门的托管子账户。

这些子账户旨在解决一个常见问题：投资者可能希望专业团队管理其资产，但不希望该团队能够提取资金。

在这种安排下，投资者创建托管子账户后，不能自行创建API密钥进行自动操作。交易团队可以执行商定的交易策略，但没有提现权限。

在委托期内，投资者也无法查看交易团队的头寸、挂单或交易历史，因此团队策略保持机密。

API权限同样重要。

大多数机构交易都是程序化的，手动订单占比很小，因此我们的API密钥支持细粒度权限：读取、交易和提现可以分别启用。

问题4：监管机构评估平台或项目时，哪些安全和合规问题最重要？

CertiK：

监管机构首先需要确定平台能否维持对资产的控制，保持关键服务运行，并在事件发生时明确展示如何检测和处理风险。

对于交易平台，这包括客户资产托管、账户核对、访问管理、反洗钱控制以及事件响应。

对于中央银行数字货币（CBDC）系统，发行和账簿记录的完整性、支付的连续性以及故障后的准确恢复尤为重要。

尽管这些系统目的不同，但都需要可测试和独立验证的证据。

这些也是CertiK近期与吉尔吉斯共和国国家银行合作中涉及的实践问题。

根据已签署的谅解备忘录，双方打算探索包括数字索姆安全评估、形式化验证、网络安全和运营韧性，以及数字资产监管、反洗钱和托管等领域。

在实际评估中，监管机构需要具体证据。

谁控制关键权限？高风险漏洞是否已修复？如何处理可疑交易？在模拟系统故障后，服务和会计记录能否准确恢复？

答案表明控制是否真正有效。

Gate安全团队：

我们在跨司法管辖区申请和维护许可证时直接看到这些问题。

当人们讨论平台安全时，他们往往关注技术有多先进。

但从监管角度来看，另一个问题同样重要：客户资产是否与平台自有资金隔离？如果出现问题，平台能否清楚识别哪些资产属于谁？

这正是储备金证明的用武之地。

对于日常用户，它帮助他们验证平台是否持有足够的资产来覆盖客户余额。对于监管机构，它在评估平台如何管理资产时也可以提供有用的证据。

Gate将Merkle树与零知识证明相结合，允许用户验证其资产是否包含在储备计算中，同时保护其个人隐私。

根据最新公布的数据，Gate总储备为86.88亿美元，整体储备率为118.49%。

其比特币储备为25,727 BTC，储备率为121.60%，而以太坊储备总计449,042 ETH，储备率为123.78%。

简单来说，储备率超过100%意味着平台对相关资产的披露储备超过相应的客户余额。

问题5：机构如何评估交易平台是否安全？他们可以独立检查和验证哪些信息？

CertiK：

在评估平台时，机构应首先确定可用的安全证据是否实际覆盖其打算使用的服务、系统和软件版本。

审计中包含哪些组件？已识别的漏洞是否已修复？谁可以转移资产或修改关键权限？

如果涉及托管服务，机构还应了解密钥控制、资产核对、备份和恢复以及第三方依赖是如何管理的。

在CertiK，我们使用Skynet将复杂的链上和链下信号整理成更易理解、持续更新的安全评分。

对于Web3项目，这些评分涵盖六个维度：代码安全、基础健康、运营韧性、社区信任、市场稳定性和治理强度。

这有助于机构快速识别需要进一步调查的领域。

机构还可以使用Skynet查看公开可用的CertiK审计报告，检查具体发现及其修复状态，并验证审计范围是否与当前部署的版本匹配。

交易所和钱包按照各自的标准进行评估。

对于无法通过公开信息评估的内部访问控制和托管安排，机构仍应要求平台提供支持文件，并通过尽职调查或受控测试验证相关控制。

Gate安全团队：

机构可以从三个方面入手。

首先是储备金证明。

例如，Gate已在GitHub上开源其储备验证工具。用户可以使用自己的验证数据在本地检查其账户余额是否正确纳入储备计算。

其次是漏洞赏金计划。

换句话说：平台是否愿意付费让外部研究人员发现其弱点？

机构应关注该计划是否长期运行，奖励是否合理，以及平台是否及时响应报告的问题。

Gate长期运行漏洞赏金计划，欢迎全球安全研究人员报告漏洞。

第三是许可证。

机构应核实哪些国家和地区已授予平台相关许可证，哪些法人实体持有这些许可证，以及许可证是否仍然有效。

许可证并不能使平台无风险，但它意味着平台必须满足该司法管辖区的适用监管标准。

问题6：对于刚开始配置数字资产的机构，其首要安全优先事项是什么？

CertiK：

第一步是明确配置的目的并设定清晰的风险限额。

机构应确定打算持有的资产、将使用的平台、区块链和交易对手，以及适用于单笔交易和总体风险的限额。

然后，他们应明确分配交易发起、批准、签名、核对和事件响应的责任。

在决定自我托管、第三方托管或两者结合时，他们还需要确定各方将控制哪些权限。

在首次转账前，机构应验证收款人和目的地地址。

在其关于机构数字资产交易对手的研究中，CertiK强调，链上地址本身并不能确定其背后是谁或由谁控制。

必须同时检查地址所有权、历史风险指标和交易对手信息。

一旦平台尽职调查完成，机构可以从小规模试点开始，端到端运行交易、提现和核对。

他们还应演练如何应对设备故障或服务中断。

然后根据结果扩大风险敞口。

Gate安全团队：

对于刚开始配置数字资产的机构，我们有四点建议。

第一，按用途分离资金。

用于日常交易、中期储备和长期持有的资金应分开管理，对其使用方式设定不同的限额。

理想情况下，这种结构应在开户前规划好。一旦运营已经展开，改变资金管理方式就会变得困难得多。

对于不会动用的长期持有，机构也可以考虑采用48小时提现延迟的托管解决方案。

额外的等待期提供了时间来审查和应对可能可疑的活动。

第二，分离职责。

发起转账、批准和执行理想情况下不应由同一人处理。

通过使用子账户和员工权限设置，机构无需内部开发即可建立这种基本的职责分离。

第三，严格控制用于自动操作的API密钥。

默认应禁用提现权限。

每个API密钥应有明确的目的和指定的负责人，机构应预先确定该密钥何时必须撤销或删除。

第四，在选择平台之前进行彻底的尽职调查。

正如我们之前讨论的，机构应检查平台的储备金证明是否可独立验证，谁负责资金托管，是否有漏洞赏金计划，以及相关许可证是否仍然有效。

这些都是应在投入资产前回答的问题。

无论是个人钱包还是机构金库，更多的资金和更多的人意味着更复杂的风险。

但无论环境如何，安全的基本目标都是一样的：尽早识别风险，并在可能的情况下防止其转化为实际损失。

这也是我们希望通过Gate安全学院传达的信息。

安全不应只在出现问题后才成为优先事项。它应成为每项操作和每个决策中的习惯。

感谢CertiK和Gate安全团队分享他们的见解。

关于Gate

Gate由韩博士于2013年创立，是全球领先的加密货币和综合金融服务平台之一，涵盖金融和日常应用场景，包括资产管理、交易和支付。为全球超过6200万用户提供服务，支持5,400多种数字资产和12,800多种股票资产及ETF的交易，同时提供全面的传统金融资产，包括金属、股票、指数、外汇和大宗商品，满足用户在资产持有、交易和支出方面的端到端需求。作为行业基准，Gate是最早实施100%储备金证明的平台之一。其生态系统包括Gate Money、Gate Wallet、Gate Ventures、Gate for AI Agent以及广泛的产品和服务。