บทสนทนากับ Shenyu: ประสบการณ์ส่วนตัวของฉันเมื่อถูกขโมย ETH ไป 12,000 ETH และบทบาทของ AI ใน Web3

ชื่อเรื่องเดิม: "Wu Shuo สนทนากับ Shenyu: เปิดเผยครั้งแรกว่าเขาถูกหลอกลวงเพื่อขโมย ETH จำนวน 12,000 หน่วย และให้คำแนะนำด้านความปลอดภัยแก่ทีมสตาร์ทอัพ"

ที่มา: Wu Shuo Blockchain

การอภิปรายนี้เริ่มต้นด้วยการโจรกรรมเงิน 1.5 พันล้านดอลลาร์จาก Bybit โดยมุ่งเน้นไปที่ช่องโหว่ด้านความปลอดภัยของกระเป๋าเงินลายเซ็นหลายตัว (เช่น Safe) และโซลูชันของกระเป๋าเงินเหล่านี้ Shenyu ชี้ให้เห็นว่าส่วนหน้า ฮาร์ดแวร์ เบราว์เซอร์ และโครงสร้างพื้นฐานอื่น ๆ ที่กระเป๋าสตางค์หลายลายเซ็นอาศัยนั้นมีจุดอ่อน โดยเฉพาะการปลอมแปลงส่วนหน้าและปัญหาการลงนามแบบซ่อนเร้น ซึ่งนำไปสู่ความไม่สอดคล้องกันระหว่างความตั้งใจในการทำธุรกรรมและการดำเนินการจริง และถูกแฮกเกอร์สามารถนำไปใช้ประโยชน์ได้อย่างง่ายดาย เพื่อจุดประสงค์นี้ เขาได้เสนอวิธีแก้ปัญหาชั่วคราว เช่น รายการโดเมนเนมที่อนุญาตและปลั๊กอินการแก้ไขธุรกรรม และสนับสนุนระบบควบคุมความเสี่ยงแบบวงปิดครบวงจรที่รวม AI และการยืนยันจากบุคคลที่สามเพื่อปรับปรุงความปลอดภัย นอกจากนี้ Shenyu ยังได้เล่าถึงประสบการณ์การถูกหลอกลวงเพื่อขโมย ETH จำนวน 12,000 ETH เป็นครั้งแรกเมื่อปีที่แล้ว โดยเน้นย้ำถึงความเสี่ยงของการลงนามโดยไม่ระบุชื่อด้วยกระเป๋าสตางค์ฮาร์ดแวร์ พร้อมทั้งเรียกร้องให้อุตสาหกรรมนำเอาสถาปัตยกรรมแบบหลายชั้น กระจายอำนาจ และไว้วางใจเป็นศูนย์มาใช้ และเสริมสร้างวัฒนธรรมความปลอดภัยให้แข็งแกร่งยิ่งขึ้น เขายังกล่าวอีกว่าเมื่อเผชิญกับการโจมตีของแฮ็กเกอร์ในระดับรัฐ อุตสาหกรรมจำเป็นต้องตอบสนองต่อความท้าทายผ่านการวนซ้ำทางเทคโนโลยีและการตระหนักรู้ด้านความปลอดภัยที่เพิ่มขึ้น ในที่สุด Shenyu ก็มองไปข้างหน้าถึงแนวโน้มของการผสมผสานกันระหว่าง AI และ Crypto และเชื่อว่า AI Agents อาจมีบทบาทสำคัญในเครือข่ายบล็อคเชนในอนาคตและส่งเสริมนวัตกรรมในอุตสาหกรรม การถอดเสียงจะทำโดย GPT และอาจมีข้อผิดพลาดได้ โปรดฟังพอดแคสต์แบบเต็ม:

Xiaoyuzhou: https://www.xiaoyuzhoufm.com/episodes/67bf221605a90dfd0d0c7332

YouTube: https://youtu.be/85Ogctbmito

ไตร่ตรองถึงช่องโหว่ของโครงสร้างพื้นฐานการพึ่งพาลายเซ็นหลายตัว เสนอแนวทางแก้ไขชั่วคราว เช่น ไวท์ลิสต์ชื่อโดเมนและปลั๊กอินการแยกวิเคราะห์ธุรกรรม และสนับสนุนการควบคุมความเสี่ยงแบบวงปิดครบวงจร

Colin: โปรดแบ่งปันมุมมองของคุณเกี่ยวกับเหตุการณ์ Bybit และประเด็นใดที่คุณคิดว่าสมควรได้รับความสนใจในเหตุการณ์นี้

เสิ่นหยู:ครั้งนี้ถือเป็นสถานการณ์ปกติมากจริงๆ เนื่องจากโซลูชันอุตสาหกรรมปัจจุบันสำหรับลายเซ็นหลายรายการต้องพึ่งพาโครงสร้างพื้นฐานและบริการกลางจำนวนมากที่พัฒนาโดยบริษัทหลายแห่ง ในความหมายดั้งเดิม วิธีนี้เป็นการกระจายอำนาจและกระจายอำนาจมากขึ้น และมีแนวโน้มที่จะทำให้เกิดปัญหาน้อยลง แต่ปัญหาในปัจจุบันก็คือ แอปพลิเคชันที่พัฒนาโดยบริษัทต่างๆ เหล่านี้ และการโต้ตอบระหว่างเทคโนโลยีฮาร์ดแวร์ยังมีจุดบกพร่องและจุดอ่อนที่อาจเกิดขึ้นได้อยู่บ้าง สิ่งนี้ทำให้เกิดเหตุการณ์ด้านความปลอดภัยขนาดใหญ่เกิดขึ้นหลายครั้งในช่วงระยะเวลาที่ผ่านมา และเรายังต้องเผชิญหน้ากับกลุ่มแฮกเกอร์ระดับประเทศอีกด้วย

สาระสำคัญของคำถามนี้ก็คือ ฉันได้ไตร่ตรองเรื่องนี้มาตั้งแต่ถูกโจมตีเมื่อเดือนกันยายนปีที่แล้ว นอกจากนี้ เรายังได้ติดต่อผู้ผลิตฮาร์ดแวร์หลายรายในช่วงเดือนพฤศจิกายน เราพบว่าลายเซ็นที่มองไม่เห็นนั้นเป็นปัญหาที่ร้ายแรงมาก และการเชื่อมต่อจากฟรอนต์เอนด์ไปยังปลั๊กอินเดสก์ท็อปไปยังฮาร์ดแวร์ก็ถูกแทรกแซงได้ง่ายเช่นกัน เราพบว่านี่คือจุดอ่อนที่สุด เมื่อถึงเวลานั้น เราได้ติดต่อ OneKey, Ledger และบริษัทอื่นๆ ทันทีเพื่อหารือเกี่ยวกับโซลูชั่นบางประการ

ในระหว่างกระบวนการนี้ พบปัญหาบางประการ และบริษัทต่างๆ ก็มีวิธีแก้ไข แต่สุดท้ายแล้ว การนำวิธีแก้ไขไปใช้และต้านทานการโจมตีเป็นเรื่องยาก ดังที่ใครบางคนกล่าวไว้ก่อนหน้านี้ อาจต้องใช้เวลามากกว่าครึ่งปีในการทำซ้ำ และ Ledger ได้พัฒนาโซลูชันที่เป็นระบบแล้ว เนื่องด้วยสัญญา จึงต้องอัปเดตแบบพาสซีฟ และวงจรนี้ก็ยาวนานมากเช่นกัน คำถามคือลิงก์เต็มนี้จะสามารถอุดช่องโหว่หรือข้อบกพร่องที่เกิดจากลิงก์ข้ามกันได้ดีขึ้นอย่างไร

ตลาดขาดโซลูชันแบบครบวงจร ในปัจจุบัน บริษัทต่างๆ หลายแห่งกำลังผสมผสานโซลูชันเข้าด้วยกัน แต่อาจเกิดอุบัติเหตุขึ้นได้ในกระบวนการผสมผสาน ซึ่งจะเปิดโอกาสให้แฮกเกอร์ใช้ประโยชน์จากโซลูชันเหล่านี้ ในระหว่างกระบวนการนี้ ฉันได้กล่าวไว้ว่าก่อนอื่นเราต้องสร้างแกดเจ็ตภายในและเดโมบางส่วนขึ้นมาก่อน

ขั้นแรก เราจัดทำไวท์ลิสต์การเข้าถึงชื่อโดเมนเพื่อให้แน่ใจว่าเว็บไซต์ที่เปิดโดยเว็บเพจนั้นถูกต้องและไม่ถูกแทรกแซง ซึ่งสามารถป้องกันการโจมตีแบบฟิชชิ่งทั่วไปได้ โดยเฉพาะการป้อน URL ผิดและการกระโดดข้ามเว็บเพจแบบสุ่ม จากนั้น เราได้สร้างปลั๊กอินสำหรับวิเคราะห์ธุรกรรมที่สามารถรันบนอุปกรณ์พกพาได้ กระเป๋าสตางค์ฮาร์ดแวร์บางรุ่นสามารถสื่อสารกับปลั๊กอินหรือกับ Safe ผ่านทางรหัส QR เราจะตรวจสอบว่าข้อมูลที่ส่งผ่านรหัส QR ถูกดัดแปลงหรือไม่ จากนั้นจึงตรวจสอบเนื้อหาที่วิเคราะห์แล้วในกระเป๋าสตางค์ฮาร์ดแวร์ ฉันสร้างปลั๊กอินขนาดเล็กบางส่วน แต่ฉันรู้สึกว่าปลั๊กอินเหล่านี้กระจัดกระจายเกินไปจนไม่สามารถใช้งานได้ กระบวนการทั้งหมดตั้งแต่ต้นจนจบไม่ได้เชื่อมต่อกันอย่างสมบูรณ์ และมีขั้นตอนการใช้งานมากเกินไป หลังจากเหตุการณ์นี้แล้วเราจะมาทบทวนกันต่อไป ประเด็นสำคัญคือตอนนี้อุตสาหกรรมของเรามีขนาดใหญ่มาก มีมูลค่าถึงล้านล้านดอลลาร์ และมีแนวโน้มที่จะดึงดูดการโจมตีจากทีมแฮกเกอร์ระดับสูง ในกระบวนการนี้ ตามที่สมาชิกในทีมของเราได้กล่าวไว้ คุณจะต้องเจาะลึกมาก ทั้งในแนวนอนและแนวตั้ง อย่างไรก็ตาม เนื่องจากอุตสาหกรรมกำลังพัฒนาอย่างรวดเร็วและมีการปรับปรุงแก้ไขอย่างรวดเร็ว ผู้คนจึงมักละเลยความเสี่ยงที่อาจเกิดขึ้นเหล่านี้เมื่อทำธุรกิจ

ดังนั้นในกระบวนการนี้ แนวคิดปัจจุบันของเราหรือสิ่งที่เรากำลังทำคือสิ่งที่คาดหวัง เนื่องจากเราได้จัดการคีย์ส่วนตัวต่างๆ (คีย์ส่วนตัวบนฮาร์ดแวร์และซอฟต์แวร์เชน) แล้วในกระบวนการนี้ เราได้สะสมความสามารถในการจัดการความเสี่ยงและกลไกควบคุมความเสี่ยงบางส่วนไว้ ดังนั้นเราหวังว่าในสถานการณ์ทั่วไปเช่น Safe เราจะสามารถเป็นผู้ดูแลและมีคีย์ส่วนตัวได้ ด้วยคีย์ส่วนตัว เรามีชุดซอฟต์แวร์และฮาร์ดแวร์ที่เป็นอิสระอย่างสมบูรณ์ รวมถึงเครื่องมือควบคุมความเสี่ยงสำหรับการวิเคราะห์ของเรา ในเวลาเดียวกัน เรานำเสนอโซลูชันการตรวจสอบแบบกำหนดเองของเราในกระบวนการนี้ รวมถึงการวิเคราะห์ AI อัตโนมัติ การตรวจสอบด้วยตนเอง จากนั้นจึงเพิ่มรายการดำและรายการขาว และแม้กระทั่งการควบคุมพารามิเตอร์สัญญาขั้นสูงบางอย่าง

อันที่จริงแล้วนี่คือเทคโนโลยีที่เราใช้ในกระบวนการ DeFi แต่เราไม่ได้รวบรวมมันเข้าด้วยกันอย่างสมบูรณ์เพื่อสร้างเป็นผลิตภัณฑ์ การกระจายอำนาจรูปแบบนี้ทำให้ไม่สามารถรวบรวมคีย์ส่วนตัวทั้งหมดได้ แต่สามารถให้บุคคลภายนอกเข้ามารับได้โดยอิสระ ซึ่งทำให้เรื่องนี้เป็นวงจรปิดแบบครบวงจรและสามารถควบคุมได้ นี่คือแนวคิดปัจจุบันของเรา และเรากำลังดำเนินการในลักษณะนี้ในระหว่างการดำเนินการ DeFi แบบออนเชน เนื่องจาก EOA มีความเสี่ยงต่อการฟิชชิ่งเป็นพิเศษ และการโยกย้ายไปยังมัลติซิกเนเจอร์ก็ประสบปัญหาที่คล้ายคลึงกันกับ Bybit เรามีลิงก์ที่ยาวเป็นพิเศษและมีความเสี่ยงต่างๆ มากมาย แนวคิดและวิธีแก้ปัญหาปัจจุบันของเราคือการแนะนำบุคคลที่สามที่เป็นอิสระ จากนั้นบุคคลที่สามที่เป็นอิสระจะนำเทคโนโลยีที่เป็นอิสระอย่างสมบูรณ์และโซลูชันฮาร์ดแวร์และซอฟต์แวร์แบบบูรณาการมาใช้ รวมถึงกลไกการควบคุมความเสี่ยง และยังเพิ่มความสามารถของ AI เพื่อทำให้วงจรปิดสมบูรณ์ ตั้งแต่การวิเคราะห์การเริ่มธุรกรรม การตรวจสอบการควบคุมความเสี่ยง ไปจนถึงการประสานงานการลงนาม จากนั้นจึงพยายามหลีกเลี่ยงการโจมตีการเจาะระบบที่อดทนและยาวนานจากแฮกเกอร์ในระดับรัฐ

ประสบการณ์การถูกฟิชชิ่งของ Shenyu เน้นย้ำถึงความเสี่ยงของการลงนามแบบปิดบังในกระเป๋าเงินฮาร์ดแวร์ ซึ่งต้องใช้ทั้ง AI และการตรวจสอบจากบุคคลที่สาม

Colin: คุณเพิ่งพูดถึงปัญหาของการฟิชชิ่ง EOA เรายังรู้ด้วยว่าทรัพย์สินบางส่วนของคุณอาจถูกฟิชชิ่งโดยไม่ได้ตั้งใจเมื่อปีที่แล้ว คุณจำได้ไหมว่าสถานการณ์เฉพาะนั้นเป็นอย่างไรในเวลานั้น และเงินนั้นถูกโอนโดยแฮกเกอร์ที่เรียกตัวเองว่าจากเกาหลีเหนือหรือไม่

เสิ่นหยู:ภูมิหลังของฉันในตอนนั้นคือมีโปรเจ็กต์หนึ่งกำลังทำการแจกของทางอากาศ สภาพร่างกายของฉันไม่ค่อยดีนัก และฉันก็เสียสมาธิเล็กน้อย ฉันคลิกลิงก์ผิด มีปัญหากับลิงก์หนึ่ง แต่ปัญหาคือเมื่อเงินไปถึงฝั่งกระเป๋าเงินฮาร์ดแวร์ เราก็มีกลไกควบคุมความเสี่ยงของบุคคลที่สามสำหรับชื่อโดเมนและการแก้ไข DNS ส่งผลให้โซลูชันดังกล่าวถูกข้ามไป และระบบควบคุมความเสี่ยงของเราก็พลาดเป้าหมายไปโดยบังเอิญ หลังจากที่ข้ามมันไปแล้ว ผมรู้สึกเสียสมาธิไปนิดหน่อย จึงไม่ได้ตรวจสอบอย่างระมัดระวังนัก และจากนั้นผมก็ไปที่ด้านกระเป๋าเงินฮาร์ดแวร์ เนื่องจากด้านกระเป๋าเงินฮาร์ดแวร์นั้นเป็นการลงนามแบบตาบอด หลังจากกดปุ่มนั้นแล้ว ฉันรู้สึกว่ามีบางอย่างผิดปกติ ฉันจึงรีบตรวจสอบและพบว่ามีบางอย่างผิดปกติ ที่เหลือก็เป็นเรื่องราวในอดีต หลังจากเหตุการณ์นี้เกิดขึ้น เราจึงเริ่มแก้ไขปัญหาการลงนามแบบตาบอดด้วยกระเป๋าเงินฮาร์ดแวร์ ในระหว่างกระบวนการนี้ ในวันชาติของปีที่แล้ว เราได้จัดการประชุมกับ OneKey และฝ่ายอื่นๆ แต่กลับพบว่าปัญหาไม่ใช่เรื่องง่ายที่จะแก้ไข เนื่องจาก EOA ถูกฟิชชิ่งได้ง่าย จึงทำให้ตกเป็นเป้าหมายและถูก "โจมตี" ได้ง่ายเป็นพิเศษ

จากนั้นเราจึงหันมาใช้ Safe สำหรับลายเซ็นหลายรายการ ในระหว่างกระบวนการลายเซ็นหลายรายการ ฉันพบว่าปัญหานี้ร้ายแรงกว่านั้น เนื่องจากธุรกรรมทุกรายการเป็นลายเซ็นแบบซ่อนเร้น ดังนั้นเราจึงต้องสร้างเครื่องมือเล็กๆ จำนวนมากเพื่อพยายามแก้ไขปัญหาเหล่านี้ ในท้ายที่สุด เรายังต้องการโซลูชันแบบวงจรปิด และกระเป๋าเงินฮาร์ดแวร์ของเราจำเป็นต้องบรรลุเป้าหมายในการรวมฮาร์ดแวร์และซอฟต์แวร์เข้าด้วยกัน เนื่องจาก UI ของฮาร์ดแวร์เป็นจุดสุดท้ายที่ต้องตรวจสอบ นอกจากนี้ เรายังต้องแนะนำบุคคลที่สามที่เป็นอิสระ ซึ่งสามารถป้องกันการสกัดกั้น การแจ้งเตือน และการประมวลผลเมื่อผู้คนอยู่ในสถานะที่ไม่ถูกต้องระหว่างกระบวนการนี้ ดังนั้น นี่จึงเป็นสาเหตุที่เราจึงเริ่มทำซ้ำในพื้นที่นี้และพยายามสร้างผลิตภัณฑ์

เหตุผลที่ไม่มี "ฤดูกาล altcoin": ขาดแรงผลักดันและความคาดหวังในการตัดสินใจเกี่ยวกับเงินสำรองของประเทศเพื่อส่งเสริมการพัฒนาตลาด

โคลิน: นอกจากนี้ เมื่อปีที่แล้ว คุณเป็นคนแรกที่หยิบยกประเด็นเรื่องไม่มี "altcoin" ขึ้นมา และทุกคนก็โต้เถียงกันอย่างดุเดือด บางคน รวมถึงคนดังหลายคน วิจารณ์ว่าต้องมี "altcoin" และบางคนก็ยอมรับ ในเดือนธันวาคมปีที่แล้ว กระแส “altcoin” เป็นเพียงช่วงสั้นๆ เท่านั้น เมื่อถึงเวลานั้น คุณก็อาจจะรู้สึกว่าตลาด “altcoin” กำลังจะมาถึง และพูดได้ว่าตลาด “altcoin” ได้เริ่มต้นขึ้นแล้ว

ผลที่ตามมา ไม่นานหลังจากนั้น ดูเหมือนว่า "altcoins" แทบจะไม่มีเลยในรอบนี้ เช่นเดียวกับที่คุณพูดตอนเริ่มต้น แน่นอนว่าเราไม่ได้ทำนายอะไร ส่วนการทำนายในระยะสั้น ฉันไม่รู้ว่าใครทำนายมาก่อน มีแต่พระเจ้าเท่านั้นที่รู้ แต่ตอนนี้คุณมีแนวคิดใหม่ๆ บ้างหรือยัง? คุณคิดว่าแทบจะเป็นไปไม่ได้เลยที่ "altcoins" จะปรากฎตัวในรอบนี้ เพราะส่วนใหญ่แล้วอาจจะอยู่ในรอบตลาดของ Bitcoin นอกจากนี้คุณไม่คิดเหรอว่าตลาดกระทิงที่เรียกกันว่านี้ได้สิ้นสุดลงแล้ว หรือเริ่มจะกลายเป็นตลาดหมีแล้ว?

Shenyu: ความรู้สึกปัจจุบันของฉันก็คือ แม้ว่าจะมีจุดอ่อนทางอารมณ์เล็กๆ น้อยๆ ในช่วงสองสามปีที่ผ่านมา อุตสาหกรรมทั้งหมดยังขาดการใช้งานที่ชัดเจนและสถานการณ์ความต้องการที่แท้จริงเหมือนในปี 2020 และ 2021 ฉันคิดว่าปัญหาสำคัญอยู่ตรงนี้ เนื่องจากไม่มีแรงผลักดันจากภายใน จึงไม่มีการสะสมทรัพย์สินแอปพลิเคชันอันทรงคุณค่าใหม่ๆ

ในทางกลับกัน ในรอบนี้ ผู้เล่นจำนวนมากยังคงอยู่ในตลาดหุ้นสหรัฐฯ แบบดั้งเดิม พวกเขากำหนดค่า ETF และซื้อขายผ่านแพลตฟอร์มเช่น Robinhood พวกเขาไม่ได้เป็นเจ้าของสินทรัพย์สกุลเงินดิจิทัลจริงๆ ดังนั้นเงินจำนวนมากจึงไม่ได้เก็บไว้ในตลาดจริงๆ และสิ่งที่เรียกว่าเอฟเฟกต์การล้นที่ทุกคนตั้งตารอเป็นพิเศษ ซึ่งไม่ได้แพร่กระจายจาก Bitcoin และ Ethereum ไปยังสกุลเงินอื่น ไม่ได้เกิดขึ้น เมื่อรวมปัจจัยทั้งสองนี้เข้าด้วยกัน ตลาด "altcoin" อาจขับเคลื่อนด้วยอารมณ์ระยะสั้นเพียงไม่กี่สัปดาห์ และไม่มีการระบาดในวงกว้าง ฉันยังคงยึดมั่นในวิจารณญาณเดิมของฉันอยู่

มุมมองของฉันในปีนี้หรือความคาดหวังของฉันสำหรับตลาดคือฉันคิดว่าตลาดอาจพัฒนาได้ดีขึ้นในช่วงครึ่งหลังของปีนี้ อาจเป็นช่วงเดือนมิถุนายนถึงตุลาคม หลังจากที่สถานการณ์ในระดับเงินสำรองแห่งชาติของสหรัฐฯ ชัดเจนขึ้นและผ่านแล้ว อาจมีเงินทุนใหม่ๆ ไหลเข้าสู่ทั้งอุตสาหกรรมหรือตลาดทั้งหมด แต่ในปัจจุบัน ในระยะนี้ หรือในระยะสั้นถึงระยะกลาง เราอาจไม่สามารถแก้ไขปัญหาในระดับการใช้งานได้ในระยะสั้นถึงระยะกลาง ดูเหมือนว่าจะไม่มีเงินไหลเข้าอย่างมากมายทั้งในระดับในสถานที่และนอกสถานที่ ฉันจึงตั้งตารอช่วงครึ่งปีหลัง

ฉันจะไม่ตัดสินเรื่องนี้ในวันนี้ อาจขึ้นอยู่กับว่าปัญหาที่เกี่ยวข้องกับเงินสำรองของประเทศในสหรัฐฯ จะมีผลในปีนี้หรือไม่ หากไม่มีผล ตลาดอาจถึงคราวจบสิ้นแล้ว ขณะนี้เรารู้สึกว่าโอกาสที่จะผ่านยังค่อนข้างสูงแต่ก็พูดได้ยาก ดังนั้นเราจึงคาดหวังกับช่วงครึ่งปีหลังมากขึ้น (พื้นที่นี้เผยแพร่เมื่อวันที่ 25 กุมภาพันธ์ และทรัมป์ได้ลงนามในคำสั่งฝ่ายบริหารเกี่ยวกับสำรองแห่งชาติของ Bitcoin ในเดือนมีนาคม)

สรุปคดีการโจรกรรมในประวัติศาสตร์: การจัดการกับแฮกเกอร์ในระดับรัฐนั้นต้องมีการกระจายอำนาจแบบหลายชั้น สถาปัตยกรรมแบบ Zero Trust และการเจาะลึกถึงวัฒนธรรมความปลอดภัย

โคลิน: จริงๆ แล้ว Shenyu คุณก็เป็นผู้เล่นที่มีประสบการณ์ในวงการสกุลเงินดิจิทัลเช่นกัน หลายปีมาแล้ว ฉันเข้าร่วมในปี 2017 มีการโจรกรรมเกิดขึ้นมากมายในประวัติศาสตร์ของวงการสกุลเงินดิจิทัล ซึ่งน่าตื่นเต้นมาก แน่นอนว่าจำนวนเงินที่ถูกขโมยจาก Bybit ในครั้งนี้ถือเป็นการสร้างสถิติประวัติศาสตร์ แต่ก็ยังมีกำไรเพียงพอที่จะชดเชยได้ครบถ้วน ในความทรงจำทางประวัติศาสตร์ของคุณ รวมถึงในช่วงแรกๆ ประสบการณ์การโจรกรรมอันลึกซึ้งที่สุดที่คุณจำได้มีเรื่องใดบ้างที่คุ้มค่าแก่การแบ่งปัน?

เสิ่นหยู: ผมคิดว่าการรุกและรับได้มีการพัฒนาอย่างต่อเนื่อง และวิธีการโจมตีในช่วงแรกนั้นยังค่อนข้างดั้งเดิม พวกเราผู้ปฏิบัติต้องตระหนักว่าเรากำลังเผชิญหน้ากับกองกำลังระดับรัฐ พวกนี้ไม่ใช่แฮกเกอร์ธรรมดา พวกเขาเป็นกลุ่มคนที่ได้รับการฝึกฝนอย่างเข้มข้นมาตั้งแต่ยังเป็นวัยรุ่น พวกเขาใช้วิธีการและแนวทางต่างๆ ที่คล้ายกับการโจมตีสิ่งอำนวยความสะดวกหลักเพื่อแทรกซึมเข้าไปในบริษัทของเราภายในและท้าทายเราในระดับมนุษย์ เราทุกคนต้องตระหนักอย่างชัดเจนว่าเรากำลังเผชิญหน้ากับศัตรูดังกล่าว ในกระบวนการนี้ ผู้คนจะหย่อนยาน และจะเกิดปัญหาบางอย่างขึ้นในธรรมชาติของมนุษย์ ท้ายที่สุดเราจะต้องนำเอาแนวทางและวิธีการที่สามารถทนต่อการทดสอบนั้นมาใช้

ในประวัติศาสตร์ของอินเทอร์เน็ต Cobo อาจเป็นบริษัทแรกที่มีภูมิหลังเป็นชาวจีนที่นำเอาโมเดล Zero Trust ซึ่งเป็นวิธีการรักษาความปลอดภัยมาใช้ เหตุผลที่เรานำชุดวิธีการนี้มาใช้ก็เพราะว่ามีเพียงชุดวิธีการนี้เท่านั้นที่ได้รับการพิสูจน์แล้วว่าสามารถต้านทานการแทรกแซงจากกองกำลังระดับรัฐได้ ดังนั้น เราจึงเริ่มนำการเปลี่ยนแปลงแบบ Zero Trust มาใช้ภายในองค์กรตั้งแต่ต้นปี 2018 และ 2019 และเราจำเป็นต้องติดตั้งสิ่งต่างๆ ลงในบริการภายในทั้งหมดของเรา รวมไปถึงคอมพิวเตอร์และโทรศัพท์มือถือของพนักงานทุกคน ดังนั้นหลังจากที่เราตระหนักถึงสิ่งนี้แล้ว เราจะต้องนำชุดโซลูชันนี้มาใช้และทำให้ระบบต่างๆ ของเราอยู่ในสถานะที่เชื่อถือได้ขั้นต่ำ

ในเวลาเดียวกัน สินทรัพย์ที่สำคัญที่สุดสำหรับเราคือคีย์ส่วนตัว และเราจะต้องนำแนวคิดเรื่องการแบ่งชั้น การกระจายอำนาจ และการกระจายมาใช้ การแบ่งชั้นหมายถึงอะไร เราจะต้องแยกกระเป๋าสตางค์ของเราออกเป็นชิ้นเล็กชิ้นน้อย ฉันเคยเล่าให้ฟังเป็นการส่วนตัวแล้วว่าฉันมีทฤษฎีกระเป๋าสตางค์สี่ใบ ซึ่งเป็นเรื่องส่วนตัว แต่ในระดับสถาบัน จะต้องมีสถาปัตยกรรมกระเป๋าสตางค์อย่างน้อยสามชั้น คือ ร้อน อุ่น และเย็น และสถาปัตยกรรมแต่ละชั้นอาจมีลักษณะเฉพาะของตัวเอง จากนั้นอาจมีรายการดำและรายการขาว และชุดกระบวนการต่างๆ รวมถึงความล่าช้า หลายครั้งที่เรามักจะประนีประนอมและเสียสละความปลอดภัยเพื่อประสิทธิภาพ โดยเฉพาะอย่างยิ่งในอุตสาหกรรมที่กำลังพัฒนาอย่างรวดเร็ว อย่างไรก็ตาม การล่าช้าตามข้อบังคับมักจะช่วยลดความเสี่ยงด้านความปลอดภัยของคุณลงเหลือเพียงระดับต่ำมาก โดยเฉพาะอย่างยิ่งในระดับของกระเป๋าเงินเย็นและกระเป๋าเงินอุ่น เราจะต้องดำเนินการแบ่งชั้น กำหนดความเสี่ยงด้านความปลอดภัยที่แตกต่างกันสำหรับแต่ละชั้น และจัดตั้งระบบและกระบวนการตรวจสอบชุดหนึ่งเพื่อหลีกเลี่ยงความเสี่ยงในระบบเหล่านี้ กระเป๋าสตางค์แบบเย็นควรเก็บไว้ในระดับกายภาพดีที่สุด เนื่องจากรับประกันความปลอดภัยแน่นอน

ประการที่สองคือการกระจายอำนาจ เนื่องจากอุตสาหกรรมได้มีการพัฒนามายาวนานหลายปีและมีผู้มีส่วนร่วมมากขึ้นเรื่อยๆ เราอาจไม่มีทางแก้ปัญหาในตอนเริ่มต้นและสามารถไว้วางใจได้แค่ทีมงานของเราที่จะดำเนินการบางอย่างภายในเท่านั้น ในขณะนี้ โดยเฉพาะอย่างยิ่งเมื่อการทำงานจากระยะไกลได้รับความนิยมมากขึ้น มีบางกรณีที่พนักงานภายในถูกแทรกซึมโดยเกาหลีเหนือ และแม้แต่พนักงานที่มีอำนาจระดับสูงก็ถูกแทรกซึมเข้ามาภายในองค์กร ดังนั้นเราจึงไม่สามารถไว้วางใจกระบวนการภายในชุดนี้ได้อย่างสมบูรณ์ ดังนั้นการกระจายอำนาจจึงมีความจำเป็นในระดับนี้ เราจำเป็นต้องนำบุคคลที่สามภายนอกที่เป็นอิสระเข้ามาควบคุมคีย์ส่วนตัวและดำเนินการตรวจสอบ ซึ่งถือเป็นเรื่องสำคัญมากเช่นกัน ปัจจุบันมีบริษัทที่ดูแลระบบ บริษัทรักษาความปลอดภัย และบริษัทประกันภัยหลายแห่งที่สามารถเก็บคีย์ส่วนตัวไว้ในระดับต่างๆ ได้ บางแห่งเป็นคีย์ส่วนตัวสำหรับกระเป๋าเงินร้อน บางแห่งเป็นคีย์ส่วนตัวสำหรับกระเป๋าเงินอุ่น และบางแห่งเป็นคีย์ส่วนตัวสำหรับกระเป๋าเงินเย็น ในฐานะบุคคลที่สามภายนอกที่เป็นอิสระ พวกเขามีโซลูชันด้านความปลอดภัยของตนเอง และดำเนินการจัดการและควบคุมความเสี่ยงบางส่วน ผ่านชุดมาตรการนี้ ค่าใช้จ่ายและเกณฑ์ในการโจมตีจะเพิ่มขึ้นอย่างทวีคูณ

แล้วในที่สุด มันก็กลายเป็นการกระจายตัว เราอาจทำได้ดีกว่าในการกระจายซอฟต์แวร์และฮาร์ดแวร์ของเราไปทั่วโลก เพราะโดยพื้นฐานแล้ว ทุกคนอยู่ในสถานะที่กระจัดกระจายกัน จากมุมมองนี้ ก่อนอื่น เราต้องใช้ระบบความเชื่อถือขั้นต่ำ และใช้แนวคิดการออกแบบความเสี่ยงแบบไร้ความไว้วางใจเพื่อออกแบบระบบและสถาปัตยกรรมภายในทั้งหมด จากนั้นนำเอาแนวทางการจัดการสินทรัพย์หลักแบบหลายชั้น กระจายศูนย์ และกระจายออกไปมาใช้ จากนั้นจึงติดตั้งโมดูลความปลอดภัยของซอฟต์แวร์และฮาร์ดแวร์ชุดหนึ่ง รวมถึงกระบวนการควบคุมการเข้าถึงภายในที่เข้มงวด จากนั้นจึงสร้างการจัดการแบบวงจรปิดตลอดวงจรชีวิตที่ปลอดภัย นอกจากนี้ เราอาจต้องมีการตอบสนองต่อเหตุฉุกเฉินและวิธีแก้ไขระหว่างและหลังเหตุการณ์ เพื่อให้เราสามารถอยู่รอดได้นานขึ้นในเหตุการณ์โจมตีที่มีความเสี่ยงสูงและไม่แน่นอน

แพลตฟอร์มการซื้อขายที่เป็นไปตามข้อกำหนดลงทุนด้านความปลอดภัยมากขึ้น ในขณะที่แพลตฟอร์มการซื้อขายนอกประเทศมีมาตรการรักษาความปลอดภัยไม่เพียงพอเนื่องจากแรงกดดันการเติบโตอย่างมาก

Colin: ส่วนตัวแล้ว ฉันต้องการทราบเกี่ยวกับ Coinbase และแพลตฟอร์มการซื้อขายที่เป็นไปตามข้อกำหนดอื่นๆ พูดตามตรง ดูเหมือนว่าจะมีการโจรกรรมน้อยกว่ามาก ซึ่งแตกต่างจากแพลตฟอร์มการซื้อขายนอกประเทศ ซึ่งมักจะถูกขโมยเกือบหมด และแพลตฟอร์มการซื้อขายหลายแห่งยังถูกขโมยหลายครั้งด้วยซ้ำ เหตุใดจึงเป็นเช่นนี้? จริงๆแล้ว ฉันไม่ค่อยเข้าใจนัก ในทางทฤษฎี สถาปัตยกรรมที่ใช้ได้นั้น สามารถใช้กับแพลตฟอร์มการซื้อขายนอกชายฝั่งได้หรือไม่ เนื่องจากแพลตฟอร์มการซื้อขายนอกชายฝั่งมีเงินทุนจำนวนมากกว่าหรือการดำเนินการมีความแตกต่างกันเล็กน้อย ฉันสงสัยว่าแขกคนใดจากแผนกรักษาความปลอดภัยจะสามารถตอบคำถามนี้ให้ฉันได้ นอกจากนี้ คุณคิดว่าการเผชิญกับการโจมตีจากแฮกเกอร์จากเกาหลีเหนือแบบนี้ จะทำให้การเริ่มต้นธุรกิจในอุตสาหกรรมนี้ยากขึ้นมากหรือไม่ ส่งผลให้ผู้ประกอบการทั่วไปต้องเสียค่าใช้จ่ายด้านความปลอดภัย หรือต้องใช้เงินลงทุนจำนวนมาก ซึ่งจะขัดขวางการพัฒนาของอุตสาหกรรมนี้เป็นอย่างมากหรือไม่ ดูเหมือนว่าตอนนี้ทุกคนจะค่อนข้างสงสัยว่าอุตสาหกรรมนี้สามารถต้านทานการโจมตีจากแฮกเกอร์จากเกาหลีเหนือได้หรือไม่

Shenyu: ฉันอยากจะเสริมว่าความรู้สึกโดยสัญชาตญาณของฉันก็คือแพลตฟอร์มการซื้อขายที่เป็นไปตามกฎเกณฑ์อาจจะให้ความสำคัญกับความปลอดภัยมากกว่าประสิทธิภาพ เช่น มีการเข้มงวดในบางด้าน การลงทุนด้านความปลอดภัยก็สูงมากเช่นกัน

แพลตฟอร์มการซื้อขายนอกชายฝั่งในทางทฤษฎีมีเงินทุนจำนวนมากและสามารถลงทุนในด้านความปลอดภัยได้มากขึ้น ไม่ว่าจะเป็น Binance ในช่วงแรกหรืออื่นๆ รวมถึงกรณีนี้ ดูเหมือนว่าการโจรกรรมจะเกิดขึ้นบ่อยมาก

ซึ่งอาจเป็นเพราะแพลตฟอร์มการซื้อขายนอกชายฝั่งอยู่ภายใต้แรงกดดันในการเติบโตมากเกินไป และจำเป็นต้องมีการทำซ้ำในความถี่สูงตลอดเวลา และยังมีการร้องเรียนจากลูกค้าจำนวนมากอีกด้วย แต่ในแพลตฟอร์มการซื้อขายที่เป็นไปตามข้อกำหนด ความคาดหวังของผู้ใช้ทั่วไปจะไม่สูงนัก และไม่จำเป็นต้องถอนเงินอย่างรวดเร็ว บางแห่งอนุญาตให้ถอนเงินจำนวนมากได้ใน T+1 หรือ T+2 ฉันเคยเห็น T+7 ด้วยซ้ำ และผู้ใช้สามารถยอมรับสิ่งนี้ได้เนื่องจากฐานลูกค้าแตกต่างกัน ฐานลูกค้าของแพลตฟอร์มการซื้อขายที่เป็นไปตามข้อกำหนดส่วนใหญ่เป็นสถาบัน แพลตฟอร์มการซื้อขายทั้งสองแห่งนี้อาจมีประวัติศาสตร์อันยาวนาน ฉันไม่รู้ว่าพวกเขาเคยประสบเหตุโจรกรรมหรือไม่ พวกเขาควรมีประสบการณ์มากมายในการจัดการกับปัญหาความปลอดภัยภายในองค์กร ปัญหาความปลอดภัยถือได้ว่าเป็น "วัยที่เติบโตเต็มที่" ของบริษัท

ฉันคิดว่าตราบใดที่ยังมีอัตรากำไรเพียงพอในอุตสาหกรรมนี้ การลงทุนในผลิตภัณฑ์ SaaS บางอย่างจะสามารถพยายามตอบสนองจุดเจ็บปวดและความต้องการของอุตสาหกรรมนี้ได้อย่างแน่นอน เพียงแต่ว่าตอนนี้ความตระหนักด้านความปลอดภัยหรือความเต็มใจที่จะจ่ายเงินของผู้คนไม่แข็งแกร่งนัก นอกจากนี้ เรายังได้เห็นผลิตภัณฑ์ด้านความปลอดภัยที่ดีมากมาย แต่ทุกคนต่างก็หาเงินมาจากการทำงานหนัก และแม้แต่ต้นทุนก็ยังยากที่จะรักษาสมดุล ดังนั้น พวกเขาจึงต้องพึ่งพาเงินอุดหนุนจากด้านอื่นๆ

ระดับนี้เป็นปัญหาจริงๆ แต่ฉันรู้สึกว่าเมื่อมีการอัปเกรดระบบโจมตีและป้องกัน ผู้คนจะค่อยๆ ตระหนักว่าความปลอดภัยมีความสำคัญมาก และการลงทุนด้านความปลอดภัยก็จะเพิ่มมากขึ้น นอกจากนี้ยังให้พื้นที่และเงินทุนสำหรับการพัฒนาจำนวนหนึ่งแก่บริษัทต่างๆ เช่น บริษัทที่เน้นด้าน SaaS ด้านความปลอดภัย จากมุมมองด้านความปลอดภัยและสถาปัตยกรรม มีโซลูชันที่มีประสิทธิภาพและสามารถตรวจสอบได้ อย่างไรก็ตาม ในกรณีของ Safe มีฝ่ายต้นน้ำและฝ่ายปลายน้ำประมาณสี่ถึงห้าฝ่าย ในการทำธุรกรรมให้เสร็จสมบูรณ์ การประสานงานและการทำงานร่วมกันระหว่างแต่ละฝ่ายนั้นช้ามาก และการทำงานซ้ำของฮาร์ดแวร์ก็ช้าเป็นพิเศษ ดังนั้น ในท้ายที่สุด จึงมีช่วงเวลาจำกัดสำหรับแฮกเกอร์

เมื่อปัญหาในอุตสาหกรรมบล็อคเชนถูกเปิดเผยและมีการหารืออย่างเต็มที่ ปัญหาเหล่านั้นควรจะสามารถแก้ไขได้ด้วยการวนซ้ำหนึ่งหรือสองรอบ นอกจากนี้ Web2 ยังเผชิญกับปัญหาที่คล้ายคลึงกัน ถึงแม้ว่าทรัพยากรที่ลงทุนในด้านความปลอดภัยใน Web2 จะไม่มากเท่ากับอุตสาหกรรมบล็อคเชนก็ตาม เราได้เห็นแล้วว่า Passkey ซึ่งได้รับการออกแบบมาเพื่อปกป้องความปลอดภัยของรหัสผ่านได้รับการส่งเสริมมาหลายปีและในที่สุดก็เริ่มมีการนำมาใช้ในวงกว้างในช่วงหนึ่งหรือสองปีที่ผ่านมา โดยเฉพาะอย่างยิ่งในบางสาขาการเงินที่มีความละเอียดอ่อน ด้วยเหตุนี้ เทคโนโลยีพื้นฐานจึงสามารถนำมาใช้ซ้ำและพัฒนาได้ รวมถึงอุปกรณ์ Apple ที่เราใช้ซึ่งมีการปรับปรุงระดับความปลอดภัยอย่างรวดเร็วเช่นกัน ท้ายที่สุดแล้วก็มีทางแก้ไข เพียงแต่อาจต้องใช้เวลาและเงินลงทุนบ้าง ในกระบวนการนี้ นักพัฒนาบางคนที่ไม่ค่อยตระหนักถึงความเสี่ยงและดำเนินการอย่างแข็งกร้าวอาจต้องแบกรับต้นทุนบางส่วน แต่ปัญหาสามารถแก้ไขได้

คำแนะนำด้านความปลอดภัยสำหรับผู้ประกอบการ: ปฏิบัติตามแบบจำลองความไว้วางใจศูนย์ การตรวจสอบแบบหลายขั้นตอน และการฝึกซ้อมด้านความปลอดภัยเป็นประจำ

โคลิน: สำหรับผู้ประกอบการ โปรเจ็กต์สตาร์ทอัพเพิ่งถูกขโมยเงินไป 50 ล้านดอลลาร์ แม้ว่าจะมีคนจำนวนมากในชุมชนที่ให้การสนับสนุนก็ตาม ในเรื่องความปลอดภัยของโครงการผู้ประกอบการ ในฐานะคนที่มีประสบการณ์มาหลายปีและผ่านอะไรมามากมาย คุณมีข้อเสนอแนะอะไรสำหรับผู้ประกอบการเพื่อปรับปรุงการตระหนักรู้ด้านความปลอดภัยให้ดีขึ้นบ้าง?

เสิ่นหยู: ฉันคิดว่าการฝึกฝนโมเดลความไว้วางใจเป็นศูนย์เป็นสิ่งสำคัญมากในกระบวนการของการเป็นผู้ประกอบการ ในสภาพแวดล้อมปัจจุบันเท่านั้น มีเพียงชุดวิธีการและแนวคิดเหล่านี้เท่านั้นที่จะปกป้องทุกคนได้ ในขณะเดียวกัน เราไม่สามารถพึ่งพาจุดบกพร่องเพียงจุดเดียวและการตรวจสอบสัญญาแบบฝ่ายเดียวได้ ข้อกำหนดพื้นฐานคือต้องมีฝ่ายอย่างน้อยสองหรือสามฝ่ายดำเนินการตรวจสอบ และต้องมีการตรวจสอบย้อนกลับเพื่อให้สามารถเปิดเผยปัญหาบางประการในกระบวนการได้ นอกจากนี้ อย่าเพิ่มจำนวนเงินทุนอย่างรวดเร็วเกินไป ในช่วงแรกๆ คุณสามารถเพิ่มจำนวนเงินทุนอย่างช้าๆ ผ่านการทดสอบภายในและสาธารณะ และแยกเงินทุนออกเพื่อให้คุณสามารถจัดการความเสี่ยงได้ค่อนข้างดี

อันที่จริงแล้ว ในอุตสาหกรรมนี้ มีโซลูชันด้านความปลอดภัยราคาไม่แพงอยู่มากมาย เช่น ระบบตรวจสอบความปลอดภัยและการควบคุมความเสี่ยง ซึ่งควรนำมาใช้ เนื่องจากโซลูชันเหล่านี้อาจเพิ่มโอกาสในการอยู่รอดได้เป็นอย่างมาก ในกระบวนการของการเป็นผู้ประกอบการ ในด้านหนึ่ง โมเดลธุรกิจจะต้องคำนึงถึงฝั่งผู้ใช้ โดยเฉพาะสำหรับผู้ประกอบการที่ไม่มีพื้นฐานด้านเทคนิค พวกเขาจะต้องให้ความสำคัญกับความปลอดภัยและสถาปัตยกรรม Zero Trust ภายในเป็นอย่างมาก โดยต้องให้ความสนใจอย่างน้อย 20 ถึง 30 เปอร์เซ็นต์ในส่วนนี้ หากบริษัทไม่ให้ความสำคัญกับวัฒนธรรมและระบบความปลอดภัยภายในเหล่านี้ และไม่ดำเนินการทดสอบฟิชชิ่งด้านความปลอดภัยและการฝึกซ้อมการโจมตีและป้องกันภายในเป็นประจำ ทุกคนก็จะกลายเป็นคนขี้เกียจทั้งในระดับพนักงานและระดับมนุษย์ โปรดทราบว่าแฮกเกอร์อาจกำลังเฝ้าดูคุณอยู่ได้ตลอดเวลา ดังนั้นทรัพยากรและความใส่ใจจะต้องยังคงมุ่งเน้นไปที่ความปลอดภัย

โคลิน: ใช่ ผมคิดว่าเมื่ออุตสาหกรรมนี้เติบโตขึ้น แทบไม่มีบริษัทใดเลย ไม่ว่าจะเป็นเจ้านายหรือบริษัทก็ตาม ที่จะไม่ประสบกับการโจรกรรม โชคดีที่ตราบใดที่เราไม่พ่ายแพ้ในครั้งนี้ ทั้งบุคคลและอุตสาหกรรมทั้งหมดก็จะก้าวหน้าได้บ้าง

ทำไมไม่เข้าร่วมรอบนี้ของ Memecoin: รู้สึกไม่สบาย เน้นไปที่ AI

Web3 Jiaozi: Shenyu คุณเคยอยู่ในวงการการเข้ารหัสและยังเป็นบุคคลที่มีชื่อเสียงในอุตสาหกรรมนี้ด้วย ในช่วงแรกสุด กระเป๋าเงิน Cobo อาจนำทุกคนมารวมกัน ฉันเป็นคนกลุ่มแรกๆ ที่เข้าร่วมทั้งหมดนี้ ภายใต้สภาวะตลาดในปีนี้ ฉันพบว่า Shenyu แทบจะไม่พูดถึงเรื่องที่เกี่ยวข้องกับอุตสาหกรรมเลย รวมถึงลิงค์ที่โพสต์เมื่อวันนี้ มีการกล่าวถึง PVP เพียงสั้น ๆ เท่านั้น สิ่งที่ผมกังวลมากกว่าคือ ดูเหมือนว่าอุตสาหกรรมจะประสบปัญหาคอขวดหลังจากผ่านช่วงคลื่นสุดท้ายของตลาดไปแล้ว ผมอยากถาม Shenyu ว่าทางออกต่อไปอยู่ที่ไหน

โคลิน: ใช่แล้ว เสิ่นหยู คุณชอบลองอะไรใหม่ๆ เสมอมา แต่ดูเหมือนว่ารอบนี้มีมที่ได้รับความนิยมมาก แต่ฉันไม่เห็นคุณมีส่วนร่วมด้วยวิธีพิเศษเลย เหตุผลคืออะไร?

Shenyu: เหตุผลหลักที่ฉันไม่เล่น Meme ก็คือร่างกายของฉันรับไม่ไหว และฉันไม่สามารถเทียบกับคนที่เกิดในช่วงปี 2000 ได้ อีกปัจจัยหนึ่งก็คือความสนใจของฉันมุ่งเน้นไปที่ AI ในช่วงนี้ ดูเหมือนว่า AI อาจผสมผสานกับสกุลเงินดิจิทัลได้อย่างสร้างสรรค์ในอนาคต ซึ่งอาจนำไปสู่การเติบโตครั้งใหม่ เราได้เสนอในงานออฟไลน์เมื่อกว่าหนึ่งปีก่อนว่าผู้ใช้สกุลเงินดิจิทัลในที่สุดอาจเป็นตัวแทน AI หรือหุ่นยนต์ AI มากกว่าจะเป็นมนุษย์ ดังนั้น ฉันจึงใช้พลังงานจำนวนมากในการเรียนรู้วิธีใช้ AI ฉันไม่สามารถเล่น PVP ได้อีกต่อไปแล้ว โดยปกติแล้วฉันจะเข้าร่วมเพื่อแจกเงินให้ทุกคน และไม่ค่อยมีข้อเสนอแนะในเชิงบวกมากนัก ดังนั้น ฉันจึงมุ่งเน้นไปที่ AI เป็นหลัก

เราตั้งตารอโอกาสที่จะรวม AI และ Crypto เข้าด้วยกัน เชื่อว่า AI Agent อาจมีบทบาทสำคัญในเครือข่ายบล็อคเชนในอนาคต

Colin: คุณคิดอย่างไรเกี่ยวกับ AI ในตอนนี้? เพราะก่อนหน้านี้เคยมีกระแส AI Agent บูม และร่วงลงอย่างรวดเร็ว เพื่อนของฉันหลายคนล้มละลายเพราะลงทุนใน AI คุณคิดว่า AI ในอดีตได้ผลิตอะไรที่น่าสนใจบ้างหรือไม่? คุณคิดว่าแอปพลิเคชันใดจะดีกว่าสำหรับ AI และสกุลเงินดิจิทัลในอนาคต?

เสิ่นหยู: ผมคิดว่าแก่นแท้ของพื้นฐานคือความสามารถของ AI เองยังไม่ถึงขั้นนั้น ตอนนี้พวกมันยังอยู่ในขั้นตอนการยืนยันแนวคิด จากนั้นเราจะเห็นได้ว่าความเร็วในการพัฒนาของ AI นั้นรวดเร็วมาก และโมเดลพลังการประมวลผลพื้นฐานนั้นก็กำลังวนซ้ำอยู่ตลอดเวลา เราคาดหวังว่า AI จะไปถึงสถานะหนึ่งในอนาคต ซึ่งก็คือมี AGI (ปัญญาประดิษฐ์) ทั่วไป

ในเรื่องของสกุลเงินดิจิทัล มีอยู่ 2 ประเด็น ประการหนึ่ง มันเป็นมิตรกับสิ่งที่เป็นดิจิทัลอย่างสมบูรณ์มากเนื่องจากข้อมูลมีความเปิดกว้างและโปร่งใส ดังนั้น ในแง่หนึ่ง AI อาจเปลี่ยนวิธีการโต้ตอบของเรา สำหรับสัญญาอัจฉริยะที่ซับซ้อนเหล่านี้และการปฏิบัติการต่อต้านความปลอดภัยของมนุษย์ เราควรสามารถพึ่งพาตัวแทน AI ที่เชื่อถือได้และชาญฉลาดเพื่อช่วยเราในการตัดสินใจบางอย่าง ฉันชอบที่จะล้อเล่นว่าตอนนี้ฉันกำลังดำเนินงานด้านการเงินแบบกระจายอำนาจ และฉันต้องจัดระบบตัวแทน AI สองสามตัวจากระยะไกลเพื่อช่วยดูแลฉัน ในอนาคต มันอาจเป็นเช่นนั้นจริงๆ โดยมีวิศวกรปัญญาประดิษฐ์และอาจมีเอเจนต์ AI หนึ่งหรือสองตัวคอยเฝ้าดูหน้าจอ หากมองไปข้างหน้า AI อาจเชื่อมต่อกับเครือข่ายบล็อคเชนได้

เราลองจินตนาการถึงสถานการณ์ที่ตัวแทน AI โต้ตอบซึ่งกันและกัน รวมถึงการแลกเปลี่ยนมูลค่าและข้อมูล ซึ่งอาจเกี่ยวข้องกับสิ่งต่างๆ ในระดับสัญญา และอาจก่อตั้งเป็นบริษัทหรือ DAO ที่จัดตั้งขึ้นอย่างหลวมๆ ก็ได้ พวกเขาอาจใช้แพลตฟอร์มเช่นสัญญาอัจฉริยะเพื่อดำเนินการแลกเปลี่ยนระดับมูลค่าบางประการ ฉันคิดว่าบางทีในอีกสามหรือห้าปีข้างหน้า อาจจะมีบางสิ่งที่คล้ายกับเครือข่ายโซเชียลบนเว็บหรือเครือข่ายโซเชียลเชิงคุณค่าเกิดขึ้นบนบล็อกเชน และท้ายที่สุดแล้วสิ่งนี้จะถูกใช้โดยกลุ่มตัวแทน AI เหล่านี้

เมื่อสิ่งนี้ปรากฏขึ้น มูลค่าและอิทธิพลที่มันนำมาก็อาจยิ่งใหญ่มาก เรามักพูดถึงผลกระทบของเครือข่าย Web3 เสมอ ขนาดหรือมูลค่าของทรัพย์สินที่เกิดจากสิ่งนี้อาจสูงกว่าบริษัทอินเทอร์เน็ตแบบดั้งเดิมที่เราเห็นในปัจจุบันมาก ดังนั้นนี่อาจสูงกว่าระดับล้านล้านในปัจจุบัน ฉันกำลังคิดอยู่ว่านี่คืออะไรและเราจะทำอะไรได้บ้าง ฉันค่อนข้างมองโลกในแง่ดี แม้ว่าจะไม่มีแนวทางการใช้งานที่ดีในอุตสาหกรรมนี้เกิดขึ้นในช่วง 2-3 ปีที่ผ่านมา แต่ฉันคิดว่าแนวทางเหล่านี้น่าจะเกิดขึ้นในอนาคต นอกจากนี้ยังมีอุปสรรคบางอย่างที่เราอาจแก้ไขได้ ดังนั้น ฉันจึงตั้งตารอวันนั้น

วิธีแก้ไขปัญหาลายเซ็นแบบซ่อนของ Safe Wallet: เครื่องมือลงนามระดับองค์กร + การควบคุมความเสี่ยงด้วย AI + การจัดการบัญชีดำและบัญชีขาว

TheCheerSong: ฉันเป็นเทรดเดอร์ที่ทำการซื้อขายอัตโนมัติบนเครือข่าย หลังจากเหตุการณ์นี้ แม้ว่าเราจะหยุดธุรกิจไม่ได้ แต่เราก็ยังอัปเกรดมาตรการรักษาความปลอดภัยของเราด้วย ฉันรู้สึกว่าส่วนที่ยุ่งยากที่สุดคือส่วนการลงนามแบบซ่อนของ Safe Wallet สิ่งที่เราทำได้ตอนนี้คือเรามีโมดูลควบคุมการอนุญาตโอเพนซอร์สบางส่วน จากนั้นจึงนำไปใช้กับกระเป๋าเงิน Safe Wallet

ในกระบวนการใช้งานนี้ คำขอดำเนินการธุรกรรมส่วนใหญ่ดำเนินการโดยอัตโนมัติ ดังนั้นโดยทั่วไปแล้ว Safe Wallet จะถูกใช้สำหรับการโอนโทเค็นด้วยตนเองบางส่วนเท่านั้น ฉันอยากถามคุณครูว่า ในคำของ่ายๆ เหล่านี้ มีเครื่องมือใดบ้างที่สามารถใช้ตรวจสอบเนื้อหาลายเซ็นของเราได้?

Shenyu: จริงๆ แล้ว มีคนเพิ่งพูดไปว่าเราจะเปิดตัวชุดเครื่องมือภายในนี้ในผลิตภัณฑ์ต่างๆ ในสัปดาห์หน้า และจะเปิดตัวชุดเครื่องมือการลงนามขององค์กร Safe นี้ด้วย สาระสำคัญคือการได้รับคีย์ส่วนตัวที่ปลอดภัย จากนั้นจึงเพิ่มรายการดำและรายการขาวผ่านเครื่อง รวมถึงเทมเพลตการควบคุมความเสี่ยงบางส่วน คุณสามารถปรับแต่งมาตรการควบคุมความเสี่ยงทั่วไปบางอย่างได้ เช่น การจำกัดจำนวนโทเค็น ความเร็วในการทำธุรกรรม การตั้งค่ารายการดำและรายการขาว นอกจากนี้ ด้วยความสามารถบางอย่างของ AI Agent และการพิจารณาสถานการณ์การสูญเสียครั้งใหญ่บางสถานการณ์ เราสามารถจัดการกระบวนการชุดนี้และจัดการความเสี่ยงได้ในเวลาเดียวกัน

โซลูชันนี้ผสมผสานสัญญาที่ใช้รายการควบคุมการเข้าถึงก่อนหน้าของ Cobo และการควบคุมระดับพารามิเตอร์บนเครือข่าย Argus ฉันรู้สึกว่าในตอนนี้ ฉันรู้สึกสบายใจได้ก็ต่อเมื่อทำอย่างนี้เท่านั้น เมื่อเงินจำนวนมากของฉันถูกซื้อขายบนเครือข่าย นี่เป็นวิธีปฏิบัติที่ปลอดภัยที่เรากำลังใช้

ความเห็นของผู้เชี่ยวชาญด้านความปลอดภัยเกี่ยวกับปัญหาความปลอดภัยของกระเป๋าเงินในเหตุการณ์การโจรกรรม Bybit

ในระหว่างนี้ ศาสตราจารย์ Zhou Yajin ซีอีโอของ BlockSec, Nig ประธานเจ้าหน้าที่ฝ่ายการเติบโตแห่ง OneKey และ Moon ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยแห่ง Cobo ยังได้แสดงมุมมองของพวกเขาด้วย

เกี่ยวกับปัญหาความปลอดภัยของแพลตฟอร์มการซื้อขายในเหตุการณ์ Bybit ศาสตราจารย์ Zhou Yajin กล่าวว่าเหตุการณ์ดังกล่าวเกิดจากความไม่สอดคล้องกันระหว่างการใช้งานกระเป๋าเงิน Safe contract เพื่อจัดการเงินและธุรกรรมจริง ซึ่งส่งผลให้กระเป๋าเงินถูกอัปเกรดอย่างเป็นอันตรายและเงินถูกขโมย สาเหตุยังไม่ได้รับการเปิดเผยต่อสาธารณะ เจ้าของโครงการหลายรายเชื่อว่าการใช้ระบบลายเซ็นหลายรายการแบบ Safe ในการจัดการกระเป๋าเงินเป็นเรื่องปลอดภัย แต่ในความเป็นจริงแล้วพวกเขาละเลยข้อเท็จจริงที่ว่าความปลอดภัยนั้นเป็นการสร้างระบบที่ครอบคลุมทั้งการปฏิบัติการในระดับที่ไม่เกี่ยวกับเทคนิคและระดับทางเทคนิค

มีช่องโหว่ในด้านการจัดการคีย์ส่วนตัวและการตีความธุรกรรม เช่น การดูแลที่ไม่เพียงพอ การแยกวิเคราะห์และการตีความลายเซ็นและธุรกรรม และการจัดการลิงก์ความปลอดภัยที่ไม่ดีซึ่งเกิดจากความเป็นมิตรต่อผู้ใช้เมื่อทำการรับรองความปลอดภัยทางกายภาพของคีย์ส่วนตัว ห่วงโซ่ความน่าเชื่อถือสำหรับการโอนเงินจำนวนมากด้วยลายเซ็นหลายลายเซ็นนั้นยาว แต่ขาดการตรวจสอบซ้ำสองครั้งจากบุคคลที่สามในการตีความธุรกรรมและข้อมูลอินเทอร์เฟซการทำงาน ดังนั้น การใช้กระเป๋าเงินสัญญาเพื่อจัดการเงินจำนวนมากจึงจำเป็นต้องนำการตรวจสอบและการรับรองความถูกต้องจากบุคคลที่สามมาใช้ และควรตั้งค่าไวท์ลิสต์หรือการกระจายอำนาจเพื่อนำการควบคุมกลยุทธ์ที่ยืดหยุ่นของกระเป๋าเงินสัญญาไปใช้

เกี่ยวกับการแทรกแซงที่เกิดขึ้นบ่อยครั้งในระบบ front-end ของกระเป๋าสตางค์ Safe และความปลอดภัยของโซลูชันลายเซ็นหลายตัวแบบกระแสหลักอย่าง Safe นั้น Moon เชื่อว่าโซลูชัน Safe และสัญญาเองนั้นค่อนข้างปลอดภัย แต่ห่วงโซ่ความน่าเชื่อถือนั้นยาวเมื่อนำไปใช้งาน และสถานการณ์ที่ไม่คาดคิดก็มีแนวโน้มที่จะเกิดขึ้นได้ การโจมตี Bybit ในครั้งนี้มีแนวโน้มว่าจะเป็นปัญหาด้านการเอาท์ซอร์สมากกว่าปัญหาด้านสัญญา ซึ่งเน้นย้ำถึงความสำคัญของการปรับปรุงการตระหนักรู้ด้านความปลอดภัยในแต่ละวัน ในการใช้กระเป๋าสตางค์ Safe อย่างปลอดภัย คุณต้องพิจารณาทั้งแนวตั้งและแนวนอน ลิงก์แนวตั้งแต่ละลิงก์จะต้องมีโซลูชันทางเทคนิคที่ควบคุมได้ เช่น อุปกรณ์อิสระ การเซ็นชื่อหลายรายการในแนวนอนต้องได้รับการตรวจสอบโดยผู้ลงนามโดยอิสระ และห่วงโซ่ความน่าเชื่อถือที่ยาวอาจทำให้เกิดการเชื่อมโยงข้ามกันได้ ซึ่งแฮกเกอร์สามารถใช้เพื่อหลีกเลี่ยงการยืนยันได้ ดังนั้น การขยายในแนวนอนจึงไม่เพียงแต่ต้องเพิ่มจำนวนผู้ลงนามเท่านั้น แต่ยังต้องทำให้มั่นใจว่าแผนและสภาพแวดล้อมของผู้ลงนามเป็นอิสระและได้รับการตรวจสอบแยกกัน เพื่อให้ Safe มีบทบาทอย่างเต็มที่

นอกจากนี้ นอกเหนือจากการใช้กระเป๋าเงินสัญญาแล้ว แพลตฟอร์มการซื้อขายและบุคคลที่มีมูลค่าสุทธิสูงควรสร้างกลไกที่เข้มงวด เช่น การกระทบยอดด้วยตนเองและการตรวจสอบที่ผิดปกติ ใช้การตรวจสอบโปรแกรมอัตโนมัติ และเพิ่มการตระหนักรู้ด้านความปลอดภัยเพื่อหลีกเลี่ยงการโจมตี Web2 นอกจากนี้ Cobo ยังจะเปิดตัวโซลูชั่นการจัดการที่รวม MPC และ Safe เข้าด้วยกัน โดยใช้ความสามารถลายเซ็นหลายลายเซ็นของ Safe เพื่อให้ผู้ลงนามที่แตกต่างกันมีลิงก์ลายเซ็นครบวงจรที่เป็นอิสระและสมบูรณ์

เกี่ยวกับปัญหาที่เกี่ยวข้องกับกระเป๋าสตางค์ฮาร์ดแวร์ในเหตุการณ์ Bybit นั้น Nig กล่าวว่า Bybit ใช้ NPC เพื่อควบคุมกระเป๋าสตางค์ EOA (เนื่องจากลายเซ็นของมันนั้นสามารถแยกวิเคราะห์ได้ง่าย) ในขณะที่ลายเซ็นของกระเป๋าสตางค์สัญญาอัจฉริยะ Safe นั้นซับซ้อนและยากต่อการแยกวิเคราะห์ และทีมงานด้านความปลอดภัยอาจไม่ทันสังเกตเห็นในเวลาที่เหมาะสม กระเป๋าสตางค์ฮาร์ดแวร์ที่มีอยู่ (เช่น Ledger) มีประสิทธิภาพจำกัดและยากต่อการจัดการการแยกวิเคราะห์สัญญาอัจฉริยะและการลงนามแบบปิดตาที่ซับซ้อน หากมีการดำเนินการก่อนหน้านี้ การโจมตีนี้ก็สามารถหลีกเลี่ยงได้ ทีมงาน Shenyu และ OneKey ได้พัฒนาเครื่องมือการแยกวิเคราะห์ที่เกี่ยวข้อง Clear Signing ของ Ledger กำลังดำเนินไปอย่างช้าๆ และข้อมูลลายเซ็นอาจถูกปนเปื้อนได้ง่ายเมื่อส่งจากอุปกรณ์เครือข่าย การพึ่งพาการแยกวิเคราะห์กระเป๋าสตางค์ฮาร์ดแวร์เพียงอย่างเดียวเพื่อให้แน่ใจว่าเจตนามีความสอดคล้องกันนั้นไม่เพียงพอ Bybit ขาดการเตือนล่วงหน้าในครั้งนี้ เนื่องจากผู้ลงนามรายแรกถูกแฮ็ก และคนอื่นๆ ลงนามแบบไร้สติปัญญาเนื่องจากปัญหาอุปกรณ์ ขอแนะนำให้บุคคลและสถาบันที่มีทรัพย์สินสุทธิสูงเก็บอุปกรณ์อินเทอร์เน็ตที่เกี่ยวข้องกับธุรกรรมทางการเงินแยกจากกันและแยกจากอุปกรณ์สำนักงานเพื่อลดความเสี่ยงจากการบุกรุก เรเดียมเคยถูกแฮ็กมาก่อนเนื่องจากสภาพแวดล้อมไม่ได้แยกออกจากกัน

เกี่ยวกับความปลอดภัยของ Safe ฟังก์ชันการตรวจสอบของบุคคลที่สาม และการใช้ AI ในความปลอดภัยของบล็อคเชน ศาสตราจารย์ Zhou Yajin เชื่อว่าสัญญา Safe นั้นมีความปลอดภัยสูงในอดีตและได้รับการตรวจสอบโดยหลายฝ่าย แต่กระบวนการใช้งานที่ยาวนานก็นำมาซึ่งความเสี่ยง ระบบความปลอดภัย Falcon Safe ที่พัฒนาโดยทีมงานของเราสามารถตรวจสอบธุรกรรมของผู้ใช้จากมุมมองของบุคคลที่สาม วิเคราะห์เนื้อหาของธุรกรรม และแจ้งเตือนข้อมูลธุรกรรมที่สำคัญ เช่น การโอนและการโต้ตอบตามสัญญา จึงช่วยลดขีดจำกัดทางปัญญาของผู้ใช้และหลีกเลี่ยงปัญหาความปลอดภัยได้ ในแง่ของแอปพลิเคชัน AI ในแง่หนึ่ง AI ช่วยลดต้นทุนของการกระทำผิดและอำนวยความสะดวกในการสร้างเครื่องมือฟิชชิ่งเป็นชุด ในอีกแง่หนึ่ง อุตสาหกรรมกำลังสำรวจการผสมผสานระหว่าง AI และการตรวจสอบและรหัสการตรวจสอบอัตโนมัติ แม้ว่าจะยังห่างไกลจากสถานะที่เหมาะสม แต่ AI สามารถลดเกณฑ์สำหรับผู้ใช้สกุลเงินดิจิทัลในการใช้ผลิตภัณฑ์และช่วยแก้ปัญหาการดำเนินการของผู้ใช้ที่ซับซ้อนได้

เกี่ยวกับปัญหาที่เกี่ยวข้องกับกระเป๋าเงินฮาร์ดแวร์ Nig ตอบว่าบริษัทจะไม่ออกรายงานการต่อสู้เพื่อส่งเสริมให้ยอดขายเพิ่มขึ้นอย่างมากหลังจากที่แพลตฟอร์มการซื้อขายถูกขโมยไป เช่นเดียวกับบริษัทอื่นๆ ในกลุ่มเดียวกัน แม้ว่ายอดขายที่เพิ่มขึ้นจะดี แต่ก็สะท้อนให้เห็นว่าหลายคนเพิ่งเริ่มให้ความสำคัญกับความปลอดภัยของคีย์ส่วนตัว กระเป๋าสตางค์ฮาร์ดแวร์เป็นผู้รับผิดชอบต่อเหตุการณ์ด้านความปลอดภัยนี้ ประสิทธิภาพของ Ledger และ Safe ไม่เป็นไปตามที่คาดหวัง Safe ได้หยุดการสนับสนุนทั้งแบบฟรอนต์เอนด์และเนทีฟ ฮาร์ดแวร์วอลเล็ตรุ่นก่อนหน้ามีความสามารถในการแยกวิเคราะห์ที่จำกัดเนื่องจากต้องคำนึงถึงความปลอดภัย ผลิตภัณฑ์รุ่นใหม่ เช่น Ultra และ Pro จะช่วยเสริมความแข็งแกร่งให้กับการแยกวิเคราะห์สัญญาที่ซับซ้อนในพื้นที่และรองรับการวิเคราะห์องค์ประกอบธุรกรรมหลัก นอกจากนี้ Classic ยังจะเลือกส่วนสำคัญสำหรับการแสดงอีกด้วย แอปนี้จะใช้การวิเคราะห์ธุรกรรม EVM กระแสหลัก และด้านฮาร์ดแวร์จะตามมาภายหลังเนื่องจากการทดสอบความปลอดภัย

เพื่อความปลอดภัย เราจะสาธิตวิธีการป้องกันการโจมตีที่เกี่ยวข้อง และดำเนินการให้ความรู้ด้านความปลอดภัยแก่ผู้ใช้ในอนาคตอันใกล้นี้ ในอนาคต แม้จะมีเทคโนโลยีที่หลากหลาย เช่น การที่ OKX ไม่กระตือรือร้นที่จะเข้าถึงกระเป๋าสตางค์ฮาร์ดแวร์ และสถาบันต่างๆ ส่งเสริมกระเป๋าสตางค์ NPC แต่กระบวนการลงนามยังก่อให้เกิดความเสี่ยงต่อการเปิดเผยข้อมูลช่วยจำในสภาพแวดล้อมออนไลน์ ดังนั้นกระเป๋าสตางค์ฮาร์ดแวร์จึงยังคงวนเวียนอยู่รอบๆ แกนหลักของการแยกทางกายภาพ แม้ว่าจะมีการเปลี่ยนแปลง เช่น การอัปเกรดมาตรฐานข้อมูลช่วยจำ การป้องกันความปลอดภัยแกนหลักจะไม่เปลี่ยนแปลง

ลิงค์ต้นฉบับ

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia