Seguridad del fondo: verificación multicapa, listas blancas y 2FA

¿Están mis fondos seguros? El certificado de reserva se implementa en los datos de reserva de la cadena pública Arbitrum, MC Markets y la tasa de reserva siempre se mantiene por encima del 100%, lo que garantiza que los activos del usuario estén completamente cubiertos. Los activos del usuario y los fondos operativos de la plataforma se almacenan de forma totalmente independiente.

introducción

Hay dos lados de la seguridad financiera en una plataforma comercial, y la gran mayoría de los usuarios solo piensan en uno de ellos. Por un lado, es lo que la plataforma hace por usted: aislar los activos de los usuarios, almacenar la mayoría de los fondos fuera de línea y publicar certificados de reserva en la cadena para que cualquiera pueda verificarlos. El otro lado son las cosas que usted controla: activar la verificación en dos pasos, configurar una lista blanca para direcciones de retiro, agregar otra capa de verificación además de la verificación existente.

La verdadera seguridad requiere que ambas partes estén presentes al mismo tiempo. Esta guía desglosará paso a paso: qué capas de protección ha creado la plataforma para usted, qué capas de protección debe crear usted mismo y cómo funcionan juntas las dos capas, de modo que la pérdida de cualquier enlace (ya sea en la plataforma o en su lado) no ponga en riesgo sus activos.

1. Capa de plataforma: Prueba de reservas (PoR)

La prueba de reserva (PoR) es el compromiso externo de la plataforma: el depósito de cada usuario está respaldado por activos reales 1:1 en la cadena, y cualquiera puede verificarlo de forma independiente. La implementación técnica utiliza Merkle Tree y se implementa en la red Arbitrum.

La página PoR (accesible desde la barra de navegación superior) muestra dos cifras clave:

Reservas totales: los activos que realmente posee la plataforma.

Activos del usuario: la cantidad total de activos a los que tiene derecho un usuario.

El índice de reservas siempre se mantiene en o por encima del 100%, y las instantáneas se actualizan periódicamente. Siempre que siempre se establezca "reservas totales ≥ activos del usuario", la plataforma tiene la capacidad de cumplir con cada solicitud de retiro en cualquier momento.

El atributo más crítico de este diseño es: no es necesario "creer en las promesas de la plataforma", puede verificarlo usted mismo.

Cómo verificar tu propio saldo

Después de iniciar sesión, visite la página "Prueba de reservas".

Ingrese la dirección de su billetera: verifique si los datos en cadena coinciden con el saldo de su plataforma.

Si se registró por correo electrónico o Google, la dirección que le asignó la plataforma aparecerá en la página "Depósito".

La dirección del contrato principal se publica directamente en la página del PoR. Cópielo a Arbiscan para la verificación en cadena.

Si el saldo que ve coincide con el registro en cadena, tendrá una confirmación independiente de que sus activos son reales. No existe el "confía en mí", sólo datos públicos y auditables.

2. Capa de plataforma: billetera fría + firma múltiple

Existe una segunda capa de protección más allá del PoR: exactamente cómo se mantienen estos fondos de reserva.

La plataforma implementa un aislamiento estricto de billeteras frías y calientes:

La mayoría de los activos de los usuarios se almacenan en billeteras frías fuera de línea (sujetas a la página de seguridad oficial), físicamente aisladas de cualquier sistema en red e inmunes a ataques remotos.

Solo los fondos mínimos necesarios para las operaciones diarias se retienen en la billetera activa (como el procesamiento de solicitudes de retiro pendientes).

Sobre la base de la separación en frío y en caliente, las billeteras frías también utilizan autorización de firmas múltiples: cualquier transferencia de fondos requiere la aprobación de múltiples partes autorizadas. Ninguna "clave única", "persona única responsable", "credencial única comprometida" puede utilizar grandes cantidades de fondos de los usuarios.

Esta arquitectura es un diseño estándar adoptado por los custodios a nivel institucional y los intercambios líderes en la industria; la razón de esto es que los principales casos de falla en la historia de esta industria están casi todos relacionados con "un único punto de falla en el lado de la custodia".

3. Capa de plataforma: infraestructura basada en auditorías independientes

La plataforma no se basa en sus propios sistemas internos opacos, sino que se basa en un protocolo público de cadena de bloques que ha sido auditado de forma independiente:

Arbitrum: la red Layer 2 donde residen las reservas y los contratos, y cada transacción se registra públicamente en la cadena.

Chainlink: proporciona un oráculo de precios descentralizado para evitar el riesgo de manipulación desde una única fuente.

Pyth: una fuente de datos de precios de alta frecuencia optimizada para escenarios de derivados.

Dos puntos clave que vale la pena conocer:

Los activos de los usuarios y los fondos operativos se almacenan en diferentes direcciones en la cadena; ambos se pueden verificar de forma independiente mediante prueba de reservas.

Los fondos se pueden retirar en cualquier momento; siga los procedimientos estándar y no quedará "bloqueado" bajo custodia. El estado de la reserva se puede verificar de forma independiente utilizando datos públicos en cadena.

Infraestructura blockchain auditada + direcciones en cadena aisladas + retiros bajo demanda + verificables públicamente: esta es la diferencia fundamental entre una plataforma transparente y una plataforma que "sólo puede escuchar su versión de la historia".

4. Capa de usuario: autenticación multicapa

El mecanismo de protección de la plataforma solo es efectivo cuando la configuración de seguridad a nivel de su cuenta está implementada. No importa cuán sólida sea la arquitectura de alojamiento, no puede salvar a un usuario cuyas credenciales de inicio de sesión han sido suplantadas. Es por eso que las capas de usuarios (2FA, listas blancas de retiro y el modelo más amplio de autenticación de múltiples capas) también son esenciales.

Segunda verificación (2FA)

2FA requiere que usted proporcione "una segunda prueba de identidad además de su contraseña", generalmente un código de verificación único y continuo generado por una aplicación de autenticación (Google Authenticator, Authy, etc.). Incluso si un atacante obtiene su contraseña debido a phishing, malware o una violación de datos de terceros, no podrá iniciar sesión sin un dispositivo físico en sus manos.

Abra 2FA tan pronto como registre una cuenta; esta única acción puede eliminar la posibilidad de que la mayoría de las cuentas sean pirateadas.

Lista blanca de retiros

La lista blanca de retiros es una lista de "direcciones de retiro permitidas" que usted ha aprobado explícitamente. Una vez que la lista blanca esté habilitada, la plataforma se negará a transferir fondos a cualquier dirección que "no esté en su lista blanca", sin importar quién haya iniciado sesión.

Por qué esto es importante: incluso si un atacante se apodera completamente de su cuenta, no podrá transferir fondos a sus propias direcciones, solo a las direcciones que usted haya incluido en la lista blanca. La lista blanca de retiros es la "última línea de defensa" para la seguridad de la cuenta.

Agregar una dirección a la lista blanca generalmente requiere una confirmación retrasada (como una confirmación secundaria por correo electrónico), lo que significa que el acto de "agregar una dirección" en sí también está protegido.

Protección multicapa: agrupar varias defensas independientes juntas

El concepto central de la seguridad "multicapa" es que ninguna defensa por sí sola debería tener la posibilidad de sufrir un "fallo catastrófico". Cada capa está diseñada para bloquear diferentes tipos de ataques:

Contraseña: protege contra el acceso aleatorio no autorizado.

2FA——Evita que se filtre la contraseña.

Lista blanca de retiro: la cuenta de defensa se controla por completo.

Confirmación del buzón secundario para operaciones confidenciales: evita que las sesiones sean secuestradas.

Código antiphishing (si lo proporciona la plataforma): le ayuda a verificar si los correos electrónicos que "dicen ser oficiales" realmente provienen de la plataforma.

No tienes que elegir entre ellos; debes habilitarlos todos. El objetivo es hacer que cualquier vector de ataque sea "seguro de caer", porque la siguiente capa lo atrapará.

5. Panorama general: cómo trabajan juntas las dos partes

Juntando todo, el modelo general se ve así:

La plataforma defiende contra riesgos sistémicos: soporte de reserva 1:1, aislamiento de fondos de usuarios y fondos operativos, la mayoría de ellos almacenados fuera de línea y verificables en cadena.

Usted se defiende contra los riesgos a nivel de cuenta: protege las credenciales de inicio de sesión, controla dónde van los retiros y superpone múltiples verificaciones en operaciones confidenciales.

Ningún bando está completo por sí solo. La arquitectura de alojamiento más sólida del mundo no puede salvar a los usuarios cuyas credenciales han sido robadas; Las configuraciones de seguridad personal más estrictas no pueden salvar una plataforma con una gestión de reservas inadecuada. Las dos capas están en su lugar y trabajando juntas: así es como realmente se ve la "seguridad de los fondos".

6. Tu lista de verificación práctica

Lista de verificación breve y sencilla: realice la mayoría de estas acciones una vez y luego olvídese de ellas:

Si aún no has abierto uno 2FA, hazlo hoy. Utilice la aplicación de autenticación, no los SMS.

Configure una lista blanca de retiros y agregue las direcciones que realmente utilizará. Después de eso, solo toma unos minutos agregar una nueva dirección, y los retiros fraudulentos que puede evitar valen mucho más que esos minutos.

Verifique completamente sus reservas al menos una vez (siga los pasos de la Sección 1), para que "lo haya hecho una vez y sepa cómo hacerlo". Repítelo de vez en cuando después para tener un poco de tranquilidad.

La confirmación por correo electrónico para operaciones confidenciales debe completarse con cuidado; no desactive el mensaje solo para ahorrar 5 segundos.

Utilice una contraseña única y segura para esta cuenta, que no se comparta con ningún otro sitio web.

La mayoría de los activos se almacenan en billeteras frías fuera de línea, y solo aquellos necesarios para las operaciones diarias permanecen en billeteras activas. La billetera fría utiliza un mecanismo de firmas múltiples y cada transferencia requiere la autorización de varias partes.

MC Markets nunca enviará mensajes privados solicitando transferencias, contraseñas, claves privadas, frases mnemotécnicas o códigos de verificación 2FA, ni solicitará transferir fondos a una "dirección segura". Toda la información oficial se publica únicamente a través de canales oficiales. Ignore y denuncie los mensajes privados sospechosos.

7. Revisión rápida

Los cuatro puntos más importantes para recordar de esta guía:

La prueba de reserva (PoR) utiliza la tecnología de árbol Merkle y se implementa en Arbitrum. El índice de reserva se mantiene al 100% o más; puede verificar su propio saldo de forma independiente usando Arbiscan.

Monedero frío + firma múltiple: la mayoría de los fondos de los usuarios se almacenan fuera de línea y cualquier transferencia requiere la aprobación de varias partes; ninguna clave única puede usar los fondos de los usuarios.

La plataforma se basa en una infraestructura pública auditada de forma independiente: Arbitrum, Chainlink, Pyth. Los activos de los usuarios y los fondos operativos se almacenan en direcciones en cadena diferentes y verificables.

La seguridad a nivel de cuenta es su responsabilidad: abra 2FA, configure una lista blanca y trate la confirmación por correo electrónico para operaciones confidenciales como "funciones" en lugar de "acoso". La seguridad multicapa sólo funciona realmente cuando cada capa está activada.

Advertencia de riesgo

La arquitectura de seguridad de los fondos y el mecanismo de verificación descritos en esta guía reflejan la implementación actual de la plataforma y pueden actualizarse en el futuro; Consulte siempre la información más reciente publicada en la página oficial de "Seguridad y Auditoría". Si bien la plataforma implementa protecciones de verificación y alojamiento estándar de la industria, ningún sistema de seguridad es absoluto. La seguridad a nivel de cuenta depende en última instancia de sus propias credenciales y configuración. Opere únicamente con fondos que pueda permitirse perder.