Bảo mật quỹ: xác minh nhiều lớp, đưa vào danh sách trắng và 2FA

Tiền của tôi có an toàn không? Chứng chỉ dự trữ được triển khai trên dữ liệu dự trữ chuỗi công khai Arbitrum, MC Markets và tỷ lệ dự trữ luôn duy trì trên 100%, đảm bảo tài sản của người dùng được bảo hiểm đầy đủ. Tài sản của người dùng và quỹ vận hành nền tảng được lưu trữ hoàn toàn độc lập.

giới thiệu

Có hai mặt của vấn đề bảo mật tài chính trên nền tảng giao dịch—và đại đa số người dùng chỉ nghĩ về một trong số đó. Một mặt, đó là những gì nền tảng mang lại cho bạn - cô lập tài sản của người dùng, lưu trữ hầu hết tiền ngoại tuyến và xuất bản chứng chỉ dự trữ trên chuỗi để bất kỳ ai cũng có thể xác minh. Mặt còn lại là những thứ bạn kiểm soát - bật xác minh hai bước, đặt danh sách trắng cho các địa chỉ rút tiền, thêm một lớp xác minh khác lên trên xác minh hiện có.

An ninh thực sự đòi hỏi cả hai bên phải được thực hiện cùng một lúc. Hướng dẫn này sẽ chia nhỏ từng bước: lớp bảo vệ nào mà nền tảng đã xây dựng cho bạn, lớp bảo vệ nào bạn nên tự xây dựng và cách hai lớp hoạt động cùng nhau - để việc mất bất kỳ liên kết đơn lẻ nào (cho dù trên nền tảng hay về phía bạn) sẽ không khiến tài sản của bạn gặp rủi ro.

1. Lớp nền tảng: Bằng chứng dự trữ (PoR)

Bằng chứng dự trữ (PoR) là cam kết bên ngoài của nền tảng: mọi khoản tiền gửi của người dùng được hỗ trợ bởi tài sản thực 1:1 trên chuỗi – và bất kỳ ai cũng có thể xác minh nó một cách độc lập. Việc triển khai kỹ thuật sử dụng Merkle Tree và được triển khai trên mạng Arbitrum.

Trang PoR (có thể truy cập từ thanh điều hướng trên cùng) hiển thị hai số liệu chính:

Tổng dự trữ – Tài sản thực sự được nắm giữ bởi nền tảng.

Tài sản của người dùng - Tổng số tài sản mà người dùng được hưởng.

Tỷ lệ dự trữ luôn được duy trì ở mức hoặc trên 100% và ảnh chụp nhanh được cập nhật thường xuyên. Miễn là "tổng dự trữ ≥ tài sản của người dùng" luôn được thiết lập, nền tảng có khả năng đáp ứng mọi yêu cầu rút tiền bất kỳ lúc nào.

Thuộc tính quan trọng nhất của thiết kế này là: bạn không cần phải "tin vào lời hứa của nền tảng" - bạn có thể tự mình xác minh điều đó.

Cách xác minh số dư của chính bạn

Sau khi đăng nhập, hãy truy cập trang "Bằng chứng dự trữ".

Nhập địa chỉ ví của bạn - kiểm tra xem dữ liệu trên chuỗi có phù hợp với số dư nền tảng của bạn hay không.

Nếu bạn đăng ký qua email hoặc Google, địa chỉ mà nền tảng chỉ định cho bạn sẽ được liệt kê trên trang "Gửi tiền".

Địa chỉ hợp đồng cốt lõi được công bố trực tiếp trên trang PoR. Sao chép nó vào Arbiscan để xác minh trên chuỗi.

Nếu số dư bạn thấy khớp với bản ghi trên chuỗi - bạn có xác nhận độc lập rằng tài sản của bạn là có thật. Không có "tin tôi" - chỉ có dữ liệu công khai, có thể kiểm tra được.

2. Lớp nền tảng: ví lạnh + đa chữ ký

Có một lớp bảo vệ thứ hai ngoài PoR – chính xác là cách các quỹ dự trữ này được giữ.

Nền tảng thực hiện cách ly nghiêm ngặt ví nóng và ví lạnh:

Hầu hết tài sản của người dùng được lưu trữ trong ví lạnh ngoại tuyến (tuân theo trang bảo mật chính thức) - cách ly về mặt vật lý với mọi hệ thống nối mạng và miễn nhiễm với các cuộc tấn công từ xa.

Chỉ số tiền tối thiểu cần thiết cho hoạt động hàng ngày mới được giữ lại trong ví nóng (chẳng hạn như xử lý các yêu cầu rút tiền đang chờ xử lý).

Trên cơ sở phân tách nóng và lạnh, ví lạnh cũng sử dụng ủy quyền đa chữ ký: bất kỳ việc chuyển tiền nào cũng cần có sự chấp thuận của nhiều bên được ủy quyền. Không có "khóa duy nhất", "người chịu trách nhiệm duy nhất", "thông tin xác thực bị xâm phạm duy nhất" có thể sử dụng số tiền lớn của người dùng.

Kiến trúc này là một thiết kế tiêu chuẩn được những người giám sát cấp tổ chức và các sàn giao dịch hàng đầu trong ngành áp dụng - lý do cho điều này là do các trường hợp thất bại lớn trong lịch sử của ngành này hầu hết đều liên quan đến "một điểm lỗi duy nhất ở phía lưu ký".

3. Lớp nền tảng: cơ sở hạ tầng dựa trên kiểm toán độc lập

Nền tảng này không được xây dựng trên các hệ thống nội bộ không rõ ràng của riêng nó – nó được xây dựng trên giao thức blockchain công khai đã được kiểm toán độc lập:

Arbitrum - Mạng Layer 2 nơi lưu trữ các khoản dự trữ và hợp đồng, đồng thời mọi giao dịch đều được ghi lại công khai trên chuỗi.

Chainlink - Cung cấp lời tiên tri về giá phi tập trung để tránh rủi ro bị thao túng từ một nguồn duy nhất.

Pyth - Nguồn dữ liệu giá tần số cao được tối ưu hóa cho các kịch bản phái sinh.

Hai điểm chính đáng biết:

Tài sản của người dùng và quỹ hoạt động được lưu trữ ở các địa chỉ trên chuỗi khác nhau - cả hai đều có thể được xác minh độc lập thông qua bằng chứng dự trữ.

Tiền có thể được rút bất cứ lúc nào - hãy làm theo các thủ tục tiêu chuẩn và bạn không bị "nhốt" bị giam giữ. Trạng thái dự trữ có thể được xác minh độc lập bằng cách sử dụng dữ liệu công khai trên chuỗi.

Cơ sở hạ tầng blockchain đã được kiểm toán + địa chỉ trên chuỗi riêng biệt + rút tiền theo yêu cầu + có thể xác minh công khai - đây là điểm khác biệt cơ bản giữa nền tảng minh bạch và nền tảng "chỉ có thể lắng nghe câu chuyện từ phía họ".

4. Lớp người dùng: xác thực nhiều lớp

Cơ chế bảo vệ của nền tảng chỉ có hiệu quả khi có cấu hình bảo mật ở cấp tài khoản của bạn. Cho dù kiến ​​trúc lưu trữ có vững chắc đến đâu thì nó cũng không thể cứu được người dùng có thông tin đăng nhập bị lừa đảo. Đó là lý do tại sao các lớp người dùng – 2FA, danh sách trắng rút tiền và mô hình xác thực nhiều lớp rộng hơn – cũng rất cần thiết.

Xác minh lần thứ hai (2FA)

2FA yêu cầu bạn cung cấp "bằng chứng nhận dạng thứ hai ngoài mật khẩu của bạn" - thường là mã xác minh một lần, theo thời gian được tạo bởi ứng dụng xác thực (Google Authenticator, Authy, v.v.). Ngay cả khi kẻ tấn công lấy được mật khẩu của bạn do lừa đảo, phần mềm độc hại hoặc vi phạm dữ liệu của bên thứ ba, họ sẽ không thể đăng nhập nếu không có thiết bị vật lý trong tay bạn.

Mở 2FA ngay khi bạn đăng ký tài khoản - hành động duy nhất này có thể loại bỏ khả năng hầu hết các tài khoản bị hack.

Danh sách trắng rút tiền

Danh sách trắng rút tiền là danh sách "địa chỉ rút tiền được phép" mà bạn đã phê duyệt rõ ràng. Khi danh sách trắng được bật, nền tảng sẽ từ chối chuyển tiền đến bất kỳ địa chỉ nào "không có trong danh sách trắng của bạn" - bất kể ai đã đăng nhập.

Tại sao điều này lại quan trọng: Ngay cả khi kẻ tấn công chiếm hoàn toàn tài khoản của bạn, họ sẽ không thể chuyển tiền đến địa chỉ của chính họ—chỉ đến các địa chỉ bạn đã đưa vào danh sách cho phép. Danh sách trắng rút tiền là “tuyến phòng thủ cuối cùng” để bảo mật tài khoản.

Việc thêm địa chỉ trong danh sách trắng thường yêu cầu xác nhận chậm trễ (chẳng hạn như xác nhận phụ qua email) - có nghĩa là bản thân hành động "thêm địa chỉ" cũng được bảo vệ.

Bảo vệ nhiều lớp: xếp chồng nhiều lớp phòng thủ độc lập lại với nhau

Khái niệm cốt lõi của bảo mật "nhiều lớp" là không một biện pháp phòng thủ đơn lẻ nào có khả năng xảy ra "thất bại thảm khốc". Mỗi lớp được thiết kế để chặn các kiểu tấn công khác nhau:

Mật khẩu - bảo vệ chống truy cập ngẫu nhiên trái phép.

2FA——Ngăn chặn mật khẩu bị rò rỉ.

Danh sách trắng rút tiền – tài khoản phòng thủ hoàn toàn bị chiếm giữ.

Xác nhận hộp thư phụ cho các hoạt động nhạy cảm - ngăn phiên bị tấn công.

Mã chống lừa đảo (nếu được nền tảng cung cấp) - giúp bạn xác minh xem các email "tự nhận là chính thức" có thực sự đến từ nền tảng hay không.

Bạn không cần phải chọn giữa chúng - bạn nên kích hoạt tất cả chúng. Mục tiêu là làm cho bất kỳ vectơ tấn công đơn lẻ nào cũng "rơi an toàn" - bởi vì lớp tiếp theo sẽ bắt được nó.

5. Bức tranh tổng thể: hai bên hợp tác với nhau như thế nào

Đặt mọi thứ lại với nhau, mô hình tổng thể trông như thế này:

Nền tảng này bảo vệ khỏi các rủi ro hệ thống - hỗ trợ dự trữ 1:1, cách ly tiền của người dùng và quỹ hoạt động, hầu hết chúng được lưu trữ ngoại tuyến và có thể xác minh được trên chuỗi.

Bạn bảo vệ khỏi các rủi ro cấp tài khoản—bảo vệ thông tin xác thực đăng nhập, kiểm soát nơi rút tiền và áp dụng nhiều xác minh đối với các hoạt động nhạy cảm.

Không có bên nào tự mình hoàn thiện. Kiến trúc lưu trữ vững chắc nhất thế giới không thể cứu được người dùng có thông tin xác thực đã bị đánh cắp; các cấu hình bảo mật cá nhân nghiêm ngặt nhất không thể lưu một nền tảng có quản lý dự trữ không phù hợp. Hai lớp được đặt đúng chỗ và hoạt động cùng nhau - đây thực sự là "bảo đảm quỹ".

6. Danh sách kiểm tra thực tế của bạn

Danh sách kiểm tra ngắn gọn và dễ hiểu - thực hiện hầu hết các hành động này một lần và sau đó quên chúng đi:

Nếu bạn chưa mở 2FA, hãy mở ngay hôm nay. Sử dụng ứng dụng xác thực, không phải SMS.

Thiết lập danh sách trắng rút tiền và thêm địa chỉ bạn sẽ thực sự sử dụng. Sau đó, chỉ mất vài phút để thêm địa chỉ mới - và việc rút tiền gian lận mà địa chỉ này có thể ngăn chặn có giá trị cao hơn nhiều so với số phút đó.

Xác minh đầy đủ khoản dự trữ của bạn ít nhất một lần (làm theo các bước ở Phần 1) - để bạn "đã làm một lần và biết cách thực hiện." Thỉnh thoảng lặp lại nó sau đó để giúp bạn yên tâm hơn.

Việc xác nhận email cho các hoạt động nhạy cảm phải được hoàn thành cẩn thận - đừng tắt lời nhắc chỉ để tiết kiệm 5 giây.

Sử dụng mật khẩu mạnh, duy nhất cho tài khoản này - không được chia sẻ với bất kỳ trang web nào khác.

Hầu hết tài sản được lưu trữ trong ví lạnh ngoại tuyến và chỉ những tài sản cần thiết cho hoạt động hàng ngày mới được lưu trữ trong ví nóng. Ví lạnh sử dụng cơ chế đa chữ ký và mỗi lần chuyển tiền đều cần có sự cho phép từ nhiều bên.

MC Markets sẽ không bao giờ gửi tin nhắn riêng tư yêu cầu chuyển tiền, mật khẩu, khóa riêng tư, cụm từ ghi nhớ hoặc mã xác minh 2FA, họ cũng sẽ không yêu cầu chuyển tiền đến "địa chỉ an toàn". Tất cả thông tin chính thức chỉ được phát hành thông qua các kênh chính thức. Vui lòng bỏ qua và báo cáo các tin nhắn riêng tư đáng ngờ.

7. Xem xét nhanh

Bốn điểm quan trọng nhất cần nhớ từ hướng dẫn này:

Bằng chứng dự trữ (PoR) sử dụng công nghệ cây Merkle và được triển khai trên Arbitrum. Tỷ lệ dự trữ được duy trì ở mức 100% trở lên - bạn có thể xác minh số dư của mình một cách độc lập bằng cách sử dụng Arbiscan.

Ví lạnh + đa chữ ký - hầu hết tiền của người dùng được lưu trữ ngoại tuyến và mọi giao dịch chuyển tiền đều cần có sự chấp thuận của nhiều bên - không một khóa nào có thể sử dụng tiền của người dùng.

Nền tảng này được xây dựng trên cơ sở hạ tầng công cộng được kiểm toán độc lập - Arbitrum, Chainlink, Pyth. Tài sản của người dùng và quỹ hoạt động được lưu trữ ở các địa chỉ trên chuỗi khác nhau, có thể xác minh được.

Bảo mật ở cấp tài khoản là trách nhiệm của bạn - mở 2FA, thiết lập danh sách trắng và coi xác nhận email cho các hoạt động nhạy cảm là "chức năng" chứ không phải "quấy rối". Bảo mật nhiều lớp chỉ thực sự phát huy tác dụng khi mỗi lớp được bật lên.

Cảnh báo rủi ro

Cơ chế xác minh và kiến ​​trúc bảo mật quỹ được mô tả trong hướng dẫn này phản ánh việc triển khai nền tảng hiện tại và có thể được cập nhật trong tương lai; vui lòng luôn tham khảo thông tin mới nhất được công bố trên trang "Bảo mật và Kiểm toán" chính thức. Mặc dù nền tảng này triển khai các biện pháp bảo vệ xác minh và lưu trữ theo tiêu chuẩn ngành nhưng không có hệ thống bảo mật nào là tuyệt đối. Bảo mật ở cấp tài khoản cuối cùng phụ thuộc vào thông tin xác thực và cấu hình của riêng bạn. Vui lòng chỉ giao dịch với số tiền mà bạn có thể đủ khả năng để mất.