اثر ریپل: چگونه یک لینک ضعیف میتواند ثروت رمزارزی شما را غرق کند
اینجا در Exbix، امنیت تنها یک ویژگی نیست؛ بلکه پایه و اساس تمام کارهایی است که انجام میدهیم. شما وبلاگهای ما را در مورد ذخیرهسازی سرد، احراز هویت دو مرحلهای و کلاهبرداریهای فیشینگ دیدهاید. تیم هکرهای کلاه سفید ما به صورت شبانهروزی کار میکند، سیستمهای ما را تحت فشار قرار میدهد و دژهای دیجیتالی میسازد تا بیتکوین، اتریوم و سایر داراییهای دیجیتال شما را ایمن نگه دارد. ما با آرامش میخوابیم زیرا میدانیم که ارتباط مستقیم ما با شما... دفاعها یکی از قویترینها در صنعت هستند.
اما اگر به شما بگویم که بزرگترین تهدید برای کریپتو شما ممکن است اصلاً حملهای مستقیم به Exbix نباشد، چه میکنید؟
تصور کنید که سنگی به درون برکهای ساکن انداخته میشود. تأثیر آن محلی است، اما امواج به سمت بیرون حرکت میکنند و کل سطح را تحت تأثیر قرار میدهند. در دنیای دیجیتال فوقمتصل ما، ریسک سایبری به همین شکل عمل میکند. حملهای به یک یک شرکت واحد، که به نظر میرسد ارتباطی با هم ندارند—یک ارائهدهنده نرمافزار، یک آژانس بازاریابی، حتی یک پیمانکار HVAC—میتواند امواج شوک را در کل اکوسیستم ایجاد کند و به کیف پول تبادل شما برسد.
این واقعیت ریسک سایبری زنجیره تأمین و شخص ثالث است. این معادل دیجیتال داشتن یک درب پشتی بدون محافظت است، زیرا به صاحبخانه کناری اعتماد کردهاید که یک قفل خوب. برای یک صرافی ارز دیجیتال، جایی که اعتماد تنها ارز واقعی است، درک این اثر موجی اختیاری نیست—بلکه برای بقا ضروری است.
فراتر از دیوارهای ما: دقیقاً درباره چه چیزی صحبت میکنیم؟
بیایید اصطلاحات را ساده کنیم.
- ریسک شخص ثالث: این است ریسکهایی که به سازمان ما (Exbix) از سوی هر نهاد خارجی که به دادهها، سیستمها یا فرآیندهای ما دسترسی دارد، وارد میشود. به برنامههایی فکر کنید که از طریق API به حساب Exbix خود متصل میکنید، شرکتهای تحلیلی که برای پیگیری عملکرد وبسایت استفاده میکنیم، یا نرمافزار پشتیبانی مشتری که به کار میگیریم.
- ریسک سایبری زنجیره تأمین: این نوع خاصی از ریسک است که معمولاً تأثیر بیشتری دارد و میتواند ویرانگرتر باشد. ریسک شخص ثالث. این شامل حمله به یک تأمینکننده است که سپس به عنوان یک پل برای نفوذ به مشتریان آنها استفاده میشود—ما. حمله معروف SolarWinds یک مثال کلاسیک است، جایی که کد مخرب در یک بهروزرسانی نرمافزاری تزریق شد و سپس به هزاران شرکت، از جمله نهادهای دولتی، توزیع شد.
برای Exbix، تأمین زنجیره” به ابزارهای فیزیکی مربوط نمیشود؛ بلکه به ابزارها و خدمات دیجیتالی اشاره دارد که تبادل ما را به حرکت در میآورد. این شامل:
- ارائهدهندگان کیف پول و نگهداری: خدماتی که ممکن است برای افزایش نقدینگی یا امنیت با آنها ادغام شویم.
- خدمات تأیید هویت KYC/AML: شرکتهای خارجی که به ما کمک میکنند ما هویتها را تأیید میکنیم و از رعایت مقررات اطمینان حاصل میکنیم. یک نقض در اینجا یک فاجعه حریم خصوصی است.
- ارائهدهندگان زیرساخت ابری (AWS، Google Cloud و غیره): ما بر اساس زیرساخت آنها بنا میکنیم. امنیت آنها بهطور ذاتی امنیت ماست.
- فروشندگان نرمافزار: از نرمافزار مدیریت ارتباط با مشتری (CRM) ما تا ابزارهای ارتباط داخلی ما مانند Slack یا Microsoft Teams.
- پلتفرمهای بازاریابی و تحلیل: کدی که بر روی وبسایت ما برای ردیابی رفتار کاربران اجرا میشود.
یک آسیبپذیری در هر یک از این لینکها میتواند به آسیبپذیری ما تبدیل شود.
چرا صرافیهای رمزارز هدفهای اصلی در زنجیره تأمین هستند
ما فقط یک وبسایت دیگر نیستیم. ما یک هدف با ارزش بالا هستیم و حملهکنندگان به طور فزایندهای واقعگرا هستند. چرا انرژی خود را برای شکستن درب جلویی ما هدر دهند در حالی که میتوانند از طریق یک پنجره بهخوبی محافظت نشده در دفتر یک فروشنده وارد شوند؟
- جایزه واضح: داراییهای دیجیتال. انگیزه مالی مستقیم برای دزدیدن ارزهای دیجیتال بینظیر است. این بدون مرز، مستعار و میتواند در عرض چند دقیقه به طور غیرقابل برگشتی منتقل شود.
- گنجینهای از دادهها. حتی اگر نتوانند به طور مستقیم به کیفپولهای داغ دسترسی پیدا کنند، دادههای شما بسیار ارزشمند هستند. دادههای شناسایی مشتری (KYC) — گذرنامهها، گواهینامههای رانندگی، سلفیها — یک معدن طلا در وب تاریک هستند. این اطلاعات میتواند برای سرقت هویت، هدفگیری فیشینگ، یا حتی اخاذی.
- قدرت اختلال. برخی از مهاجمان به دنبال پول نیستند بلکه به دنبال هرج و مرج هستند. اختلال در یک صرافی بزرگ از طریق حمله به زنجیره تأمین میتواند نوسانات شدید بازار را ایجاد کند، اعتماد به کل فضای کریپتو را کاهش دهد و برای دستکاری بازار استفاده شود.
ارواح نقضهای گذشته: درسهایی از خط مقدم
ما نیازی به تصور این موضوع نداریم؛ این اتفاق قبلاً افتاده است.
- نقص امنیتی CodeCov (2021): مهاجمان یک اسکریپت مورد استفاده توسط CodeCov، ابزاری برای بررسی پوشش کد که توسط هزاران توسعهدهنده نرمافزار، از جمله برخی در حوزه کریپتو، استفاده میشود، را مورد حمله قرار دادند. این اسکریپت مخرب به آنها اجازه داد تا اعتبارنامهها را سرقت کنند. و کلیدهای API از محیطهای توسعه. تصور کنید اگر آن کلیدها دسترسی به یک محیط آزمایشی برای یک ویژگی جدید تجارت را فراهم میکردند. مهاجم میتوانست یک در پشتی را قبل از اینکه حتی مستقر شود، پیدا کند.
- حمله باجافزاری Kaseya VSA (2021): اگرچه خاص ارزهای دیجیتال نیست، اما این یک کلاس آموزشی در مورد اثرات موجی است. با نفوذ به یک ارائهدهنده نرمافزار واحد برای مدیریت ارائهدهندگان خدمات (MSPs)، مهاجمان با استفاده از باجافزار به هزاران کسبوکار پاییندست حمله کردند. اگر یک MSP مدیریت IT یک صرافی رمزارز را بر عهده داشته باشد، ممکن است تمام سیستمهای داخلی آن صرافی رمزگذاری شده و برای باج نگهداری شوند.
اینها نظری نیستند. اینها طرحهایی هستند برای اینکه چگونه Exbix میتواند بهطور غیرمستقیم مورد حمله قرار گیرد.
Exbix سپر: چگونه کل زنجیره را تقویت میکنیم
دانستن ریسک تنها نیمی از نبرد است. نیمه دیگر ایجاد یک فرهنگ تابآوری هوشیارانه است. در Exbix، رویکرد ما چند لایه و مداوم است.
1. فرآیند سختگیرانه ورود فروشندگان و بررسی دقیق:
قبل از امضای قرارداد با هر شخص ثالث، آنها تحت ارزیابی امنیتی قرار میگیرند که بیشتر افراد را تحت تأثیر قرار میدهد.
حسابرسان شرمنده میشوند. ما فقط به گفتههای آنها اعتماد نمیکنیم؛ بلکه شواهدی را درخواست میکنیم. این شامل:
- پرسشنامههای امنیتی: سوالات دقیق درباره شیوههای امنیتی، سیاستها و تاریخچه پاسخ به حوادث آنها.
- بررسی گواهینامهها: ما گواهینامههایی مانند SOC 2 Type II، ISO 27001 یا سایر موارد مرتبط را الزامی میدانیم. خدمات آنها.
- بررسیهای تست نفوذ: ما نتایج آخرین تستهای نفوذ مستقل آنها را بررسی میکنیم.
2. اصل حداقل دسترسی:
این شعار ماست. هیچ شخص ثالثی بیشتر از آنچه که برای انجام وظیفه خاص خود نیاز دارد، دسترسی نمیگیرد. یک ابزار تحلیل بازاریابی نیاز به دسترسی نوشتن ندارد
به پایگاههای داده ما. یک نماینده پشتیبانی نیاز ندارد که موجودی کامل کیف پول شما را ببیند. ما این موضوع را از طریق سیاستهای سختگیرانه مدیریت هویت و دسترسی (IAM) اجرا میکنیم.
۳. نظارت مداوم، نه بررسیهای یکباره:
امنیت یک چکباکس نیست. یک فروشنده که سال گذشته امن بود ممکن است امروز اینگونه نباشد. ما به طور مداوم وضعیت امنیتی فروشندگان خود را زیر نظر داریم.
ما به فیدهای اطلاعات تهدید مشترک هستیم که ما را از آسیبپذیریهای جدید در نرمافزاری که استفاده میکنیم مطلع میکنند. ما بهطور منظم تأمینکنندگان حیاتی خود را دوباره بررسی میکنیم تا اطمینان حاصل کنیم که استانداردهای آنها کاهش نیافته است.
4. معماری صفر-اعتماد:
ما بر این فرض عمل میکنیم که نفوذ اجتنابناپذیر است. بنابراین، ما بهطور پیشفرض به هیچ نهادی—داخلی یا خارجی—اعتماد نمیکنیم.
هر درخواست دسترسی بررسی میشود، هر تراکنش تأیید میشود و هر دستگاه مورد بررسی قرار میگیرد. این معماری شامل "موج" است و از گسترش آن در سراسر سیستم ما در صورت آسیبپذیری یک تأمینکننده جلوگیری میکند.
5. برنامهریزی پاسخ به حوادث با تأمینکنندگان ما:
برنامه پاسخ به حوادث ما در مرز دیجیتال ما پایان نمییابد. ما داریم
پروتکلهای واضحی با فروشندگان کلیدی خود داریم. اگر این پروتکلها نقض شوند، دقیقاً میدانیم که باید با چه کسی تماس بگیریم، چه سوالاتی بپرسیم و چه اقدامات فوری برای قطع ارتباطات و حفاظت از دادههای شما انجام دهیم. ما این سناریوها را به طور منظم تمرین میکنیم.
نقش شما در زنجیره: مسئولیتی مشترک
امنیت یک همکاری است. در حالی که ما برای تأمین امنیت کل اکوسیستم خود تلاش میکنیم، شما همچنین یک لینک حیاتی در این زنجیره هستند. در اینجا چگونگی کمک شما آمده است:
- به کلیدهای API توجه کنید: زمانی که یک اپلیکیشن شخص ثالث (مانند یک ردیاب پرتفوی) را از طریق یک کلید API به حساب Exbix خود متصل میکنید، یک ریسک جدید شخص ثالث برای خود ایجاد میکنید. فقط به اپلیکیشنهایی که به آنها کاملاً اعتماد دارید، دسترسی بدهید و بهطور منظم مجوزها را بررسی و لغو کنید. برای برنامههایی که دیگر از آنها استفاده نمیکنید.
- از فیشینگ بپرهیزید… حتی از منابع “معتبر”: هک شدن لیست ایمیل یک تأمینکننده یک نقطه ورود رایج است. ممکن است یک ایمیل فیشینگ بهخوبی طراحیشده دریافت کنید که به نظر میرسد از یک شرکت معتبر که ما از آن استفاده میکنیم، آمده است. همیشه مشکوک باشید. هرگز روی لینکهای موجود در ایمیلهایی که درخواست اطلاعات ورود میکنند، کلیک نکنید. همیشه به سایت به طور مستقیم.
- از رمزهای عبور منحصر به فرد و قوی استفاده کنید: اگر یک رمز عبور را در چندین سایت تکرار کنید و یکی از آن سایتها (سوم شخص برای شما) هک شود، مهاجمان میتوانند از آن رمز عبور برای دسترسی به حساب تبادل شما استفاده کنند. یک مدیر رمز عبور بهترین دفاع شما در اینجا است.
- احراز هویت دو مرحلهای را در همه جا فعال کنید: نه تنها در حساب Exbix خود، بلکه در هر خدمات متصل به آن، به ویژه ایمیل شما. این مؤثرترین راه برای جلوگیری از تصرف حسابها است.
ایجاد موجی از اعتماد، نه ریسک
جهان ارزهای دیجیتال بر پایهای از غیرمتمرکز بودن و ارتباط متقابل ساخته شده است. این نقطه قوت آن است، اما همچنین میتواند نقطه ضعف بالقوهاش باشد. در Exbix، ما به شدت آگاهیم که امنیت ما تنها به اندازه ضعیفترین حلقه در زنجیره تأمین دیجیتال ما قوی است.
ما متعهد به ساخت دیوارهای نفوذناپذیر نیستیم بلکه همچنین به نقشهبرداری، نظارت و تقویت هر ارتباطی که به اکوسیستم ما مربوط میشود، میپردازیم. ما در این امر سرمایهگذاری میکنیم زیرا اعتماد شما و داراییهایتان تنها معیارهایی در یک داشبورد نیستند؛ بلکه دلیل وجود ما هستند.
اثر موجی یک نیروی قدرتمند است. مأموریت ما این است که اطمینان حاصل کنیم تنها موجهایی که ایجاد میکنیم، موجهای نوآوری، امنیت و اعتماد بیوقفه هستند.
تیم اکسبیکس
امن بمانید. مطلع بمانید.
