リップル効果：ひとつの弱いリンクがあなたの暗号資産を沈める可能性
Exbixでは、セキュリティは単なる機能ではなく、私たちのすべての基盤です。コールドストレージ、二要素認証、フィッシング詐欺に関するブログをご覧になったことでしょう。私たちのホワイトハットハッカーのチームは、24時間体制でシステムのストレステストを行い、ビットコイン、イーサリアム、その他のデジタル資産を安全に保つためのデジタル要塞を構築しています。私たちは、あなたの資産を守るために直接取り組んでいることを知って、安心して眠ることができます。 防御は業界で最も強力なものの一つです。
しかし、もしあなたに、あなたの暗号資産に対する最も重要な脅威はExbixへの直接的な攻撃ではないかもしれないと言ったらどう思いますか？
静かな池に石が落ちる様子を想像してみてください。衝撃は局所的ですが、波紋は外に広がり、全体に影響を与えます。私たちの超接続されたデジタル世界では、サイバーリスクも同じように機能します。攻撃が行われると、 単一の、一見無関係な企業—ソフトウェアプロバイダー、マーケティングエージェンシー、さらにはHVAC請負業者—が、エコシステム全体に衝撃波を送ることがあり、あなたの取引所ウォレットにまで影響を及ぼす可能性があります。
これが、サードパーティおよびサプライチェーンのサイバーリスクの現実です。これは、隣の家主を信頼して無防備な裏口を持つことのデジタル版です。 良いロック。信頼が唯一の真の通貨である暗号通貨取引所において、この波及効果を理解することはオプションではなく、生存にとって不可欠です。
私たちの壁を越えて: 具体的に何を話しているのでしょうか？
専門用語を分解してみましょう。
- 第三者リスク: これは 当社（Exbix）に対して、データ、システム、またはプロセスにアクセスできる外部のエンティティがもたらすリスクを考えてみてください。APIを介してExbixアカウントに接続するアプリ、ウェブサイトのパフォーマンスを追跡するために使用する分析会社、または利用しているカスタマーサポートソフトウェアを思い浮かべてください。
- サプライチェーンサイバーリスク： これは特定の、しばしばより壊滅的なタイプの サードパーティリスクとは、サプライヤーへの攻撃が行われ、その後に 彼らの 顧客—私たち—を侵害するための足がかりとして利用されることを指します。悪名高いSolarWinds攻撃はその典型的な例であり、悪意のあるコードがソフトウェアのアップデートに注入され、政府機関を含む何千もの企業に配布されました。
Exbixにとって、私たちの「サプライ chain”は物理的なウィジェットについてではなく、私たちの取引を円滑にするデジタルツールやサービスについてです。これには以下が含まれます：
- ウォレットおよびカストディプロバイダー： 流動性やセキュリティを向上させるために統合する可能性のあるサービス。
- KYC/AML検証サービス： 外部の企業が助けてくれるサービスです。 私たちは、アイデンティティを確認し、規制遵守を確保します。ここでの違反は、プライバシーの大惨事です。
- クラウドインフラストラクチャプロバイダー（AWS、Google Cloudなど）： 私たちは彼らの基盤の上に構築します。彼らのセキュリティは、私たちのセキュリティでもあります。
- ソフトウェアベンダー： 顧客関係管理（CRM）ソフトウェアから社内コミュニケーションツールまで SlackやMicrosoft Teamsのような。
- マーケティングおよび分析プラットフォーム: ユーザーの行動を追跡するために当社のウェブサイトで動作しているコード。
これらのリンクのいずれかに脆弱性があれば、それは私たちの脆弱性になります。
なぜ暗号交換所がサプライチェーンの主要な標的なのか
私たちは単なるウェブサイトではありません。 私たちは高価値のターゲットであり、攻撃者はますます現実的になっています。ベンダーのオフィスの手薄な窓から忍び込むことができるのに、なぜ正面のドアを壊そうとエネルギーを浪費するのでしょうか？
- 明らかな獲物：デジタル資産。 暗号通貨を盗む直接的な金銭的インセンティブは比類がありません。 境界のない、仮名の、そして数分で不可逆的に移転可能です。
- データの宝の山。 ホットウォレットに直接アクセスできなくても、あなたのデータは非常に価値があります。顧客確認（KYC）データ—パスポート、運転免許証、自撮り—はダークウェブ上の金鉱です。この情報は、身分盗用やターゲットを絞った フィッシングや、さらには恐喝。
- 混乱の力。 一部の攻撃者は金銭目的ではなく、混乱を引き起こすために行動しています。サプライチェーン攻撃を通じて主要な取引所を混乱させることは、巨額の市場変動を引き起こし、暗号市場全体への信頼を損ない、市場操作に利用される可能性があります。
過去の侵害の幽霊： 最前線からの教訓
これを想像する必要はありません。すでに起こったことです。
- CodeCovの侵害（2021年）： 攻撃者は、数千人のソフトウェア開発者が使用するコードカバレッジツールであるCodeCovによって使用されるスクリプトを侵害しました。その悪意のあるスクリプトは、彼らに認証情報を盗むことを可能にしました。 および開発環境からのAPIキー。もしそのキーが新しい取引機能のテスト環境へのアクセスを許可していたらどうなるでしょう。攻撃者は、デプロイされる前にバックドアを見つけていたかもしれません。
- Kaseya VSAランサムウェア攻撃（2021年）： 暗号に特化したものではありませんが、波及効果のマスタークラスです。管理されたソフトウェアプロバイダーの1つを侵害することによって、 サービスプロバイダー（MSP）を通じて、攻撃者は数千の下流ビジネスにランサムウェアを展開しました。もしMSPが暗号交換のITを管理していた場合、交換の内部システム全体が暗号化され、身代金を要求される可能性がありました。
これは理論上の話ではありません。これはExbixが間接的に攻撃される方法の設計図です。
Exbix シールド: 私たちが全体のチェーンを強化する方法
リスクを知ることは戦いの半分に過ぎません。もう半分は、警戒心を持ったレジリエンスの文化を築くことです。Exbixでは、私たちのアプローチは多層的で継続的です。
1. 厳格なベンダーのオンボーディングとデューデリジェンス:
私たちが第三者との契約に署名する前に、彼らはほとんどの人が驚くようなセキュリティ評価を受けます。
監査人は赤面します。私たちは彼らの言葉をそのまま受け入れることはせず、証拠を求めます。これには以下が含まれます：
- セキュリティ質問票： 彼らのセキュリティ慣行、ポリシー、およびインシデント対応履歴に関する詳細な質問。
- 認証チェック： SOC 2 Type II、ISO 27001、またはその他の関連する認証を要求します。 彼らのサービス。
- ペネトレーションテストのレビュー： 最新の独立したペネトレーションテストの結果をレビューします。
2. 最小特権の原則：
これが私たちのモットーです。第三者には、特定の機能を実行するために絶対に必要な以上のアクセス権は与えません。マーケティング分析ツールには 書き込みアクセス は必要ありません。
私たちのデータベースに。サポートエージェントは あなたの 全てのウォレット残高を見る必要はありません。私たちは、厳格なアイデンティティおよびアクセス管理（IAM）ポリシーを通じてこれを実施しています。
3. 継続的な監視、単発のチェックではない：
セキュリティはチェックボックスではありません。昨年は安全だったベンダーが、今日も安全であるとは限りません。私たちは、ベンダーのセキュリティ状況を継続的に監視しています。
私たちは、使用しているソフトウェアの新しい脆弱性を警告する脅威インテリジェンスフィードを購読しています。重要なベンダーについては定期的に再監査を行い、彼らの基準が低下していないことを確認しています。
4. ゼロトラストアーキテクチャ:
私たちは、侵害が避けられないという前提で運営しています。したがって、ネットワーク内外を問わず、デフォルトでどのエンティティも信頼しません。
すべてのアクセス要求は検証され、すべての取引は確認され、すべてのデバイスはチェックされます。このアーキテクチャは「リップル」を含み、ベンダーが侵害された場合でもそれが私たちのシステム全体に広がるのを防ぎます。
5. インシデント対応計画 私たちの ベンダーとの:
私たちのインシデント対応計画は、デジタルの境界で終わるものではありません。私たちは
主要なベンダーとの明確なプロトコルがあります。もしそれが破られた場合、誰に連絡すればよいか、何を尋ねるべきか、接続を切断しデータを保護するためにどのような即時の手順を踏むべきかを正確に把握しています。私たちはこれらのシナリオを定期的に実践しています。
チェーンにおけるあなたの役割：共有された責任
セキュリティはパートナーシップです。私たちが全体のエコシステムを守るために取り組む一方で、あなたも このチェーンにおいても重要なリンクとなります。以下の方法でお手伝いできます：
- APIキーに注意してください： サードパーティアプリ（例：ポートフォリオトラッカー）をAPIキーを通じてExbixアカウントに接続する際、新たなサードパーティリスクを自分自身に作り出しています。絶対に信頼できるアプリにのみ接続を許可し、定期的に権限を見直し、取り消してください。 使用しなくなったアプリのために。
- フィッシングに注意…「信頼できる」ソースからでも: サプライヤーのメールリストがハッキングされるのは一般的な入り口です。私たちが使用している正当な会社から来ているように見える巧妙に作られたフィッシングメールを受け取ることがあります。常に疑いを持ちましょう。認証情報を求めるメール内のリンクを絶対にクリックしないでください。常に直接アクセスしてください。 サイトに直接。
- ユニークで強力なパスワードを使用する: 複数のサイトで同じパスワードを再利用している場合、そのうちの1つのサイト（あなたにとっては第三者）が侵害されると、攻撃者はそのパスワードを使ってあなたの取引所アカウントにアクセスしようとすることができます。パスワードマネージャーはここでの最良の防御です。
- どこでも2FAを有効にする: あなたのExbixアカウントだけでなく、どのサイトでも それに関連するサービス、特にあなたのメールです。これはアカウント乗っ取りを防ぐための最も効果的な方法です。
リスクではなく信頼の波を築く
暗号通貨の世界は、分散化と相互接続性の基盤の上に築かれています。これはその強みですが、同時に潜在的なアキレス腱でもあります。Exbixでは、私たちは 私たちは、私たちのセキュリティが拡張されたデジタルサプライチェーンの中で最も弱いリンクと同じくらい強いことを鋭く認識しています。
私たちは、堅固な壁を築くだけでなく、私たちのエコシステムに関わるすべての接続をマッピングし、監視し、強化することにもコミットしています。私たちはこの投資を行っています。なぜなら、あなたの信頼と資産は単なるダッシュボード上の指標ではなく、私たちが存在する理由だからです。
リップル効果は強力な力です。私たちの使命は、私たちが生み出すリップルが革新、安全性、そして揺るぎない信頼のものであることを確実にすることです。
Exbixチーム
安全を保ち、情報を得る。
