Ripojo efekts: Kā viens vājais posms var nogremdēt tavu kriptovalūtu bagātību

Šeit, Exbix, drošība nav tikai funkcija; tā ir visu mūsu darbību pamats. Jūs esat redzējuši mūsu emuārus par auksto glabāšanu, divu faktoru autentifikāciju un krāpniecības shēmām. Mūsu baltā cepure hakeru komanda strādā visu diennakti, testējot mūsu sistēmas, veidojot digitālus cietokšņus, lai saglabātu jūsu Bitcoin, Ethereum un citus digitālos aktīvus drošībā. Mēs labi guļam, zinot, ka mūsu tiešā aizsardzība ir starp spēcīgākajām nozarē.

Bet ko, ja es jums teiktu, ka visnopietnākā draudu jūsu kriptovalūtai varētu nebūt tiešs uzbrukums Exbix?

Iedomājieties akmeni, kas nomests mierīgā dīķī. Ietekme ir lokalizēta, bet viļņi izplatās uz āru, ietekmējot visu virsmu. Mūsu hiper-savienotajā digitālajā pasaulē kiber risks darbojas tāpat. Uzbrukums uz viena, šķietami nesaistīta uzņēmuma—programmatūras nodrošinātāja, mārketinga aģentūras, pat HVAC līguma izpildītāja—var radīt viļņus visā ekosistēmā, sasniedzot pat jūsu apmaiņas maku.

Šī ir trešo pušu un piegādes ķēdes kiberrisku realitāte. Tas ir digitālais ekvivalents tam, ka jums ir neaizsargātas aizmugures durvis, jo jūs uzticējāties blakus esošajam īpašniekam, ka viņam ir labs. Kriptovalūtu biržā, kur uzticība ir vienīgā patiesā valūta, šī viļņu efekta izpratne nav opcija—tas ir būtiski izdzīvošanai.

Pāri mūsu sienām: Par ko tieši mēs runājam?

Ļaujiet mums izskaidrot terminus.

• Trešo pušu risks: Tas ir risks, kas mūsu organizācijai (Exbix) rodas no jebkuras ārējas vienības, kurai ir piekļuve mūsu datiem, sistēmām vai procesiem. Padomājiet par lietotnēm, kuras savienojat ar savu Exbix kontu, izmantojot API, analītikas uzņēmumiem, ko izmantojam, lai sekotu līdzi vietnes veiktspējai, vai klientu atbalsta programmatūru, ko izmantojam.
• Piegādes ķēdes kiber risks: Tas ir specifisks un bieži vien postošāks risks, kas trešās puses risks. Tas ietver uzbrukumu piegādātājam, kas pēc tam tiek izmantots kā solis, lai apdraudētu viņu klientus—mūs. Infamais SolarWinds uzbrukums ir klasiskā piemērs, kur ļaunprātīga kods tika ievadīts programmatūras atjauninājumā, kas pēc tam tika izplatīts tūkstošiem uzņēmumu, tostarp valdības aģentūrām.

Exbix gadījumā mūsu “piegādes ķēde" nav saistīta ar fiziskiem elementiem; tā attiecas uz digitālajiem rīkiem un pakalpojumiem, kas nodrošina mūsu apmaiņas darbību. Tas ietver:

• Maku un glabāšanas pakalpojumu sniedzēji: Pakalpojumi, ar kuriem mēs varam integrēties, lai uzlabotu likviditāti vai drošību.
• KYC/AML verifikācijas pakalpojumi: Ārējie uzņēmumi, kas palīdz mums ir jāverificē identitātes un jānodrošina atbilstība regulām. Šeit notikusi noplūde ir privātuma katastrofa.
• Mākoņu infrastruktūras pakalpojumu sniedzēji (AWS, Google Cloud utt.): Mēs balstāmies uz viņu pamatiem. Viņu drošība ir mūsu drošība.
• Programmatūras piegādātāji: No mūsu klientu attiecību pārvaldības (CRM) programmatūras līdz mūsu iekšējām komunikācijas rīkiem piemēram, Slack vai Microsoft Teams.
• Mārketinga un analītikas platformas: Kods, kas darbojas mūsu vietnē, lai izsekotu lietotāju uzvedību.

Jebkura no šīm saitēm ievainojamība var kļūt par mūsu ievainojamību.

Kāpēc kriptovalūtu biržas ir galvenie mērķi piegādes ķēdē

Mēs neesam tikai vēl viena vietne. Mēs esam augstas vērtības mērķis, un uzbrucēji kļūst arvien pragmatiskāki. Kāpēc tērēt enerģiju, mēģinot uzlauzt mūsu priekšdurvis, ja viņi var nemanāmi iekļūt caur vāji apsargātu logu piegādātāja birojā?

1. Acīmredzamā balva: Digitālie aktīvi. Tiešais finansiālais stimuls nozagt kriptovalūtu ir nepārspējams. Tas ir bezrobežu, pseidonīms un var tikt neatgriezeniski pārsūtīts minūšu laikā.
2. Datu dārgumu krātuve. Pat ja tie nevar tieši piekļūt karstajiem maciņiem, jūsu dati ir neticami vērtīgi. Zināt savu klientu (KYC) dati—pasi, autovadītāja apliecības, pašbildes—ir zelta ieguve tumšajā tīmeklī. Šo informāciju var izmantot identitātes zādzībai, mērķtiecīgai phishing vai pat izspiešana.
3. Traucējumu spēks. Daži uzbrucēji nav ieinteresēti naudas iegūšanā, bet gan haosa radīšanā. Lielas biržas traucēšana, izmantojot piegādes ķēdes uzbrukumu, var radīt milzīgu tirgus nestabilitāti, mazināt uzticību visai kriptovalūtu jomai un tikt izmantota tirgus manipulācijai.

Pārrakstīto pārkāpumu gari: Mācības no priekšējām līnijām

Mums nav jāiedomājas, ka tas varētu notikt; tas jau ir noticis.

• CodeCov pārkāpums (2021): Uzbrucēji kompromitēja skriptu, ko izmantoja CodeCov, koda pārklājuma rīks, ko izmanto tūkstošiem programmatūras izstrādātāju, tostarp daži kriptovalūtu jomā. Ļaunprātīgais skripts ļāva viņiem nozagt akreditācijas datus. un API atslēgas no izstrādes vidēm. Iedomājieties, ja šīs atslēgas nodrošinātu piekļuvi jaunas tirdzniecības funkcijas testēšanas videi. Uzbrucējs varētu atrast aizmugures durvis, pirms tās pat tika ieviestas.
• Kaseya VSA izspiedējvīrusa uzbrukums (2021): Lai gan tas nav specifiski saistīts ar kriptovalūtām, tas ir meistarklase par viļņveida efektu. Ielaužoties vienā pārvaldītas programmatūras nodrošinātājā pakalpojumu sniedzēji (MSP), uzbrucēji izplatīja izspiedējprogrammatūru tūkstošiem apakšuzņēmumu. Ja MSP pārvaldīja IT kriptovalūtas biržai, visa biržas iekšējā sistēma varēja tikt šifrēta un turēta kā ķīla.

Šie nav teorētiski piemēri. Tie ir plāni, kā Exbix varētu tikt uzbrukts netieši.

Exbix Shield: Kā mēs nostiprinām visu ķēdi

Zināt risku ir tikai puse no cīņas. Otrā puse ir veidot modras izturības kultūru. Mūsu pieeja Exbix ir daudzslāņaina un nepārtraukta.

1. Rigorozs piegādātāju uzņemšanas un izpētes process:
Pirms mēs parakstām līgumu ar jebkuru trešo pusi, viņi tiek pakļauti drošības novērtējumam, kas liktu lielākajai daļai auditori kļūst sarkani. Mēs nepaļaujamies tikai uz viņu vārdiem; mēs pieprasām pierādījumus. Tas ietver:

• Drošības anketas: Detalizēti jautājumi par viņu drošības praksēm, politikām un incidentu reaģēšanas vēsturi.
• Sertifikācijas pārbaudes: Mēs pieprasām sertifikātus, piemēram, SOC 2 Type II, ISO 27001 vai citus, kas ir atbilstoši viņu pakalpojumu.
• Penetrācijas testu pārskati: Mēs pārskatām viņu jaunāko neatkarīgo penetrācijas testu rezultātus.

2. Vismazākās privilēģijas princips:
Tas ir mūsu mantra. Nevienai trešajai pusei netiek piešķirta lielāka piekļuve, nekā tā absolūti nepieciešama, lai veiktu savu konkrēto funkciju. Mārketinga analītikas rīkam nav nepieciešama rakstīšanas piekļuve uz mūsu datubāzēm. Atbalsta aģentam nav jāredz jūsu pilna maku bilance. Mēs to nodrošinām, ievērojot stingras identitātes un piekļuves pārvaldības (IAM) politikas.

3. Nepārtraukta uzraudzība, nevis vienreizēji pārbaudes:
Drošība nav atzīmējama izvēlne. Piegādātājs, kurš bija drošs pagājušajā gadā, var nebūt šodien. Mēs nepārtraukti uzraudzām mūsu piegādātāju drošības stāvokli. Mēs abonējam draudu izlūkošanas plūsmas, kas mūs brīdina par jaunām ievainojamībām programmā, kuru izmantojam. Mēs regulāri pārskatām mūsu kritiskos piegādātājus, lai pārliecinātos, ka viņu standarti nav pasliktinājušies.

4. Nulles uzticības arhitektūra:
Mēs darbojamies ar pieņēmumu, ka pārkāpums ir neizbēgams. Tāpēc mēs nekad pēc noklusējuma neuzticamies nevienai vienībai—ne mūsu tīklā, ne ārpus tā. Katrs piekļuves pieprasījums tiek pārbaudīts, katra transakcija tiek validēta, un katra ierīce tiek pārbaudīta. Šī arhitektūra satur “viļņus” un novērš to izplatīšanos visā mūsu sistēmā, ja piegādātājs ir apdraudēts.

5. Negadījumu reaģēšanas plānošana ar mūsu piegādātājiem:
Mūsu negadījumu reaģēšanas plāns nebeidzas pie mūsu digitālās robežas. Mums ir skaidras protokolu izstrāde ar mūsu galvenajiem piegādātājiem. Ja tie tiek pārkāpti, mēs precīzi zinām, kam piezvanīt, ko jautāt un kādas tūlītējas darbības veikt, lai pārtrauktu savienojumus un aizsargātu jūsu datus. Mēs regulāri praktizējam šīs situācijas.

Jūsu loma ķēdē: kopīga atbildība

Drošība ir partnerība. Kamēr mēs strādājam, lai nodrošinātu mūsu visu ekosistēmu, jūs ir arī būtiska saikne šajā ķēdē. Lūk, kā jūs varat palīdzēt:

• Pievērsiet uzmanību API atslēgām: Kad savienojat trešās puses lietotni (piemēram, portfeļa izsekotāju) ar savu Exbix kontu, izmantojot API atslēgu, jūs radāt jaunu trešās puses risku sev. Piešķiriet savienojumus tikai tām lietotnēm, kurām pilnībā uzticaties, un regulāri pārskatiet un atsauciet atļaujas. par lietotnēm, kuras vairs neizmantojat.
• Esiet uzmanīgs pret pikšķerēšanu… pat no “uzticamiem” avotiem: Piegādātāja e-pasta saraksta uzlaušana ir izplatīts ieejas punkts. Jūs varat saņemt perfekti izstrādātu pikšķerēšanas e-pastu, kas izskatās, it kā tas nāk no likumīgas kompānijas, ko mēs izmantojam. Vienmēr esiet skeptiski. Nekad neklikšķiniet uz saitēm e-pastos, kas lūdz jūsu akreditācijas datus. Vienmēr pārejiet uz vietni tieši.
• Izmantojiet unikālas, stipras paroles: Ja atkārtoti izmantojat paroli vairākās vietnēs un kāda no šīm vietnēm (trešā puse jums) tiek uzlauzta, uzbrucēji var izmantot šo paroli, lai mēģinātu piekļūt jūsu apmaiņas kontam. Paroļu pārvaldnieks ir jūsu labākā aizsardzība šeit.
• Iespējojiet 2FA visur: Ne tikai jūsu Exbix kontā, bet arī jebkurā saistīts ar to, īpaši jūsu e-pastu. Tas ir visefektīvākais veids, kā novērst kontu pārņemšanu.

Veidojot uzticības vilni, nevis risku

Kriptovalūtu pasaule ir balstīta uz decentralizācijas un savstarpējās saistības pamatiem. Tas ir tās spēks, bet arī potenciālā Achilles’ papēdis. Pie Exbix mēs esam skaidri apzinoties, ka mūsu drošība ir tik stipra, cik stipra ir vājākā saite mūsu paplašinātajā digitālajā piegādes ķēdē.

Mēs esam apņēmušies ne tikai veidot necaurlaidīgas sienas, bet arī kartēt, uzraudzīt un stiprināt katru savienojumu, kas skar mūsu ekosistēmu. Mēs ieguldām tajā, jo jūsu uzticība un jūsu aktīvi nav tikai rādītāji uz informācijas paneļa; tie ir iemesls, kāpēc mēs pastāvam.

ripple efekts ir spēcīgs spēks. Mūsu misija ir nodrošināt, ka vienīgās radītās viļņošanās ir inovācijas, drošība un nelokāma uzticība.

Exbix komanda

Palieciet drošībā. Palieciet informēti.