在Exbix，安全不仅仅是一个功能；它是我们所做一切的基石。您已经看过我们关于冷存储、双重身份验证和网络钓鱼诈骗的博客。我们的白帽黑客团队全天候工作，进行压力测试我们的系统，构建数字堡垒，以保护您的比特币、以太坊和其他数字资产安全。我们安心入睡，因为我们直接

行业中最强大的防御之一。 但如果我告诉你，对你的加密货币最大的威胁可能根本不是对Exbix的直接攻击呢？ 想象一下，一块石头落入静止的池塘。冲击是局部的，但涟漪向外传播，影响整个表面。在我们这个高度互联的数字世界中，网络风险的运作方式也是如此。对一个

单个看似无关的公司&mdash;一家软件供应商、一家营销机构，甚至一家暖通空调承包商&mdash;都可能对整个生态系统产生冲击，影响到你的交易钱包。 这就是第三方和供应链网络风险的现实。它是数字世界中没有防备的后门，因为你信任邻居的房东会有一个

良好的锁定。对于一个加密货币交易所来说，信任是唯一真正的货币，理解这种涟漪效应不是可选的——而是生存的必要条件。 <h3 class="wp-block-heading">超越我们的墙壁：我们到底在谈论什么？</h3> 让我们来解析一下术语。 <ul class="wp-block-list"> <li>第三方风险：&nbsp;这是

我们组织（Exbix）面临的风险来自任何能够访问我们数据、系统或流程的外部实体。想想您通过API连接到Exbix账户的应用程序、我们用来跟踪网站性能的分析公司，或我们使用的客户支持软件。</li> <li>供应链网络风险：&nbsp;这是一种特定的，且往往更具破坏性类型的

第三方风险。这涉及对供应商的攻击，随后被用作侵入&nbsp;他们&nbsp;客户——我们的跳板。臭名昭著的SolarWinds攻击就是一个经典案例，其中恶意代码被注入到软件更新中，然后分发给包括政府机构在内的数千家公司。</li> </ul> 对于Exbix，我们的“供应

链条”并不是关于物理小部件；而是关于保持我们交易运行的数字工具和服务。这包括： <ul class="wp-block-list"> <li>钱包和托管服务提供商：&nbsp;我们可能集成的服务，以增强流动性或安全性。</li> <li>KYC/AML 验证服务：&nbsp;帮助的外部公司

我们验证身份并确保遵守法规。这里的泄露将导致隐私灾难。</li> <li>云基础设施提供商（AWS、Google Cloud等）：&nbsp;我们以他们的基础为基础。他们的安全性本质上就是我们的安全性。</li> <li>软件供应商：&nbsp;从我们的客户关系管理（CRM）软件到我们的内部沟通工具

像 Slack 或 Microsoft Teams。</li> <li>营销和分析平台：&nbsp;在我们的网站上运行的代码，用于跟踪用户行为。</li> </ul> 这些链接中的任何一个漏洞都可能成为我们的漏洞。 <h3 class="wp-block-heading">为什么加密交易所是供应链中的主要目标</h3> 我们不仅仅是另一个网站。

我们是一个高价值的目标，攻击者越来越务实。为什么要浪费精力试图破门而入，而不通过供应商办公室一个防守不严的窗户悄悄溜进来呢？ <ol class="wp-block-list" start="1"> <li>明显的奖品：数字资产。&nbsp;盗取加密货币的直接经济动机是无与伦比的。它是

无边界、伪名化，并且可以在几分钟内不可逆转地转移。</li> <li>数据的宝藏。&nbsp;即使他们无法直接访问热钱包，您的数据仍然极具价值。了解您的客户（KYC）数据——护照、驾照、自画像——在暗网上是一座金矿。这些信息可以被用于身份盗窃、定向

钓鱼攻击，甚至敲诈。</li> <li>颠覆的力量。&nbsp;一些攻击者并不是为了金钱，而是为了制造混乱。通过供应链攻击破坏一个主要交易所可以导致巨大的市场波动，侵蚀整个加密领域的信任，并被用于市场操纵。</li> </ol> <h3 class="wp-block-heading">过去 breaches 的幽灵：

前线的教训</h3> 我们不需要想象，这已经发生过。 <ul class="wp-block-list"> <li>CodeCov 数据泄露（2021）：&nbsp;攻击者入侵了 CodeCov 使用的一个脚本，这是一款被数千名软件开发者使用的代码覆盖工具，其中包括一些加密领域的开发者。恶意脚本使他们能够窃取凭证

和开发环境中的API密钥。想象一下，如果这些密钥可以访问新交易功能的测试环境，攻击者可能在该功能部署之前就找到了一个后门。</li> <li>Kaseya VSA勒索软件攻击（2021年）：&nbsp;虽然不是专门针对加密货币，但这是一个关于连锁反应的经典案例。通过入侵一个单一的软件供应商，管理

服务提供商（MSP），攻击者向数千家下游企业部署了勒索软件。如果一个MSP为加密货币交易所管理IT，整个交易所的内部系统可能会被加密并被勒索。</li> </ul> 这些并不是理论。这些是Exbix可能被间接攻击的蓝图。 <h3 class="wp-block-heading">Exbix

盾牌：我们如何加强整个链条</h3> 了解风险只是战斗的一半。另一半是建立一种警惕的韧性文化。在Exbix，我们的方法是多层次且持续的。 1. 严格的供应商入驻和尽职调查： 在与任何第三方签署合同之前，他们必须经过一项安全评估，这项评估会让大多数人感到震惊。

审计师感到羞愧。我们不仅仅依赖他们的说法；我们要求证据。这包括： <ul class="wp-block-list"> <li>安全问卷：&nbsp;关于他们的安全实践、政策和事件响应历史的详细询问。</li> <li>认证检查：&nbsp;我们要求提供如SOC 2 Type II、ISO 27001或其他相关的认证。</li>

他们的服务。</li> <li>渗透测试评估：&nbsp;我们评估他们最新独立渗透测试的结果。</li> </ul> 2. 最小权限原则： 这是我们的座右铭。任何第三方都不会获得超过其执行特定功能所绝对需要的访问权限。一个营销分析工具并&nbsp;不&nbsp;需要写入权限。

到我们的数据库。支持人员&nbsp;不&nbsp;需要查看您的完整钱包余额。我们通过严格的身份和访问管理（IAM）政策来执行这一点。 3. 持续监控，而非一次性检查： 安全性不是一个勾选框。去年安全的供应商今天可能不再安全。我们持续监控供应商的安全态势。

我们订阅威胁情报源，以便及时了解我们使用的软件中的新漏洞。我们定期重新审核我们的关键供应商，以确保他们的标准没有下降。 4. 零信任架构： 我们假设安全漏洞是不可避免的。因此，我们默认不信任任何实体——无论是在我们网络内部还是外部。

每个访问请求都会被验证，每笔交易都会被确认，每个设备都会被检查。这种架构包含了“涟漪”效应，并防止其在我们的整个系统中扩散，如果某个供应商受到影响。 5. 事件响应计划&nbsp;与&nbsp;我们的供应商： 我们的事件响应计划并不止于我们的数字边界。我们有

与我们的关键供应商建立明确的协议。如果这些协议被违反，我们知道该联系谁、询问什么以及采取哪些立即措施来切断连接并保护您的数据。我们定期演练这些场景。 <h3 class="wp-block-heading">您在链中的角色：共同责任</h3> 安全是一个合作关系。在我们努力保护整个生态系统的同时，您

在这个链条中，它们也是一个重要的环节。以下是您可以帮助的方式： <ul class="wp-block-list"> <li>注意 API 密钥：&nbsp;当您通过 API 密钥将第三方应用（例如，投资组合跟踪器）连接到您的 Exbix 账户时，您就在为自己创造新的第三方风险。仅向您绝对信任的应用授予连接权限，并定期审核和撤销权限。

您不再使用的应用程序。</li> <li>警惕网络钓鱼……即使来自“可信”来源：&nbsp;供应商的电子邮件列表被黑客攻击是一个常见的入侵点。您可能会收到一封看似来自我们使用的合法公司的精心制作的网络钓鱼电子邮件。始终保持怀疑态度。切勿点击要求提供凭据的电子邮件中的链接。始终通过

该网站直接。</li> <li>使用独特且强大的密码：&nbsp;如果您在多个网站上重复使用密码，而其中一个网站（对您来说是第三方）被攻击者入侵，攻击者可以利用该密码尝试访问您的交易所账户。密码管理器是您在这里最好的防御。</li> <li>在所有地方启用双重身份验证：&nbsp;不仅仅是在您的Exbix账户上，而是在任何

与之相关的服务，尤其是您的电子邮件。这是防止账户被接管的最有效方式。</li> </ul> <h3 class="wp-block-heading">建立信任的涟漪，而非风险</h3> 加密货币的世界建立在去中心化和互联互通的基础上。这是它的优势，但也是其潜在的致命弱点。在Exbix，我们致力于

清楚地意识到我们的安全性仅与我们扩展的数字供应链中最薄弱的环节同等强大。 我们致力于不仅建立坚不可摧的防线，还要对每一个与我们生态系统相关的连接进行映射、监控和加固。我们在这方面的投资，因为您的信任和资产不仅仅是仪表盘上的指标；它们是我们存在的理由。 

涟漪效应是一种强大的力量。我们的使命是确保我们创造的唯一涟漪是创新、安全和坚定信任的涟漪。 Exbix团队 保持安全。保持信息畅通。

涟漪效应：单一薄弱环节如何毁掉你的加密财富

让我们坦诚一点。你用于加密货币交易所账户的密码？那个包含你狗的名字和出生年份的密码？它并不是保护你数字财富的坚固大门，而是一扇纱窗。一个有决心的攻击者，只需一个键盘记录器、一封网络钓鱼邮件，或者一份从其他网站泄露的密码列表，就能轻易突破这道防线。

漏洞，可以直接穿透它。 在传统金融中，你有保险、欺诈部门和撤销交易的能力。在加密货币中，你就是银行、安全主管和保险公司。口号“没有你的密钥，就没有你的加密货币”是赋予人们力量的，但它带来了一个可怕的附带条件：“你的密钥，你的责任。” 这就是

希望与行动相遇的地方。在这里，您超越了密码，拥抱任何拥有数字资产的人都可以获得的最有效的安全升级：多因素认证（MFA）。 多因素认证究竟是什么？ 可以把它想象成进入一座高安全性的建筑。 您知道的东西（密码）：您告诉保安您的名字（用户名）和一个

秘密代码（您的密码）。这是因素1。 您拥有的东西（MFA代码）：保安会要求查看您的身份证件或拨打您的电话进行验证。这是因素2。 MFA要求使用两个或更多不同的“因素”来授予访问权限。即使黑客窃取了您的密码（您知道的东西），他们也会被彻底阻止，因为他们没有您的

手机或安全密钥（你拥有的东西）。 这些因素分为三类： 知识：你知道的东西（密码、PIN码、安全问题）。 拥有：你拥有的东西（你的智能手机、物理安全密钥）。 固有：你本身的东西（指纹、面部识别、视网膜扫描）。 为了保护你的加密交易所账户，我们正在

主要集中在将知识（您的密码）与持有（身份验证应用程序或安全密钥）相结合。 为什么 MFA 对于加密货币是不可妥协的 在没有 MFA 的情况下使用交易所，就像把您的全部积蓄放在门口的纸箱里。攻击者的诱惑极其巨大。 不可逆的交易：一旦加密货币从您的交易所钱包发送到

攻击者的地址，一旦丢失，就再也无法找回。永远消失。没有首席执行官可以拨打电话来恢复它。 全球化的匿名目标：你不仅仅是在与家乡的孩子对抗；你可能成为来自世界各地的复杂国际犯罪集团的潜在目标。 复杂性的幻觉：许多人认为他们的密码是“强大

足够&rdquo;或他们认为&ldquo;目标不够大&rdquo;。这是一个危险的谬论。攻击者使用自动化机器人，每秒不知疲倦地尝试登录成千上万的账户。只要您拥有一个账户，您就是目标。 在您的交易账户上启用多因素身份验证（MFA）就像是在其周围建立了一道保护屏障。这是希望自己不会被黑客攻击和实际采取措施之间的区别。

知道你已经尽可能地防止它发生。 MFA工具箱：从好到无懈可击 并非所有的多因素认证（MFA）都是平等的。让我们将常见的方法从最不安全到最安全进行排名，以适应加密货币。 1. 基于短信的认证（“比什么都没有好”选项） 工作原理：在输入密码后，交易所会向您注册的手机发送一次性代码。

电话号码。 好处：它无处不在，易于设置，绝对比没有多重身份验证要好。它增加了至关重要的第二层保护。 坏处（而且真的很糟糕）：对于高价值目标来说，这是一种最弱的多重身份验证形式。它容易受到SIM卡交换攻击的影响，这是一种欺诈者通过社交工程手段说服你的移动运营商转移你的手机号码的毁灭性攻击。

将号码指向他们控制的SIM卡。一旦这样做，所有的验证短信都会发送给他们，而不是你。对于加密货币持有者来说，这是一个灾难性的风险。 判决：避免将此用于你的主要交易账户。如果这是你唯一的选择，暂时使用，但立即寻求升级。不要依赖短信认证来保护你的主要加密资产。 2. 认证器应用程序（The

大多数情况下的黄金标准) 工作原理：您在智能手机上安装一个应用程序，如 Google Authenticator、Authy 或 Microsoft Authenticator。当您在交易所启用它时，网站会显示一个二维码。您使用应用程序扫描二维码，该应用程序随后与交易所共享一个秘密密钥。然后，应用程序每 30 秒生成一个新的基于时间的六位数代码。要登录，您需要输入密码和

当前应用程序的代码。 优点： 无网络漏洞：它不依赖于您的手机信号或短信，因此对SIM卡交换免疫。 离线功能：代码在您的设备上使用秘密密钥和当前时间本地生成。即使您的手机处于飞行模式，它也能正常工作。 广泛支持：几乎所有主要的加密货币交易所都支持。

网络服务支持身份验证器应用程序。 缺点：如果您丢失了手机或手机在没有备份的情况下死机，您可能会被锁定在账户之外。不过，大多数应用程序和交易所都有强大的恢复流程（我们稍后会讨论）。 结论：这是您应该使用的最低标准。它完美结合了高安全性和用户友好的便利性。 3.

物理安全密钥（福特诺克斯选项） 工作原理：您购买一个小型硬件设备，如 YubiKey 或 Google Titan Key。您将其注册到您的交易所。当您登录时，在输入密码后，系统会提示您物理触碰该密钥（该密钥插入了您的 USB 端口或通过 NFC 连接到您的手机）。 优点： 防钓鱼：这是它的

超级能力。如果您不小心将密码输入到假冒的网络钓鱼网站，攻击将失败。该密钥会加密检查网站的域名；如果它不是正规交易所，它将拒绝进行身份验证。它在物理上无法被欺骗。 终极安全：这是一款专用设备，没有其他软件，使其免受可能的恶意软件或远程攻击。

目标是一个智能手机应用程序。 缺点： 费用：您需要购买密钥（通常为25美元至70美元）。 便携性：您需要随身携带密钥才能登录。它最适合用于您主要在家中使用的设备（桌面电脑）或安全携带以便移动访问。 设置：设置稍微技术性一点，但仍然非常简单。 裁定：这是最高的

零售加密投资者的安全级别。如果您持有大量加密货币，YubiKey 的费用是您能买到的最佳保险。 强化您的交易所账户的逐步指南 步骤 1：下载身份验证器应用 前往您手机的应用商店，下载 Google Authenticator（简单，由 Google 拥有）或 Authy（功能丰富，支持云端）。

备份）。对于大多数人来说，Authy 的备份功能使其成为赢家，降低了“丢失手机”的风险。 步骤 2：深入了解您的交易所安全设置 登录到您的交易所（例如，Binance、Coinbase、Kraken）。导航到设置 &gt; 安全 &gt; 双重身份验证 (2FA)。措辞可能会略有不同，但位置始终在安全部分。

步骤 3：启用身份验证器应用 MFA 您可能会看到 SMS 和“身份验证器应用”或“TOTP”的选项。选择身份验证器应用选项。网站将显示一个二维码。 步骤 4：扫描并安全 打开您的身份验证器应用，点击“+”按钮，然后扫描二维码。该应用将立即开始为您的交易所生成代码。

**步骤 5：备份您的恢复代码！！！ ** 这是每个人都忽略的最关键步骤。交易所现在会向您显示一组 16 位的备份或恢复代码。请将这些代码写在纸上。将它们存放在安全、可靠的地方，比如防火保险箱或安全存款箱。这些代码是您在失去对身份验证器应用程序的访问权限时的救命稻草。请将它们视为您安全的钥匙。

保险库。 步骤 6：确认和测试 交易所会要求您输入应用程序中的一个代码，以确认设置是否正常工作。请执行此操作。恭喜您！您的账户现在安全性大幅提升。 （对于安全密钥）过程类似：您需要进入安全设置，选择“安全密钥”或“U2F”，插入您的密钥，然后按照

提示以注册它。 如果……？处理常见的多因素身份验证头痛 我丢了手机/手机坏了！这就是为什么你需要那些纸质备份代码！使用其中一个代码登录并立即禁用旧的多因素身份验证。然后，设置一个新的。如果你使用Authy，你可以预先配置一个备份密码，并轻松在新设备上恢复你的代码。 我的代码不起作用！这就是

几乎总是因为您手机上的时钟不同步。请进入您的身份验证器应用的设置，启用“代码时间校正”或检查您手机的设置，以确保其设置为自动更新时间。 我正在旅行，手头没有我的密钥。这就是为什么拥有多种方法是明智的。您可以使用身份验证器

应用程序作为您安全密钥的备份，或者确保您将备份代码安全存储在密码管理器中（尽管纸质备份是最好的）。 超越交换：安全文化 MFA不仅仅适用于您的交换账户。将这种思维方式应用到每个地方： 您的电子邮件账户：这是您数字生活的主密钥。如果黑客获取了您的电子邮件，他们可以重置几乎所有账户的密码。

每个其他账户。使用身份验证器应用程序或安全密钥来保护它。 您的密码管理器：存放所有密钥的保险库应当拥有最强的锁。 社交媒体：尤其是与您在加密领域的公开身份相关联的任何账户。 最后的话：您的主权，您的责任 加密革命是关于重新夺回金融主权的。但

拥有强大权力就意味着巨大的责任。花五分钟时间启用强大的多因素身份验证，是履行这一责任的最简单、最有效的方法。这是成为这个新金融世界中认真参与者的基本要求。 不要成为统计数据。不要让一个可避免的错误抹去多年的投资和信念。超越密码。

锁定它。

保护您的加密资产

涟漪效应：单一薄弱环节如何毁掉你的加密财富

超越密码：通过多因素认证 (MFA) 保护您的加密财富