在 Exbix，安全不僅僅是一個功能；它是我們所做一切的基石。您已經看過我們關於冷存儲、雙重身份驗證和網絡釣魚詐騙的博客。我們的白帽黑客團隊全天候工作，對我們的系統進行壓力測試，建立數字堡壘，以保護您的比特幣、以太坊和其他數字資產的安全。我們安心入睡，因為我們的直接

防禦措施在行業中是最強大的之一。 但如果我告訴你，對你的加密貨幣最大的威脅可能根本不是對 Exbix 的直接攻擊呢？ 想像一下，一塊石頭掉進平靜的池塘。衝擊是局部的，但漣漪向外擴散，影響整個水面。在我們這個超連接的數字世界中，網絡風險的運作方式也是如此。對一個

單一、看似無關的公司&mdash;一個軟件提供商、一家市場營銷代理，甚至是一個暖通空調承包商&mdash;都可能對整個生態系統產生震撼效應，甚至影響到你的交易所錢包。 這就是第三方和供應鏈網絡風險的現實。這是數字世界中擁有一扇無防備後門的等價物，因為你信任鄰居的房東會有一個

良好的鎖定。對於一個加密貨幣交易所來說，信任是唯一真正的貨幣，理解這種漣漪效應不是可選的——而是生存的必要條件。 <h3 class="wp-block-heading">超越我們的牆壁：我們到底在談論什麼？</h3> 讓我們來解析一下術語。 <ul class="wp-block-list"> <li>第三方風險：&nbsp;這是

我們的組織（Exbix）面臨的風險，來自任何有權訪問我們數據、系統或流程的外部實體。想想您通過 API 連接到 Exbix 帳戶的應用程式、我們用來跟踪網站表現的分析公司，或我們使用的客戶支持軟件。</li> <li>供應鏈網絡風險：&nbsp;這是一種特定且通常更具破壞性的風險類型，

第三方風險。這涉及對供應商的攻擊，然後利用該供應商作為侵害&nbsp;他們&nbsp;客戶——我們的跳板。臭名昭著的SolarWinds攻擊便是一個經典例子，惡意代碼被注入到軟件更新中，然後分發給數千家公司，包括政府機構。</li> </ul> 對於Exbix來說，我們的“供應

chain&rdquo; 不是關於實體小工具；而是關於保持我們交易運行的數字工具和服務。這包括： <ul class="wp-block-list"> <li>錢包和保管服務提供商：&nbsp;我們可能會整合的服務，以增強流動性或安全性。</li> <li>KYC/AML 驗證服務：&nbsp;幫助我們的外部公司

我們驗證身份並確保遵守法規。在這方面的漏洞將是一場隱私災難。</li> <li>雲基礎設施提供商（AWS、Google Cloud 等）：&nbsp;我們在他們的基礎上構建。他們的安全性就是我們的安全性。</li> <li>軟件供應商：&nbsp;從我們的客戶關係管理（CRM）軟件到我們的內部通信工具

像 Slack 或 Microsoft Teams。</li> <li>市場營銷和分析平台：&nbsp;在我們網站上運行的代碼用於追蹤用戶行為。</li> </ul> 這些鏈接中的任何一個漏洞都可能成為我們的漏洞。 <h3 class="wp-block-heading">為什麼加密貨幣交易所是供應鏈中的主要目標</h3> 我們不僅僅是另一個網站。

我們是一個高價值的目標，攻擊者越來越務實。為什麼要浪費精力試圖打破我們的前門，當他們可以輕易地從供應商辦公室的一扇防守不嚴的窗戶潛入呢？ <ol class="wp-block-list" start="1"> <li>明顯的獎勵：數位資產。&nbsp;竊取加密貨幣的直接經濟動機是無與倫比的。它是

無邊界、假名，並且可以在幾分鐘內不可逆轉地轉移。</li> <li>數據的寶藏。&nbsp;即使他們無法直接訪問熱錢包，你的數據仍然是非常有價值的。了解你的客戶（KYC）數據——護照、駕駛執照、自拍照片——在暗網上是一座金礦。這些信息可以用於身份盜竊、針對性

釣魚攻擊，甚至勒索。</li> <li>破壞的力量。&nbsp;有些攻擊者並不是為了金錢，而是為了混亂。通過供應鏈攻擊來破壞主要交易所可以引起巨大的市場波動，侵蝕整個加密空間的信任，並可用於市場操縱。</li> </ol> <h3 class="wp-block-heading">過去違規行為的幽靈：

前線的教訓</h3> 我們不需要想像，這已經發生過了。 <ul class="wp-block-list"> <li>CodeCov 資料外洩（2021 年）：&nbsp;攻擊者入侵了 CodeCov 使用的一個腳本，這是一個被成千上萬的軟件開發者使用的代碼覆蓋工具，其中包括一些在加密領域的開發者。這個惡意腳本使他們能夠竊取憑證。

和開發環境中的 API 密鑰。想像一下，如果這些密鑰授予了對新交易功能測試環境的訪問權限，攻擊者可能在功能部署之前就找到了後門。</li> <li>Kaseya VSA 勒索病毒攻擊 (2021)：&nbsp;雖然這不是特定於加密貨幣的案例，但這是一堂關於漣漪效應的精彩課程。通過攻擊單一的管理軟件供應商，

服務提供商（MSPs），攻擊者向數千家下游企業部署了勒索軟件。如果一個 MSP 為一家加密貨幣交易所管理 IT，整個交易所的內部系統可能會被加密並被勒索。</li> </ul> 這些並不是理論上的情況。它們是 Exbix 可能被間接攻擊的藍圖。 <h3 class="wp-block-heading">Exbix

盾牌：我們如何加強整個鏈條</h3> 了解風險只是戰鬥的一半。另一半是建立警覺的韌性文化。在Exbix，我們的方法是多層次且持續的。 1. 嚴格的供應商入職和盡職調查： 在我們與任何第三方簽署合同之前，他們必須經過一項安全評估，這將使大多數人感到震驚。

審計師會臉紅。我們不僅僅依賴他們的說法；我們要求證據。這包括： <ul class="wp-block-list"> <li>安全問卷：&nbsp;對他們的安全實踐、政策和事件響應歷史進行詳細詢問。</li> <li>認證檢查：&nbsp;我們要求如 SOC 2 Type II、ISO 27001 或其他相關的認證。

他們的服務。</li> <li>滲透測試評估：&nbsp;我們會評估他們最新的獨立滲透測試結果。</li> </ul> 2. 最小權限原則： 這是我們的座右銘。沒有第三方會獲得超過其執行特定功能所需的訪問權限。一個市場分析工具並&nbsp;不&nbsp;需要寫入權限

到我們的數據庫。支持代理並&nbsp;不&nbsp;需要查看您的完整錢包餘額。我們通過嚴格的身份和訪問管理（IAM）政策來強化這一點。 3. 持續監控，而非一次性檢查： 安全性不是一個勾選框。去年安全的供應商今天可能不再安全。我們持續監控我們供應商的安全狀態。

我們訂閱威脅情報來源，及時通知我們所使用軟件的新漏洞。我們定期重新審核我們的關鍵供應商，以確保他們的標準沒有下降。 4. 零信任架構： 我們假設安全漏洞是不可避免的。因此，我們不會默認信任任何實體——無論是在我們的網絡內部還是外部。

每個訪問請求都會被驗證，每筆交易都會被確認，每個設備都會被檢查。這種架構包含了“漣漪”效應，並防止它在我們的整個系統中擴散，如果某個供應商受到威脅。 5. 與我們的供應商的事件響應計劃： 我們的事件響應計劃並不止於我們的數字邊界。我們有

清晰的協議與我們的主要供應商。如果這些協議被違反，我們知道該聯繫誰、詢問什麼，以及採取哪些即時措施來斷絕聯繫並保護您的數據。我們定期進行這些情境的演練。 <h3 class="wp-block-heading">您在鏈中的角色：共同的責任</h3> 安全是一種夥伴關係。儘管我們致力於保護整個生態系統，您

在這個鏈條中，它們也是一個重要的環節。以下是您可以幫助的方式： <ul class="wp-block-list"> <li>注意 API 密鑰：&nbsp;當您通過 API 密鑰將第三方應用程序（例如投資組合追蹤器）連接到您的 Exbix 帳戶時，您正在為自己創造一個新的第三方風險。僅對您絕對信任的應用程序授予連接權限，並定期檢查和撤銷權限。

不再使用的應用程式。</li> <li>小心網絡釣魚&hellip; 即使來自&ldquo;可信賴&rdquo;的來源：&nbsp;供應商的電子郵件列表被駭客入侵是一個常見的入侵點。你可能會收到一封看似來自我們使用的合法公司的精心製作的網絡釣魚電子郵件。始終保持懷疑態度。切勿點擊要求提供憑證的電子郵件中的鏈接。始終通過

網站直接。</li> <li>使用獨特且強大的密碼：&nbsp;如果您在多個網站上重複使用相同的密碼，而其中一個網站（對您來說是第三方）遭到入侵，攻擊者可以利用該密碼嘗試訪問您的交易所帳戶。密碼管理器是您最好的防禦。</li> <li>在所有地方啟用雙重身份驗證：&nbsp;不僅僅是在您的Exbix帳戶上，而是在任何

與之相關的服務，特別是您的電子郵件。這是防止帳戶被盜的最有效方法。</li> </ul> <h3 class="wp-block-heading">建立信任的漣漪，而非風險</h3> 加密貨幣的世界建立在去中心化和互聯互通的基礎上。這是它的優勢，但也是潛在的致命弱點。在 Exbix，我們致力於

深刻意識到我們的安全性僅僅取決於我們擴展數字供應鏈中最薄弱的環節。 我們致力於不僅建立堅不可摧的防線，還要對每一個與我們生態系統相關的連接進行映射、監控和加固。我們在這方面的投資，因為您的信任和資產不僅僅是儀表板上的指標；它們是我們存在的理由。 

漣漪效應是一股強大的力量。我們的使命是確保我們創造的唯一漣漪是創新、安全和堅定信任的漣漪。 Exbix 團隊 保持安全。保持資訊更新。

漣漪效應：一個微弱的環節如何能夠摧毀你的加密財富

讓我們坦白一點。你用於加密貨幣交易所帳戶的密碼？那個包含你狗的名字和你的出生年份的密碼？它並不是保護你數字資產的堅固大門，而是一扇紗窗。只要有一個決心的攻擊者，手上只需一個鍵盤記錄器、一封釣魚郵件，或者一份從其他網站洩露的密碼列表，

違規行為，可以直接突破它。 在傳統金融中，你有保險、欺詐部門和撤銷交易的能力。在加密貨幣中，你就是銀行、安全主管和保險公司。那句口號「不是你的私鑰，就不是你的加密貨幣」雖然令人振奮，但也帶來了一個可怕的附帶條件：「你的私鑰，你的責任。」 這是

希望與行動相遇的地方。這裡是您超越密碼，擁抱對任何擁有數字資產的人來說最有效的安全升級：多重身份驗證（MFA）。 多重身份驗證究竟是什麼？ 想像一下進入一座高安全性的建築。 您所知道的某些東西（密碼）：您告訴保安您的名字（您的用戶名）和一個

秘密代碼（你的密碼）。這是因素 1。 你擁有的東西（MFA 代碼）：保安會要求查看你的身份證或撥打你的電話進行驗證。這是因素 2。 MFA 需要兩個或更多這些不同的“因素”來授予訪問權限。即使黑客竊取了你的密碼（你知道的東西），他們也會完全被阻止，因為他們沒有你的

電話或安全密鑰（你擁有的東西）。 這些因素可以分為三個類別： 知識：你知道的東西（密碼、個人識別碼、安全問題）。 擁有：你擁有的東西（你的智能手機、一個實體安全密鑰）。 固有：你是的東西（指紋、面部識別、視網膜掃描）。 為了保護你的加密貨幣交易所帳戶，我們正在

主要專注於將知識（您的密碼）與擁有權（身份驗證應用程序或安全密鑰）結合起來。 為什麼 MFA 對於加密貨幣是不可妥協的 在沒有 MFA 的情況下使用交易所，就像把您的全部積蓄放在門口的紙箱裡一樣。攻擊者的誘因極高。 不可逆轉的交易：一旦加密貨幣從您的交易所錢包發送到

攻擊者的地址，一旦消失，就再也無法找回。永遠消失。你無法找到任何首席執行官來幫你取回它。 全球性的匿名目標：你面對的不是你家鄉的那個小孩；你是來自世界各地的複雜國際犯罪集團的潛在目標。 複雜性的錯覺：許多人認為他們的密碼是“強大”

足夠&rdquo;或他們認為&ldquo;不是一個足夠大的目標。&rdquo;這是一個危險的謬誤。攻擊者使用自動化機器人，每秒不斷嘗試登錄成千上萬的帳戶。擁有一個帳戶，你就是一個目標。 在你的交易帳戶上啟用多因素身份驗證（MFA）為其建立了一道防護屏障。這就像是希望自己不會被黑客攻擊之間的區別。

知道你已經做了所有可能的事情來防止它。 MFA 工具箱：從好到防彈 並非所有 MFA 都是平等的。讓我們將常見的方法從最不安全到最安全進行排名，特別針對加密貨幣。 1. 短信驗證（“比什麼都沒有好”選擇） 工作原理：在輸入密碼後，交易所會將一次性代碼發送到你註冊的手機。

電話號碼。 優點：這種方式無處不在，設置簡單，絕對比沒有多重身份驗證要好。它增加了至關重要的第二層保護。 缺點（而且真的很糟糕）：這是針對高價值目標的最弱多重身份驗證形式。它容易受到SIM卡交換攻擊的威脅，這是一種詐騙者通過社交工程手段說服你的移動運營商轉移你的手機號碼的毀滅性攻擊。

號碼轉移到他們控制的SIM卡上。一旦這樣做，所有的驗證短信將發送給他們，而不是你。對於加密貨幣持有者來說，這是一個災難性的風險。 裁決：避免將這用於你的主要交易賬戶。如果這是你唯一的選擇，暫時使用，但要立即尋求升級。不要依賴SMS驗證來保護你的主要加密資產。 2. 驗證器應用程序（The

大多數的金標準) 運作方式：您在智能手機上安裝一個應用程序，如 Google Authenticator、Authy 或 Microsoft Authenticator。當您在交易所啟用它時，網站會顯示一個 QR 碼。您用應用程序掃描它，然後應用程序會與交易所共享一個秘密密鑰。該應用程序每 30 秒生成一個新的、基於時間的六位數代碼。登錄時，您需要您的密碼和

當前應用程式的代碼。 優點： 無網絡漏洞：它不依賴您的手機信號或短信，因此對SIM卡交換免疫。 離線功能：代碼是使用秘密密鑰和當前時間在您的設備上本地生成的。即使您的手機處於飛行模式，它也能正常運作。 廣泛支持：幾乎所有主要的加密貨幣交易所都支持此功能。

網絡服務支持身份驗證器應用程式。 壞處：如果你丟失了手機或手機在沒有備份的情況下關閉，你可能會被鎖定在你的帳戶之外。不過，大多數應用程式和交易所都有健全的恢復流程（我們稍後會討論）。 判決：這是你應該使用的最低標準。它完美結合了高安全性和用戶友好的便利性。 3.

物理安全密鑰（福特諾克斯選項） 運作方式：您購買一個小型硬件設備，例如 YubiKey 或 Google Titan Key。您將其註冊到您的交易所。在登錄時，輸入密碼後，系統會提示您實際觸碰該密鑰（該密鑰插入您的 USB 端口或通過 NFC 連接到您的手機）。 優點： 防釣魚：這是它的

超能力。如果你不小心在一個假冒的釣魚網站上輸入你的密碼，攻擊就會失敗。這個密鑰會加密檢查網站的域名；如果不是正規的交易所，它將拒絕進行身份驗證。它實際上無法被欺騙。 終極安全：這是一個專用設備，沒有其他軟件，使其免受可能的惡意軟件或遠程攻擊。

針對智能手機應用程式。 缺點： 成本：你需要購買密鑰（通常為 $25 至 $70）。 可攜性：你必須隨身攜帶密鑰才能登錄。最適合用於主要在家中使用的設備（桌面電腦）或安全攜帶以便移動訪問。 設置：設置稍微技術性一些，但仍然非常簡單。 結論：這是最高

對於零售加密貨幣投資者來說，安全性的重要性不言而喻。如果你持有大量加密貨幣，YubiKey 的成本是你能買到的最佳保險。 加強你的交易所賬戶的逐步指南 步驟 1：下載身份驗證器應用程式 前往你手機的應用商店，下載 Google Authenticator（簡單，屬於 Google）或 Authy（功能豐富，帶雲端支持）。

備份）。對於大多數人來說，Authy 的備份功能使其成為一個贏家，減少了“手機丟失”的風險。 步驟 2：深入了解您的交易所安全設置 登錄您的交易所（例如，Binance、Coinbase、Kraken）。導航至設置 &gt; 安全 &gt; 雙重身份驗證 (2FA)。用詞會略有不同，但位置始終在安全部分。

步驟 3：啟用身份驗證器應用程式 MFA 您可能會看到 SMS 和「身份驗證器應用程式」或「TOTP」的選項。請選擇身份驗證器應用程式的選項。網站將顯示一個 QR 碼。 步驟 4：掃描並保護 打開您的身份驗證器應用程式，點擊「+」按鈕，然後掃描 QR 碼。應用程式將立即開始為您的交易所生成代碼。

**第5步：備份您的恢復代碼！！！ ** 這是每個人都會跳過的最關鍵步驟。交易所現在會顯示一組16位數的備份或恢復代碼。請將這些代碼寫在紙上。將它們存放在安全的地方，例如防火保險箱或安全存款箱。這些代碼是您在失去對身份驗證器應用程式的訪問權限時的生命線。請將它們視為您進入帳戶的鑰匙。

vault。 步驟 6：確認及測試 交易所會要求你輸入應用程式中的其中一個代碼，以確認設置是否正常運作。請這樣做。恭喜你！你的帳戶現在安全性大幅提升。 （對於安全鑰匙）過程類似：你需要進入安全設置，選擇「安全鑰匙」或「U2F」，插入你的鑰匙，然後按照指示進行。

促使註冊它。 如果……？處理常見的多重身份驗證困擾 我丟了手機/手機壞了！這就是為什麼你需要那些紙質備份代碼！使用其中一個代碼登錄並立即禁用舊的多重身份驗證。然後，設置一個新的。如果你使用Authy，你可以預先配置一個備份密碼，並輕鬆在新設備上恢復你的代碼。 我的代碼無法使用！這是

幾乎總是因為你手機上的時鐘不同步。進入你的身份驗證器應用程式的設置，啟用「代碼時間修正」或檢查你的手機設置，確保它設置為自動更新時間。 我正在旅行，沒有我的密鑰。這就是為什麼擁有多種方法是明智的。你可以擁有一個身份驗證器

應用程式作為您的安全密鑰的備份，或確保您已在密碼管理器中安全存儲備份代碼（雖然紙質備份是最好的）。 超越交易所：安全文化 MFA 不僅僅是為了您的交易所。將這種心態應用到每個地方： 您的電子郵件帳戶：這是您數字生活的主密鑰。如果黑客獲得了您的電子郵件，他們可以重置幾乎所有的密碼。

每個其他帳戶。用身份驗證器應用程序或安全密鑰來保護它。 您的密碼管理器：存放所有密鑰的保險箱應該擁有最強的鎖。 社交媒體：特別是與您在加密貨幣中的公開身份相關聯的任何帳戶。 最後的話：您的主權，您的責任 加密革命是關於重新獲得財務主權。但

擁有強大權力就伴隨著巨大的責任。花五分鐘啟用強大的多重身份驗證是履行這份責任最簡單、最有效的方法。這是成為這個新金融世界中一位認真參與者的基本要求。 不要成為統計數字。不要讓可避免的錯誤抹去多年來的投資和信念。超越密碼。

鎖定它。

保護你的加密資產

漣漪效應：一個微弱的環節如何能夠摧毀你的加密財富

超越密碼：使用多重身份驗證 (MFA) 鎖定您的加密財富