在Exbix，安全不仅仅是一个功能；它是我们所做一切的基础。您已经看过我们关于冷存储、双重身份验证和网络钓鱼诈骗的博客。我们的白帽黑客团队全天候工作，压力测试我们的系统，构建数字堡垒以保护您的比特币、以太坊和其他数字资产安全。我们安然入睡，因为我们知道我们的直接

防御措施是行业中最强大的之一。 但如果我告诉你，对你的加密货币的最大威胁可能根本不是对Exbix的直接攻击呢？ 想象一下，一块石头落入静止的池塘。冲击是局部的，但涟漪向外扩散，影响整个表面。在我们这个高度互联的数字世界中，网络风险的运作方式也是如此。对一个

单个看似无关的公司&mdash;一个软件供应商、一个营销机构，甚至一个暖通空调承包商&mdash;都可能对整个生态系统产生冲击，甚至影响到你的交易所钱包。 这就是第三方和供应链网络风险的现实。这就像是数字世界中有一个没有防守的后门，因为你信任了隔壁的房东会有一个

良好的锁定。对于一个加密货币交易所来说，信任是唯一真正的货币，理解这种涟漪效应不是可选的——而是生存的必需。 <h3 class="wp-block-heading">超越我们的墙壁：我们到底在谈论什么？</h3> 让我们来解析一下术语。 <ul class="wp-block-list"> <li>第三方风险：&nbsp;这是

我们组织（Exbix）面临的风险来自任何可以访问我们数据、系统或流程的外部实体。想想您通过API连接到Exbix账户的应用程序、我们用来跟踪网站性能的分析公司，或我们使用的客户支持软件。</li> <li>供应链网络风险：&nbsp;这是一种特定的，且往往更具破坏性的风险类型，

第三方风险。这涉及对供应商的攻击，随后被用作侵害&nbsp;他们&nbsp;客户——我们的跳板。臭名昭著的SolarWinds攻击就是一个经典例子，恶意代码被注入到软件更新中，然后分发给包括政府机构在内的数千家公司。</li> </ul> 对于Exbix，我们的“供应

链并不只是关于物理小工具；它涉及的是保持我们交易运行的数字工具和服务。这包括： <ul class="wp-block-list"> <li>钱包和保管服务提供商：&nbsp;我们可能会整合以增强流动性或安全性的服务。</li> <li>KYC/AML 验证服务：&nbsp;帮助我们进行合规的外部公司。</li>

我们验证身份并确保遵守监管要求。这里的任何泄露都是一次隐私灾难。</li> <li>云基础设施提供商（AWS、Google Cloud 等）：&nbsp;我们在他们的基础上构建。他们的安全性本质上就是我们的安全性。</li> <li>软件供应商：&nbsp;从我们的客户关系管理（CRM）软件到我们的内部沟通工具

像 Slack 或 Microsoft Teams。</li> <li>营销和分析平台：&nbsp;在我们的网站上运行的代码，用于跟踪用户行为。</li> </ul> 这些链接中的任何一个漏洞都可能成为我们的漏洞。 <h3 class="wp-block-heading">为什么加密交易所是供应链中的主要目标</h3> 我们不仅仅是另一个网站。

我们是一个高价值的目标，攻击者越来越务实。与其费力地试图撬开我们的前门，不如悄悄从供应商办公室一个防守薄弱的窗户溜进去？ <ol class="wp-block-list" start="1"> <li>明显的奖品：数字资产。&nbsp;盗取加密货币的直接经济动机是无与伦比的。它是

无边界、伪匿名，并且可以在几分钟内不可逆转地转移。</li> <li>数据的宝藏。&nbsp;即使他们无法直接访问热钱包，您的数据依然极具价值。了解您的客户（KYC）数据——护照、驾驶执照、自画像——在黑暗网络上是一座金矿。这些信息可以被用于身份盗窃、针对性

钓鱼攻击，甚至勒索。</li> <li>颠覆的力量。&nbsp;一些攻击者并不是为了金钱，而是为了混乱。通过供应链攻击破坏一个主要交易所可能导致市场巨大波动，侵蚀整个加密领域的信任，并可用于市场操纵。</li> </ol> <h3 class="wp-block-heading">过去泄露的幽灵：

前线的教训</h3> 我们不需要想象，这已经发生过了。 <ul class="wp-block-list"> <li>CodeCov 数据泄露（2021）：&nbsp;攻击者入侵了 CodeCov 使用的一段脚本，这是一款被数千名软件开发者使用的代码覆盖工具，其中包括一些在加密领域的开发者。恶意脚本使他们能够窃取凭证

和开发环境中的 API 密钥。想象一下，如果这些密钥可以访问一个新交易功能的测试环境。攻击者可能在该功能上线之前就找到了后门。</li> <li>Kaseya VSA 勒索软件攻击（2021 年）：&nbsp;虽然不是专门针对加密货币的，但这是一个关于涟漪效应的经典案例。通过攻击一个单一的软件供应商，管理

服务提供商（MSP），攻击者向数千家下游企业部署了勒索软件。如果某个 MSP 为加密货币交易所管理 IT，那么整个交易所的内部系统可能会被加密并被要求支付赎金。</li> </ul> 这些并非理论。这些是 Exbix 可能被间接攻击的蓝图。 <h3 class="wp-block-heading">Exbix

盾牌：我们如何加强整个链条</h3> 了解风险只是战斗的一半。另一半是建立一种警惕的韧性文化。在Exbix，我们的方法是多层次和持续的。 1. 严格的供应商入驻和尽职调查： 在与任何第三方签署合同之前，他们必须经过安全评估，这一过程会让大多数人感到震惊。

审计师会感到害羞。我们不仅仅听信他们的话；我们要求证据。这包括： <ul class="wp-block-list"> <li>安全问卷：&nbsp;关于他们的安全实践、政策和事件响应历史的详细询问。</li> <li>认证检查：&nbsp;我们要求提供如SOC 2 Type II、ISO 27001或其他相关的认证。</li>

他们的服务。</li> <li>渗透测试评估：&nbsp;我们评估他们最新独立渗透测试的结果。</li> </ul> 2. 最小权限原则： 这是我们的座右铭。没有第三方获得超过其绝对需要的访问权限来执行其特定功能。营销分析工具&nbsp;不&nbsp;需要写入权限。

到我们的数据库。支持代理&nbsp;不&nbsp;需要查看您完整的钱包余额。我们通过严格的身份和访问管理（IAM）政策来执行这一点。 3. 持续监控，而非一次性检查： 安全不是一个打勾的选项。去年安全的供应商今天可能就不安全。我们持续监控供应商的安全态势。

我们订阅威胁情报源，以便及时了解我们使用的软件中的新漏洞。我们定期重新审计我们的关键供应商，以确保他们的标准没有下降。 4. 零信任架构： 我们假设安全漏洞是不可避免的。因此，我们默认不信任任何实体——无论是网络内部还是外部。

每个访问请求都会被验证，每笔交易都会被确认，每个设备都会被检查。这种架构包含了“涟漪效应”，并防止在供应商受到威胁时，它在我们整个系统中扩散。 5. 事件响应计划&nbsp;与&nbsp;我们的供应商： 我们的事件响应计划并不止于我们的数字边界。我们有

与我们的主要供应商建立清晰的协议。如果这些协议被违反，我们知道该联系谁、询问什么，以及采取哪些立即措施来切断连接并保护您的数据。我们定期进行这些场景的演练。 <h3 class="wp-block-heading">您在链中的角色：共同的责任</h3> 安全是一个合作关系。当我们努力保护整个生态系统时，您

也是这条链中的重要环节。以下是您可以帮助的方法： <ul class="wp-block-list"> <li>注意 API 密钥：&nbsp;当您通过 API 密钥将第三方应用（例如，投资组合追踪器）连接到您的 Exbix 账户时，您正在为自己创造一个新的第三方风险。仅向您绝对信任的应用授予连接权限，并定期审查和撤销权限。

不再使用的应用程序。</li> <li>警惕钓鱼攻击……即使来自“可信”来源：&nbsp;供应商的邮件列表被黑客攻击是一个常见的入侵点。您可能会收到一封看似来自我们使用的合法公司的精心制作的钓鱼邮件。始终保持怀疑。切勿点击要求提供凭据的邮件中的链接。始终通过

该网站直接。</li> <li>使用独特且强大的密码：&nbsp;如果您在多个网站上重复使用同一个密码，而其中一个网站（对您来说是第三方）被攻击，攻击者可以利用该密码尝试访问您的交易所账户。密码管理器是您在这里最好的防御。</li> <li>在所有地方启用双重身份验证：&nbsp;不仅仅是在您的Exbix账户上，而是在任何

与其相关的服务，尤其是您的电子邮件。这是防止账户被接管的最有效方法。</li> </ul> <h3 class="wp-block-heading">建立信任的涟漪，而非风险</h3> 加密货币的世界建立在去中心化和互联互通的基础上。这是它的优势，但也是潜在的致命弱点。在Exbix，我们致力于

深刻意识到我们的安全性仅与我们扩展数字供应链中最薄弱的环节息息相关。 我们致力于不仅建立坚不可摧的防线，还要绘制、监控并加强每一个与我们生态系统相关的连接。我们对此进行投资，因为您的信任和资产不仅仅是仪表盘上的指标；它们是我们存在的理由。 

涟漪效应是一种强大的力量。我们的使命是确保我们创造的唯一涟漪是创新、安全和坚定信任的涟漪。 Exbix团队 保持安全。保持知情。

涟漪效应：一个微弱环节如何可能毁掉你的加密财富

让我们坦诚一点。你用来登录加密货币交易所账户的密码？那个包含你狗的名字和出生年份的密码？它并不是保护你数字财富的坚固大门，而是一扇纱窗。一个决心坚定的攻击者，只需一个键盘记录器、一封网络钓鱼邮件，或者一份从其他网站泄露的密码列表，就能轻易突破这道防线。

漏洞，可能会直接穿透它。 在传统金融中，你有保险、欺诈部门和撤销交易的能力。在加密货币中，你就是银行、安全负责人和保险公司。口号“不是你的密钥，就不是你的加密货币”让人感到振奋，但它也带来了一个可怕的附带条件：“你的密钥，你的责任。” 这就是

希望与行动相遇的地方。在这里，您超越了密码，接受了任何拥有数字资产的人都可以使用的最有效的安全升级：多因素认证（MFA）。 多因素认证到底是什么？ 想象一下，您正在进入一栋高安全性的建筑。 您知道的东西（密码）：您告诉保安您的名字（用户名）和一个

秘密代码（您的密码）。这是因素1。 您所拥有的东西（MFA代码）：保安会要求查看您的身份证明，或者拨打您的电话进行验证。这是因素2。 MFA要求两个或更多不同的“因素”来授予访问权限。即使黑客窃取了您的密码（您所知道的东西），他们也会完全被阻止，因为他们没有您的

电话或安全密钥（你拥有的东西）。 这些因素分为三个类别： 知识：你知道的东西（密码、PIN码、安全问题）。 拥有：你拥有的东西（你的智能手机、物理安全密钥）。 固有：你本身的特征（指纹、面部识别、视网膜扫描）。 为了保护你的加密交易所账户，我们

主要专注于将知识（您的密码）与拥有（身份验证应用程序或安全密钥）结合起来。 为什么多重身份验证对加密货币至关重要 在没有多重身份验证的情况下使用交易所，就像把您的全部积蓄放在门口的纸箱里。攻击者的诱惑极其巨大。 不可逆转的交易：一旦加密货币从您的交易所钱包发送到

攻击者的地址，一旦丢失，便再也无法找回。没有CEO可以打电话让它回到你手中。 全球化的匿名目标：你不仅仅是家乡那个小孩的对手；你可能成为来自世界各地的复杂国际犯罪团伙的目标。 复杂性的错觉：许多人认为他们的密码是“强大”的。

“足够”或“目标不够大”。这是一个危险的谬论。攻击者使用自动化机器人，每秒不知疲倦地尝试登录成千上万的账户。只要你有账户，你就是一个目标。 在你的交易账户上启用多因素认证（MFA）就像为它建立了一道防护屏障。这是希望自己不会被黑客攻击与实际采取防护措施之间的区别。

知道你已经尽一切可能去防止它。 MFA工具箱：从好到无懈可击 并非所有的MFA都是平等的。让我们按安全性从低到高对常见方法进行排名。 1. 基于短信的身份验证（“比什么都没有好”选项） 工作原理：在输入密码后，交易所会向你注册的手机发送一次性代码。

电话号码。 优点：它无处不在，设置简单，绝对比没有多因素认证要好。它增加了至关重要的第二层保护。 缺点（而且真的很糟糕）：这是针对高价值目标的最弱多因素认证形式。它容易受到SIM卡交换攻击的威胁，这是一种欺诈者通过社交工程手段说服你的移动运营商转移你的手机号码的毁灭性攻击。

号码到他们控制的SIM卡。一旦他们这样做，所有的验证短信都会发送给他们，而不是你。对于加密货币持有者来说，这是一个灾难性的风险。 裁决：避免将此用于你的主要交易账户。如果这是你唯一的选择，暂时使用它，但立即寻求升级。不要依赖SMS认证来保护你的主要加密资产。 2. 认证器应用程序（The

大多数人的黄金标准) 它是如何工作的：您在智能手机上安装一个应用程序，如 Google Authenticator、Authy 或 Microsoft Authenticator。当您在交易所上启用它时，网站会显示一个二维码。您用应用程序扫描它，应用程序随后与交易所分享一个秘密密钥。然后，应用程序每 30 秒生成一个新的基于时间的六位数代码。要登录，您需要输入您的密码和

当前应用程序的代码。 优点： 无网络漏洞：它不依赖于您的手机信号或短信，因此对SIM卡交换免疫。 离线功能：代码在您的设备上使用秘密密钥和当前时间本地生成。即使您的手机处于飞行模式，它也能正常工作。 广泛支持：几乎所有主要的加密货币交易所都支持。

网络服务支持身份验证器应用程序。 坏处：如果您丢失了手机或手机在没有备份的情况下死机，您可能会被锁定在账户之外。不过，大多数应用程序和交易所都有强大的恢复流程（我们稍后会讨论）。 结论：这是您应该使用的最低标准。它完美结合了高安全性和用户友好的便利性。 3.

物理安全密钥（福特诺克斯选项） 它的工作原理：您购买一个小型硬件设备，如 YubiKey 或 Google Titan Key。您将其注册到您的交易所。当登录时，在输入密码后，系统会提示您物理接触密钥（该密钥插入您的 USB 端口或通过 NFC 连接到您的手机）。 优点： 防钓鱼：这是它的

超级力量。如果您不小心将密码输入到一个假冒的钓鱼网站，攻击将失败。密钥会加密地检查网站的域名；如果它不是正规的交易所，它将拒绝认证。它在物理上无法被欺骗。 终极安全：这是一个专用设备，没有其他软件，使其免受可能的恶意软件或远程攻击。

目标是智能手机应用。 缺点： 成本：您需要购买密钥（通常为25美元至70美元）。 便携性：您需要随身携带密钥才能登录。最好用于您主要在家使用的设备（台式机）或安全携带以便移动访问。 设置：设置稍微需要一些技术，但仍然非常简单。 裁决：这是最高

零售加密投资者的安全级别。如果您持有大量加密货币，YubiKey 的成本是您能买到的最佳保险。 加强您的交易所账户的逐步指南 步骤 1：下载身份验证器应用 前往您手机的应用商店，下载 Google Authenticator（简单，由 Google 拥有）或 Authy（功能丰富，支持云端）

备份）。对于大多数人来说，Authy 的备份功能使其成为赢家，降低了“手机丢失”的风险。 步骤 2：深入了解您的交易所安全设置 登录到您的交易所（例如，Binance、Coinbase、Kraken）。导航到设置 &gt; 安全 &gt; 双重身份验证 (2FA)。措辞会略有不同，但位置始终在安全部分。

步骤 3：启用身份验证器应用程序 MFA 您可能会看到 SMS 和“身份验证器应用程序”或“TOTP”的选项。选择身份验证器应用程序选项。网站将显示一个二维码。 步骤 4：扫描并保护 打开您的身份验证器应用程序，点击“+”按钮，然后扫描二维码。该应用程序将立即开始为您的交易所生成代码。

**第5步：备份您的恢复代码！！！ ** 这是每个人都跳过的最关键一步。交易所现在会显示一组16位的备份或恢复代码。请将这些写下来，保存在纸上。将它们存放在安全、可靠的地方，比如防火保险箱或安全存款箱。这些代码是您失去访问身份验证器应用程序时的生命线。请像对待您家门钥匙一样对待它们。

vault。 步骤 6：确认和测试 交易所会要求您输入应用程序中的一个代码以确认设置是否正常。请这样做。恭喜您！您的账户现在安全性大大提高。 （对于安全密钥）过程类似：您需要进入安全设置，选择“安全密钥”或“U2F”，插入您的密钥，然后按照

提示以注册它。 如果……？处理常见的 MFA 难题 我丢了手机 / 手机坏了！这就是为什么你需要那些纸质备份代码！使用其中一个代码登录并立即禁用旧的 MFA。然后，设置一个新的。如果你使用 Authy，你可以预先配置一个备份密码，并轻松在新设备上恢复你的代码。 我的代码不起作用！这就是

几乎总是因为你手机上的时钟不同步。进入你的身份验证器应用的设置，启用“代码时间校正”或检查你手机的设置，以确保它设置为自动更新时间。 我正在旅行，没带我的密钥。这就是为什么拥有多种方法是明智的。你可以有一个身份验证器

应用程序作为您的安全密钥的备份，或者确保您将备份代码安全地存储在密码管理器中（尽管纸质备份是最好的）。 超越交换：安全文化 MFA 不仅仅是为了您的交换。将这种思维方式应用到各个地方： 您的电子邮件账户：这是您数字生活的主密钥。如果黑客获取了您的电子邮件，他们可以重置几乎所有的密码。

每个其他账户。用身份验证器应用或安全密钥保护它。 您的密码管理器：存放您所有密钥的保险库应当配备最强的锁。 社交媒体：尤其是与您在加密领域的公开身份相关联的任何账户。 最后的话：您的主权，您的责任 加密革命是关于重新获得金融主权的。但

拥有强大权力就意味着承担重大责任。花五分钟启用强大的多因素身份验证是履行这一责任的最简单、最有效的方法。这是成为这个新金融世界中认真参与者的基本要求。 不要成为统计数据。不要让一个可避免的错误抹去多年的投资和信任。超越密码。

锁定它。

保护您的加密资产

涟漪效应：一个微弱环节如何可能毁掉你的加密财富

超越密码：通过多因素认证（MFA）保护您的加密财富