在 Exbix，安全不僅僅是一個功能；它是我們所做一切的基石。您已經看過我們關於冷儲存、雙重身份驗證和網絡釣魚詐騙的博客。我們的白帽駭客團隊全天候工作，對我們的系統進行壓力測試，建造數位堡壘，以保護您的比特幣、以太坊和其他數位資產的安全。我們安然入睡，因為我們的直接

防禦措施在行業中是最強大的之一。 但如果我告訴你，對你的加密貨幣最大的威脅可能根本不是對 Exbix 的直接攻擊呢？ 想像一下，一塊石頭落入平靜的池塘中。衝擊是局部的，但漣漪向外擴散，影響整個表面。在我們這個高度互聯的數位世界中，網絡風險的運作方式也是如此。對一個

單一的、看似無關的公司&mdash;一個軟體提供商、一家行銷代理商，甚至是一個暖通空調承包商&mdash;都能對整個生態系統產生震撼波，甚至影響到你的交易所錢包。 這就是第三方和供應鏈網路風險的現實。這是數位世界中擁有一扇無防備後門的等價物，因為你相信隔壁的房東會有一個

良好的鎖定。對於加密貨幣交易所來說，信任是唯一真正的貨幣，理解這種漣漪效應不是選擇，而是生存的必需。 <h3 class="wp-block-heading">超越我們的牆壁：我們到底在談論什麼？</h3> 讓我們來拆解一下術語。 <ul class="wp-block-list"> <li>第三方風險：&nbsp;這是

我們組織（Exbix）面臨的風險來自任何可以訪問我們數據、系統或流程的外部實體。想想你通過 API 連接到 Exbix 帳戶的應用程式，我們用來追蹤網站性能的分析公司，或者我們使用的客戶支持軟體。</li> <li>供應鏈網絡風險：&nbsp;這是一種特定的，且往往更具破壞性的風險類型，

第三方風險。這涉及對供應商的攻擊，然後被用作侵害&nbsp;他們&nbsp;的客戶——我們的跳板。臭名昭著的SolarWinds攻擊就是一個經典例子，惡意代碼被注入到軟體更新中，然後分發給數千家公司，包括政府機構。</li> </ul> 對於Exbix來說，我們的“供應

鏈接不僅僅是關於實體物品；它關乎於保持我們交易運行的數位工具和服務。這包括： <ul class="wp-block-list"> <li>錢包和保管服務提供商：&nbsp;我們可能會整合的服務，以增強流動性或安全性。</li> <li>KYC/AML 驗證服務：&nbsp;幫助我們的外部公司。

我們驗證身份並確保遵守法規。在這方面的漏洞將是一場隱私災難。</li> <li>雲端基礎設施提供商（AWS、Google Cloud 等）：&nbsp;我們建立在他們的基礎上。他們的安全性本質上就是我們的安全性。</li> <li>軟體供應商：&nbsp;從我們的客戶關係管理（CRM）軟體到我們的內部通訊工具

像 Slack 或 Microsoft Teams。</li> <li>行銷與分析平台：&nbsp;在我們網站上運行的代碼，用於追蹤用戶行為。</li> </ul> 這些鏈接中的任何一個漏洞都可能成為我們的漏洞。 <h3 class="wp-block-heading">為什麼加密貨幣交易所是供應鏈中的主要目標</h3> 我們不僅僅是一個網站。

我們是一個高價值的目標，攻擊者越來越務實。為什麼要浪費精力試圖破門而入，當他們可以從供應商辦公室的一扇防守不嚴的窗戶悄悄進入呢？ <ol class="wp-block-list" start="1"> <li>明顯的獎勵：數位資產。&nbsp;竊取加密貨幣的直接財務誘因是無與倫比的。它是

無邊界、偽名化，並且可以在幾分鐘內不可逆轉地轉移。</li> <li>數據的寶藏。&nbsp;即使他們無法直接訪問熱錢包，您的數據仍然極具價值。了解您的客戶（KYC）數據——護照、駕駛執照、自拍照——在暗網上是一座金礦。這些信息可以用於身份盜竊、針對性

釣魚攻擊，甚至勒索。</li> <li>破壞的力量。&nbsp;有些攻擊者並不是為了金錢，而是為了混亂。通過供應鏈攻擊來破壞主要交易所可能會導致市場的巨大波動，侵蝕整個加密空間的信任，並可用於市場操縱。</li> </ol> <h3 class="wp-block-heading">過去違規的幽靈：

前線的教訓</h3> 我們不需要想像，這已經發生過了。 <ul class="wp-block-list"> <li>CodeCov 資料洩漏事件（2021 年）：&nbsp;攻擊者入侵了 CodeCov 使用的一個腳本，這是一個被數千名軟體開發者使用的程式碼覆蓋工具，其中包括一些加密領域的開發者。這個惡意腳本使他們能夠竊取憑證。

和開發環境中的 API 金鑰。想像一下，如果這些金鑰可以訪問一個新的交易功能的測試環境。攻擊者可能在這個功能甚至尚未部署之前就找到了後門。</li> <li>Kaseya VSA 勒索病毒攻擊（2021 年）：&nbsp;雖然不是專門針對加密貨幣，但這是一個波及效應的範本。通過攻擊一個單一的軟體供應商，管理

服務提供商（MSPs），攻擊者向數千家下游企業部署了勒索軟體。如果一個 MSP 管理了一個加密貨幣交易所的 IT，整個交易所的內部系統可能會被加密並要求贖金。</li> </ul> 這些並不是理論上的情況。它們是 Exbix 可能被間接攻擊的藍圖。 <h3 class="wp-block-heading">Exbix

防護：我們如何加強整個鏈條</h3> 了解風險只是戰鬥的一半。另一半是建立一種警覺的韌性文化。在Exbix，我們的做法是多層次且持續的。 1. 嚴格的供應商入職和盡職調查： 在我們與任何第三方簽訂合同之前，他們都會接受一項安全評估，這會讓大多數人感到震驚。

審計師會臉紅。我們不僅僅依賴他們的說法；我們要求證據。這包括： <ul class="wp-block-list"> <li>安全問卷：&nbsp;針對他們的安全實踐、政策和事件響應歷史的詳細詢問。</li> <li>認證檢查：&nbsp;我們要求提供像是 SOC 2 Type II、ISO 27001 或其他相關的認證。</li>

他們的服務。</li> <li>滲透測試評價：&nbsp;我們會評估他們最新獨立滲透測試的結果。</li> </ul> 2. 最小權限原則： 這是我們的座右銘。任何第三方都不會獲得超出其執行特定功能所需的訪問權限。一個行銷分析工具並&nbsp;不&nbsp;需要寫入權限。

到我們的數據庫。支援代理不&nbsp;需要&nbsp;查看您的完整錢包餘額。我們通過嚴格的身份和訪問管理（IAM）政策來確保這一點。 3. 持續監控，而非一次性檢查： 安全性不是一個勾選框。去年安全的供應商今天可能不再安全。我們持續監控供應商的安全狀態。

我們訂閱威脅情報來源，隨時提醒我們所使用軟體中的新漏洞。我們定期重新審核我們的關鍵供應商，以確保他們的標準沒有下降。 4. 零信任架構： 我們假設安全漏洞是不可避免的。因此，我們對任何實體——無論是內部還是外部——都不會默認信任。

每個訪問請求都會被驗證，每筆交易都會被確認，每個設備都會被檢查。這種架構包含了“漣漪”效應，並防止它在供應商受到攻擊時擴散到我們整個系統。 5. 事件響應計劃&nbsp;與&nbsp;我們的供應商： 我們的事件響應計劃並不止於我們的數位邊界。我們有

與我們的主要供應商保持清晰的協議。如果這些協議被違反，我們知道該聯繫誰、該詢問什麼，以及應採取哪些立即措施來切斷連接並保護您的數據。我們定期演練這些情境。 <h3 class="wp-block-heading">您在鏈中的角色：共同責任</h3> 安全是一種夥伴關係。在我們努力保護整個生態系統的同時，您

也是這個鏈條中至關重要的一環。以下是您可以幫助的方式： <ul class="wp-block-list"> <li>注意 API 金鑰：&nbsp;當您通過 API 金鑰將第三方應用程式（例如，投資組合追蹤器）連接到您的 Exbix 帳戶時，您正在為自己創造一個新的第三方風險。僅對您完全信任的應用程式授予連接權限，並定期檢查和撤銷權限。

不再使用的應用程式。</li> <li>小心釣魚詐騙&hellip; 即使來自 &ldquo;可信&rdquo; 來源：&nbsp;供應商的電子郵件列表被駭客攻擊是一個常見的入侵點。您可能會收到一封看似來自我們使用的合法公司的精心製作的釣魚電子郵件。始終保持懷疑態度。切勿點擊要求提供憑證的電子郵件中的鏈接。始終通過直接導航到

該網站直接。</li> <li>使用獨特且強大的密碼：&nbsp;如果您在多個網站上重複使用密碼，而其中一個網站（對您來說是第三方）被攻擊者入侵，攻擊者可以利用該密碼嘗試訪問您的交易所帳戶。密碼管理器是您在這方面的最佳防禦。</li> <li>在所有地方啟用雙重身份驗證：&nbsp;不僅僅是在您的Exbix帳戶上，而是在任何

與之相關的服務，特別是您的電子郵件。這是防止帳戶被盜取的最有效方法。</li> </ul> <h3 class="wp-block-heading">建立信任的漣漪，而非風險</h3> 加密貨幣的世界建立在去中心化和互聯互通的基礎上。這是它的優勢，但也是其潛在的致命弱點。在 Exbix，我們致力於

深刻意識到我們的安全性僅僅取決於我們擴展數位供應鏈中最薄弱的環節。 我們致力於不僅建造堅不可摧的防線，還要對觸及我們生態系統的每一個連接進行地圖繪製、監控和加固。我們在這方面的投資，因為您的信任和資產不僅僅是儀表板上的指標；它們是我們存在的理由。 

漣漪效應是一股強大的力量。我們的使命是確保我們創造的漣漪僅僅是創新、安全和堅定信任的漣漪。 Exbix 團隊 保持安全。保持知情。

漣漪效應：一個單一的弱環如何能夠毀掉你的加密財富

讓我們坦白一點。你用於加密貨幣交易所帳戶的密碼？那個包含你狗的名字和出生年份的密碼？它並不是保護你數字資產的堅固大門，而是一扇紗窗。只要有一位決心堅定的攻擊者，手裡只需一個鍵盤記錄器、一封釣魚郵件，或是從其他網站洩漏的密碼列表，

違規行為，可能會直接突破它。 在傳統金融中，您有保險、詐騙部門以及撤銷交易的能力。在加密貨幣中，您就是銀行、安全負責人和保險公司。口號「不是你的私鑰，就不是你的加密貨幣」令人振奮，但它也帶來了一個可怕的附帶條件：「你的私鑰，你的責任。」 這是

希望與行動相遇的地方。在這裡，您將超越密碼，擁抱對任何擁有數位資產的人來說最有效的安全升級：多重身份驗證（MFA）。 什麼是多重身份驗證？ 把它想像成進入一棟高安全性的建築。 您所知道的東西（密碼）：您告訴保安您的名字（您的用戶名）和一個

秘密代碼（您的密碼）。這是因素 1。 您擁有的東西（MFA 代碼）：保安會要求查看您的身份證或撥打您的電話進行驗證。這是因素 2。 MFA 需要兩個或更多這些不同的「因素」來授予訪問權限。即使黑客竊取了您的密碼（您所知道的東西），他們也會被徹底阻止，因為他們沒有您的

電話或安全密鑰（你擁有的東西）。 這些因素可分為三個類別： 知識：你知道的東西（密碼、個人識別碼、安全問題）。 擁有：你擁有的東西（你的智能手機、一個實體安全密鑰）。 固有：你是的東西（指紋、面部識別、視網膜掃描）。 為了保護你的加密貨幣交易所帳戶，我們正在

主要專注於將知識（您的密碼）與擁有權（身份驗證應用程式或安全金鑰）結合起來。 為什麼 MFA 對於加密貨幣是不可妥協的 在沒有 MFA 的情況下使用交易所，就像把您的一生積蓄放在門口的紙箱裡一樣。攻擊者的誘因極其高昂。 不可逆的交易：一旦加密貨幣從您的交易所錢包發送到

攻擊者的地址，一旦消失，就再也找不回來了。永遠消失。你無法打電話給任何 CEO 來幫你找回它。 全球性的匿名目標：你不僅僅是面對家鄉的那個孩子；你還可能成為來自世界各地的高級國際犯罪集團的潛在目標。 複雜性的錯覺：許多人相信他們的密碼是“強”的。

足夠&rdquo;或他們認為&ldquo;目標不夠大。&rdquo;這是一個危險的謬誤。攻擊者使用自動化機器人，毫不疲倦地每秒嘗試登錄數千個帳戶。只要擁有帳戶，您就是目標。 在您的交易所帳戶上啟用多因素身份驗證（MFA）就像在其周圍建立了一道防護屏障。這是希望不會被駭客攻擊與實際採取措施之間的區別。

知道你已經做了所有可能的事情來防止它。 MFA 工具箱：從良好到防彈 並非所有的 MFA 都是平等的。讓我們將常見的方法從最不安全到最安全進行排名。 1. 短信驗證（“比什麼都沒有好”選項） 運作方式：在輸入密碼後，交易所會向您註冊的手機發送一次性代碼。

電話號碼。 優點：它無處不在，易於設置，絕對比沒有多重身份驗證要好。它增加了至關重要的第二層保護。 缺點（而且真的很糟糕）：這是針對高價值目標的最弱多重身份驗證形式。它容易受到SIM卡交換攻擊的威脅，這是一種詐騙者通過社交工程手段說服你的行動運營商轉移你的手機號碼的毀滅性攻擊。

號碼到他們控制的SIM卡。一旦他們這樣做，所有的驗證短信都會發送給他們，而不是你。對於加密貨幣持有者來說，這是一個災難性的風險。 判決：避免將此用於你的主要交易所帳戶。如果這是你唯一的選擇，暫時使用，但要立即尋求升級。不要依賴短信驗證來保護你的主要加密資產。 2. 認證器應用程式（The

大多數的黃金標準) 運作方式：您在智慧型手機上安裝像是 Google Authenticator、Authy 或 Microsoft Authenticator 的應用程式。當您在交易所啟用它時，網站會顯示一個 QR 碼。您用應用程式掃描它，然後該應用程式會與交易所分享一個秘密金鑰。該應用程式接著每 30 秒生成一個新的基於時間的六位數代碼。要登錄，您需要您的密碼和

當前應用程式的代碼。 優點： 無網路漏洞：它不依賴於您的手機信號或簡訊，因此對SIM卡交換免疫。 離線功能：代碼在您的設備上使用秘密金鑰和當前時間本地生成。即使您的手機處於飛行模式下也能正常運作。 廣泛支持：幾乎所有主要的加密貨幣交易所都支持此功能。

網路服務支援身份驗證應用程式。 壞處：如果您丟失了手機或手機在沒有備份的情況下關機，您可能會被鎖定在帳戶之外。不過，大多數應用程式和交易所都有健全的恢復流程（我們稍後會討論）。 結論：這是您應該使用的最低標準。它完美結合了高安全性和使用者友好的便利性。 3.

實體安全金鑰（福特諾克斯選項） 運作方式：您購買一個小型硬體設備，例如 YubiKey 或 Google Titan Key。您將其註冊到您的交易所。在登錄時，輸入密碼後，系統會提示您實際觸碰金鑰（該金鑰插入您的 USB 埠或通過 NFC 連接到您的手機）。 優點： 防釣魚：這是它的

超能力。如果你不小心在假冒的釣魚網站上輸入了密碼，攻擊就會失敗。這個密鑰會加密檢查網站的域名；如果不是正規的交易所，它將拒絕進行身份驗證。它在物理上無法被欺騙。 終極安全：這是一個專用設備，沒有其他軟體，使其對可能的惡意軟體或遠程攻擊免疫。

針對智能手機應用程式。 缺點： 成本：您需要購買密鑰（通常為 $25 – $70）。 可攜性：您需要隨身攜帶密鑰才能登錄。最適合用於您主要在家中使用的設備（桌面電腦）或安全攜帶以便移動訪問。 設置：設置過程稍微技術性，但仍然非常簡單。 結論：這是最高的

對於零售加密貨幣投資者來說，安全性是至關重要的。如果您持有大量加密貨幣，YubiKey 的成本將是您能夠購買的最佳保險。 加強您的交易所帳戶的逐步指南 步驟 1：下載身份驗證器應用程式 前往您手機的應用商店，下載 Google Authenticator（簡單，屬於 Google）或 Authy（功能豐富，支持雲端）。

備份）。對於大多數人來說，Authy 的備份功能使其成為一個獲勝者，減輕了“手機遺失”的風險。 步驟 2：深入了解您的交易所安全設置 登錄到您的交易所（例如，Binance、Coinbase、Kraken）。導航至設置 &gt; 安全 &gt; 雙重身份驗證 (2FA)。措辭會略有不同，但位置始終在安全部分。

步驟 3：啟用身份驗證器應用程式 MFA 您可能會看到 SMS 和「身份驗證器應用程式」或「TOTP」的選項。選擇身份驗證器應用程式的選項。網站將顯示一個 QR 碼。 步驟 4：掃描並保護 打開您的身份驗證器應用程式，點擊「+」按鈕，然後掃描 QR 碼。應用程式將立即開始為您的交易所生成代碼。

**步驟 5：備份您的恢復代碼！！！ ** 這是每個人都會跳過的最關鍵步驟。交易所現在會顯示一組 16 位數的備份或恢復代碼。請將這些代碼寫在紙上。將它們存放在安全可靠的地方，例如防火保險箱或安全存款箱。這些代碼是您在失去對身份驗證器應用程式的訪問權限時的救命稻草。請將它們視為您安全的鑰匙。

vault。 第六步：確認與測試 交易所會要求您輸入應用程式中的其中一個代碼，以確認設置是否正常運作。請這樣做。恭喜您！您的帳戶現在安全性大幅提升。 （對於安全密鑰）過程類似：您需要進入安全設置，選擇「安全密鑰」或「U2F」，插入您的密鑰，然後按照指示進行操作。

提示以註冊它。 如果……？處理常見的多重身份驗證困擾 我丟了手機/手機壞了！這就是為什麼你需要那些紙質備份代碼！使用其中一個代碼登錄並立即禁用舊的多重身份驗證。然後，設置一個新的。如果你使用 Authy，你可以預先配置一個備份密碼，並輕鬆在新設備上恢復你的代碼。 我的代碼無法使用！這是

幾乎總是因為你手機上的時鐘不同步。進入你的身份驗證器應用程式的設定，啟用「代碼的時間校正」，或檢查手機的設定以確保它設置為自動更新時間。 我正在旅行，沒有我的密鑰。這就是為什麼擁有多種方法是明智的。你可以擁有一個身份驗證器

應用程式作為您的安全金鑰備份，或者確保您將備份代碼安全地存儲在密碼管理器中（雖然紙本是最好的選擇）。 超越交易所：安全文化 MFA 不僅僅適用於您的交易所。將這種心態應用到每個地方： 您的電子郵件帳戶：這是您數位生活的主鑰匙。如果黑客獲得了您的電子郵件，他們可以重置幾乎所有的密碼。

每個其他帳戶。用身份驗證器應用程式或安全金鑰來保護它。 您的密碼管理器：保存所有密鑰的保險庫應該配備最強的鎖。 社交媒體：尤其是與您在加密貨幣中公開身份相關聯的任何帳戶。 最後的話：您的主權，您的責任 加密革命是關於重新獲得財務主權。但

擁有強大的權力就伴隨著巨大的責任。花五分鐘啟用強大的多重身份驗證是履行這份責任最簡單、最有效的方法。這是成為這個新金融世界中認真參與者的基本要求。 不要成為統計數字。不要讓一個可避免的錯誤抹去多年來的投資和信念。超越密碼的限制。

鎖定它。

保護您的加密資產

漣漪效應：一個單一的弱環如何能夠毀掉你的加密財富

超越密碼：利用多重身份驗證 (MFA) 鎖定您的加密財富