SPACE KOL 观点概览

Jim（Head of Security Response ，@zan_team）从技术角度分析了交易所账户安全问题，指出通过设置请求头中的校验字段可以有效防止 cookie 被盗。

长尼玛（资深合约开发者，@raylin51） 作为经验丰富的合约开发者，强调了严格的安全策略在资产操作中的必要性，并分享了个人在交易所安全策略上的观察和体验。

SilveryGray（500w 资产被盗受害者，@GraySilvery）通过个人经历讲述了被黑客攻击的过程，提醒大家在使用 web3 钱包时的潜在风险。

Eaton（安全研究员，@EatonAshton2） 作为安全研究员，分析了对敲交易的机制，并建议用户在下载浏览器插件时注意权限问题，避免潜在的安全风险。

戈多 Godot（Manta Network 核心贡献者，@戈多 Godot）分享了在 Manta 负责 research content 的工作经验，强调了社区在 DAO 治理中的重要性。

在自由讨论环节，专家们就以下问题进行了深入探讨：

• 个人资产放在钱包还是交易所更安全？大部分嘉宾认为，这取决于用户的个人风险偏好、资产规模和交易频次。钱包提供了最高的安全性，但便利性较低；而交易所虽然便捷，但安全性依赖于其安全体系。
• 如何提高个人资产的安全性？建议包括使用冷热钱包分离策略、多签技术、警惕钓鱼网站和欺诈信息，以及定期审计账户和资产。
• 监管在加密货币领域的作用？嘉宾们普遍认为，适度的监管介入有助于提高资产安全性，尤其是在资产被盗后的追回过程中。

Space 精彩回顾

主持人 Raiko（BD of MetaEra，@Raiko_Cheng）：在 5 月 24 日的一起金额高达 500w 的 Web3 用户资产被盗事件中，黑客在未获得某交易所账号密码及二次验证信息的情况下，成功盗取了用户账户内所有资金。这起事件的关键在于黑客利用了对敲交易和浏览器插件的安全漏洞。那其中的对敲交易以及浏览器插件为什么可以让盗墓者的目的得以得逞呢？

当事人第一视角事件回顾

SilveryGray（500w 资产被盗受害者，@GraySilvery）：我是 17 年入圈的，两轮牛熊，归零 5 次。关于这次被盗事件，我并非通过交易所，而是使用了一款 Web 3 钱包。

五天前的一个早晨，我离开酒店后浏览了我投资的项目官方推特。发现在官方账号的推文下，有人伪装成官方补充信息，其用户名和官方极为相似——尽管账号不同。我通常不会随意领取不明奖励，但那次却意外地想要尝试。回家后，我登录了钱包并复制了一个链接。在钱包浏览器中打开链接，页面上仅有一个“连接钱包”的按钮。由于我对技术不太熟悉，便认为这是一个常规操作。连接后，我意识到需要授权才能转移资产，但当我连接后立刻感觉到了不对劲。我仔细检查后发现链接名称有误，这时我意识到可能遭遇了盗窃。这就是我的整个经历。谢谢。

问题一：如何保护个人资产免受黑客攻击？

Jim（Head of Security Response ，@zan_team）：首先，交易所账户和二次验证机制实际上是为了获取用户的登录状态，也就是我们熟知的 cookie。通过这种状态，可以绕过传统的账号密码直接访问系统，这在网络攻防中很常见。

从技术角度来看，浏览器插件拥有极高的权限，能够访问网站的所有数据，包括用户的 cookie。例如，浏览器的密码管理器就是一个插件，能够利用 JS 代码将用户名和密码输入到相应的输入框中，因此它也能够获取用户的 cookie。个人用户应避免安装来源不明的浏览器插件。如果必须安装，最好先检查源代码，确认没有可疑的 cookie 抓取函数或关键字。

严格来说，这并不算是一个漏洞，CVE 也不会将其归类为漏洞。但从技术层面上，交易所完全有能力避免因用户 cookie 泄露导致的账户被接管的问题。例如，可以在请求头中设置一个 token 等校验字段，用这些校验字段作为用户凭证，而不仅仅依赖 cookie，这样可以有效地防止 cookie 被盗用。这些是我的一些看法。

长尼玛（资深合约开发者，@raylin51）：技术层面 Jim 已全面分析，我从策略角度分享我的观点。国内多家银行软件的安全策略严格，如在切换屏幕后重新输入密码，这在资产操作中尤为重要。例如，早期的 Gate 交易所要求用户在登录后设置资金密码，以解锁短期交易权限，虽然过程繁琐，但提供了额外的安全保障。然而，随着交易便捷性的需求增加，Gate 交易所取消了这一策略，这在对敲交易等安全问题上显得不够保险。

对敲交易并非新现象，早在 2021 年就有用户因此类问题遭受损失。这再次提醒我们，中心化交易所的安全策略亟需加强。安全策略的制定应平衡用户便利性和资产保护，以防止类似对敲交易的事件发生。中心化交易所作为资产守护的重要一环，必须重视并持续优化其安全机制。

Eaton（安全研究员，@EatonAshton2）：我想补充一下关于交易所资金密码的重要性。资金密码可以在一定程度上防止资产被盗。即使黑客通过盗取 cookie 登录了交易所账户，没有资金密码他们也无法进行交易。

对敲交易是一种常见的手法，黑客可能选择流动性较低的币种，通过受害者账户挂单，再以自己的账户以较低的价格买入，从而将资金转移到自己账户上，造成损失。

此外，我想强调浏览器插件的安全性。Chrome 浏览器插件权限很大，下载后浏览器会提示用户插件所需的权限。我个人建议，对于任何看起来权限过大或不明确的插件，最好先阅读权限说明，如果不确定其安全性，应选择卸载避免使用。这是预防类似安全事件的有效方法。

戈多 Godot（Manta Network 核心贡献者，@戈多 Godot）：前面的嘉宾已经覆盖了很多要点。我想补充的是，首先，我们应该避免下载来源不明的插件，即便某些插件得到了 KOL 的推荐，那些国外 KOL 曾经推广过的我们也要保持警惕。有时，KOL 或者项目方官方可能会发布空投等福利信息，但即便如此，我建议大家还是先耐心等待，不要急于参与。因为这些信息很可能来自被盗的账号，发布的是虚假信息。总之，谨慎是关键，谢谢大家。

问题二：AI 换脸技术的安全挑战如何应对？

在五月初，一名黑客通过登录邮箱账号，然后点击忘记密码，并同步构建了一个假身份以及 AI 换脸的视频。绕开了防火墙，进一步也更换了手机号码、邮箱以及谷歌的验证器。在随后的 24 小时之内，盗取了一名用户在交易所的所有资产。

Jim（Head of Security Response ，@zan_team）： Deepfake 技术正成为网络攻击的一种常见手段。黑产利用这种技术制造假物料，发起批量攻击，并通过认证绕过手段，如利用缺陷生成假脸，来进行攻击。

在安全领域，防火墙无法防范这类认证绕过攻击。例如，某些交易所在用户忘记密码后，可能仅依赖单一的人脸认证，缺乏纵深防御体系，这可能导致安全漏洞。在高安全要求的场景下，特别是在设备首次登录或异常环境下，不推荐仅使用 OCR 和人脸认证，而应结合短信等双因素认证。

对于算法对抗，人脸认证领域的攻防非常激烈，存在众多变异特征和工具，不能仅依赖单一算法。我们应建立完整的人脸防御体系，如同支付宝所做的那样，结合终端安全、体系化算法对抗，并根据当前攻防态势进行快速响应。

如果个人遇到此类攻击，排查困难，应立即联系交易所报告账号被盗情况，并尽可能冻结账户，修改访问信息，并启用双因素认证。同时，保留相关证据，尝试追回资产。

长尼玛（资深合约开发者，@raylin51）：Deepfake 技术虽然先进，但生成过程中可能出现 bug，比如面部特征失真。目前，采用支付宝级别的安全验证措施，应该足以应对这类问题。然而，从个人防护角度来说，提供具体的防护建议非常困难。

个人信息泄露等问题普遍存在，个人用户很难独立防范。我认为，应该呼吁交易所等机构提高人脸识别的安全性和认证标准，从根本上解决问题，而不是让用户自己去研究如何防护。个人防护能力有限，需要安全公司的合作和专业技术的支持，这才是最好的解决方案。

SilveryGray（500w 资产被盗受害者，@GraySilvery）：我想从一个普通用户的角度谈谈我的看法。虽然及时通知交易所冻结可疑账户是一种有效手段，但这种方法并非完美。黑客往往有组织的，他们转移资产的速度非常快。我亲身经历过这样的情况，当我的资产被盗后，黑客迅速将资产转移，等我联系交易所冻结对方账户时，账户里的资产已经被提空了。

这表明，我们在追回被盗资产时，速度很难跟上黑客。维权过程非常困难，因为我们往往处于劣势。

Eaton（安全研究员，@EatonAshton2）：关于 AI 事件，我认为问题在于交易所的安全设置不足。邮箱安全性相对较低，通常修改密码需要邮箱验证码、手机验证码或双重验证。然而，该事件中，黑客仅通过上传身份证和 AI 视频便绕过了其他安全验证，显示出风控措施的缺失。

当安全设置被重置后，交易所应至少在 24 小时内限制相关操作，并将重置状态通知用户，以便用户有足够的时间做出反应并保护账户。但在这个案例中，黑客在 24 小时内就转移了资产，这是不可接受的。

我还经历过在某个交易所通过 C2C 购买 USDT 后，没有受到任何提币限制，这存在洗钱风险。目前看来，交易所的风控措施还有待加强。关于被盗资产的追踪，交易所反应迟缓或要求提供大量材料后才冻结账户，这使得追踪和恢复被盗资产变得极其困难。尽管我们正尝试与交易所合作沟通，但目前这仍是一个棘手的问题。

戈多 Godot（Manta Network 核心贡献者，@戈多 Godot）：我非常赞同之前嘉宾提出的观点。首先，我认为交易所应立即修改安全设置，在 24 小时内限制提现操作。此外，将资产存入交易所本身就基于一种安全假设。如果交易所内部有人出卖用户信息，这实际上很难防范。作为普通用户，我们能做的就是保留证据，向交易所申诉并维权，希望能够得到赔偿。

另外，对于普通用户，包括我自己在内，我建议不要在公共场合或社交媒体上炫耀财富，以免泄露个人信息。例如，我了解到有币圈朋友在巴厘岛旅行时，因为在路上玩手机被飞车党抢走手机，并在手机上打开了他的钱包应用，导致资产被盗。因此，我们应该避免在公共场合暴露自己的财务状况。

还有，之前发生过黑客在线下活动中通过扫码体验项目的方式传播木马程序的事件。所以，提醒大家在参加各类活动时要保持警惕，不要轻易扫码或下载不明来源的应用程序。这些都是我们在保护个人资产时需要注意的重要事项。谢谢。

问题三：用户的个人资产放在钱包更安全，还是交易所更安全

Jim（Head of Security Response ，@zan_team）：关于资产存储的选择，我认为应依据个人的风险偏好、资产规模和交易频率来决定。持有私钥的钱包在安全性上是最高的，尽管可能会牺牲一些便利性。同时，私钥的管理至关重要，需要防范网络钓鱼等社会工程学攻击。

对于资产较大且交易不频繁的用户，使用钱包可能更合适。而选择交易所存储，意味着将私钥托管给交易所，安全性完全依赖于交易所的安全体系。目前，许多交易所在网络安全和风控体系方面存在不足，缺乏深度的防护措施，并未达到金融级的安全标准。

建议每个人采取最佳安全实践，包括端安全、网络安全、云上安全、硬件安全和多因素验证。交易所需要加强安全措施，不应仅仅依赖登录凭证或基本的防护设备。

长尼玛（资深合约开发者，@raylin51）：在讨论资产管理时，我的观点是，资产规模在 A7 到 A8 之间的用户面临一个特别复杂的情况。这个阶段的资产，既不算少，但也不至于多到可以无视风险。我个人更倾向于将资产存储在链上。这样做的原因是基于对交易所可能存在的风险的考虑，例如交易所可能倒闭或出现提币问题，就像 FTR 所发生的那样。

如果你的资产规模达到 18 以上，你不太可能只有单一的资产形式。你可能会进行多元化投资，包括法币、金融产品、黄金等，并可能将它们存放在银行。而对于更大规模的资产，可能会达到需要银行服务的级别。对于较小规模的资产，人们可能更倾向于使用链上存储。

我之前讨论安全时提到，最能赔偿你损失的地方就是最安全的地方，这主要适用于散户或普通用户。但是，当你管理的资产规模较大时，可能需要考虑将资产放在交易所。这时，我们需要质疑交易所是否有足够的实力来支付可能的赔款，这是我个人的一点理解。

我认为，将资产放在链上是一种个人选择。如果你信任交易所并愿意将资产安全交给他们，那么存放在交易所也是可接受的。但这样做意味着你将资产的控制权交给了第三方。如果你能接受这种风险，并且相信交易所有足够的能力赔偿潜在损失，那么这对你来说可能是一个合适的选择。然而，我个人更倾向于自己控制资产，尽管这可能涉及更多的管理工作。

SilveryGray（500w 资产被盗受害者，@GraySilvery）：我想补充两点。首先，我要指出的是，我的资产被盗事件发生在 Solana 链上，并非以太坊的 ERC20 代币。其次，我想提醒大家，仅仅因为钱包连接到了一个网站，并不意味着没有发生授权。在点击钓鱼网站的链接时，可能在不经意间就已经授权了某些操作，这可能导致账户被盗。我自己就有这样的经历，点击链接钱包后，我的资产就被盗了。我咨询了区块链安全公司，他们告诉我，即使在钱包的授权列表中看不到任何内容，也不代表没有授权。

因此，我强烈建议大家在连接钱包之前，一定要仔细核对链接的安全性。如果不幸被盗，追回资产的可能性非常小。我选择通过大型交易所进行交易，因为至少在出现问题时，有可能会得到交易所的帮助和赔偿。而在链上，一旦资产被盗，损失往往需要自己承担。

我的经验告诉我，无论钱包提供商的声誉如何，在出现问题后，他们能做的非常有限。因此，我建议在同等条件下，选择大型交易所进行交易，这样在遇到问题时，有更多的用户可以一起维权，得到更多的帮助和支持。这是我个人的看法，谢谢大家。

Eaton（安全研究员，@EatonAshton2）：在 Solana 上，用户点击签名后，可能无意中授权了某些操作，这与 EVM 的机制不同。我提醒大家，Solana 平台上的交互需要格外小心，因为只需要一次签名就可能转移走你钱包中的所有资产。

我想强调的是，用户在进行链上交互时，一定要仔细检查，确保了解所进行的操作。基于用户自身的需求，如果最看重安全，那么使用不联网的硬件钱包是最简单且安全的方法。但需要注意的是，硬件钱包的保管和私钥的保密是唯一的风险所在。

对于经常需要进行链上交互的用户，比如游戏玩家或交易者，可能更倾向于使用热钱包。而对于那些不太熟悉链上操作或对 Web3 钓鱼风险不太了解的用户，我建议将资产放在交易所可能更安全。大型交易所通常有赔付机制，用户需要警惕的主要是交易所可能面临的倒闭风险。

交易所倒闭前通常会有迹象，如提币速度变慢或资金大量流出。这些都可以给用户警示，让用户有时间做出反应。相比之下，如果用户缺乏区块链相关知识，将资产放在链上会更容易被盗，且通常没有人能够赔偿损失。因此，对于那些不太了解区块链的用户，我建议交易所可能是一个更安全的选择。谢谢大家。

戈多 Godot（Manta Network 核心贡献者，@戈多 Godot）：我认为资产隔离是一个关键原则。无论是交易所账户还是链上常用地址，都应进行区分。不应使用大额资金参与如领取空投或频繁交互的活动。

建议至少设置 2 到 3 个地址，其中一个作为主地址，存放主要资产，并在一个专用且不常用的电脑上操作。这相当于为你的资产上了保险。其他两个地址用于日常交互和领取空投，应在另一台电脑上操作。这样可以隔离电脑设备、地址，甚至交易所账户。大额资金的交易所账户应在不常用的电脑上操作，以降低风险。

我倾向于使用大型交易所，因为它们更可能在出现问题时提供赔付。不建议使用二三线交易所，因为它们可能存在流动性问题，甚至使用用户资金作为对手盘，这可能导致无法提币。选择受监管的顶级交易所可以避免这些风险。

总之，妥善保管私钥和冷钱包设备至关重要。如果冷钱包损坏，可能无法恢复资产。相比之下，交易所可能提供赔付。只要交易所不挪用用户资金，存放在交易所的资产相对安全。

问题四：日常交易中用户如何保护资产安全

Jim（Head of Security Response ，@zan_team）：在上一个问题中，各位嘉宾已经分享了多种保护资产的方法。我建议采取以下措施来确保资产安全：

1. 资产存储方式：采用冷热钱包区分的方法，冷钱包不联网，热钱包用于日常交易。
2. 多签名技术：使用多签名钱包增加交易的安全性。
3. 专用设备：对于大额交易，使用专用且不常用的电脑进行操作，减少风险。
4. 交易所选择：如果选择使用交易所，优先选择大型、信誉良好的交易所。
5. 安全设置：在交易所账户上启用所有可用的安全设置，包括双因素认证等高级安全选项。
6. 警惕钓鱼和欺诈：避免点击来自不明身份人士的链接或回复，特别是那些模仿可信账户的钓鱼链接或用户 ID。
7. 定期审计：定期检查账户和资产，留意任何异常活动。
8. 提高安全意识：最后，不断提升自己的网络安全意识。

通过这些措施，我们可以更有效地保护自己的资产安全。谢谢大家。

长尼玛（资深合约开发者，@raylin51）：我将分享我个人的一些安全操作习惯，这些习惯对于保护资产安全非常关键。

首先，我尽量避免在手机上进行高风险的链上操作，因为手机界面可能隐藏关键信息，如网址的完整域名。例如，在推特上看到项目空投，我不会急于点击链接，而是先检查发布者的资料，特别是共同关注者，以判断其真实性。这是一个有效识别高仿号的方法。

其次，我会在电脑上仔细检查任何链接的域名，确保它们是正规合法的，没有诸如数字"1"和字母"l"这样的易混淆字符。如果域名没有问题，我还会进一步观察点击链接后钱包的反应，警惕任何异常操作请求，如无故要求授权 NFT 或代币。

如果遇到可疑情况，例如被要求授权不明合约，我会立即停止操作，详细审查网站的其他信息，判断其合法性。如果发现任何不符合预期的异常行为，我会立即关闭网站，避免进一步的风险。

这些准则是我在技术领域工作时形成的，对于我个人而言非常有效。我建议每个人都应该建立一套自己的安全操作流程，并严格遵守，以提高安全性。

戈多 Godot（Manta Network 核心贡献者，@戈多 Godot）：为了提高网络安全，我推荐使用两个 Chrome 插件："Scam Sniffer"和"Wallet Guard"，它们可以帮助检测钓鱼网站。特别是"Scam Sniffer"，如果在 Twitter 上发现可疑链接，它会直接在平台上提示用户，这是一个非常有用的功能。

此外，我还建议利用社交媒体上的共同关注功能来判断账号的真实性。例如，DYM 项目方的官方账号和骗子账号可能在名称上非常相似，这种情况下，通过共同关注者的多少可以帮助我们辨别真伪。

在进行任何链上交互时，我们应该保持谨慎，不要急于操作。例如，当看到有项目方声称要发放空投时，不要立即行动。可以先等待一段时间，比如 24 小时，然后再检查相关信息是否仍然存在。如果信息被删除，可能意味着该项目方的账号已被盗。在确认没有其他受害者之后，再考虑是否参与。

如果确实需要打开某些看似诱人的网站，建议使用另一台电脑或在虚拟机中操作，以隔离风险，保护你的主要资产。这些步骤虽然简单，但却能显著提高我们的网络安全性。

Eaton（安全研究员，@EatonAshton2）：前面的嘉宾已经提供了非常全面的见解。在此基础上，我想补充一些关于浏览器插件的安全建议。我个人非常关注插件的权限问题，但许多人在使用时可能没有注意到这一点。

首先，当你下载一个浏览器插件时，应该花时间阅读其权限要求。如果插件请求读取剪切板、URL 或 cookie 等敏感信息，你需要仔细考虑这个插件是否可信和安全。如果对其安全性有疑问，最安全的做法是不要安装或使用该插件。我通常会避免使用权限过大的插件，并选择卸载它们。

此外，关于网页端交易所账户的使用，我建议在完成交易或任何操作后，直接退出账户，而不仅仅是关闭网页。这是一个容易被忽视但非常重要的安全习惯。许多用户直接关闭网页，却没有意识到登录状态可能仍然保持活跃。因此，确保在关闭网页前退出账户，可以减少账户被盗用的风险。

问题五：去中心化的加密世界仍需要中心化世界的管控和介入

Jim（Head of Security Response ，@zan_team）：面对加密货币被盗的问题，我认为需要一定程度的中心化介入来提供解决方案。个人消费者在遭遇资产被盗后，很难独立追踪和追回资产，特别是在没有专业帮助的情况下。

例如，如果币被盗，个人很难确定如何追踪资金流向或找到相关交易所进行维权。在这种情况下，中心化机构的介入就显得尤为重要。通过专业的 KYT（Know Your Transaction）功能，可以帮助追踪被盗资金的流向，并与交易所合作尝试追回或冻结资产。大家感兴趣欢迎试用 ZAN KYT：https://zan.top/home/know-your-transaction?chInfo=ch_wxdyh

然而，在完全去中心化的环境下，个人的安全意识变得至关重要。如果没有中心化机构的介入，我们就需要依靠自己的安全知识和意识来保护自己的资产。

长尼玛（资深合约开发者，@raylin51）：我认为，随着行业的发展，为了吸引更多的增量资金，合规性变得至关重要。只有合规，我们才能吸引包括散户在内的更多投资者。合规后，我们可能会看到类似 ETF 这样的产品出现，例如最近通过的 BTCETF 和即将通过的 ETHETF。

在我看来，未来中心化的交易所或在监管下的交易份额可能会大大超过非监管的链上交易份额。行业发展到这个阶段，安全性变得至关重要。我们需要确保包括散户在内的所有投资者的安全，并降低他们的使用门槛，这是行业发展的必然趋势。

我并不反对去中心化或强匿名性，但我认为这些在过去十年已经完成了它们的历史使命。现在，为了行业的持续增长，我们必须接受一定程度的中心化监管。这是不可避免的，也是我个人的观点。

SilveryGray（500w 资产被盗受害者，@GraySilvery）：这个问题确实非常复杂。一方面，我们不希望在交易中受到过多的干预，例如 A 股市场的印花税和手续费可能会影响用户体验。但另一方面，对于资产被盗的用户来说，我们迫切需要监管措施来帮助维权和追回损失。

说实话，我经历了整个过程，发现这几乎是不可能的任务。如果被盗金额较小，比如 500 到 1000 元，很难引起关注；而金额较大时，立案也不容易，因为破案难度大，长时间无法解决会给相关部门带来压力。而且，很多时候我们根本找不到真正的犯罪嫌疑人。KYC 流程复杂，对于普通用户来说，一旦被盗，几乎无从维权。即使找到了方向，也会在某个阶段遇到障碍。

我想提醒大家，对于超过 100 万的诈骗或盗窃案件，会上报至公安部，这类案件性质严重。但小额资金被盗，通过正规途径找回的可能性非常小。

此外，所有安全公司提供的追缴和调查服务都是收费的，没有免费服务或成功追回后才付费的协议。你必须先支付费用，而且不能保证一定能找到被盗资产。比如，如果需要先支付 2 万费用，面对十几万或 20 万的被盗金额，你是否愿意支付？这些都是需要考虑的问题。

作为普通散户，我目前能做的就是尝试各种方法。谢谢大家。

Eaton（安全研究员，@EatonAshton2）：关于 Web 3 的监管，这是一个非常复杂且宏大的议题。目前，全球越来越多的国家和地区开始关注并对 Web 3 进行监管。

从被盗用户资产的角度来看，中心化交易所和 OTC 的透明度对于监管至关重要。链上交易分析的清晰度对于追踪被盗资产非常有帮助。如果监管得当，用户找回被盗资产的可能性将大大增加。因此，普通用户的资产安全需要加密世界与现实世界的司法机关相互配合，以实现对用户的保护。我们并不希望监管过度，但适当的监管是必要的。

司法机关在加密世界与现实世界的交汇处扮演着重要角色，特别是在交易所、OTC 和支付渠道等方面。如果监管及时到位，并且司法机关、交易所和安全公司能够协同合作，将对被盗用户资产的追回提供极大帮助。我个人比较支持监管，希望监管能够覆盖 OTC 和中心化交易所，以提高用户资产的安全性。

戈多 Godot（Manta Network 核心贡献者，@戈多 Godot）：我觉得监管机构可以介入追缴和立案，但是不要去介入链上一些审查。