CoinEx 创始人杨海坡：币安被盗暴露其开发与运维环境未完全隔离等三项本可避免的问题

ChainCatcher 消息，矿池 ViaBTC 及交易平台 CoinEx 创始人兼 CEO 杨海坡在 X 发文，评论币安安全事件。他称，该事件至少暴露三项本可避免的失误，这些问题并不需要复杂技术，缺少的是纪律。

杨海坡指出，第一，开发与运维环境未完全隔离，拥有生产环境权限的人员应使用专用设备，且不安装第三方软件，编码、聊天和网页浏览应在另一台设备上进行。第二，运维体系缺少有效的双重验证，单一密钥即可操作生产服务，密钥一旦泄露，攻击者即可获得完整生产权限。他认为，生产操作可通过类似 AWS 浏览器端 Session Manager 的方式进行，并以硬件安全密钥作为第二因素，避免单一凭证泄露即构成突破。第三，MPC 多签仅有其名，签名方未对交易做实质性独立核验，攻破一个节点即可使整套机制失效，效果与单签无异。多签只有在签名方彼此不信任、各自独立核验交易本身、而非信任上游请求时才有效。

11 月 3 日，币安发布 10 月 29 日安全事件初步调查结果。币安称，约 63.4 亿美元数字资产受到影响，截至更新时约 28.5 亿美元已被冻结或拦截，受影响代币中 98% 已完成补足。报告称，攻击者取得内部钱包签名服务的未授权访问，并利用以太坊 EIP-7702 对热钱包实施授权；由于热钱包采用多方计算，无法用单一私钥立即撤销相关授权。币安引述 FBI 信息称，朝鲜应对此次事件负责。