CoinEx 創始人楊海坡：幣安被盜暴露其開發與運維環境未完全隔離等三項本可避免的問題

ChainCatcher 消息，礦池 ViaBTC 及交易平台 CoinEx 創始人兼 CEO 楊海坡在 X 發文，評論幣安安全事件。他稱，該事件至少暴露三項本可避免的失誤，這些問題並不需要複雜技術，缺少的是紀律。

楊海坡指出，第一，開發與運維環境未完全隔離，擁有生產環境權限的人員應使用專用設備，且不安裝第三方軟體，編碼、聊天和網頁瀏覽應在另一台設備上進行。第二，運維體系缺少有效的雙重驗證，單一密鑰即可操作生產服務，密鑰一旦洩露，攻擊者即可獲得完整生產權限。他認為，生產操作可通過類似 AWS 瀏覽器端 Session Manager 的方式進行，並以硬體安全密鑰作為第二因素，避免單一憑證洩露即構成突破。第三，MPC 多簽僅有其名，簽名方未對交易做實質性獨立核驗，攻破一個節點即可使整套機制失效，效果與單簽無異。多簽只有在簽名方彼此不信任、各自獨立核驗交易本身、而非信任上游請求時才有效。

11 月 3 日，幣安發布 10 月 29 日安全事件初步調查結果。幣安稱，約 63.4 億美元數字資產受到影響，截至更新時約 28.5 億美元已凍結或攔截，受影響代幣中 98% 已完成補足。報告稱，攻擊者取得內部錢包簽名服務的未授權訪問，並利用以太坊 EIP-7702 對熱錢包實施授權；由於熱錢包採用多方計算，無法用單一私鑰立即撤銷相關授權。幣安引述 FBI 資訊稱，朝鮮應對此次事件負責。