Defiance Capital創始人：60枚NFT被盜之後我是如何防騙的？

Defiance Capital創始人：60枚NFT被盜之後我是如何防騙的？

本文梳理自Defiance Capital創始人Arthur在個人社交媒體平臺上的觀點，律動BlockBeats對其整理翻譯如下：

起初，以下內容僅寫給我們的投資組合公司和合作夥伴。 一番思考過後，我認為應該將它們開源。

經過研究和與頂尖網路安全專家的溝通，我們相信駭客組織BlueNorOff正在進行一個有組織的籌謀，目標是加密領域的所有知名組織。 鑒於他們的社會工程攻擊十分高明，我相信他們已繪製了整個加密領域的關係圖，知道什麼樣的釣魚郵件最有可能通過我們的心理防線。

關鍵我們要高度意識到，加密行業正在成為一個受國家支助的網絡犯罪組織的積極目標。 這個組織非常機智和老練，他們甚至可能在未來變換工具和攻擊模式。 一旦現時的攻擊方法變得不那麼有效，例如最近出現的木馬化DeFi App和錢包攻擊。 為了成功，朝鮮很可能會為該組織投入更多資源，從而擴大攻擊的强度。

拋開所有標標準准的網路安全建議不談，在網路安全意識强的朋友的協助下，我提出了以下這些不完全的加密相關安全建議。 希望這將防止類似事件發生在我們任何人身上。

將鏈上加密資產存儲在企業級託管解決方案上

一個硬體錢包不足以保障EOA（Externally owned account），因為他們可以插入一個虛假的Metamask瀏覽器擴展，從而準予非預期的交易。 至少它應該是一個Gnosis Safe這樣由幾個硬體錢包保障的多簽錢包。 我強烈推薦使用Fireblocks、Copper、Qredo等更高級別的託管解決方案，因為它們自帶用於交易審批的原生多簽2FA錢包。

招聘遠程團隊要進行額外的盡職調查

招聘遠程團隊要進行額外的盡職調查，尤其是雇傭軟體工程師或開發人員。 「Lazarus APT集團甚至參與創建開發加密貨幣軟件的虛假公司。」 我們從我們的一個投資組合公司那聽說，他們軟體工程師職位的申請人面試時很可疑，也與他們簡歷中的樣貌不相符。

配寘專用於加密交易的電腦

應該要有專門的電腦，只用於從事加密交易，不與任何電子郵件、互聯網連結、消息應用程序、MS word檔案、PDF等互動。

為所有登入實施2FA

雖然不是針對加密，但也重要到要提個醒。 雲存儲、電子郵件、Telegram等消息應用程序都應該開啟2FA登入。 請用Google身份驗證代替簡訊2FA。

應盡可能使用YubiKey這樣的硬體2FA錢包，公司和個人帳戶都是。

將常用加密DApp網站加入書簽

有時候搜尋引擎會搜出釣魚網站，要是蒐索過程中一個不小心，你可能就會上了一個釣魚網站。 最好通過書簽清單訪問加密DApp網站。

撤銷不需要的Token授權

Token授權允許另一方移動你的資產，是與大多數智慧合約互動的必要條件。 避免無限制的Token授權，並定期撤銷不必要的授權，這可以用Revoke做到。

建立一個地址監控系統

內部的加密貨幣錢包地址應該被密切監控，以便在未經授權的交易發生時，團隊可以立即察覺並儘快採取行動。 Etherscan和Nansen都提供這樣的解決方案。

為團隊成員定期舉行網路安全培訓

所有團隊成員在入職時都應接受網路安全培訓，但這往往隨著組織發展會被忽略掉。

通過正確配寘電子郵件的DNS設定，防範釣魚和垃圾郵件

盡可能對SPF（發件人策略框架）、DKIM（域金鑰識別郵件）和DMARC使用hard-fail模式或嚴格模式。

信任瀏覽器而非網站

任何瀏覽器欄下方的內容都可能是不安全的，是潜在的攻擊媒介。 如果你沒有登錄，一些DApp可能會彈出一個視窗，要求你登入到你的加密錢包。 切勿輸入密碼。更多加密貨幣知識合約交流line:ningyu77