3月6日，比太钱包创始人，比特派钱包开发者文浩受邀参加了由巴比特主办的《SheKnows：暴雷，攻击，漏洞！拿什么来保护你，我的BTC？》线上AMA。并针对主持人在：1、宏观行业的安全；2、钱包的安全；3、DeFi的安全；4、给用户的建议，四个方面的问题进行了一一解答。
主持人：文浩总在行业内深耕多年，你觉得，现在的区块链行业比以前更安全了吗？
文浩：关于区块链行业的安全，虽然看起来到今天仍然是此起彼伏的黑客事件、安全事故、盗币案例，但相比起当年，其实是安全了很多个量级了，具体理由如下：1、硬件冷钱包技术和方案有了长足的发展，在比特币时代的早期，能有个Armory两台电脑冷热管理个币就不错了，而这类的方案其实很难用，所以还有一些交易所用电脑关机的方式来存储大额币，结果还曾出过电脑开机后被盗币的案例，更多的交易所其实就都是热钱包管币。再后来，出现了类似比太这种冷钱包方案，一些交易所开始用比太来存储大额币。随着硬件钱包技术的发展，Trezor、Ledger等优秀的硬件钱包方案也很好的帮助了行业内企业和个人安全的管理币。再到今天，我们也通过BITHD能为企业提供很多币种的多重签名资产管理功能。总体来讲，跟当年云服务器上直接存储这交易所私钥比起来，安全方面的进步经历了好几个阶段，发展到今天当然要安全很多了。2、开始出现了越来越多的专业的安全团队，比如说，在上一轮牛市前，币圈其实压根就没有什么安全团队，但这几年越来越多专业的安全团队和顶尖的安全人才开始入场，比如说国内的慢雾、派盾都很牛逼，国外牛逼的、逼格高大上也有很多，甚至像360这类的传统安全巨头也开始在区块链领域里发力，所有这些都能让行业更安全；3、币圈企业更有钱了，更有钱其实也很重要，因为有钱了就能在安全方面投入更大的资源；
日本暗示将出台更多Web3推广政策:金色财经报道，日本首相岸田文雄表示，该国年度总体政策大纲包括考虑用户保护的措施，同时还改善Web3代币的使用环境和振兴内容产业。
此前报道，日本首相表示，Web3是新型资本主义的一部分。[2023/7/25 15:57:05]
总之，今天的区块链安全状况跟当年比起来，其实水平是提高了非常多的，如果告诉你，当年Mtgox法胖会在以太笔记本电脑里存着几十万个比特币的私钥，你敢信吗？虽然行业更安全了，但其实行业所面临的安全复杂度则高了很多倍，比如说智能合约安全、多链资产的管理等等的，都给今天的行业安全带来了更多的挑战，所有这些都需要行业内的大家一起努力。
主持人：下面的访谈，我们将结合具体的安全事件进行讨论。
黑客利用IOTA官方钱包应用Trinity的漏洞窃取资金，随后官方宣布关闭整个网络。文浩总，怎么看待「Trinity钱包被盗导致主网关停」这件事？
文浩：关于Trinity钱包被盗，我个人没有做过深入分析，因为我们不太关注JavaScript核心的钱包，不过呢，看了慢雾的相关分析报告，非常专业，其实应该是MoonPay模块的问题，MoonPay是一个第三方交易模块，用来帮助海外用户买卖币的第三方服务，除了Trinity其实还有一些其它的钱包在用Moonpay。攻击者是利用了MoonPay的CloudflareAPIkey完成了一系列劫持攻击，注入了恶意的JavaScript代码，详细的报告大家可以去找下慢雾的文章。其实这就是过去这些年我们一直强调的“JavaScript钱包的安全天花板其实非常低”的原因。
阿联酋迪拜国民银行开设数字资产实验室:金色财经报道，阿联酋迪拜国民银行已经开设了一个数字资产实验室，利用数字资产及其基础技术为面向消费者的金融服务开发新的生态。该银行已经与专业服务公司普华永道以及数字资产转移和直接托管技术平台Fireblocks签署协议，成为创始委员会成员。
阿联酋迪拜国民银行首席运营官Abdulla Qassem表示，“我们新的数字资产实验室在行业合作伙伴的支持下，成为数字资产领域的创新、实验和合作中心。我们认为这是加速我们的转型之旅和开发优化客户体验的最新解决方案的又一步骤。”[2023/5/17 15:08:33]
主持人：DeFi是目前最热门的话题之一，相应的安全问题也浮出水面。
事件1：DeFi项目bZx遭受了两次攻击。事件发生后，DeFi保险平台NexusMutual兑付了bZx事件中3.1万美元的用户索赔。
事件2：去中心化稳定币交易平台Curve出现异常交易，该笔交易使用价值8.9万美元的USDC兑换了价值46.5万美元的BUSD。部分DeFi业内人士猜测，此次攻击或与DeFi协议iEarn提供的Zap智能合约有关。近期出现的DeFi安全事件，会不会引发用户对DeFi的信任危机？
文浩：我觉得Defi的安全事件并不会导致Defi的信任危机，就像当年的DAO事件，其实也没导致智能合约的逻辑危机一样。因为这类的安全事件，本身还是因为要么是业务逻辑、要么是智能合约安全所导致的，所以，不能因为出事儿了就连Defi都不相信了，合约有漏洞，那就把合约改好就好了，逻辑有问题，那就把逻辑修复下，Defi本身的根基还是不变的。当然，由于区块链和智能合约的复杂度，在这上面干活儿的安全风险相比起传统的软件开发要高很多倍，难度也大得多，因此，开发者们更要重视安全，与优秀的像慢雾这样的安全团队一起协作，努力搭建出更加安全可靠的Defi服务。就像交易所被盗并不意味着比特币就不安全了一样。安全事件能给我们敲响警钟，但Defi本身的逻辑是不变的。
百度虚拟形象驱动专利公布 可应用于元宇宙场景:10月17日消息，据天眼查，北京百度网讯科技有限公司“虚拟形象驱动方法、装置、电子设备及存储介质”专利公布。专利摘要显示，该专利涉及计算机视觉、深度学习以及增强现实等人工智能领域，可应用于虚拟形象生成以及元宇宙等场景。[2022/10/17 17:29:04]
主持人：比特派钱包有DeFi和CeFi的相关业务，DeFi和CeFi安全问题的区别是什么？目前DeFi项目存在什么样的安全风险？这两个问题文浩总怎么看？
文浩：关于Defi和Cefi在安全方面的区别，我这边还是有一些发言权的，因为比特派在这两块都有相关的产品和服务。首先呢，比特派在以太坊及USDT的钱包功能方面非常完善，ETH生态的Defi入口我们都已经做的很完备了，你在比特派里可以很方便的使用各类的Defi应用。同时呢，我们自己其实还有自己的Cefi产品，比特派钱包内就有完善的中心化借贷服务。这两者在安全方面的要求其实是有着本质的区别的。Defi的安全更重要的是智能合约的安全和业务逻辑的安全，你如果有一个智能合约代码漏洞，那上面的资产可能就完蛋了。而像前面提到的bZx先后两次遭受攻击，则是逻辑上的缺陷被攻击者利用然后进行的攻击。而这里呢，FlashLoan闪电贷是个非常优秀的想法，也是Defi创造力的很好的例子，但逻辑上有漏洞，那就会有很高的风险。Cefi的安全则不用管这些，Cefi的安全更多的则类似于交易所安全，因为用户是把币存在Cefi平台上的，你主要要担心的是黑客盗币。
欧盟证券监管机构公开招标，以获得主要交易所和加密资产相关数据:8月3日消息，一份公开招标文件显示，欧盟证券监管机构-欧洲证券和市场管理局（ESMA）已开始准备加强对加密交易的审查。此前，欧盟就监管加密货币行业的开创性规则达成了一致。虽然加密资产公司将由27个成员国的国家监管机构颁发牌照，但ESMA将监督更大的参与者。周二，ESMA向加密交易（包括现货交易和衍生品）数据供应商公开招标。
ESMA在其通知中表示：覆盖范围应包括所有主要交易所和加密资产，以提供加密市场的公允代表。数据应该以每天的频率提供，包括查看各个交易所和交易对（法币和加密货币）的价差和流动性的订单簿。据悉，该招标合同最高价值10万欧元。（路透社）[2022/8/3 2:56:16]
对于Defi开发者来说，说实话真正做好是非常难的。我们虽然并未直接参与到具体的Defi项目之中，但比特派其实还是开发过也使用过不少智能合约的，在这个过程中，和慢雾、派盾等安全团队也有过深入的合作，而其中说实话遇到的问题和所获得的成长、收获还是很多的，提醒各个Defi团队，安全真不能掉以轻心。
位于发现页的DeFi应用
主持人：好的，我们进入最后一个话题，关于用户资产的安全
毕马威发布的最新报告显示，2017年以来，黑客至少盗窃了98亿美元的加密货币。数字资产的安全变得愈发重要。普通用户应该如何保护自己的数字资产呢？如果发现自己的数字资产被盗，应该马上采取什么样的行动？
印度财政部发布关于1%源头税收减免的指导方针，将于7月1日生效:6月23日消息，印度财政部已发布关于1%源头税收减免（TDS）的指导方针，该指导方针将于7月1日生效。关于TDS，印度政府表示，加密货币资产交易必须在交易发生当月月底起30天内报告，扣除的金额必须在同一期限内支付给政府。报告交易的格式也由政府规定，对此政府将推出26QE表格。新规定还规定，纳税扣除者在向政府申报时，必须在15天内向收款人颁发TDS证书。如果数字资产的转让是以实物支付的，则必须提前缴纳该税。双方还必须保留虚拟数字资产的转让日期、对价和对价方式等细节。
据悉，TDS是对代表卖家在其平台上缴税的交易所施加的责任。它将按交易价值的1%计算。卖方将能够从其30%的总纳税义务中抵消1%的TDS。TDS是近年来印度引入的最具争议的加密货币税法之一，此次指导方针的发布为TDS提供了明确性。（CoinDesk）[2022/6/23 1:26:22]
文浩：首先，巨鲸用户因为SIM卡攻击丢币相当于再次验证了我们一直以来的一个观点，那就是不要用Web钱包、JavaScript钱包等安全架构天花板低的钱包，而我们其实是在2014年就反复强调过这一点的。Trinity、巨鲸用户这两个例子其实只是又给这类的悲剧增加了相同的案例而已。
作为最早开发钱包的团队之一，在过去六七年的时间里面，我们实在是看到了太多的被盗案例，而其中不少的丢币都是反复发生的，也就是说，五年前有人怎么丢币，现在仍然有人用相同的方式丢币。
在这里，我可以给大家这么几个钱包保护的意见：1、请使用有安全口碑的、架构合理的钱包方案，今天的这两个例子里用的都是不合理的方案导致的悲剧。2、请一定要保管好助记词，这里要说明一点，因为助记词保管不当丢币的实在是太多了。把助记词存到网盘、邮箱，截图存到相册并且不知道都备份在哪些应用同步到了云相册里的；聊天工具里随便一个子就能的你把助记词发给他的；助记词压根就没抄，然后把钱包删了手机扔了的；用草书抄助记词，连自己都认不出来的的；总之，各类的奇奇怪怪的因为助记词丢币的实在是太多了。3、日常的币存在热钱包里，大额的币存在开源的硬件冷钱包里，如果需要更高的安全级别请用加密账户；4、多人共管的币使用硬件冷钱包+多重签名共同管理，这类的丢币案例也很多，不能大意；
BitHD护盾&刀锋支持BTC、ETH、USDT、BCH、LTC、EOS及全系ERC20token的多签功能
如果发现数字货币资产被盗，那首先应该尽可能的联系行业内相关的企业，看看能不能帮你获取更多、更完整的相关信息，然后再去报警。当然，所有这些你都得指望盗你币的人是个笨贼，留下了足够多的蛛丝马迹，否则找回还是很困难的。
另外，像慢雾也有AML风控系统，并且慢雾也和包括比特派在内的钱包和交易所进行这相关风控合作，因此，也应第一时间报告给慢雾和比特派，大家可以一起看看能不能拦住相关资产的交易、兑换。
主持人：最后一个问题，针对当前区块链的安全环境，请嘉宾提出自己的建议。
文浩：当前区块链的安全环境方面：我个人觉得还是需要行业内的企业共同努力，虽然我之前提到过的相比起当年行业安全水平提高了非常多，但说实话离真正好的安全水平还是相差很多的，我这里可以举几个例子：比如说，一年前，如果你们企业想管理五千万美金的USDT，你们该怎么办？如果我告诉你，在当时没有任何好办法，能拿一个硬件钱包让一个人自己来管理就已经很不错了，你敢信吗？直到今天，仍然只有BITHD上能做原生的硬件钱包USDT多重签名，这其实就是行业内安全水平还有很多不足的地方，你们想想看，那个管理你们企业五千万USDT的人跑路了咋办？再比如说，现在有不少厂商宣传第三方托管服务，其安全性你也得打上个大大的问号。从当年的Bitgo开始，再到这一两年全球越来越多的第三方托管，大家宣传起来都是一副“托管在我们这里的，你就放心吧”的劲头。但问题是，如果你做一个交易所，请永远记住，请只用那些第三方托管服务来作为热钱包使用，永远别拿他们来当冷钱包，这类的错误方案所导致的悲剧实在是太多了。Bitgo的方案就先后坑过两家企业，一个是Bitfinex被盗了12万个比特币，另一个是Upbit，也是被盗了巨量资产，当然丢了之后Bitgo是不会管的，其实也没法管。其它的第三方托管服务也曾有过各种被盗币的案例。这道理其实很简单，你自己用个托管服务的apikey调用着就把币给发了，那黑客黑了你的交易所之后，用同样的apikey不一样能把币给发送到黑客自己的地址了吗？所以，哪怕你做了再多的安全防护，请只把第三方托管服务用于热钱包方案中，别存大额。
总之呢，行业的安全相比起当年有了非常多、全方位的进步，但仍有很多不足之处，大家仍有很多可做的事情让整个行业更安全！
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。