《UP牛来啦！》是UP链参于2020年新的线上访谈节目，主题：你不知道的安全潜规则
UP链参3月4日为大家邀请到的嘉宾是慢雾科技创始人余弦、imToken首席安全官 Blue、RenrenBit联合创始人王威，带来了干货满满的精彩分享。
以下是访谈实录（经编辑整理）
UP链参 修涤（主持人）：首先请三位老板做一个简单的自我介绍。
余弦(慢雾科技创始人)：
我是慢雾科技创始人余弦，慢雾科技是一家专注区块链生态安全的公司，是国内成立最早且比较国际化的区块链安全公司，
Blue（imToken首席安全官）：
大家好，我是Blue，目前在imToken任职首席安全官，负责公司整体的安全。imToken是一款去中心化的多链钱包，安全的首要一点就是坚持去中心化、让用户自己完全掌控私钥和资产，目前我们已经将钱包核心的代码开源：https://github.com/consenlabs/token-core，期望对区块链的发展贡献我们自己的一份力量；
同时发起了开源漏洞赏金计划：https://github.com/consenlabs/token-core/security/policy，也更新在了慢雾区平台上：https://slowmist.io/imtoken/index.html；奖金丰厚，欢迎并感谢大家帮我们一起加强安全。
王威（RenrenBit联合创始人）：
大家好，我是RenrenBit的联合创始人，RenrenBit目前是亚洲区域服务客户最多、业务规划最大借贷为主的区块链金融服务平台。除了RenrenBit之外，我们旗下还有istring 资金托管平台，另外最近开源了hd钱包，rrwallet.org
UP链参 修涤：感谢三位老板今天抽时间来为大家答疑解惑，以下我们进入问答环节
问题一：最近交易所频繁出事，巨鲸用户丢币，安全问题越来越引起大家的关注，三位嘉宾能从各自领域说下对安全问题的认知？以及各自公司是如何保证安全？
余弦(慢雾科技创始人)：
首先我提个概念：安全的本质是信任，安全的核心是攻防对抗，攻防的核心又是成本对抗。安全不是绝对的：从来不存在一家100%安全的公司或项目；安全是动态的：随着业务的发展也可能会引入新的安全问题。我们在安全攻防领域从业了十多年，以前我们谈安全最小化原则或信任最小化原则，但这几年在区块链行业，有大量有价值的加密货币，地下黑客盗币后溯源是个棘手的事，又严重缺乏国家法律力量的安全保障，我们需要有更强有力的安全框架来指导我们的安全工作，这个安全框架就是：零信任安全架构。
这要求我们的系统与系统之间，系统内部各功能模块，甚至我们的人员，默认都互相不信任。这个默认不信任不是一上来就要怀疑谁，而是出安全问题了，我们能很快知道问题所在，能把攻击在业务的每一步都设置好阻拦点，能快速止损，这样就不会导致出安全问题，我们要互相怀疑。大家都知道信任感的建立是个艰难的过程，而坍塌又可以来得非常的快，这对团队的打击是很大的。
Blue（imToken首席安全官）：
关于安全问题的认知：在区块链的世界，安全问题带来的最明显的体现就是资产丢失，被盗、被骗等，而且就目前的环境来讲很难有效追回，是痛中之痛。所以相较于其它行业，区块链从业者和用户需要更高等级的安全意识，包括对私钥、助记词的安全保管，手机或电脑的安全使用，大额资产使用硬件钱包等。对于区块链项目方，产品运行的服务器环境是否安全、产品研发流程上是否有安全方面的审计、资产管理是否有硬件加密存储等，都是避免出现安全问题和降低发生问题后资产损失的重点。
关于imToken如何保证安全，可以分几个层面来讲：
王威（RenrenBit联合创始人）：
我先谈谈对安全的认知，在这个行业里，安全是每家企业的生命线。如果安全不做好，用户隐私信息泄漏了，币丢了，这些是每家企业都无法承受的打击。无论你的业务做的再好，安全是根本！
另外 我谈谈 我们如何保障安全的，首先 安全必须是公司最高层高度重视的，这是先决条件，我们renrenbit第一行代码没有写的时候就找慢雾谈了安全深度合作。另外在安全资金投入层面，这两年 我们的安全预算在IT预算占比 从20%上升到50%以上，只有投入的资金够，安全才有保证。第二 除了高层重视外，各个部门都需要背KPI，30%的KPI，安全这个事不是一撮而就的，需要持续的规划 升级安全强度，即便如此，也不可能100%的没有安全事故出现。
修涤 问题二：DeFi近期bZx被爆遭到“攻击”，“攻击者”操纵多个DeFi项目上的代币价格，从而实现15秒内套利36万美元。这次套利中，“攻击者”利用了DeFi上最新的闪电贷（flashloans）功能。闪电贷是什么？这次攻击是如何实现的？DeFi应该如何避免攻击问题。
余弦(慢雾科技创始人)：
先简单聊聊闪电贷，闪电贷这个玩意因为bZx事件更为大家所知。简单理解下闪电贷：就拿以太坊上的智能合约举例，就是在一笔交易内发生的贷款一系列操作（从借贷到某些动作最终到偿还），都是在一笔以太坊的交易内完成，可以理解为这是一笔特殊且相对复杂的交易，通过智能合约来搞定。而以太坊区块打包是差不多15秒，所有的动作都在这15秒内完成，如果最终贷款没偿还，交易会回滚。这种特性，让DeFi生态更具有想象力。
简单总结下攻击的关键点：
谈下防御：整体来看，这种攻击不仅仅是目标智能合约项目（如bZx）系统内的问题，还包括系统外的问题，在我们看来可能不存在最完美的防御方式，但一个可靠稳健的价格锚定体系非常的关键。
Blue（imToken首席安全官）：
我们imToken公众号上有一篇比较详细的文章《什么是「闪电贷」？如何利用它在 13 秒内套利 36 万美元？》http://mp.weixin.qq.com/s?__biz=MzIwMzQ0MTUxMQ==&mid=2247486762&idx=1&sn=f61b11dad116fe740264e82566c8bd77&chksm=96ce1922a1b99034119ca139da2befc3e8798e21842f7201f585b0a19baa28c6f84cd1b175fc&mpshare=1&scene=1&srcid=&sharer_sharetime=1583320991675&sharer_shareid=c7869a3697d18243abd4bc3c73f07d1b#rd
关于避免攻击问题：在这里提一个方面，做好价格保护，攻击的原理实质上是价格被操控导致波动的有利可图，那DeFi项目方在这种价格剧烈波动时应该及时发现并止损，或者对大额交易有安全的限制策略。
修涤 问题三：借贷业务是如何保证资金的安全性，和平台的透明性？
王威（RenrenBit联合创始人）：
我先详细说说 我们是如何保证资金安全的，RenrenBit有四句方针第一 用户隐私信息不泄露。第二 异常行为早拦截。第三 提出去的币没问题。第四 进来的币是安全的。
第一renrenbit的安全的所有动作，都围绕这句话展开的。从安全部门 和 慢雾 安全合作伙伴角度，主要帮助我们防护 来自外部的渗透、安全规划 和 紧急事件响应 和 红蓝对抗。今年我们会很重视红蓝对抗，只有模拟真实的攻击 才能验证 我们的防护能力 和应急响应能力。
第二 从 企业钱包角度，这块 主要 分offchain和onchain，冷热温包括运营钱包，需要把资金分维度 分层的 分散掉，既能保证用户提币速度也能保证安全。这里面重要的是需要把流程定义清楚 角色定义清楚，安全部门从中识别关键流程点 进行重点风控。举个例子，如果冷钱包突然转币到一个非合规地址，这个时候风控系统就应该马上识别到 然后拦截。
第三我们的研发流程，其实安全这件事 90%以上的问题 来自于低级错误。
第四 就是在运营层的风控防护。如果cmc数据被篡改了会怎么样？我相信90%的公司遇到这个问题都是没有办法的，所以 不要相信单一渠道，除了cmc 还需要自己引入其他渠道进行对比。
我再谈一谈透明的问题，目前中心化平台，好处就是体验好，没有那么多gas损耗 速度又快。但很大的问题是 因为不透明 很多平台会私下挪用用户的资产，14年门头沟倒闭的很大问题，不是因为黑客而是因为平台伪造数据 动用了用户的币。
所以我们就推出100%准备金透明，意思就是 平台准备金/用户资金 大于100%，
这样不会出现用户挤兑的问题，同时 我们基于梅克尔树 数学算法，公开了 我们的链上地址的资产 和 数据库里每个用户的资产，当然用户信息只会透露hash。
我们在官网上提供了 这个证明的方案 源代码 以及 验证工具，只要你在renrenbit存入一些btc 就可以验证 我们是不是100%准备金，目前来看 这是最好的透明方案。
余弦(慢雾科技创始人)：
RenrenBit我觉得做得好的在于，从上到下有安全基因，零信任安全架构是他们的安全实施框架。因为慢雾科技在RenrenBit创建起就进行了深度全面的安全服务，作为一家第三方中立的安全公司，我们可以在一些程度上证明起资产透明性，当然由于RenrenBit早就开放了证明方法，大家也都可以去验证。
修涤 问题四：对于近期央行发布《金融分布式账本技术安全规范》各位是否可以从各自领域的角度出发进行解读？
余弦(慢雾科技创始人)：
央行发布的《金融分布式账本技术安全规范》，我第一时间看了，挺好的，不过我们可以理解为更多是在联盟链的场景，约束了挺多内容，安全、隐私、保密、监管、治理、应急等等最终都是自主可控。这确实只是一种行业规范，一种比较全面框架化的规范，可以作为参考。但在具体执行上还有很多内容需要细化或标准化。
Blue（imToken首席安全官）：
对区块链从业者来说肯定是重大利好，在规范下做事情有据可依减少风险，也能更好地为用户资产保驾护航。
王威（RenrenBit联合创始人）：
参与起草这个规范的 都是 银行 还有互联网金融巨头，国家推动这个规范落地应该是希望 借助区块链技术 来打通各个企业的数据，更透明 更易于监管。另外 一套社会用户信用体系，这是国家非常看重的。
修涤 问题五：放在交易所里的币安全么？交易所会挪用你的币么？去中心化交易所会比中心化交易所安全么？
余弦(慢雾科技创始人)：
哪有绝对的安全呢？没有强监管或透明监管下的交易所，会不会挪用你的币，如何去说呢？去中心化和中心化交易所场景其实很不一样，没什么可比性，脱离场景谈安全不靠谱，安全方面，各有问题。
Blue（imToken首席安全官）：
王威（RenrenBit联合创始人）：
首先 绝大多数用户自己管理不好私钥，另外 中心化交易所有非常好的体验，所以大多数用户都是使用中心化交易所，那么就和blue说的 选择 推荐选择知名交易所，有品牌保障和赔付能力。
修涤 问题六：那么交易所应该怎么保障自身资产安全以及用户资产安全？
余弦(慢雾科技创始人)：
这是个非常复杂的话题，我简单说说，前面提到零信任安全架构核心目的是围绕资产安全和用户隐私安全。这里我正好有一个图可以分享下
我们看看地下黑客的攻击手法，才好说去做防御。首先一个我们公开过的统计：慢雾科技公开的被黑统计（hacked.slowmist.io）都是已披露且是项目方的场景，至今被黑金额有 90 多亿美金，其中交易所占了 45 多亿，50%，这个比例是很可怕的了，一半的被黑都来自交易所。而未被披露的更多，根据我们内部数据统计，已披露被黑事件占未披露的大概是 1/3。
造成这些被黑事件的主要原因有几个：
之前的一个总结，我直接发出来，大家也可以看看，主要的几个攻击手法：
上面分享的那张图，大家可以对应着看，其实安全工作内容很多。任何环节都可能带来致命的安全问题，这就是我们为什么总强调：零信任安全架构。
交易所内部的安全逻辑与被黑重点，注意越红的越是需要注意的
链上链下的威胁图
Blue（imToken首席安全官）：
交易所做好自身的产品、保护好自身的资产不受损失即是对用户负责，使用硬件来管理私钥、做好冷热隔离、对账、风控系统等都是必要手段。
修涤 问题七：资产放在钱包里是否安全？市面上的钱包应该如何选择？
余弦(慢雾科技创始人)：
没有绝对的安全，但安全确有相对，我们肯定会选择品牌口碑好的，安全建设能力强的钱包。
我眼中安全且强大的硬件钱包：
Blue（imToken首席安全官）：
理论上来讲资产放在钱包（这里指去中心化钱包）里会更安全，毕竟是自己完全掌控资产。imToken+imKey硬件钱包，自己深度跟进安全质量也一直在用，安全放心。
当然其它优秀的钱包也值得选择，但强烈建议大家有条件的话能上硬件钱包，私钥永不触网很重要。
王威（RenrenBit联合创始人）：
imToken目前应该是全球用户规模最大的HD钱包了，blue和我分享过几次他们在安全上的思考，作为个人来说 我是推荐imtoken的。另外 我推荐一下rrwallet推荐理由，第一 是我们自己开发出来 自己在用，几个亿的资产放在里面。第二 我们开源了，而且我们用的版本也是从开源git上拉的，因为做到了代码全部透明，大家可以试用也可以在上看做二次扩展。我们遵循MIT开源协议。
修涤 问题八：私钥应该如何保存？
Blue（imToken首席安全官）：
抄在纸上放在只有自己知道的地方，还有硬件钱包的附属品助记词密盒也不错，关键是不要让其它任何人知道。
王威（RenrenBit联合创始人）：
推荐看看这两篇文章。
https://www.voosay.com/artical/20583235902582651
https://www.voosay.com/artical/20583235483712610
自由问答：
问：只存助记词不存私钥，是不是不够安全？
Blue（imToken首席安全官）：
助记词本来就是为了帮你记住私钥而存在的，两者可存其一，足够了。换言之，你存了两份，丢的可能性也增大了。私钥是你的一切，助记词等同。
问：有些助记词在各个钱包间并不通用，私钥会不会更加通用一些呢？
Blue（imToken首席安全官）：
助记词是行业规范，不通用的钱包证明代码规范实现上存在问题。
问：代码开源，是不是方便了黑客，更容易攻击呢？
Blue（imToken首席安全官）：
开源会让大家让关注你的代码，让漏洞无处遁形，但也会被利用，所以要有足够的审计和奖励机制来保障。
问：最近又出现了木马程序威胁区块链安全，想问下怎么避免中毒或账号被盗？
Blue（imToken首席安全官）：
提高自身的安全意识，不点莫名的链接，不随意下载文件，不去一些乱七八糟的网站。另外，账号密码管理推荐1Password。
王威（RenrenBit联合创始人）：
账号一定要开二次验证。
余弦(慢雾科技创始人)：
我分享个多年前的一个总结 https://evilcos.me/yinsi.html 一直默默低调地挂在我的个人blog上 对个人安全加强有帮助。这篇虽然没列加密货币有关的 但很多技巧是通用的 供大家参考。
感谢以下媒体的支持
更多精彩內容，請登陸
財華香港網 (https://www.finet.hk/)
現代電視 (http://www.fintv.com)