「黑暗森林」，這個(gè)脫胎于《三體》的宇宙社會(huì)學(xué)法則，也是對(duì)當(dāng)下 Web3 安全賽道最赤裸的概括：鏈上有著足夠的想象空間和創(chuàng)新玩法，但同時(shí)也正如一個(gè)「黑暗森林」，充滿血腥殘忍的零和博弈，而普通投資者更多是扮演「被狩獵者」的信息不對(duì)稱角色。
11 月 16 日，多位社區(qū)用戶反映鏈上交易終端 DEXX 被盜，事后分析表明 DEXX 私鑰管理存在明顯漏洞，甚至曾以明文形式傳輸和存儲(chǔ)，截至目前不完全統(tǒng)計(jì)的總損失就在 2000 萬(wàn)美元以上，
在此背景下，普通用戶該如何完善鏈上自我保護(hù)機(jī)制，就成了大家十分關(guān)注的重要話題，SafePal 聯(lián)合創(chuàng)始人兼 CEO Veronica 也參與了 137Labs 舉辦的 ? Space 活動(dòng)「DEXX 事件引發(fā)的安全思考：如何避免加密投資中的「坑」」，與 BlockSec 創(chuàng)始人 Andy、資深交易員會(huì)所哥、137Labs 研究員 OneOne 等共同探討 DEXX 安全事件，并為加密投資者提供實(shí)用的安全建議。
本文為此次 Twitter Space 中各位嘉賓精彩分享的文字摘要，特此整理，以饗讀者。
搶跑 Bot 工具的「不可承受之重」
在加密投資中，高收益與絕對(duì)安全往往難以兼顧，DEXX、Unibot 等 Trading Bot 工具雖然憑借一鍵跟單和快速資金劃轉(zhuǎn)等贏得用戶青睞，但這種便捷性建立在中心化架構(gòu)之上，要求用戶授權(quán)資金或提供錢包訪問權(quán)限，導(dǎo)致資產(chǎn)風(fēng)險(xiǎn)顯著增加。
只不過(guò)用戶普遍低估了這些交易工具的安全要求，習(xí)慣信任大交易所，卻忽略了較小工具平臺(tái)的風(fēng)險(xiǎn)，而此次 DEXX 事件就暴露了部分交易工具在私鑰管理上的致命漏洞——真正的「非托管錢包」應(yīng)確保私鑰只存儲(chǔ)在用戶設(shè)備上，而不是依賴中心化服務(wù)器，即便私鑰經(jīng)過(guò)加密，缺乏內(nèi)存級(jí)安全防護(hù)的技術(shù)支持（如 TEE 或 enclave），依然無(wú)法避免被盜的可能性。
與此同時(shí)，本次攻擊手法復(fù)雜，黑客分散轉(zhuǎn)移資金以增加追蹤難度，這不僅使資金追回難度加大，還預(yù)示著未來(lái)類似事件可能更復(fù)雜難防，也因此催生出兩種可能性：要么平臺(tái)因技術(shù)漏洞被攻破，要么內(nèi)部存在監(jiān)守自盜或遭到深度滲透，且若是后者，未來(lái)風(fēng)險(xiǎn)可能更為嚴(yán)重。
Dune 數(shù)據(jù)顯示，目前交易量排名前五的 Bot 是：Trojan、BonkBot、Maestro、Banana Gun、Sol Trading Bot，7 日交易量均在 1 億美元以上，累計(jì)用戶數(shù)均在 30 萬(wàn)以上，也正因如此，「要么暴賺、要么歸零」的心態(tài)也讓大部分用戶忽略了潛在的巨大風(fēng)險(xiǎn)。
Veronica 就認(rèn)為，幾乎所有這種「搶跑」交易工具都可能面臨類似的安全風(fēng)險(xiǎn)，這類 Bot 之所以能實(shí)現(xiàn)超快鏈上交易，避免每次都手動(dòng)簽名，是因?yàn)樗鼈儬奚瞬糠职踩耘c非托管特性：
通常無(wú)論使用硬件錢包、APP 錢包還是瀏覽器插件錢包，用戶都需要花幾秒進(jìn)行手動(dòng)簽名確認(rèn)，但為了提高交易速度和優(yōu)化用戶體驗(yàn)，這些 Bot 通常會(huì)妥協(xié)，將部分私鑰安全性降至最低，以實(shí)現(xiàn)更快速的成交。
這種設(shè)計(jì)并非完全錯(cuò)誤，也不能簡(jiǎn)單地說(shuō)這些項(xiàng)目都是不安全的，然而這確實(shí)對(duì)開發(fā)團(tuán)隊(duì)的安全防護(hù)能力提出了極高要求，為了實(shí)現(xiàn)流暢體驗(yàn)，如果開發(fā)團(tuán)隊(duì)無(wú)法確保強(qiáng)大的安全攻防能力，一旦遭遇攻擊，后果將極為嚴(yán)重，用戶和項(xiàng)目方都可能面臨巨大損失。
除此之外，目前大多數(shù)交易 Bot 的設(shè)計(jì)確實(shí)面臨一個(gè)顯著的安全隱患——為了實(shí)現(xiàn)自動(dòng)化交易，它們通常為每個(gè)用戶生成并保管私鑰，這種方式雖然方便用戶進(jìn)行自動(dòng)化跟單，卻也帶來(lái)了極高的安全風(fēng)險(xiǎn)，如果攻擊者攻破平臺(tái)，所有存儲(chǔ)的用戶私鑰都可能被泄露，導(dǎo)致資產(chǎn)損失。
然而實(shí)際上有一種更安全的交易架構(gòu)，能夠在不使用用戶私鑰的情況下實(shí)現(xiàn)自動(dòng)化交易：
這種架構(gòu)依賴于智能合約，通過(guò)創(chuàng)建與用戶賬戶關(guān)聯(lián)的「PDA 賬戶」，在無(wú)需用戶私鑰簽名的情況下完成交易，平臺(tái)可以通過(guò)一個(gè)受限制的「操作賬戶」來(lái)執(zhí)行交易指令，但這個(gè)操作賬戶的權(quán)限是嚴(yán)格受控的，只能進(jìn)行交易操作，無(wú)法隨意轉(zhuǎn)移用戶資產(chǎn)。
這種智能合約驅(qū)動(dòng)的設(shè)計(jì)可以顯著提升安全性，因?yàn)橛脩舻乃借€始終掌握在自己手中，不會(huì)被存儲(chǔ)在中心化服務(wù)器上，雖然這種設(shè)計(jì)更復(fù)雜，對(duì)團(tuán)隊(duì)的工程能力和安全技術(shù)要求更高，但它是完全可行且更安全的。
目前用戶大多并不清楚這兩種設(shè)計(jì)模式的區(qū)別，或是因?yàn)樽非蟊憬荻雎粤税踩浴５S著安全事件的頻繁發(fā)生，用戶和開發(fā)團(tuán)隊(duì)可能會(huì)越來(lái)越重視更安全的架構(gòu)，這種先進(jìn)的設(shè)計(jì)方案在未來(lái)有望逐漸普及，減少類似 DEXX 事件的發(fā)生。
從交易授權(quán)到私鑰保護(hù)的 Web3 安全鏈條
OneOne 認(rèn)為，目前可以將鏈上安全風(fēng)險(xiǎn)分為兩大類，涵蓋從交易授權(quán)到私鑰保護(hù)等方面。
第一種常見攻擊方式即「Approve 欺騙」，舉例來(lái)說(shuō)，類似通過(guò)「灰塵攻擊」發(fā)送少量的加密資產(chǎn)或空投 NFT，誘使用戶點(diǎn)擊并進(jìn)行交易授權(quán)，這種操作可能會(huì)讓攻擊者獲得用戶的錢包權(quán)限，從而盜取用戶的資產(chǎn)（包括加密貨幣和 NFT），用戶要謹(jǐn)慎處理不明來(lái)源的代幣和空投，避免輕易進(jìn)行授權(quán)。
私鑰被盜則普遍分幾種方式：
- 第一種是「惡意軟件攻擊」，例如一些攻擊者假裝邀請(qǐng)用戶測(cè)試新項(xiàng)目，誘騙用戶下載攜帶木馬病毒的可執(zhí)行文件，一旦中招，用戶的私鑰和賬戶密碼就會(huì)被輕松竊取；
- 第二種是「剪貼板」，攻擊者通過(guò)釣魚網(wǎng)站獲取用戶的剪貼板訪問權(quán)限。當(dāng)用戶復(fù)制粘貼私鑰時(shí)，這些敏感信息會(huì)被攻擊者截獲并利用；
- 此外有一些「遠(yuǎn)程控制攻擊」的案例，例如通過(guò)惡意遠(yuǎn)程軟件操控用戶電腦，甚至在用戶休息時(shí)直接竊取私鑰，譬如擼空投用戶常用的「指紋瀏覽器」等通常涉及云端存儲(chǔ)功能，如果被攻破，用戶的資產(chǎn)便極易被盜，不少用戶在使用這些工具時(shí)未設(shè)置二次驗(yàn)證（2FA），進(jìn)一步加劇了風(fēng)險(xiǎn)；
- 最后還有「輸入法隱患」，許多用戶喜歡使用智能輸入法，但這些輸入法可能會(huì)收集用戶的輸入數(shù)據(jù)并將其存儲(chǔ)在云端，這也增加了私鑰泄露的可能性，建議用戶盡量使用系統(tǒng)自帶的輸入法，盡管功能較少，但安全性更高；
總的來(lái)看，用戶在鏈上交易時(shí)，特別是在使用 DeFi 應(yīng)用或交易工具時(shí)，需要采取額外的安全預(yù)防措施，其中授權(quán)管理就是一個(gè)需要高度重視的問題——由于以太坊的機(jī)制要求用戶向智能合約授予代幣授權(quán)，攻擊者可以利用這個(gè)授權(quán)機(jī)制進(jìn)行惡意操作，因此用戶應(yīng)經(jīng)常檢查錢包的授權(quán)列表，及時(shí)撤銷不再需要的授權(quán)，尤其是那些可能被遺忘的早期授權(quán)，以降低風(fēng)險(xiǎn)。
此外用戶選擇 DeFi 平臺(tái)時(shí)，應(yīng)審查平臺(tái)的安全措施，包括是否有完善的審計(jì)報(bào)告、持續(xù)的自動(dòng)化安全監(jiān)控、以及平臺(tái)是否定期升級(jí)和修復(fù)漏洞。且在使用 Trading Bot 時(shí)，建議用戶務(wù)必將資產(chǎn)分散管理，不要將大筆資金存放在交易機(jī)器人所控制的賬戶中，獲利后應(yīng)盡快將資金轉(zhuǎn)移到更安全的錢包中，以減少可能的損失。
會(huì)所哥表示，作為一名交易員，熟悉交易工具和平臺(tái)的機(jī)制至關(guān)重要，當(dāng)前土狗交易的環(huán)境下，許多人只關(guān)注暴漲暴跌的刺激，忽視了交易工具的安全隱患，用戶應(yīng)設(shè)立安全警報(bào)，比如池子抽空或清算警告，以隨時(shí)把控風(fēng)險(xiǎn)。
Veronica 就強(qiáng)調(diào)了一個(gè)簡(jiǎn)單而重要的原則：高效追逐利潤(rùn)和全面安全之間總有妥協(xié)，因此最關(guān)鍵的建議是做好資金隔離，如果你發(fā)現(xiàn)自己因投資頭寸過(guò)大而焦慮得睡不著、頻繁檢查手機(jī)，那很可能說(shuō)明你的資金配置已經(jīng)超出了你的風(fēng)險(xiǎn)承受能力。
有哪些實(shí)用的鏈上安全查詢工具？
Veronica 推薦用戶使用 SafePal 等非托管錢包內(nèi)置的安全小工具，例如定期檢查授權(quán)的功能——用戶可以掃描自己在多條鏈上的所有授權(quán)記錄，并一鍵撤銷不必要的授權(quán)，以減少被黑客利用的風(fēng)險(xiǎn)。
圖源：SafePal「Approval Manager」功能
此外目前詐騙者往往會(huì)通過(guò)小額轉(zhuǎn)賬偽裝成用戶的轉(zhuǎn)賬地址，以騙取資金，目前 OKX Web3 錢包、SafePal 等主流錢包都已添加針對(duì)「首尾攻擊」的風(fēng)險(xiǎn)交易攔截服務(wù)。同時(shí)硬件錢包 + 密碼短語(yǔ)（Passphrase）也是一個(gè)較少人知道但非常實(shí)用的功能，特別適合有多個(gè)炒幣賬戶的用戶：
密碼短語(yǔ)作為第 13 個(gè)詞，與原本的 12 個(gè)助記詞組合生成全新的錢包地址，即使有人獲取了你的助記詞，沒有密碼短語(yǔ)也無(wú)法訪問資產(chǎn)，這就意味著用戶可以通過(guò)這種方式創(chuàng)建多個(gè)錢包賬戶，確保安全性。
這種方法不僅增加了私鑰的安全性，還允許用戶在多個(gè)賬戶間靈活管理資產(chǎn)，且密碼短語(yǔ)可以只存在于用戶的腦海中，進(jìn)一步提升安全保障。
Andy 也強(qiáng)調(diào)，很多時(shí)候用戶遭遇安全事件，除了項(xiàng)目本身存在風(fēng)險(xiǎn)外，還可能與用戶自身的安全習(xí)慣不足有關(guān)，即使用戶意識(shí)到手中持有的加密資產(chǎn)較多，或明知投資交易有風(fēng)險(xiǎn)，仍常因不良習(xí)慣而讓資產(chǎn)暴露在危險(xiǎn)之中。
建議用戶保持隔離的安全意識(shí)與習(xí)慣，例如將大額資產(chǎn)存儲(chǔ)在冷錢包中，只用來(lái)交互而不能直接轉(zhuǎn)移資金，同時(shí)使用一部專門的手機(jī)（如 iPhone）來(lái)管理加密資產(chǎn)，只用它來(lái)進(jìn)行加密貨幣交易或私鑰管理，不在這臺(tái)設(shè)備上安裝其他與交易無(wú)關(guān)的軟件或進(jìn)行其他活動(dòng)，這樣做可以顯著降低私鑰泄露的風(fēng)險(xiǎn)。
結(jié)語(yǔ)
DEXX 安全事件揭示了鏈上交易工具領(lǐng)域的核心困境：如何在便捷性與安全性之間找到平衡？
在追求高效交易和用戶體驗(yàn)的同時(shí)，平臺(tái)的安全設(shè)計(jì)不能成為犧牲品，無(wú)論是私鑰的中心化存儲(chǔ)，還是缺乏內(nèi)存級(jí)別防護(hù)的技術(shù)短板，都會(huì)讓用戶資產(chǎn)暴露在高風(fēng)險(xiǎn)中。
「高收益和絕對(duì)安全之間總有妥協(xié)」，對(duì)于投資者而言，理解交易工具背后的風(fēng)險(xiǎn)邏輯，培養(yǎng)良好的安全習(xí)慣，是穿越鏈上「黑暗森林」的基礎(chǔ)，在這個(gè)去中心化且充滿不確定性的生態(tài)中，只有掌控自己的私鑰，才能真正掌控自己的資產(chǎn)，推動(dòng)整個(gè)鏈上生態(tài)更健康地發(fā)展。