ความปลอดภัยบัญชี WEEX: การตั้งค่าห้านาทีที่ควรทำ

ความปลอดภัยของแพลตฟอร์มแลกเปลี่ยนมีอยู่จริงสองระบบแยกกัน และคู่มือส่วนใหญ่มักทำให้ทั้งสองอย่างปะปนเป็นเรื่องเดียว

ส่วนหนึ่งอยู่ที่แพลตฟอร์ม: วิธีดูแลสินทรัพย์ของลูกค้า วิธีที่ระบบจัดการความเสี่ยงตรวจสอบกิจกรรม และมีการเผยแพร่เงินสำรองที่ตรวจสอบได้หรือไม่ คุณประเมินเรื่องเหล่านี้ได้ แต่ไม่สามารถกำหนดค่าเองได้

อีกส่วนคือการเข้าถึงบัญชีของคุณเอง ซึ่งอยู่ในความรับผิดชอบของคุณทั้งหมด การสูญเสียของผู้ใช้รายบุคคลส่วนใหญ่อย่างท่วมท้นเกิดขึ้นจากส่วนนี้จริง ๆ ไม่ใช่จากการเจาะระบบแพลตฟอร์ม แต่จากข้อมูลยืนยันตัวตนที่ตกไปถึงมือผู้อื่น และนี่คือข่าวดี เพราะการตั้งค่าในส่วนของคุณเป็นสิ่งที่ทำเพียงครั้งเดียว ต่อไปนี้คือรายการที่เรียงตามปริมาณความเสี่ยงที่แต่ละรายการช่วยลดได้

ใช้แอปยืนยันตัวตน ไม่ใช่ SMS

หากจะเปลี่ยนเพียงอย่างเดียว ให้เปลี่ยนข้อนี้

รหัสที่ส่งผ่าน SMS มีความเสี่ยงต่อการสลับซิม ผู้โจมตีอาจโน้มน้าวผู้ให้บริการเครือข่ายมือถือให้ย้ายหมายเลขของคุณไปยังอุปกรณ์ที่อยู่ในการควบคุมของตน จากนั้นรหัสทุกชุดที่ควรส่งถึงคุณก็จะไปถึงโทรศัพท์ของผู้โจมตีแทน วิธีนี้ไม่จำเป็นต้องใช้ความเชี่ยวชาญทางเทคนิค และสามารถทำลายการยืนยันตัวตนแบบสองปัจจัยผ่าน SMS ได้อย่างสมบูรณ์

แอปยืนยันตัวตนจะสร้างรหัสบนอุปกรณ์ของคุณจาก seed ที่จัดเก็บไว้ ไม่มีข้อมูลใดเดินทางผ่านเครือข่ายมือถือ จึงไม่มีอะไรให้ดักจับหรือเปลี่ยนเส้นทาง

มีสองสิ่งที่ต้องทำให้ถูกต้องระหว่างการตั้งค่า:

เก็บรหัสสำรองไว้ออฟไลน์ จดรหัสไว้และเก็บไว้ในสถานที่จริง หากคุณทำอุปกรณ์หายโดยไม่มีรหัสเหล่านี้ การกู้คืนบัญชีจะยากขึ้นมาก

อย่าป้อนรหัสที่ใดก็ตามนอกจากหน้าล็อกอินของจริง เจ้าหน้าที่ฝ่ายสนับสนุนไม่มีเหตุผลอันชอบธรรมที่จะขอรหัสจากคุณไม่ว่าจะผ่านช่องทางใดก็ตาม รหัสที่คุณอ่านให้ผู้โทรฟังคือรหัสที่ผู้โทรกำลังป้อนลงในแบบฟอร์มล็อกอินจริงในขณะที่ยังคุยกับคุณอยู่

ตั้งค่าไวต์ลิสต์ที่อยู่ถอนเงิน

นี่คือการตั้งค่าที่มีมูลค่าสูงสุดในรายการ และเป็นสิ่งที่มักถูกข้ามมากที่สุด เพราะประโยชน์ของมันจะมองไม่เห็นจนกว่าจะถึงวันที่จำเป็นต้องใช้

ไวต์ลิสต์จะจำกัดการถอนเงินไว้เฉพาะที่อยู่ที่คุณอนุมัติล่วงหน้า คุณค่าที่แท้จริงของมันจะปรากฏเมื่อบัญชีถูกยึด แม้ผู้โจมตีจะเข้าควบคุมบัญชีของคุณได้ทั้งหมด ก็ยังไม่สามารถส่งเงินไปยังที่อยู่ที่ไม่ได้อยู่ในรายการได้ และการเพิ่มที่อยู่ใหม่จะเรียกใช้กระบวนการรักษาความปลอดภัยของตัวเองซึ่งมีระยะเวลาหน่วง

ระยะเวลาหน่วงนั้นคือหัวใจสำคัญ เพราะเปลี่ยนการขโมยเงินที่เกิดขึ้นทันทีและย้อนกลับไม่ได้ให้กลายเป็นช่วงเวลาที่คุณสามารถสังเกตเห็นและเข้าแทรกแซงได้ แทบไม่มีมาตรการรักษาความปลอดภัยบัญชีอื่นใดที่ช่วยซื้อเวลาให้คุณได้หลังจากผู้โจมตีเข้ามาอยู่ภายในบัญชีแล้ว

ตั้งค่าไว้ในขณะที่ทุกอย่างยังสงบ เพิ่มที่อยู่ที่คุณใช้งานจริง แล้วปล่อยให้การตั้งค่าทำงานต่อไป

กำหนดขอบเขต API หรือยกเลิกคีย์

คีย์ API เป็นช่องทางความเสียหายที่เงียบที่สุดในที่นี้ เพราะคีย์ที่ถูกบุกรุกไม่ได้ดูเหมือนบัญชีถูกบุกรุก ไม่มีการล็อกอินที่ไม่คุ้นเคยและไม่มีการแจ้งเตือน มันเพียงทำงานเหมือนเป็นคุณ

มีกฎสามข้อ:

อย่าให้สิทธิ์ถอนเงินโดยเด็ดขาด เว้นแต่กระบวนการทำงานบางอย่างจำเป็นต้องใช้สิทธิ์นี้จริง ๆ สิทธิ์เทรดและสิทธิ์ถอนเงินแยกจากกันด้วยเหตุผลที่ชัดเจน คีย์ที่รั่วไหลและมีสิทธิ์อ่านข้อมูลกับเทรดอาจทำให้เกิดวันที่เลวร้าย แต่คีย์ที่รั่วไหลและมีสิทธิ์ถอนเงินอาจทำให้บัญชีถูกถอนจนหมด

ผูกคีย์ไว้กับที่อยู่ IP เฉพาะ หากเครื่องมือรองรับ การทำเพียงเท่านี้ก็ทำให้คีย์ที่ถูกขโมยไปแทบไม่สามารถใช้งานที่อื่นได้

ลบสิ่งที่ไม่ได้ใช้งาน คีย์ที่สร้างไว้สำหรับบอตที่คุณเคยทดสอบเพียงครั้งเดียว หรือตัวติดตามพอร์ตโฟลิโอที่คุณเลิกใช้แล้ว จะยังคงใช้งานได้จนกว่าจะถูกยกเลิก ตรวจสอบรายการเป็นระยะและลบทุกสิ่งที่คุณไม่สามารถอธิบายได้ทันที

ติดตั้งจากแหล่งทางการเท่านั้น

แอปมองเห็นสิ่งที่คุณพิมพ์ ซึ่งทำให้แอปที่ไม่ได้เป็นทางการเป็นการมอบความไว้วางใจในวงกว้างกว่าหน้าเว็บใด ๆ

ติดตั้งจากหน้าดาวน์โหลด WEEX อย่างเป็นทางการและรายการแอปในสโตร์ที่อ้างอิงอยู่ในหน้านั้นเท่านั้น แอปที่ถูกดัดแปลงถูกเผยแพร่ผ่านแชตกลุ่มและหน้าดาวน์โหลดปลอม และสามารถเก็บข้อมูลยืนยันตัวตนกับรหัสยืนยันตัวตนจากภายในอุปกรณ์ได้ ซึ่งเป็นจุดที่ความระมัดระวังของคุณในฝั่งเว็บไซต์ไม่สามารถป้องกันได้

หากมีใครส่งตัวติดตั้งให้คุณโดยตรง นั่นไม่ใช่ความสะดวก แต่นั่นคือการโจมตี

ตั้งข้อความป้องกันฟิชชิงและรู้ว่ามันยืนยันอะไรได้บ้าง

ข้อความป้องกันฟิชชิงคือวลีที่คุณเลือก ซึ่ง WEEX จะใส่ไว้ในอีเมลจริงของบริษัท หากข้อความที่อ้างว่ามาจาก WEEX ไม่มีวลีของคุณ ข้อความนั้นก็ไม่ได้มาจาก WEEX

ทำความเข้าใจทิศทางการทำงานของฟีเจอร์นี้ให้ดี เพราะเข้าใจผิดได้ง่าย ข้อความนี้บอกคุณว่าอีเมลนั้นไม่ใช่อีเมลจริง แต่ไม่ได้ยืนยันสิ่งใดก็ตามที่ส่งผ่าน Telegram, SMS, การโทรศัพท์ หรือโซเชียลมีเดีย เพราะช่องทางเหล่านี้ไม่มีข้อความดังกล่าว สำหรับช่องทางเหล่านั้น ให้ใช้เครื่องมือตรวจสอบข้อมูลติดต่อซึ่งครอบคลุมเว็บไซต์ ที่อยู่อีเมล หมายเลขโทรศัพท์ Telegram ID และบัญชีโซเชียล

และไม่ว่าจะมีข้อความป้องกันฟิชชิงหรือไม่ ฝ่ายสนับสนุนของ WEEX จะตอบกลับเฉพาะทิกเก็ตที่คุณเป็นผู้เปิดขึ้นมาเท่านั้น ฝ่ายสนับสนุนจะไม่ติดต่อผู้ใช้ก่อน และตัวแทนที่ชอบธรรมจะไม่ขอให้คุณโอนเงินหรือสินทรัพย์ดิจิทัลให้แก่ตัวแทนเองหรือบุคคลที่สาม

สิ่งที่ฝั่งแพลตฟอร์มครอบคลุม และสิ่งที่ไม่ครอบคลุม

เพื่อความครบถ้วน นี่คือส่วนที่คุณไม่สามารถกำหนดค่าได้ WEEX แยกการจัดเก็บในกระเป๋าเงินเย็นและกระเป๋าเงินร้อน โดยใช้การป้องกันแบบหลายลายเซ็นในฝั่งกระเป๋าเงินเย็น แยกสินทรัพย์ของผู้ใช้ออกจากเงินทุนดำเนินงาน ตรวจสอบความเสี่ยงของกิจกรรมในบัญชีอย่างต่อเนื่อง และเผยแพร่หลักฐานเงินสำรอง (Proof of Reserves)ที่แสดงเงินสำรองของแพลตฟอร์มเทียบกับยอดถือครองของผู้ใช้ พร้อมเวลาประทับของภาพรวมข้อมูลและความสูงของบล็อก WEEX ได้รับใบอนุญาตในหลายเขตอำนาจศาล และยังคงขยายกลยุทธ์ด้านใบอนุญาตอย่างต่อเนื่อง

นอกจากนี้ยังมีกองทุนคุ้มครอง (Protection Fund) จำนวน 1,000 BTC ที่ถือไว้ในกระเป๋าเงินสาธารณะและแยกออกจากเงินทุนดำเนินงาน โปรดอ่านขอบเขตการคุ้มครองก่อนพึ่งพากองทุนนี้: กองทุนออกแบบมาเพื่อความสูญเสียที่เกิดขึ้นโดยไม่ใช่ความผิดของผู้ใช้ และไม่ครอบคลุมความสูญเสียจากการเทรด ธุรกรรมที่คุณถูกหลอกให้ทำหรืออนุมัติโดยไม่ได้ตั้งใจ ธุรกรรมที่ดูเหมือนไม่ได้รับอนุญาตแต่ไม่มีการโอนออกไปภายนอก หรือความสูญเสียที่เกี่ยวข้องกับการฉ้อโกงหรือการใช้งานแพลตฟอร์มในทางที่ผิด

รายการข้อยกเว้นนี้เองคือเหตุผลที่การตั้งค่าทั้งห้าข้อข้างต้นมีความสำคัญ สถาปัตยกรรมฝั่งแพลตฟอร์มจัดการกับความล้มเหลวฝั่งแพลตฟอร์ม การถอนเงินที่คุณถูกพูดจูงใจให้อนุมัติถือเป็นธุรกรรมที่ได้รับอนุญาต และการควบคุมเพียงอย่างเดียวที่จะหยุดเรื่องนี้ได้คือการควบคุมที่คุณตั้งค่าไว้ล่วงหน้า

ทำเพียงครั้งเดียว

ใช้แอปยืนยันตัวตนแทน SMS เปิดไวต์ลิสต์ที่อยู่ถอนเงิน กำหนดขอบเขตหรือลบคีย์ API ใช้ตัวติดตั้งอย่างเป็นทางการเท่านั้น ตั้งข้อความป้องกันฟิชชิง พร้อมเข้าใจอย่างชัดเจนว่ามันยืนยันอะไรได้และยืนยันอะไรไม่ได้

ใช้เวลาเพียงห้านาทีและทำครั้งเดียว วิธีการส่วนใหญ่ที่ทำให้บัญชีของผู้ใช้รายบุคคลสูญเสียสินทรัพย์จะไม่สามารถใช้กับบัญชีของคุณได้อีกต่อไป

คำถามที่พบบ่อย

1. การยืนยันตัวตนแบบสองปัจจัยด้วย SMS เพียงพอหรือไม่?

มีความปลอดภัยน้อยกว่าแอปยืนยันตัวตนอย่างมีนัยสำคัญ การสลับซิมเปิดทางให้ผู้โจมตีรับรหัสของคุณได้ด้วยการย้ายหมายเลขโทรศัพท์ไปยังอุปกรณ์ของตน ซึ่งทำให้การยืนยันผ่าน SMS ใช้งานไม่ได้โดยสมบูรณ์ ส่วนแอปยืนยันตัวตนจะสร้างรหัสภายในอุปกรณ์ จึงไม่มีข้อมูลใดผ่านเครือข่ายมือถือ

2. ไวต์ลิสต์ที่อยู่ถอนเงินทำหน้าที่อะไรจริง ๆ?

ไวต์ลิสต์จะจำกัดการถอนเงินไว้เฉพาะที่อยู่ที่คุณอนุมัติล่วงหน้า คุณค่าที่แท้จริงจะปรากฏเมื่อบัญชีถูกบุกรุก ผู้โจมตีที่อยู่ภายในบัญชีของคุณจะไม่สามารถถอนเงินไปยังที่อยู่ใหม่ได้โดยไม่ผ่านกระบวนการเพิ่มที่อยู่ ซึ่งมีระยะเวลาหน่วง ระยะเวลาหน่วงนั้นคือช่วงเวลาที่คุณสามารถเข้าแทรกแซงได้

3. คีย์ API สามารถถอนเงินจนหมดบัญชีได้หรือไม่?

ทำได้ก็ต่อเมื่อคีย์นั้นมีสิทธิ์ถอนเงิน ให้สิทธิ์เทรดโดยไม่ให้สิทธิ์ถอนเงิน เว้นแต่กระบวนการทำงานบางอย่างจำเป็นต้องใช้สิทธิ์ดังกล่าว ผูกคีย์ไว้กับที่อยู่ IP แบบตายตัวเมื่อระบบรองรับ และลบคีย์ที่คุณไม่ได้ใช้งานอยู่ในขณะนั้น

4. ข้อความป้องกันฟิชชิงช่วยปกป้องฉันจากอะไร?

ช่วยป้องกันอีเมลหลอกลวงโดยเฉพาะ อีเมล WEEX จริงจะมีวลีที่คุณตั้งไว้ ส่วนอีเมลที่ไม่มีวลีดังกล่าวไม่ได้มาจาก WEEX ฟีเจอร์นี้ไม่ให้การป้องกันบน Telegram, SMS, การโทรศัพท์ หรือโซเชียลมีเดีย ให้ตรวจสอบช่องทางเหล่านั้นที่ weex.com/official-verification แทน

5. ฉันควรดาวน์โหลดแอป WEEX จากที่ใด?

ดาวน์โหลดจาก weex.com/download และรายการแอปในสโตร์ที่อ้างอิงอยู่ในหน้านั้นเท่านั้น ตัวติดตั้งที่แชร์ในแชตกลุ่มหรือมาจากหน้าดาวน์โหลดที่เข้าถึงผ่านลิงก์ เป็นช่องทางทั่วไปของแอปที่สร้างขึ้นเพื่อขโมยข้อมูลยืนยันตัวตน

6. หากบัญชีของฉันถูกบุกรุก กองทุนคุ้มครองจะชดเชยให้หรือไม่?

ไม่ใช่โดยอัตโนมัติ และไม่ใช่ในสถานการณ์ส่วนใหญ่ กองทุนออกแบบมาเพื่อความสูญเสียที่เกิดขึ้นโดยไม่ใช่ความผิดของผู้ใช้ เช่น เหตุการณ์ด้านความปลอดภัยที่เกิดจากฝั่งแพลตฟอร์ม กองทุนไม่ครอบคลุมธุรกรรมที่คุณถูกหลอกให้ทำหรืออนุมัติโดยไม่ได้ตั้งใจ ความสูญเสียจากการเทรด หรือความสูญเสียที่เกี่ยวข้องกับการฉ้อโกงหรือการใช้งานแพลตฟอร์มในทางที่ผิด ส่งคำร้องไปที่ support@weex.com ภายใน 30 วัน

7. ฉันควรทำสิ่งใดเป็นอันดับแรกหากคิดว่าบัญชีถูกบุกรุกแล้ว?

เปลี่ยนรหัสผ่านจากอุปกรณ์ที่คุณไว้วางใจ รีเซ็ตการยืนยันตัวตนแบบสองปัจจัย ยกเลิกคีย์ API ทั้งหมด ตรวจสอบไวต์ลิสต์ที่อยู่ถอนเงินว่ามีรายการที่คุณไม่ได้เพิ่มหรือไม่ และติดต่อฝ่ายสนับสนุนผ่านช่องทางทางการพร้อมระบุเวลาและรายละเอียด หากคุณอนุมัติการทำธุรกรรมผ่านกระเป๋าเงิน ให้ยกเลิกการอนุมัติในระดับกระเป๋าเงินด้วย เพราะการเปลี่ยนรหัสผ่านไม่ได้ยกเลิกการอนุมัติบนบล็อกเชน

คำเตือนความเสี่ยง

สินทรัพย์คริปโตมีความผันผวนสูง และการเทรดอาจทำให้สูญเสียเงินทุนบางส่วนหรือทั้งหมด เนื้อหานี้ไม่ใช่คำแนะนำด้านการลงทุน กฎหมาย หรือภาษี การตั้งค่าที่อธิบายไว้ช่วยลดช่องทางการโจมตีทั่วไปได้ แต่ไม่สามารถขจัดความเสี่ยงด้านความปลอดภัยของบัญชี และไม่มีการตั้งค่าใดทำให้บัญชีปลอดภัยจากการถูกบุกรุกได้อย่างสมบูรณ์ ธุรกรรมบนบล็อกเชนไม่สามารถย้อนกลับได้: เงินที่ถูกผู้โจมตีโอนออกไป หรือถูกโอนผ่านการอนุมัติที่คุณลงนาม โดยทั่วไปไม่สามารถกู้คืนได้โดย WEEX หน่วยงานบังคับใช้กฎหมาย หรือบริการกู้คืนใด ๆ ความรับผิดชอบด้านความปลอดภัยของข้อมูลยืนยันตัวตน ความปลอดภัยของอุปกรณ์ และการจัดเก็บรหัสกู้คืนอยู่ที่เจ้าของบัญชี กองทุนคุ้มครองของ WEEX ไม่ครอบคลุมความสูญเสียจากการเทรด ธุรกรรมที่คุณถูกหลอกให้อนุมัติ หรือความสูญเสียที่เกิดจากการฉ้อโกงหรือการใช้งานแพลตฟอร์มในทางที่ผิด ฟีเจอร์ของผลิตภัณฑ์และตัวเลือกด้านความปลอดภัยอาจเปลี่ยนแปลงได้ โปรดยืนยันการตั้งค่าปัจจุบันภายในแพลตฟอร์มด้วยตัวเอง คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการใช้บริการ WEEX ของคุณเป็นไปตามกฎหมายในเขตอำนาจศาลของคุณ