![]()
![]()
曼昆下午茶第89届活动已经圆满结束！
近日，DEXX用户资金被盗事件引发行业广泛关注。在这场数字金融的风暴中，托管地址的风险浮出水面，为用户资产安全敲响警钟。作为Web3生态的重要组成部分，虚拟货币行业应如何在自由与安全之间找到平衡？托管机制的改进又是否能为行业带来新出路？本次曼昆律所特邀尤利（Bitrace情报分析师）携手曼昆律所联合创始人张娜为大家做本次分享，深度聚焦DEXX事件背后的风险与应对策略，为用户和行业提供新的安全思路与发展方向～
*本次活动分享内容仅供参考，旨在提供相关信息和知识，以帮助公众更好地了解主题，不构成任何法律建议、担保或法律背书。
Bitrace情报分析师
上海曼昆律师事务所联合创始人
![]()
DEXX 是一家多平台共通的链上综合交易工具，支持快捷交易、抗 MEV、策略交易等功能，近段时间 memecoin 行情爆发，导致了该 app 的用户爆发式增长。11月16日，DEXX 的用户发现自己的账户资产遭到清空。DEXX 被盗的原因是，平台采用了类似交易所的中心化资产托管形式，但却没有采用相应安全级别的资产管理方案，导致盗币者获取了用户地址的操作权限，进而实施批量盗窃。资产托管是现代金融领域常见的操作，中心化的金融机构具备用户资产的完整权限，用户想要赎回资金则必须向机构提出申请。我们行业里大大小小的中心化交易所就是如此，平台分配给用户的地址仅仅是用来充值的，用户并不具有地址的操作权限，在平台上的交易、转账、提现等活动，都是建立在用户向平台"提出申请"的前提下实现的。这意味着平台也可以拒绝你的申请。自托管账户则是利用去中心化的钱包解决方案，用户完全掌握自己资产的所有权，典型的应用便是各种软件钱包或者硬件钱包。用户在安全生成助记词、私钥后，便能够在无需任何人许可的情况下转移地址内的资产。用户分辨地址是否是被托管，拥有一个非常鲜明的特征，也即用户是否排他性掌握地址的私钥、助记词。如果你不掌握地址权限，或者与他人分享地址权限，都会存在资产丢失风险，这是我们行业一直强调的“not your key,not your coin”。本次 DEXX 用户被盗就是因为地址权限被攻击者非法获取。
将大部分用户资产存储在私钥离网的冷钱包中，仅保留少部分资产在热钱包中以应对用户存取款活动，这种方式能够有效隔离风险，防止所有资产被盗。要求多方授权才能完成大额转账，减少单点失误或恶意行为的风险。例如目前部分头部交易所的做法是，让几个核心人员各自持有部分权限，然后不同时出现在同一个司法管辖区。在排除掉人的因素后，这种级别的资管方式是最安全的。比如强制用户启用两步验证方式，避免第三方人员非法登录;又比如强化用户账户行为检测，一旦发现异常行为就对其账户予以限制。其一是确保员工仅能访问必要的模块，减少能够接触到核心业务地址权限的人员;其二是实时记录所有系统操作日志，定期审计，发现潜在的威胁或问题;一方面是监管部门，平台应该确保符合当地法规，如KYC/AML(了解客户和反洗钱)要求，以避免经营中的合规风险。另一方面是执法部门，平台应该与执法部门保持联系，以便在平台或者平台用户遭到损失后，快速报案立案以挽回损失。传统的链上交易，往往需要用户链接钱包、信任网站、自行输入合约地址、授权并提交交易，这些步骤中哪一步都有可能存在安全风险。想要在交易中绕开这些步骤以获取交易机会，就不得不面对随之增加的风险，早前就有诸多电报交易 bot 出事。因此，不是不建议用户不使用这类资金托管平台，而是要在充分认知风险的基础上，将风险敞口限制在可承受范围内，而不是 all in。这里的信任指的是将自己的地址权限交给他人或者工具，因为你完全无法得知自己的资产会不会得到有效保护。例如当前非常泛滥的粘贴板劫持，部分作恶的 app 会非法获取你复制的私钥，用户需要在日常使用中管理好这部分权限。例如非常流行的假钱包 app，用户在浏览器上随便搜索关键词，点击高仿钓鱼网站下载假钱包，导入地址后，私钥马上被传送到盗币团伙那里。我们最近编写了一份 web3 反欺诈手册，根据普通投资者的认知程度，介绍了各个层次会遇到的欺诈手法，能够帮助投资者规避可能存在的大部分损失。
