杨海坡指出币安安全事件暴露三项可避免失误

据 Woofun AI 消息， 创始人兼 CEO 在 X 平台发文评论安全事件，指出该事件暴露三项本可避免的失误，核心在于缺乏纪律而非技术复杂。杨海坡认为，第一，开发与运维环境未完全隔离，拥有生产环境权限人员应使用专用设备且不安装第三方软件，编码、聊天和网页浏览需在另一台设备进行。第二，运维体系缺少有效双重验证，单一密钥即可操作生产服务，密钥泄露即赋予攻击者完整生产权限，生产操作应通过类似 浏览器端 方式并以硬件安全密钥作为第二因素。

第三，MPC 多签仅有其名，签名方未对交易做实质性独立核验，攻破一个节点即可使整套机制失效，效果与单签无异。多签只有在签名方彼此不信任、各自独立核验交易本身而非信任上游请求时才有效。11 月 3 日，币安发布 10 月 29 日安全事件初步调查结果，称约 63.4 亿美元数字资产受到影响，截至更新时约 28.5 亿美元已被冻结或拦截，受影响代币中 98% 已完成补足。报告称攻击者取得内部钱包签名服务未授权访问，并利用 EIP-7702 对热钱包实施授权，由于热钱包采用多方计算无法用单一私钥立即撤销相关授权。币安引述 FBI 信息称朝鲜应对此次事件负责。