Jak zabezpieczamy Twoje aktywa cyfrowe

W świecie aktywów cyfrowych naruszenia bezpieczeństwa mogą być katastrofalne i nieodwracalne. Dlatego bezpieczeństwo w Olbra nie jest refleksją z ostatniej chwili—jest wplecione w każdy aspekt naszych operacji, od sposobu przechowywania aktywów, przez sposób pisania kodu, po sposób reagowania na incydenty. Ten artykuł przedstawia przegląd naszego podejścia do bezpieczeństwa.

Przechowywanie z wieloma podpisami

Najbardziej fundamentalnym środkiem bezpieczeństwa jest sposób, w jaki przechowujemy aktywa. Używamy portfeli wielopodpisowych (multisig), które wymagają wielu niezależnych zatwierdzeń przed wykonaniem jakiejkolwiek transakcji.

• Progowe podpisy: Nasze portfele operacyjne wymagają minimum 3 z 5 podpisów od autoryzowanych posiadaczy kluczy. Oznacza to, że pojedynczy skompromitowany klucz nie może przenieść środków.
• Dystrybucja geograficzna: Posiadacze kluczy są rozproszeni w wielu lokalizacjach i strefach czasowych. Zapobiega to powstawaniu pojedynczych punktów awarii i sprawia, że skoordynowane ataki są niezwykle trudne.
• Sprzętowe moduły bezpieczeństwa: Klucze prywatne są przechowywane w HSM—specjalistycznych urządzeniach sprzętowych zaprojektowanych do opierania się fizycznemu i cyfrowemu sabotażowi. Klucze nigdy nie istnieją w postaci zwykłego tekstu poza tymi urządzeniami.
• Instytucjonalni partnerzy depozytariusze: Dla dodatkowego bezpieczeństwa, część rezerw jest przechowywana u licencjonowanych depozytariuszy instytucjonalnych, którzy zapewniają ochronę ubezpieczeniową i dodatkowe kontrole operacyjne.

Bezpieczeństwo smart kontraktów

Smart kontrakty są kręgosłupem DeFi—i powszechnym wektorem ataku. Stosujemy podejście obrony w głąb do bezpieczeństwa kontraktów:

• Niezależne audyty: Wszystkie kontrakty produkcyjne przechodzą wiele audytów od renomowanych firm bezpieczeństwa przed wdrożeniem. Nie polegamy na opinii jednego auditora.
• Weryfikacja formalna: Krytyczna logika kontraktów przechodzi weryfikację formalną—matematyczne dowody, że kod zachowuje się zgodnie z intencją we wszystkich możliwych warunkach.
• Program bug bounty: Prowadzimy aktywny program bug bounty, który nagradza badaczy bezpieczeństwa za odpowiedzialne ujawnianie luk. Nagrody skalują się z wagą, a krytyczne odkrycia otrzymują znaczne wynagrodzenia.
• Etapowe wdrożenia: Nowe kontrakty są najpierw wdrażane do sieci testowych, następnie do głównej sieci z ograniczonym zakresem, zanim zostaną w pełni włączone. Pozwala to wykryć problemy, zanim spowodują znaczne szkody.

Bezpieczeństwo operacyjne

Środki techniczne to tylko część obrazu. Wdrażamy również rygorystyczne praktyki bezpieczeństwa operacyjnego:

• Kontrole dostępu: Pracownicy mają dostęp tylko do systemów i danych niezbędnych do wykonywania ich ról. Dostęp jest regularnie przeglądany i natychmiast cofany, gdy nie jest już potrzebny.
• Uwierzytelnianie dwuskładnikowe: Wszystkie systemy wewnętrzne wymagają sprzętowego 2FA. Nie akceptujemy kodów SMS lub aplikacji do wrażliwych operacji.
• Szkolenia bezpieczeństwa: Wszyscy członkowie zespołu przechodzą regularne szkolenia z zakresu świadomości bezpieczeństwa, w tym symulacje phishingu i ćwiczenia reagowania na incydenty.
• Ocena dostawców: Usługi stron trzecich, na których polegamy, są oceniane pod kątem ich praktyk bezpieczeństwa przed integracją i stale monitorowane później.

Ochrona ubezpieczeniowa

Pomimo wszystkich środków zapobiegawczych, utrzymujemy ubezpieczenie jako ostatnią linię obrony:

• Ubezpieczenie depozytowe: Aktywa przechowywane u depozytariuszy instytucjonalnych są objęte ich polisami ubezpieczeniowymi, chroniąc przed kradzieżą, oszustwem i niektórymi awariami operacyjnymi.
• Ubezpieczenie od przestępstw: Utrzymujemy polisy obejmujące kradzież przez pracowników, oszustwo cybernetyczne i ataki socjotechniczne.
• Ochrona protokołów: Badamy protokoły ubezpieczeń on-chain, które mogą zapewnić dodatkową ochronę przed ryzykiem smart kontraktów.

Ubezpieczenie nie zapobiega naruszeniom, ale zapewnia mechanizm naprawczy, jeśli zapobieganie zawiedzie. Postrzegamy je jako podstawową infrastrukturę, a nie opcjonalną ochronę.

Reagowanie na incydenty

Sposób reagowania na incydenty ma takie samo znaczenie jak zapobieganie. Nasz framework reagowania na incydenty obejmuje:

• Monitoring 24/7: Zautomatyzowane systemy monitorują anomalie w zachowaniu kontraktów, nietypowe wzorce transakcji i problemy z infrastrukturą. Alerty uruchamiają natychmiastowe dochodzenie.
• Procedury awaryjne: Mamy udokumentowane, przetestowane procedury dla różnych typów incydentów—od luk w kontraktach, przez kompromitacje infrastruktury, po próby inżynierii społecznej.
• Wyłączniki bezpieczeństwa: Krytyczne kontrakty zawierają funkcjonalność wstrzymania, która może zatrzymać operacje w przypadku wykrycia exploita, ograniczając potencjalne szkody podczas rozwiązywania problemu.
• Plany komunikacyjne: Mamy wstępnie ustalone kanały i szablony do komunikacji z użytkownikami podczas incydentów—przejrzystość jest kluczowa dla utrzymania zaufania.

Co możesz zrobić

Bezpieczeństwo to wspólna odpowiedzialność. Oto jak możesz się chronić podczas korzystania z Olbra:

• Używaj portfeli sprzętowych: Przechowuj znaczące zasoby w portfelach sprzętowych zamiast w hot walletach lub kontach giełdowych.
• Weryfikuj kontrakty: Zawsze sprawdzaj, czy wchodzisz w interakcję z oficjalnymi kontraktami Olbra. Sprawdzaj adresy w naszej dokumentacji przed zatwierdzeniem transakcji.
• Uważaj na phishing: Nigdy nie poprosimy o Twoje klucze prywatne lub frazę seed. Oficjalna komunikacja pochodzi tylko ze zweryfikowanych kanałów.
• Zacznij od małych kwot: Próbując nowych protokołów lub funkcji, zacznij od małych kwot, dopóki nie poczujesz się komfortowo z ich działaniem.
• Aktualizuj oprogramowanie: Upewnij się, że Twoje oprogramowanie portfela i przeglądarki są aktualne z najnowszymi łatkami bezpieczeństwa.

Ciągłe doskonalenie

Bezpieczeństwo nigdy nie jest "gotowe." Krajobraz zagrożeń stale ewoluuje, podobnie jak nasze zabezpieczenia. Ciągle:

• Monitorujemy pojawiające się zagrożenia i wzorce ataków w przestrzeni DeFi
• Aktualizujemy nasze praktyki w oparciu o lekcje wyciągnięte z incydentów branżowych
• Angażujemy się ze społecznością badaczy bezpieczeństwa poprzez nasz program bug bounty
• Inwestujemy w nowe technologie i metodologie bezpieczeństwa

Pytania dotyczące naszych praktyk bezpieczeństwa? Przeczytaj naszą dokumentację bezpieczeństwa lub skontaktuj się bezpośrednio z naszym zespołem.