去中心化技術可能會提高 CISO 資安長的焦慮程度，但有一些方法可以避開安全風險。
文／Andrada Fiscutean‧譯／酷魯
隨著接受加密貨幣支付的公司愈來愈多，顧客因此可以購買幾乎他們所想要的一切：電子產品、大學學位和卡布奇諾咖啡。與此同時，非同質化代幣（Non-Fungible Tokens, NFTs）市場一飛沖天，不僅讓新藝術家成為百萬富翁，連美國嘻哈傳奇巨星史努比狗狗（Snoop Dogg）、美國最會賺錢的家庭主婦瑪莎史都華（Martha Stewart）和新世代電音天后格萊姆斯（Grimes）等知名人士也搶搭此一熱門風潮趨勢分別推出天價的 NFT 項目。
隨著許多組織開始討論 Web3（又寫為 Web 3.0） 的影響性以及它所帶來的可能機會，加密貨幣和 NFT 因而被列入許多組織今後的發展議程上。此一網際網路發展上的全新重大轉變有望使我們的數位世界去中心化，進而為使用者提供更多的控制權和更透明的資訊流。
橫跨各行各業的公司莫不竭盡全力適應這個新典範。但資安長對此卻有許多擔憂，首先是網路安全和身分詐欺、市集安全風險、金鑰和資料管理，以及隱私。
[ 推薦閱讀：企業邁向 Web 3.0 的挑戰 ]
包括 NFT 在內的任何形式加密貨幣，都存在一系列大多數公司有可能不甚熟悉的威脅和安全問題。「它需要許多新的操作步驟，得創建一套新的系統（公共區塊鏈），並讓許多公司承擔不太熟悉的風險，」加密研究公司 Digital Asset Research 執行長 Doug Schwenk 表示。
CISO 對這些問題的看法可能會對使用者及商業合作夥伴造成影響。「惡意劫持會對公司或旗下用戶，乃至 NFT 收藏家產生直接性的財務衝擊，」安全方案供應商 Confiant 資深安全工程師 Eliya Stein 指出。
以下是加密貨幣和 NFT 可能帶給資安長的十大最重要安全風險：
一、整合區塊鏈協定很複雜
區塊鏈是一種相對較新的技術。因此，將區塊鏈協定整合到專案之中變得有點困難。「和區塊鏈相關的主要挑戰莫過於缺乏對該技術的認識（尤以銀行業之外的領域為然），並且普遍缺乏對其運作原理的理解，」根據德勤（Deloitte）國際會計師事務所一份報告指出。「這對投資以及對想法的探索構成了阻礙。」
公司應仔細評估每個支持鏈的成熟度和適用性。「採用處於早期階段的區塊鏈協定可能會導致停機和安全風險，而後期協定目前則會有更高的交易費用，」Schwenk 表示。「在選擇支持所需用途（例如支付）的協定後，可能無法從贊助商那裡獲得任何支援。這更像是開放原始碼的採用，需要特定的服務供應商才能充分實現價值。」
二、資產所有權的標準規範改變
當有人購買 NFT 時，他們實際上並不是購買了一張圖像，因為將照片儲存在區塊鏈中會因照片尺寸而顯得不切實際。使用者反而獲得是某種指向該圖像的收據。
區塊鏈只儲存圖像的身分證明，亦即可以是雜湊或 URL。HTTP 協定常被使用，但其去中心化的替代方案是星際檔案系統（Interplanetary File System, IPFS）。選擇 IPFS 的組織需要了解的是，IPFS 節點將由銷售 NFT 的公司運行，而且一旦該公司決定關閉商店，那麼使用者將無法存取 NFT 指向的圖像。
「雖然技術上可以將檔案重新上傳到 IPFS，但一般使用者不太可能辦得到，因為這個過程很複雜，」獨立安全研究員 Anatol Prisacaru 表示。「然而，好的一面是，由於去中心化和無需許可的性質，任何人都可以這麼做（不僅限專案開發人員）。」
三、市集安全風險
雖然 NFT 基於區塊鏈技術，但與之相關的圖像或視訊可以儲存在集中式或分散式平台上。通常，為了方便，會選擇集中式模型，這是因為它讓使用者能更容易與數位資產進行互動。這樣做的缺點是 NFT 市場會繼承 Web2 的安全漏洞。此外，雖然傳統的銀行交易是可逆的，但區塊鏈上的交易卻不是。
「被劫持的伺服器可能會向用戶提供誤導性資訊，誘使他執行會花光他錢包的交易，」Priscaru 指出。但是將足夠的時間和精力投入到正確的實作中可以防止攻擊，尤其是在使用去中心化平台時為然。
「當以去中心化的方式適當落實時，即使是受劫持的市集也應該不能夠竊取或變更使用者的資產；然而，一些市集會便宜行事，犧牲安全和去中心化以獲得更多控制權，」Priscaru 表示。
[ 2022年度CIO大調查報告下載 ]
四、身分詐欺和加密貨幣詐騙
加密貨幣詐騙很常見，而且往往會有大量受害者。「詐騙者經常掌握著備受期待的 NFT 發行，並且通常有數十個詐騙網站準備在正式發行時同步進行推廣，」Stein 表示。淪為這些詐騙的受害者，往往是一些最忠誠的客戶，這種糟糕的體驗可能會影響他們對品牌的看法。因此，保護它們至關重要。
通常，用戶會收到惡意電子郵件，告訴他們在他們某一個帳號中發現了可疑行為。他們被要求提供他們的憑證，來進行帳號驗證以解決這個問題。如果使用者因此上當，他們的憑據就會遭到劫持。「任何嘗試進入 NFT 領域的品牌，都將受益於分配資源來監控和緩解這些類型的網路釣魚攻擊，」Stein 表示。
五、區塊鏈橋接是一個日益嚴重的威脅
不同的區塊鏈有不同的幣種，受不同的規則約束。例如，如果有人擁有比特幣，但想使用以太幣，他們就需要在兩個區塊鏈之間進行連接，以允許資產轉移。
區塊鏈橋接（有時稱為跨鏈橋接）就是允許兩個區塊鏈間進行連接與資產轉移的解決之道。「拜他們性質之賜，它們通常沒有嚴格使用智能合約（Smart Contract）來實施，而是依賴當使用者在原始鏈上存放資產時，在另一條鏈上啟動交易的鏈下元件，」Priscaru 表示。
涉及跨鏈橋接的不乏一些最大的加密貨幣駭客，包括 Ronin、Poly Network 和 Wormhole。例如，在2022年3月底對遊戲區塊鏈 Ronin 發動的駭客攻擊中，攻擊者獲得了價值 6.25 億美元的以太幣和 USDC （USD Coin）幣。此外，在2021年8月的 Poly Network 攻擊期間，一名駭客將超過 6 億美元的代幣轉移到多個加密貨幣錢包中。幸運的是，在該案例中，錢最終在兩週後歸還了。
[ 加入 CIO Taiwan 官方 LINE 與 Facebook ，與全球CIO同步獲取精華見解 ]
六、程式碼應該經過徹底的測試和稽核
擁有良好的程式碼應該是任何專案開始時的優先要務。Prisakaru 認為，開發人員應該有嫻熟的技能，並有意關注細節。否則，淪為安全事件受害者的風險就會大增。例如，在 Poly Network 攻擊中，攻擊者利用了契約調用之間的安全漏洞。
為了防止事故發生，團隊應該進行徹底而全面的測試。組織還應該與第三方簽約以進行安全稽核，儘管這可能既昂貴又耗時。稽核提供了系統化的程式碼審查（Code Review），以協助識別出大部分的已知安全漏洞。
當然，檢查程式碼有其必要，但不表示就能完全高枕無憂，事實上，公司進行稽核並不能保證他們就能完全擺脫可能的安全麻煩。「在區塊鏈上，智能合約通常是高度可組合的，而且你的合約通常會與其他協定相互作用，」Prisakaru 說。 「然而，企業因為只能控制自己的程式碼，所以與外部協定互動勢必會增加風險。」
個人和企業都可以探索另外的風險管理途徑：保險，它可以幫助公司降低智能合約或技術託管的成本。
七、金鑰管理
「從本質上來講，加密不過是私鑰管理，」Schwenk 表示。「這對許多公司來說聽起來很簡單，至於資安長可能很清楚這些問題和最佳實踐。」
有幾種可存取的金鑰管理解決方案。像是 Trezor、Ledger 或 Lattice1 等硬體錢包就是其中一種解決方案。這些硬體錢包多半是能在其安全元件上生成並儲存加密材料（Cryptographic Material）的 USB 裝置，即使攻擊者可以透過像是病毒／後門程式存取使用者的電腦，該裝置也能防止攻擊者存取使用者的私鑰。
另一道防線是多重簽名（Multi-Signature, Multi-Sig），它可以與硬體錢包一起使用。 「在其基礎上，多重簽名是一種智能合約錢包，它要求交易需得到多個所有者的確認，」Prisacaru 表示。「例如，你可能有五個所有者，並且需要至少三個人簽署，才會發送交易。如此一來，攻擊者必須同時劫持多個人才能成功劫持錢包。」
八、員工和用戶教育
想要整合 Web3 技術的組織需要訓練他們的員工，因為需要藉助新的工具在不同的區塊鏈上進行交易。「數位資產商務對傳統電子商務來說似乎很熟悉的樣子，但在這個新世界中，需要精通的工具和瀏覽器外掛，事實上與財務團隊習慣的完全不同，」網路釣魚偵測與應變方案商 Cofense 共同創辦人暨技術長 Aaron Higbee 指出。
雖然每個企業都需要擔心基於電子郵件的網路釣魚攻擊，但處理數位資產的員工更容易成為攻擊目標。需要教育訓練的目的在於確保團隊中的每個人都能遵循最新的最佳實踐，並且對安全有很好的理解。網路安全方案供應商 Check Point 產品漏洞研究負責人Oded Vanunu 表示，他注意到在加密貨幣的知識方面存在「巨大差距」，這可能會讓某些公司的情況「有點混亂」。「想要整合 Web3 技術的組織需要了解的是，這些專案必須要有深入的安全審查和安全理解，這意味著他們必須了解可能發生的數字和含義，」他指出。
一些不想進行私鑰管理的組織決定使用集中式系統，這使他們更容易會有引發 Web2 安全問題的漏洞存在。「我強烈要求，如果他們要將 Web3 技術整合到他們的 Web2 之中，就必須要有一個能付諸執行之深入安全審查和安全最佳實踐的專案，」Vanunu 表示。
九、NFT 和 Web3 去中心化應用的持久性
許多企業會將不再滿足其需求的產品加以淘汰，事實上，如果處理得當的話，區塊鏈所支援的資產通常不會出現這種情況。「NFT 不應該被視為一次性的行銷工作，」Stein 表示。「如果 NFT 本身沒有保存在區塊鏈上（On Chain），那麼公司就有將其永久維持下去的責任與義務。如果該專案取得巨大的成功，那麼公司就承擔了支援這些 NFT 收藏家的重責大任，包括事故、詐騙等等。」
其中一個病毒式行銷專案是由烏克蘭政府發起的，該政府出售基於戰爭時間表的 NFT。「這個 NFT 是保存戰爭記憶之所在。也是慶祝烏克蘭身分認同和自由之所在，」烏克蘭副總理暨數位轉型部長米哈伊洛費多羅夫（Mykhailo Fedorov）在推特上寫道。NFT 愛好者的反應熱烈，他們紛紛表示想買一段歷史來支持烏克蘭。不過，他們期望的是該專案能夠繼續下去。
十、區塊鏈並不總是適當的工具
雖然新技術總是令人興奮，但在大行其道之前，組織應該詢問一下他們是否真的解決了問題，以及採用它們的時機點是否適當。基於區塊鏈的專案有可能讓公司變得更好，但它們也可能消耗資源，至少在一開始的階段是這樣。
「權衡風險/回報會是決策之中的重要組成部分，此外適當地為安全作業提供資源，這兩項無論是採用中還是持續進行中，都是至關重要的，」Schwenk 表示。「對這些新舉措之風險/回報判斷可能還不算是核心競爭力，而且很容易陷入與加密貨幣相關的炒作中。」
(本文授權非營利轉載，請註明出處：CIO Taiwan)
