BitGo 如何重新定义交易安全

要点总结

• 通过针对每笔交易在意图、设备、身份、行为和策略等方面进行验证，BitGo 正在构建一种前瞻性的安全模型，该模型专为应对现代攻击的实际发生方式而设计。

• BitGo Verify 的各项增强功能，例如设备认证、生物识别认证和按需视频身份验证，可确保审批在可信设备上实时完成，从而减少对存在安全隐患的浏览器环境的依赖。

• 借助政策建议、重复项管理和 Webhook 集成，组织可以扩展治理范围、标准化控制措施，并规范资产在团队和工作流之间的流转方式。

• BitGo 会在提币时标记可疑的收款地址，从而让操作人员在资金发出之前就发现并阻止"复制粘贴"攻击。

如今的攻击不仅针对私钥，还针对其周围的一切。它们操纵用户所见的内容，破坏审批所处的环境，并利用系统之间的漏洞。一笔交易即使在加密层面上是有效的，也可能具有恶意。这是威胁格局的根本性转变，需要采用一种全新的安全模型。

在 BitGo，我们重新设计了交易的安全保障机制，不再将其视为单一控制点，而是作为一个系统来运作。BitGo 会对交易进行五层独立验证，只有当这五层验证结果完全一致时，交易才会执行。

意图：确保交易符合用户的意图

大多数系统都假设用户所看到的正是将被签名的内容，但诸如 API 层篡改等问题可能会在用户审阅交易详情后、但执行前篡改交易详情。虽然签名可能仍然有效，但交易意图已受到损害。

BitGo 通过 API 认证和意图验证来解决这一问题。当创建交易时，BitGo 会通过加密方式验证，确保实际执行的内容与已批准的内容完全一致。这弥合了应用层与执行层之间的差距。

设备：借助 BitGo Verify 为关键操作建立可信环境

浏览器虽然方便，但也容易受到扩展程序、恶意软件和会话劫持的威胁。它们无法保证所显示或执行内容的完整性。BitGo 通过 BitGo Verify，将交易批准转移到可信设备模型上。

BitGo Verify，BitGo 的 仅限审批的移动应用 该产品将于 2025 年发布，专为交易审批和身份验证等高风险操作而设计。它作为审批的专用执行通道，与发起交易的环境相互隔离。 通过将交易发起与审批环节解耦，BitGo 降低了因会话遭入侵、界面被篡改、恶意工作流或恶意行为者等因素，同时影响交易双方的风险。

凭借我们最新的功能增强，BitGo Verify 确保审批不仅与用户绑定，还与处于已验证状态的特定可信设备绑定。这些功能包括：

• 设备认证：验证硬件是否已预先注册且被视为可信，从而能够执行特定功能

• 应用完整性检查：阻止任何非官方或经过篡改的应用版本

• 受硬件限制的推送令牌：确保只有已注册的物理设备才能接收并响应某些关键请求

• 会话绑定：通过加密方式将会话与经过验证的移动设备关联起来，以防止中间人攻击

其结果是，安全机制正从"可信会话"向"可信设备"转变，在此模式下，授权可被验证，且能够抵御那些日益针对基于浏览器的工作流的各类攻击。

身份验证：借助 BitGo Verify 在深度伪造时代验证用户身份

深度伪造（Deepfakes）、视频流注入以及社会工程学攻击，使得区分合法用户与攻击者变得越来越困难。BitGo 将身份验证视为一个在可信环境中进行的动态、实时过程。

由于审批和高风险操作已在 BitGo Verify 内实现隔离，因此身份验证可以在关键时刻--即审批环节--即时进行，而非作为一项孤立的、独立的步骤来执行。

随着按需视频身份验证功能的推出，BitGo 采用了可实时触发的验证机制。在需要时，用户可直接在 BitGo Verify 应用内完成活体验证流程，从而确保身份验证在可信设备上进行，通过受控界面完成，并与正在执行的操作直接关联。 该流程结合了多种验证方法，包括生物识别认证（用于确认授权用户的存在）和活体检测（用于确保用户本人在场并实时响应）。

行为：在关键时刻检测威胁

有些攻击并不依赖于被盗的凭据或设备，而是通过对用户行为进行微妙的操纵来实施。 一个常见的例子是地址中毒：攻击者会在用户的交易记录中植入一个看似真实的地址，企图诱使用户复制并粘贴错误的收款地址。在这种情况下，一切看似正常，但结果却并非如此。BitGo 通过实时威胁检测来应对这一问题。

在提现时，平台会评估近期交易活动，以识别符合操纵特征的模式。 可疑的收款地址会在交易执行前被标记，以便操作人员进行审查和干预。这些警示信息会直接在审批流程中显示。这一功能通过人工智能驱动的风险分析得到了进一步加强，该分析会评估用户、钱包和工作流中的活动，以检测静态控制措施可能遗漏的异常情况。

政策：定义和规范资产的流动方式

即使一笔交易是有效的、由授权用户发起并在可信设备上获得批准的，它也可能是不被期望的。正是在这种情况下，BitGo 的策略引擎发挥着至关重要的作用。

策略使组织能够定义管理资产流动的规则。这些规则可根据各组织的运营和风险要求进行定制，包括：

• 对高价值交易要求进行额外审批

• 将提现限制在预先批准（白名单）的地址上

• 随时间推移执行限速规定

• 将交易发起人与审批人的角色区分开来

其强大之处在于，策略的执行与加密签名是相互独立的。一笔交易即使满足所有技术签名要求，只要违反了策略，仍会被阻止。这使得授权与治理之间实现了明确的分离。

政策引擎的近期增强功能使这些控制措施更具可扩展性，并更易于在整个组织范围内实施。政策建议基于类似的企业配置，提供了实施的起点。政策复制功能确保了不同团队和环境之间的一致性。Webhook 集成使外部风险系统能够直接参与审批工作流。

这些功能相结合，将策略从静态配置转变为动态且可执行的控制层，能够实时管理每一笔交易。

一个针对攻击发生方式而设计的系统

安全性不再仅仅是保护某个单一组件的问题，而是要确保任何单一故障都不会导致损失。

在 BitGo，交易现在必须：

• 匹配用户意图

• 来自受信任的设备

• 通过身份验证后获得批准

• 与预期行为保持一致

• 遵守组织政策

如果上述任一条件未满足，交易将不会执行。这就是从"特定时间点"安全机制向"持续验证"机制的转变。

随着攻击者越来越多地将目标锁定在系统之间的漏洞上，安全措施必须随之演进以弥补这些漏洞。通过从意图、设备、身份、行为和策略等维度对每笔交易进行验证，BitGo 正在构建一种交易安全模型，该模型真实反映了现代攻击的实际发生方式。

下一代的 数字资产安全 这一趋势已初现端倪。请联系我们的团队，了解 BitGo 如何帮助机构适应不断变化的威胁形势。