领先于新兴威胁：BitGo 对安全的承诺

阅读本博客的日语译文 这里。

在 BitGo，安全是我们一切工作的核心。 作为一家拥有悠久安全托管经验的企业，我们在此模式下从未发生过客户资金丢失的情况。随着数字资产生态系统的不断演进，我们面临的威胁也在不断变化。攻击者持续开发出更复杂的攻击手段，而领先于这些威胁，既是我们的责任，也是整个行业的责任。

数字资产领域不断演变的威胁

近期，我们观察到数字资产领域针对性攻击呈上升趋势。一些引人注目的事件凸显了一种常见的攻击途径：攻击者触发能够通过安全检查的恶意交易请求。美国联邦调查局（FBI）已公开针对此类威胁发表声明，强调必须保持持续警惕。

BitGo 积极监测攻击策略的变化。通过严格的内部审查，我们已确认我们的安全架构不会出现类似的攻击途径。不过，我们并不仅依赖自身的专业知识。 我们与执法部门保持着紧密的合作关系，并运营着公开的漏洞赏金计划，鼓励安全研究人员发现并报告漏洞。为应对新出现的威胁，我们进一步加强了门户网站的安全防护，将包括内部恶意人员带来的风险在内的各类风险（甚至理论上的风险）降至最低。

独立安全测试与验证

除了内部安全措施外，我们还持续聘请外部专家对我们的安全措施进行验证。除了例行的渗透测试外，我们还委托了一家第三方安全公司对我们的交易签名流程进行独立评估。评估结果令人放心--未发现任何值得担忧的重大漏洞。

此外，我们还会定期进行完全独立的"红队"测试。去年，我们更进一步：向一支外部"红队"提供了一台笔记本电脑，并授予其访问我们环境（包括 GitHub）的高级管理员权限。 在他们进行初步侦察期间，我们的监控系统就已检测并拦截了他们的活动。尽管他们持续尝试了数月之久，但最终针对我们生产环境的攻击仍在数分钟内被检测到并成功挫败。这充分证明了我们安全防御体系的强大--即使面对拥有高权限凭证的内部人员，也能有效抵御其攻击。

多层安全防护策略

在 BitGo，安全不仅仅关乎技术，更关乎企业文化。我们实施多层防御策略，以在各个层面降低风险：

• 安全意识与培训： 员工每月都会接受网络钓鱼测试，任何测试未通过的情况都会进行后续跟进。这确保了员工能够持续保持警惕，防范社会工程学攻击。

• 终端与网络安全： 我们实施严格的设备限制，部署了反恶意软件解决方案，并禁止使用浏览器中存储的密码。通过强制实施基于硬件的双因素认证（2FA），我们为会话劫持企图设置了额外的防护壁垒。

• 连续监测： 我们对环境的各个方面--从 SaaS 使用情况到终端 DNS 流量--都进行主动监控。一旦发现异常活动，将立即展开调查。

• 访问控制： 我们实行最小权限原则，持续调整权限设置，并要求所有内部系统交互必须使用 BitGo 发放的设备。

• 物理安全： 员工必须到办公室工作以进行身份验证，从而进一步降低与远程系统遭入侵相关的风险。

这些措施符合行业最佳实践，包括 MITRE ATT&CK;框架、监管指南以及领先的安全标准。通过持续优化我们的安全态势，我们确保在不断变化的威胁环境中，我们的防御体系始终保持强大。

我们一如既往的承诺

BitGo 因守护客户资产而赢得了良好声誉，我们对安全的承诺始终如一。我们通过结合内部专业知识、外部验证以及对新兴威胁采取主动应对措施来实现这一目标。安全是大家共同的责任，通过通力合作，我们能够继续为客户提供最高级别的保护。

在安全措施方面，我们将始终保持警惕、灵活应变并保持透明--因为保护数字资产不仅是我们的业务，更是我们的使命。