Partnered With:

Defiance Capital founder: After 60 NFT stolen, how did I protect myself against fraud?

Read this article in 7 Minutes

Defiance Capital founder offers 10 cybersecurity related tips for crypto assets

Originally written by Arthur Defiance Capital

原文编译：0x9F、0x22，律动 BlockBeats

This article is from Defiance Capital founder Arthur on his personal social media platform, translated by BlockBeats:

起初，以下内容仅写给我们的投资组合公司和合作伙伴。一番思考过后，我认为应该将它们开源。

Based on our research and conversations with leading cybersecurity experts, we believe that BlueNorOff, a hacking group, is conducting an organized plot to target all well-known organizations in the cryptographic field. Given the sophistication of their social engineering attacks,I believe they have mapped the entire crypto landscape and know what phishing emails are most likely to get through our psychological defenses.To learn more about how this attack works, I highly recommend readingThis article，其中的建议也值得采纳。

The key is to be highly aware,The crypto industry is becoming an active target of state-sponsored cybercrime.这个组织非常机智和老练，他们甚至可能在未来变换工具和攻击模式。一旦目前的攻击方法变得不那么有效，例如最近出现的木马化 DeFi App 和钱包攻击。为了成功，朝鲜很可能会为该组织投入更多资源，从而扩大攻击的强度。

抛开所有标标准准的网络安全建议不谈，在网络安全意识强的朋友的协助下，我提出了以下这些不完全的加密相关安全建议。希望这将防止类似事件发生在我们任何人身上。

将链上加密资产存储在企业级托管解决方案上

一个硬件钱包不足以保障 EOA（Externally owned account），因为他们可以插入一个虚假的 Metamask 浏览器扩展，从而批准非预期的交易。至少它应该是一个 Gnosis Safe 这样由几个硬件钱包保障的多签钱包。我强烈推荐使用 Fireblocks、Copper、Qredo 等更高级别的托管解决方案，因为它们自带用于交易审批的原生多签 2FA（双重认证）钱包。

招聘远程团队要进行额外的尽职调查

招聘远程团队要进行额外的尽职调查，尤其是雇佣软件工程师或开发人员。「Lazarus APT 集团甚至参与创建开发加密货币软件的虚假公司。」我们从我们的一个投资组合公司那听说，他们软件工程师职位的申请人面试时很可疑，也与他们简历中的样貌不相符。

Configure a computer dedicated to cryptographic transactions

应该要有专门的计算机，只用于从事加密交易，不与任何电子邮件、互联网链接、消息应用程序、MS word 文档、PDF 等交互。

为所有登录实施 2FA

虽然不是针对加密，但也重要到要提个醒。云存储、电子邮件、Telegram 等消息应用程序都应该开启 2FA 登录。请用 Google 身份验证代替短信 2FA。

应尽可能使用 YubiKey 这样的硬件 2FA 钱包，公司和个人账户都是。

将常用加密 DApp 网站加入书签

有时候搜索引擎会搜出钓鱼网站，要是搜索过程中一个不小心，你可能就会上了一个钓鱼网站。最好通过书签列表访问加密 DApp 网站。

撤销不需要的 Token 授权

Token licensing allows another party to move your assets and is a necessary condition for interacting with most smart contracts. Avoid unlimited Token authorization and periodically revoke unnecessary authorization that can be usedRevoke 做到。