DEFI:安全上网指南 一览 14 项安全防御手段

撰文：王一石

两年前我写过一篇文章，分享了一些保护个人隐私的技巧。

时过境迁，新的攻击手段层出不穷，尤其在Crypto行业，稍有不慎、倾家荡产。

事实上，没有什么银弹能抵御所有攻击，问题关键在于构建自己的「防御系统」，也就是说，你应当思考自己

可能被哪些人攻击

他们想要从中获取什么

他们会用什么样的方式

并且，假设攻击已经发生，自己是不是能承担损失；如果承担不了，应当如何分散风险。

大部分攻击都是「无差别」的，黑客广撒网，愿者上钩，这种只要正常防范就好。

也有针对性非常强的攻击，通过各种攻击手段，黑客很容易获得你的家庭和公司地址，从而进一步实施犯罪，要防范这种攻击，必须祭上更周密的策略。

只有「防御系统」构建好，你才能遇事不乱，把核心风险降到最低。

以下是我常用的一些防御手段：

1）使用能保护隐私的搜索引擎

不再使用Google搜索，转而使用DuckDuckGo或Startpage，好处显而易见，因为它们能：

Maker和NEAR Protocol或存在安全问题，以太坊核心开发者询问用于报告的邮箱地址:9月8日消息，以太坊核心开发者、以太坊客户端Geth开发者Péter Szilágyi在推特询问，是否有人知道Maker和NEAR Protocol用于报告安全问题的邮箱地址。[2021/9/8 23:09:15]

在通信中移除你的IP地址

在浏览网页内容时持续保持匿名状态

阻止第三方广告系统追踪你的个人信息

阻止基于你的个人网络活动构建用户画像

我只有在找不到想要内容的时候才会用回Google。

2）加密你的数据

如果你已经离不开诸如iCloud、GoogleDrive、DropBox这样的网盘，那你就要做好自己的数据有一天被Hack的觉悟。虽然大型企业会在加密、数据安全上投入大量预算，但你依然不能否认：

只要数据还在对方服务器上，那么它实际上已经脱离了你的控制。

大多数网盘提供商仅在传输过程中加密数据，或者他们自己保留用于解密的密钥。这些密钥有可能被盗、复制或滥用。因此，给自己留个心眼，用Cryptomator这样开源、免费的工具来加密数据。

BHEX?Chain负责人：MPC是目前更加安全、更加去中心化的跨链解决方案:针对PloyNetwork遭到攻击，超6亿美元资产被转出这一事件，BHEX?Chain负责人称，跨链在目前的DeFi市场中存在着巨大需求，且发展迅速，但安全方面仍需进一步完善提高，目前市场中绝大多数的跨链方案，均采取链上部署智能合约的方式，存在一定的安全隐患，这也是最近跨链安全事件频发的主要原因之一。

相对于链上部署智能合约，MPC是一个更好的方向，BHEX?Chain的BBS跨链解决方案采用MPC跨链方案，可以给每个用户生成独立的托管地址，避免了去链上部署智能合约，资产的充提验证逻辑及安全性基本与交易所完全一致；同时，BHEX?Chain不发行任何资产，不存在任何资产中间的兑换流程。这些特点已经历过充分的检验，可以确保用户资产安全、避免遭受攻击。[2021/8/10 1:46:32]

这样即便网盘服务商被Hack，你的数据大概率还是安全的。

3）输入法

我之前说过，最好不要用任何第三方输入法，而只使用系统自带的。

现在我要增加一个选项，那就是「鼠鬚管」，它有许多优点：

慢雾安全工程师：安全审计是目前保护DeFi项目安全最高性价比的方式:12月30日，在慢雾科技主办的Hacking Time区块链安全攻防峰会上，慢雾科技高级安全工程师yudan和Kong根据bZx最早期的两次闪电贷攻击案例，介绍了闪电贷基本的攻击形式——代币价格操纵，详细讲述了基于价格操纵的闪电贷的防御方案以及在其价格无法被操纵的情况下，如何利用闪电贷另辟蹊径，通过操纵 LP Token的单价来进行获利。并通过慢雾被黑档案库与大家一起回顾了2020 DeFi被黑事件。

yudan和Kong认为，DeFi安全形势严峻，安全审计是目前保护项目安全最高性价比的方式。在当下DeFi黑暗森林里我们在临渊而行，需如履薄冰。[2020/12/30 16:04:29]

性能优秀、占用资源少

极少出现敲第一个字的时候页面卡钝的情况

全开源、无后门、不会上传内容

繁体字强大

极高的定制自由度

我现在使用的是placeless的双拼配置，觉得还不错，如果你是双拼用户，可以试试他的配置。

观点：基于比特币构建DeFi很困难，或因其安全性以及缺乏生态系统:比特币被当作金融系统替代品，但Atomic Loans CTO Matthew Black称，其大部分活动依赖去中心化交易所和中心化借贷平台。他指出，对这些加密银行的依赖使得其用户和其他人一样面临托管风险。

以太坊也被称为无银行货币系统，通过MakerDAO和Compound等DeFi项目超越中心化加密银行。DeFi获得巨大增长，成为以太坊生态系统最重要贡献者之一。但在比特币上很难实现同样目标。Black认为，部分原因与比特币的安全构建方式有关，无需担心以太坊上那样的智能合约黑客。这使得在比特币基础上进行构建的任务变得困难，而缺乏在BTC上构建金融应用程序的生态系统，使其变得麻烦。“如果没有MetaMask或Web3生态系统，构建比特币和DeFi的门户就更难了。”有人尝试在Bitcoin DeFi进行原子互换交易，但因UI/UX问题无法获得足够吸引力。尽管代币化BTC已是很好的应用，交易量也在增加，但系统并不完美。

在BTC基础上建设很困难，但社区期待比特币生态系统能使其更独立。目前很难实现仅基于BTC的DeFi，但如果有庞大的生态系统，可能会更容易。（AMBCrypto）[2020/7/25]

4）只访问HTTPS网站

动态 | 品牌安全公司Scoota利用区块链技术提高透明度:据bitcoinexchangeguide报道，品牌安全公司Scoota和Ternio最近建立了合作关系，订立了智能合约，将利用Ternio的区块链解决方案，提高其广告平台的透明度。[2018/11/15]

安装HTTPS-EVERYWHERE这个插件。

它可以自动为访问网站的所有已知受支持部分，激活HTTPS加密保护，防止你跟网站的交互的信息被窃听或篡改。

访问网站时，如果是明文传输，会有明确提醒。

5）使用GoogleDrive打开可疑的附件

你经常会收到各种带有附件的邮件，虽然邮件服务商会预先扫描并阻拦可疑内容，但很多附件伪装精妙，下载到本地是有风险的。

这种情况下，我建议直接在网页中预览，或者存储到临时的GoogleDrive文件夹中预览，这能有效隔离病。

6）小众平台能显著提高对抗病木马的可能性

思考这样一个问题：如果你是黑客，准备开发一个病来获利，你会选择针对那个哪个平台？

显然是用户基数更大的平台。

相比Windows，以下平台的用户基数更少。

虽然它们并不显著比Windows安全，但面临的风险要小得多。

macOS

ChromeOS

Ubuntu

Fedora

Debian

其他Linux发行版本

7）慎写安全问题

「你的大学名字是什么？」

「你的女朋友是谁？」

「你最喜欢哪个乐队？」

…

不要再老实地把真实信息填上去，因为你的信息在大量社交平台上都有存档，很容易被社工，这会给黑客可乘之机。

取而代之，用密码管理软件生成的随机密码作为这些安全问题的答案，这样就安全多了。

8）不要在临时设备上登录你的核心账户

核心账户指的是你的Google、Apple等等主力账户，它们绑定了一堆设备、信用卡、密码等等。

互联网公司为了方便，通常会在你的浏览器本地存储SessionCookie，一旦这个Cookie被窃取，黑客甚至可以绕过平台的2FA等校验，这种情况下，什么2FA都没用。

9）永远二次确认

记忆不可靠

核对钱包地址要完整，不能只核对前/后几位数

我去年登录一个不常用的交易所，准备清理一些碎币。

提币时看到地址薄有几个眼熟的，但一时想不起来是什么时候创建。

因为只有零点几个比特币，就直接转了，事后却怎么也找不到那个地址对应的私匙。

有点后悔，如果当时多确认一次，就不会犯这种低级错误。

10）卖二手设备前清空所有磁盘资料

推荐两个工具：

Darik’sBootandNuke

PermanentEraser

前者可以彻底清空硬盘。

后者可以替代”安全清倒废纸篓“的操作，每次操作能覆盖文件存储空间35次，基本很难恢复。

11）只在官网下载钱包

最近遇到非常多用户下载了被黑客「二次打包」的钱包，安卓是重灾区，因为很多钱包都提供APK的安装方式，真假难辨。

我建议下载任何钱包前，先核对一下产品的官网，如果没有，推特上的信任链也能帮助你确认官网的真实性。

不要点来路不明的链接，更不要直接去下载这些链接中的安装包。

其次，对于开源项目，从官方开源Github仓库的Release中下载，检查Commit，并校对签名是更保险的方式，基本可以保证你下载的安装包，就是当前仓库对应的代码，非常安全。

12）辨析假合约

从至少2个信源上确认币种合约的真实性，Rainbow和OneKey都有从多个Tokenlist多重校验的机制

Twitter粉丝数不可信，关注和信任链更实用，要警惕挂羊头卖狗肉的假推号，从CGK和CMC找到的合约地址通常更可靠

13）使用完全开源的硬件钱包

硬件钱包做的最好的就是Ledger、OneKey和Trezor

其中彻底开源的是OneKey和Trezor

如果想要配合手机使用且开源，那么就是OneKey

这家团队拿了Coinbase等机构2000万美元的投资

并将全部代码开源在Github，不用担心后门

支持链的非常快，基本每个月都会新增2-3条新的公链，最多最全

几百块，性价比很高，购买链接。

14）使用更安全的操作系统和设备

Purism由ToddWeaver创建于2014年，他创建Purism最大的起因就是想从笔记本中删除英特尔的管理引擎，电子前沿基金会(EFF)、Libreboot开发人员和安全专家DamienZammit就批评者指责过：「ME存在后门和隐私问题」。

因为ME可以访问内存，并且可以完全访问TCP/IP堆栈，独立发送和接收网络数据包，绕过防火墙。

Purism的好处显而易见：

摄像头、WiFi、蓝牙、蜂窝网络这些都有独立的硬件开关，可在需要时彻底关闭

PureOS简单好用

禁用了英特尔ME

总之，如果你想试试Linux系统，希望有一个开箱即用的电脑，可以试试Purism。

一个成本更低的方式是在你当前电脑中运行Whonix。

Whonix同样是一个以注重隐私和安全的Linux系统，它完全免费且开源，有几个优点：

已经稳定运行10年

隐藏IP地址

隐藏使用者身份

不记录任何信息

防病

感兴趣可试试。

还有其他防御手段不再赘述，希望大家可以保护好自己的隐私和安全。

标签：DEFIEFIDEF比特币Libre DeFiWorld of DefishDeffect丘比特币犯法吗

以太坊价格热门资讯