security.wwwww.us

NexVault CEX 安全精编（ESSENTIAL V1.0）

cexsecuritynexvaulthot-walletcold-walletamlweb3

NexVault CEX 安全精编（ESSENTIAL V1.0）

NexVault CEX 安全精编封面

图：封面 — NexVault Security Team / nexvault.com（May 2025）

1. 关于

1.1. 关于我们

NexVault 团队由某头部交易所安全负责人及其核心团队所创立。团队于 2022 年底完成了第一版《Web3 中心化交易所安全风险实践指南》（以下简称“指南”，点这里查看指南），这份指南汇聚了团队在一线交易所实战近五年时间所得的实践心得，具备较强的实战理念和可落地性。

1.2. 关于指南

我们在 2023 年开始小范围推广这份指南，并依照这套指南框架协助多家交易所完成了安全风险的分析、评估及持续改造，均得到了不错的效果和反馈。

时间来到 2024 年，我们又陆续收到一些来自交易所及安全同业的反馈和需求，但彼时，我们已决定将重心放到 nexvault.com 产品之上，启动了新功能开发与迭代，团队无暇顾及这些反馈，指南也随之停更。

1.3. 关于精编

在 2024 年底，行业迎来新机遇，加密资产在政策面和市场面都出现较多利好，身边一些熟知的朋友也开始重提指南 v2.0 之后的更新问题，我们综合了一些历史反馈、以及考虑到指南 v2.0 中的一些不成熟的细节和问题，于是着手准备《加密交易所安全风险指南精编》（以下简称“精编”）。精编是来自指南 v2.0 中的内容，是指南的删减版，两者差异在于，指南关注交易所安全风险的全面性，精编更关注安全与交易所业务的相关性，因此一些对资金业务没有直接影响的部分也就未出现在这份精编内容之中，如，办公网、线上安全等。

但是精编从内容上却又比指南更为丰富，因为精编不再只是一个框架，而是综合我们的实践经验，将每一个风险场景更具象的展开、总结成文字。这就为交易所安全从业者提供了比指南 v2.0 更直接的参考，既免去了指南 v2.0 这一副框架可能带来的“哑谜”，也算是对我们这一程的总结和复盘。当然，如果还能因此给 Web3.0 安全做出一点点贡献的话 —— 也算不枉我们这些从业者们的 Web3 builder 之名。

2. 写在前面

2.1. 风险展示问题

在接下来的内容中我们可能会对交易所面临的某些风险细节及对抗手段进行展开，而在此过程中，应该会有两个问题被质疑和频繁提出：

针对这两个问题：

2.2. 参考资源问题

在文章内我会给出一些可参考的资源（包括数据、工具、教学文章等），针对这些参考资源的一些说明，请务必阅读并知晓，否则请不要轻易使用：

3. 快速索引

快速索引：交易所安全风险总览表

图：第 3 章快速索引表（原文为整页图表，此处嵌入页面渲染）。

类别 风险项 简述
用户注册与认证 匿名邮箱/一次性邮箱注册 利用匿名服务注册，快速获取大量账号
用户注册与认证 注册用户来自批量注册的邮箱 利用某些邮箱服务特性，可实现邮箱批量注册
用户注册与认证 注册用户来源地或设备存在风险 注册来源 IP 被标记，注册来源设备存在风险
用户注册与认证 使用伪造证件认证 使用虚假信息进行 KYC，绕过认证
用户注册与认证 同源注册/同人注册 多人注册，但背后为一人或深度关联的人群
用户端风险 用户账户被盗 用户因安全防护不足导致账户被盗，账号内资产面临风险
用户端风险 用户 API 泄露 用户端出现 API 泄露，导致威胁其账户内资产
用户端风险 用户访问钓鱼仿冒网站 用户被钓鱼，导致账户被盗
用户端风险 交易所数字品牌保护 —
用户端风险 用户前端被黑 用户端浏览器被黑客控制，账户内资产面临风险
热钱包充提安全 实时对账与防篡改 链路防篡改，全链路业务安全兜底能力
热钱包充提安全 热钱包地址管理 热钱包地址分类及地址间安全管理机制
热钱包充提安全 链上 AML（KYA/KYT） 充值来源地址存在可疑行为
热钱包充提安全 异常充提行为 用户充提行为异常的分析与识别
热钱包充提安全 上币安全 —
热钱包充提安全 供应链安全 —
热钱包充提安全 在线签名热钱包 在线签名暴露更大风险，需更多额外保障
热钱包充提安全 Defi 协议交互风险 热钱包链上交互风险
冷钱包安全 签名设备管理风险 签名终端保护不到位，导致被盗或不能使用
冷钱包安全 助记词管理安全 助记词生成、保管过程不当，导致签名权限丢失
冷钱包安全 签名环境安全 签名环境存在风险，可能在签名过程中窃取敏感信息
冷钱包安全 灾备安全 —
冷钱包安全 签名安全 签名执行过程中的安全风险
关键岗位风险 冷钱包签名人风险 签名权限人异常行为导致资金无法使用或滥用
关键岗位风险 财务人员风险 —
关键岗位风险 客服团队风险管理 —
关键岗位风险 运营/商务/人事/前台等 —

4. 交易所安全风险

4.1. 用户注册与认证

用户注册与认证环节的风险问题，主要集中于任何可能利用注册逻辑、KYC 验证缺陷等方面的虚假注册、或养号行为。这类账号可能导致的风险多集中于刷取日常运营活动奖励、渠道数据伪造、养号销售、被用于恶意交易等。

4.1.1. 匿名邮箱/一次性邮箱注册

风险说明

检测与防御

处置建议

拦截此类邮箱注册，标记记录用户注册来源信息，对用户展示风险提示

4.1.2. 注册用户来自批量注册的邮箱

风险说明

目前仍有一些邮箱存在批量注册的“漏洞”，从而轻易获取大量免费邮箱，使用批量注册而来的邮箱，多是来自同一人或同一群人

检测与防御

注： 以上所有检测思路，提供的都是初步检测方法，一旦检测发现异常，

可在检测结果内做二次深度特征分析，以获取更多维度的检测、挖掘更多的异常注册数据

处置建议

4.1.3. 注册用户来源地或设备存在风险

风险说明

检测与防御

处置建议

4.1.4. 使用仿造证件认证

风险说明

目前一些 KYC 服务仅对证件照内信息进行解析，并不验证证件照真伪，这就使仿造证件绕过 KYC 检测成为可能。另一方面，基于 AI 生成的伪造身份（如深度伪造的 KYC 视频或合成证件照片）也在逐步成为新威胁。

检测与防御

处置建议

进行补充 KYC

4.1.5. 同源注册（同人注册）

风险说明

检测与防御

建立用户端指纹能力（Web 和 App 端），采集进行多维度关联。建立链上分析能力，进行链上行为关联。可按需考虑引入图计算进行身份及链上的图谱关系建设，增加准确性与效率。同源、同人识别参考思路：

处置建议

无，因此类行为多涉及运营奖励，需各平台根据自家运营规则而定

4.2. 用户端风险

4.2.1. 用户账户被盗

风险说明

用户安全意识不足导致的信息泄露，或使用了存在漏洞的云端服务导致个人信息泄露，黑客利用泄露信息成功盗取账户。可能遭遇的方式：

检测与防御

因用户自我保护不当而导致的账户密码泄露、MFA 泄露等账户被盗事件，干预方式分为两个层面，第一层在其事前和事中，因其敏感信息被盗过程均脱离于交易所视野之外，因此交易所方面难以通过体系化的手段在泄露发生过程中干预，只可依靠一些碎片化手段对用户进行事前风险干预：

处置建议

发现疑似被盗情况时，可按场景提供如下处置：

4.2.2. 用户 API 泄露

风险说明

用户在交易平台生成、复制、传递 API 的过程中，均可能通过多种途径泄露，而这一过程与上述账户问题相似，泄露过程几乎脱离于交易平台，因此交易所平台在其中所能进行的安全干预较为有限，此处暂先列举用户常见失误而导致 API 泄露的场景：

检测与防御

交易所可通过以下策略在事前帮助用户缓解一定风险：

处置建议

发现用户 API 异常交易时，可考虑暂停 API 使用，或通过 MFA、KYC 等阻塞式手段干预，但干预过程中需关注用户资产情况，避免干预过程中因价格波动、阻塞时间较长而导致用户资产的二次损失 —— 所以，对于可能有资损的用户，应采取更加及时有效的方式直接触达干预

4.2.3. 用户访问钓鱼仿冒网站

风险说明

用户可能通过以下来源获取到仿冒（钓鱼）站点，并在仿冒（钓鱼）网站上输入敏感信息（黑客通过自动转发或反代等方式获取访问权），进而导致账户丢失、资产被盗：

检测与防御

无论用户通过何种渠道获取并访问钓鱼仿冒站点，其结果基本指向几种：第一， 账户被盗，资金被提到黑客地址第二， 无法提币，通过对敲等方式将资金交易转移至黑客账户第三， 无任何有效变现措施，恼羞成怒、进行恶意交易对于黑客盗取账户后的提币防护：参考 4.2.1 对于黑客盗取账户后的对敲防护：参考 4.2.2 对于恶意交易行为，需分类甄别，无法逐一阐述

处置建议

N/A

4.2.4. 交易所数字品牌保护

风险说明

交易所数字品牌保护主要包括：人员身份冒用、品牌冒用、恶意舆情、网站仿冒、社群仿冒、域名安全等方面，其中，可能对用户资产直接造成资金风险的有：

检测与防御

网站仿冒检测：

处置建议

当通过域名检测发现高仿站点或虚假广告投放时，一般域名（或空间）服务商、搜索引擎广告服务商均提供了投诉入口，可对其进行投诉下架，另外也可使用专业品牌保护公司的服务，完成索引、投诉、下架一站式服务

4.2.5. 用户前端被黑

风险说明

用户前端被黑场景主要集中在用户浏览器被劫持或被插入恶意程序，一旦浏览器被控制，可能导致用户在无感知的情况下被执行交易、创建 API、替换充提币地址等，而导致浏览器被劫持的情况主要有以下几种：

检测与防御

对于此类情况，因其发生在用户端，且发生过程脱离于交易所，难以实现事前和事中干预，常规情况下，仅能从其可能造成的几类安全风险结果进行干预：

处置建议

N/A

4.3. 热钱包充提安全

4.3.1. 实时对账与防篡改

风险说明

不以特定威胁为前提，考虑在黑客入侵成功后，若未掌控全部系统及业务逻辑、但又控制了大部分关键系统的情况下，热钱包系统可能会遭遇的最大风险便是数据篡改：黑客在其权限范围内，篡改业务数据实现盗取资金，如，拦截某笔交易，修改其中 to_address 为黑客地址，或是直接修改数据库等关键业务节点，手动创建一笔 to_address 为黑客地址的交易，随后等待其被业务抓取执行，为此需引入防篡改与对账能力

检测与防御

防篡改能力（简要思路）

处置建议

N/A

4.3.2. 热钱包地址管理

风险说明

热钱包依照其业务功能不同，可能会划分多个类型的地址，如，用户充值地址、手续费地址、出币地址、运营（手续费等）收入地址、空投地址等，其中风险点主要包括：

检测与防御

处置建议

N/A

4.3.3. 链上 AML（KYA/KYT）

风险说明

链上 AML 以链上资金来源及去向地址的风险为主要判别依据，需充分了解用户充提上下游资金详情及风险。对于充提过程中可能出现的制裁地址、涉案资金、被盗资金等情况，可能会对交易平台造成风险：

检测与防御

处置建议

单一策略命中后，可标记观察；对于频繁命中策略，需进行额外 KYC/EDD 等

4.3.4. 异常充提行为

风险说明

异常充提行为可能是多类风险事件的前奏，在此总结部分场景

检测与防御

处置建议

充提异常：需根据不同币种、命中用户情况自行评估；PoW 潜在回滚风险：可临时上调上账次数，或对特定异常用户增加提币审核及人工验证。

4.3.5. 上币安全

风险说明

上币过程需对合约代码、解锁机制、高权限账户等相关机制进行必要的安全审计，以规避常见的假充值、逻辑漏洞、权限、解锁等问题

检测与防御

略（相关介绍较多、提供类似服务供应商完善，不再赘述）

处置建议

N/A

4.3.6. 供应链安全

风险说明

毫无疑问，供应链安全是一个普遍性问题，也是一个可能存在于交易所各环节的问题，但是，就其伤害性来讲，供应链安全问题在热钱包中必然是伤害最大，故而将其归类于此。供应链安全风险主要体现：

检测与防御

处置建议

N/A

4.3.7. 在线签名热钱包

风险说明

对于支持离线签名的主链，可将其签名组件与网络实现逻辑隔离，仅限制内部业务系统中必要组件的特定类型请求，相对安全可控；相比之下，不支持离线签名的钱包（主链），其签名组件与互联网必须有通信，风险暴露面更大，需设置额外的安全保障机制。

检测与防御

仅支持在线签名的热钱包，其安全检测与防御：

处置建议

N/A

4.3.8. Defi 协议交互风险

风险说明

交易所理财服务可能需要支持 Defi 交互，当 DApp 出现安全事故，以及热钱包不当的交易处理，可能导致资产损失。

检测与防御

处置建议

暂停热钱包 Defi 交互功能

4.4. 冷钱包安全

4.4.1. 签名设备管理风险

风险说明

作为冷钱包签名设备，无论其形态如何（硬件钱包、App、笔记本电脑等），在保管方面都可能存在以下常见风险：

检测与防御

建立必要的、周期性的巡检机制，对硬件设备进行巡检：

处置建议

N/A

4.4.2. 助记词管理安全

风险说明

检测与防御

处置建议

N/A

4.4.3. 签名环境安全

风险说明

检测与防御

处置建议

N/A

4.4.4. 灾备安全

风险说明

检测与防御

处置建议

N/A

4.4.5. 签名安全

风险说明

检测与防御

处置建议

N/A

4.5. 关键岗位风险

4.5.1. 冷钱包签名人风险

风险说明

检测与防御

处置建议

N/A

4.5.2. 财务人员风险

风险说明

相比传统企业，Web3.0 企业的财务人员所面临风险更大。财务人员并非技术人员，但手中往往掌握通往其任职公司加密资产大门的钥匙或方法，所以更应对财务人员加以关注：

检测与防御

处置建议

4.5.3. 客服团队风险管理

风险说明

客服团队作为业务团队中较为特殊的角色，掌握着与客户个人数据及业务数据相关的系统权限，而同时客服又是连接用户与交易所的桥梁，因此不可避免的面临较多风险：

检测与防御

处置建议

客服团队设立安全制度及奖惩机制，定期进行安全培训

4.5.4. 运营/商务/人事/前台等

风险说明

运营、商务、人事、前台等岗位，其通用特征在于：

检测与防御

对于此类防御手段，原则上基本雷同，就不再占据篇幅重复描述；但值得关注的是，技术手段永远无法覆盖人员安全意识问题，所有手段都需要有持续的培训、教学、以及必要的人事制度作为辅助。

处置建议

N/A

5. 写在最后

5.1. 编写说明

经过不断的取舍与修剪，终于完成了以上的精编内容。如开篇所讲，精编目的在于更加贴近业务实战，因此我们基于《Web3 中心化交易所安全风险实践指南》进行了较大幅度的删减，如读者对出现在指南、但又没有收录进精编的某部分内容有兴趣，欢迎沟通探讨。如精编内容出现错漏或不详之处，也望指正。最后，还有一些我们曾使用过的安全资源，因数量较多、难以在上述正文中与每一项风险进行逐一的匹配分类，也在此作为补充统一列出，可根据需求取用。

5.2. 补充参考

5.2.1. 漏洞相关

漏洞管理是信息安全管理中首当其冲的重点项目，稳定的漏洞信息源是大规模漏洞管理及 threat hunting 的必要基础，CVE 作为权威是必不可少的：

CVE 漏洞可做基础安全基线管理之用，但因缺少漏洞可用性验证，因此，在具体使用过程中依然需要甄别。当然，如果你还听说过 SCAP 或是 USGCB 这种上古安全基线检测机制的话，还可以关注 https://ncp.nist.gov/repository，但如果对此并无概念的话，到也无需花费额外经历学习。

作为漏洞方面的补充，我们还推荐 Proofpoint Emerging Threats Rules，该服务分为 Pro 和 Open 两个版本，提供了主流漏洞、C&C 服务器、sinkhole IP 等网络层规则，规则格式覆盖 snort、suricata、ipf、iptables、pix 等，最重要的就是，该项目即便是开源部分的更新响应依然非常及时，其时效性甚至优于很多商业产品：https://rules.emergingthreats.net/。

5.2.2. 数据泄露及社工相关

数据泄露调查及入侵源头分析过程中，都难免需涉及到一些数据溯源、人员定位的工作，这些过程中涉及到一些可能的工具参考如下：

5.2.3. 恶意程序检测与样本

如果是日常攻防对抗强度较高的团队，建议关注并围绕以下这些开源信息建立自己的恶意程序样本库，一方面可用于验证规则或是训练模型，另一方面可定期对样本库特征做关联分析，自建样本背后的攻击者画像，这些画像之中的某人，可能就是你未来某一天的对手：

5.2.4. IP/域名情报数据源

IP 情报数据是开源或付费情报中最普遍的一种，但同时，黑 IP 列表在安全策略中的深度整合也是最难的，在此仅提供几个可用的 IP 情报数据服务 —— 需要注意的是，我们未对以下链接进行分类，里面可能会包含攻击扫描类 IP、被爬虫滥用的 IP、C&C 服务器、僵尸网络、暗网（Tor Node）IP、以及各类原因而被标记为 Sinkhole 的 IP 地址：

相比 IP 情报来说，域名情报的准确性就要更高，而且域名情报多指向钓鱼、欺诈类站点，在办公网出口部署、拦截几乎是立竿见影的，但与 IP 类似的则，如果想要从域名情报背后挖出更多有价值的信息、并进一步扩展完善识别规则，难度也不小，这里就不再展开详细说明了，先给出一些相关推荐：

5.2.5. 网站排名数据

网站排名数据可用于清洗网站黑白名单，并将其置于网络出口处进行快速的可疑外联行为发现，如，C&C 服务器等：

另外，需要特别关注的是，使用高频访问的排名网站列表清洗白名单已不再是安全专属，反而也会被很多黑客关注，所以不可完全依赖 TOP 列表清洗“白”名单，其中也可能清洗出“黑”名单，可参考：https://mp.weixin.qq.com/s/HZaXGyI1kDjFpmwlEzCy0A

5.2.6. APT 相关

只看 MITRE 域名就应该知道它的含金量了，这里提供了知名的 APT 组织清单，例如，在 Web3 行业耳熟能详的 Lazarus（拉撒路）。另外，如果你的整个安全对抗体系建设是基于 ATT&CK 分层和路径式建设的话，那么就更巧了，ATT&CK 模型也来自于 MITRE，所以在这份 APT 组织名单的技术分析部分，MITRE 给出了每个组织常用攻击技巧与 ATT&CK 模型的分层映射关系，这就相当于给你现有建设的安全路径做了一个快速指引。

这个团队早些年专门给 Windows 写各种小工具，写着写着就被微软收了，他们的很多核心工具也被收录到微软的 Resource Kits 里，这些工具时至今日依然在持续更新，是 Windows 下的绝对利器，用好这些工具，可以徒手撸掉 Windows 下大部分后门。

以上两篇是微软 sysmon 的参考文章，sysmon 也是来自上面所说的 sysinternals 团队，可实现 Windows 平台下精细化的事件捕获、分析，定制完善的话，可用于常态病毒分析、大规模 threat hunting、批量化安全事件发现、以及自定义蜜罐搭建等，是 Windows 下免费 EDR 的不二之选。

封底：NexVault × Key Vault 联系方式

图：封底 — nexvault.com / info@nexvault.com / x.com/NexVault

原文 PDF：NexVault CEX-SEC ESSENTIAL V1.0（GitHub nexvault/CEX-Security）。