在加密世界，保护自己的资产，可能只需要管好一组助记词。但如果你管理的是一家机构的上百亿资产，情况就复杂多了。
资产应该放在哪儿？交易需要经过哪些人确认？谁有多签权限能动用资产？某个环节被攻击者利用，能不能及时发现并阻止损失？这些问题，才是机构加密资产安全真正需要面对的考验。
本期《大门安全课》，我们邀请 CertiK 与 Gate 安全团队，将视角从个人钱包转向机构资产管理，从安全审计机构和交易平台两个视角，聊聊一家机构该如何在保障业务正常运转的同时，把资产风险控制在可管理的范围内。
嘉宾简介
CertiK： CertiK 全球规模最大的 Web3 安全公司，深受全球监管机构、金融机构与 Web3 创新企业信赖。自 2017 年创建以来，CertiK 已为 150 多个国家和地区提供服务，发现超过 11.9 万个代码漏洞，保护了超过 6000 亿美元的数字资产免受损失。
Gate 安全团队： Gate 安全部门负责平台账户、交易与资产安全体系的建设，也长期为机构客户提供权限管理、API 接入和资产保管方面的支持。
Gate 成立于 2013 年，是行业内首家承诺 100% 储备金的主流交易平台，目前服务全球超过 6100 万用户。我们希望通过《大门安全课》这个系列课程，把用户可能遇到的这些真实风险背后的共同机制讲清楚。
Q1. 机构管理钱包和个人管理钱包，最大的区别是什么？机构的安全问题通常出在哪里？和普通用户相比，机构面临的风险有什么不同？
CertiK： 最本质的区别是资产控制权的组织方式。个人钱包主要围绕个人如何保管密钥、识别风险和确认交易；机构则需要让多个岗位、系统和外部服务商按照明确的授权共同管理资产，并承担资产保管、业务连续性和合规方面的责任。资金规模会放大后果，而组织与系统之间的依赖关系会增加出错的路径。
个人用户常见的风险包括助记词泄露、钓鱼和恶意授权。机构同样面临这些威胁，但还要重点防范权限过度集中、审批与实际交易脱节、终端或第三方软件被入侵，以及人员串通和操作失误。分析机构事故时，不能只停留在「私钥泄露」这一结果，还要追查攻击者如何接触到密钥，或者如何在没有拿到密钥的情况下诱导系统完成签名。
2025 年发生过一起典型事件：攻击者篡改了 Safe 钱包前端，使签名者看到正常转账信息，却实际签署了一笔替换钱包实现合约的恶意交易。多名签名人完成了有效签名，资产仍然被转走。这说明，需要核对的不只是「有多少人签了名」，还包括他们看到的、批准的和最终签署的，是否真的是同一笔交易。
因此，评估机构安全时，需要沿着「谁提出指令、谁确认内容、谁能签名、谁能修改规则」逐层检查，判断这些控制是否真正相互制约。
Gate 安全团队：
个人钱包的安全模型会更好控制，措施都主要围绕着不要让助记词泄露出去。
但机构的安全保障会更复杂，涉及到多签、多人权限以及操作的频繁程度。需要考虑如何让不同岗位的人正常使用资金，同时又避免任何一个人能够擅自转走这笔钱。这两件事的难度完全不在一个量级上。
从我们看到的公开安全事件来看，真正因为加密技术本身被破解而导致的事故非常少，更多的问题出在其他环节，大致可以分为三类。
第一类是使用的工具出了问题。比如，团队使用的某个开源软件、云服务或开发工具被人动了手脚，那钱包风险也可能受到影响。
第二类是人的问题。包括有人冒充他人骗取权限、内部人员滥用权限，以及员工离职后，原来拥有的权限没有及时收回。我们在第一期讲到：攻击者不一定要直接攻破系统，也可以想办法接近有权限的人。而这个观点在机构场景中同样适用，攻击者可能会通过招聘信息了解一家公司的技术情况，在代码平台上寻找相关员工，或者在行业活动中与员工建立联系，整个准备过程可能持续数月。
第三类是流程的问题。比如，遇到紧急情况时跳过原本需要的审批，临时开放的权限忘记收回，测试系统使用了真实业务数据，或者为了方便工作，把原本不该对外开放的内部工具直接暴露在互联网上。
这些问题看起来都不复杂，但一旦发生在管理大量资产的机构中，就可能造成严重损失。
Q2. 机构通常会使用多签钱包、MPC 托管和审批等方式来保护资产，这些方法分别能解决什么问题？又有哪些风险需要注意？
CertiK： 这三种机制回答的是不同的问题。多签要求多把密钥共同授权，降低单把密钥失陷的风险；MPC 将签名能力分散到不同密钥份额，减少完整私钥集中存储和使用的风险；内部审批则决定一笔交易在业务上应不应该发生。机构真正要验证的是：这三层控制在实际运行中能否彼此约束。
例如，多把密钥如果由同一个团队、同一套管理员权限控制，门限在形式上分散了，风险却仍然集中。MPC 份额分别存放，也要看设备注册、身份认证和恢复权限是否可能被同一人掌握。审批流程同样如此：如果批准的是页面上显示的内容，而签名系统接收的是另一笔交易，审批就无法约束资产转移。
CertiK 在对 Gnosis Pay 事件的技术分析中发现，授权校验模块的缺陷使未经授权的交易被错误接受。这说明，评估不能止于密钥和签名算法，还要覆盖身份认证、交易校验、权限变更及恢复流程。
Gate 安全团队： CertiK 提到的问题，也是我们在设计机构资产安全方案时重点考虑的。
在 Gate 自身的资产管理中，绝大部分资产放在多重签名的冷钱包里，离线管理、物理隔离；热钱包采用多签加多方安全计算，私钥分布式管理，同时设定额度策略，一旦超过限额资产会立刻转入冷钱包。
面向用户时，我们也有不同的安全方案。比如说机构客户，我们推出了 Gate Vault。Gate Vault 用的是 MPC 加 2-of-3 的签名结构，简单来说，Gate Vault 会把密钥拆成三份，分别由用户的设备、Gate 和一家独立的第三方保管。完成交易需要满足规定的授权条件，任何一方都无法单独控制用户的资产。
此外，Gate Vault 还设置了 48 小时的转账延迟期。所有从 Vault 发起的转出，都要经过 48 小时的延迟期，在这段时间里用户可以主动冻结这笔交易。因为在机构场景里，误操作和被胁迫签署也是真实存在的情况，所以延迟到账的价值就在于给这些情况留了一个窗口期。
Q3. 机构应该如何建立一套完整的安全管理体系？哪些环节最容易被忽视？
CertiK： 机构应围绕一笔交易建立连续的控制：发起时核实业务目的、对手方、地址和限额；审批时让相关人员看清交易的实际含义，并确保审批结果对应最终待签的内容；签名与托管阶段保护密钥、设备和操作权限；执行后监控异常交易，完成链上记录与内部账目的核对。每一步都需要明确责任人，也要留下能够相互对应的记录。
最容易被忽视的是那些不直接转账、却会改变资产控制权的操作，例如修改收款地址白名单、提高限额、更换签名人或更新钱包软件。恢复流程同样需要单独设计和演练：关键人员离职、设备损坏或服务商中断时，机构必须能够恢复控制，同时保留必要的多人授权，不能让备用路径成为日常权限管理的漏洞。
Gate 安全团队： 在 Gate，机构通常可以通过主账户和子账户来管理资金，再为不同岗位的员工设置不同的操作权限。比如，有人只能查看账户，有人可以进行交易，还有人负责审批。这样既能满足日常工作需要，也能减少不必要的资金风险。
针对资产管理机构，我们还提供了专门的托管子账户。它主要解决一个问题：投资人希望把资金交给专业团队操作，但又不希望对方拿走资金。具体来说，投资人创建托管子账户后，无法自行创建用于程序操作的 API Key；交易团队可以按照约定执行交易策略，但没有提现权限。与此同时，在双方合作期间，投资人也无法查看交易团队的持仓、挂单和历史记录，避免交易策略被泄露。
在更具体的 API 安全设置上，因为机构的大部分操作是程序化完成的，人工下单只占很小一部分。所以我们的 API Key 支持细粒度的权限配置，读取、交易、提现可以分开设置。
Q4. 监管机构在评估一家平台或一个项目时，最关注哪些安全和合规问题？
CertiK： 监管机构首先要判断，平台能否持续控制资产、保持关键服务运行，并在风险发生时说明问题是如何发现和处理的。对于交易平台，这涉及客户资产保管、账目核对、权限管理、反洗钱和事件处置；对于央行数字货币系统，发行与账本的完整性、支付连续性及故障后的准确恢复更加关键。两类系统的业务不同，但都需要可测试、可复核的证据。
这也是 CertiK 近期与吉尔吉斯央行合作所涉及的实际问题。双方签署的备忘录拟围绕数字索姆安全评估、形式化验证、网络安全与运营韧性，以及数字资产监管、反洗钱和托管等方向开展交流与探索。落实到评估时，监管方需要看到具体结果：关键权限由谁掌握，高风险问题是否整改，异常交易如何处置，故障演练后服务和账目能否恢复。
Gate 安全团队：
CertiK 提到的这些问题，也是我们在不同国家和地区申请、维持相关牌照时的切身体会。
大家平时谈到平台安全，往往更关注技术是否先进。但从监管角度来看，还有一个非常重要的问题：用户的钱和平台自己的钱，是否真正分开管理？ 一旦发生问题，能不能清楚地查明每笔资产属于谁？
这也是储备金证明的重要意义。对普通用户来说，它可以帮助大家确认平台是否有足够的资产偿还用户余额；对监管机构来说，它也是检查平台资产管理情况的重要依据。
以 Gate 为例，平台是第一家使用默克尔树和零知识证明技术，让用户能够验证自己的资产是否被计入，同时兼顾用户信息的保护。最新一期数据显示，Gate 的总储备金为 86.88 亿美元，整体储备率为 118.49%。其中，比特币储备为 25,727 枚，储备率为 121.60%；以太坊储备为 449,042 枚，储备率为 123.78%。
简单来说，储备率超过 100%，意味着平台披露的对应资产储备超过了用户的相关资产余额。
Q5. 机构在选择资产交易平台时，应该如何判断平台是否安全？有哪些信息可以自己检查和验证？
CertiK： 机构选择平台时，先要弄清安全证据是否覆盖自己实际使用的服务、系统和版本。审计报告评估了哪些组件？发现的问题是否整改？谁能转移资产或修改关键权限？如果涉及托管，还应了解密钥控制、资产核对、备份恢复和第三方依赖如何运作。
在 CertiK，我们通过 Skynet 把复杂的链上、链下信号整理成更直观、持续更新的评分。以 Web3 项目为例，评分从代码安全、基本面健康度、运营韧性、社区信任、市场稳定性和治理能力六个维度呈现信息，帮助机构快速找到值得进一步核查的风险点。机构还可以在 Skynet 查看项目已公开的 CertiK 审计报告、具体发现及处理状态，再核对报告范围是否与当前部署版本相符。交易所和钱包有各自适用的评估信息；对于公开页面无法说明的内部权限和托管安排，机构仍应要求平台提供材料，并通过尽调或受控测试验证。
Gate 安全团队： 我们认为，机构可以从以下几个方面检查一个平台的安全情况。
第一，看储备金。以 Gate 为例，平台公开了储备金验证程序的源代码，用户可以在 GitHub 上查看和下载。结合自己对应的验证数据，就可以在本地检查自己的账户余额是否被正确计入。
第二是漏洞赏金计划。简单来说，就是平台是否愿意付钱，请外部安全研究人员帮忙找出系统漏洞进行定期优化。可以关注计划是否长期运行、奖励是否合理，以及发现问题后平台是否及时回应。比如 Gate 长期运行安全漏洞赏金计划，欢迎全球的安全研究人员提交发现的问题。
第三是牌照。机构需要确认平台在哪些国家和地区获得了相关许可，牌照对应的是哪家公司，以及目前是否仍然有效。需要注意的是，拥有牌照不代表平台绝对安全，但意味着平台需要满足相应地区的监管要求。
Q6. 对一家刚开始配置加密资产的机构来说，最应该优先做哪些事情？
CertiK： 先确定配置目的和风险边界：持有哪些资产，通过哪些平台、链和交易对手开展业务，单笔及总体敞口控制在什么范围。随后明确谁负责发起、审批、签名、对账和异常处置，并决定自托管、第三方托管或两者结合时，各方分别掌握什么权限。
首次转账前，还应核实收款方及地址。CertiK 在关于机构数字资产交易对手的研究中强调，一个链上地址本身不能证明背后是谁、由谁控制；地址控制权、风险历史和交易对手情况需要结合起来核查。完成平台尽调后，机构可以用小额试点走通交易、提现和对账，并演练设备故障或服务中断时的处理，再依据结果逐步扩大规模。
Gate 安全团队： 对刚开始配置加密资产的机构，我们有四个建议。
第一，不要把鸡蛋放在同一个篮子里。日常交易需要的钱、中期备用的钱，以及长期不打算动用的钱，应该分别管理，并设置不同的使用额度。这件事最好在开户之前就规划好，否则等业务已经开始运行，再调整资金管理方式就会困难得多。对于长期不需要动用的资产，也可以考虑使用带有 48 小时延迟转出机制的托管方案，多一道检查时间，能够为处理异常情况留出余地。
第二，把不同的操作交给不同的人。发起转账、审批转账和实际执行转账，最好不要全部由同一个人完成。通过子账户和员工权限设置，就可以实现基本的分工，不一定需要额外开发系统。
第三，严格管理用于程序操作的密钥。默认不要开放提现权限，每个密钥都要有明确的用途和负责人，并提前规定什么时候需要收回或删除。
第四，选择平台之前做好背调检查。比如前面聊到的储备金是否可以验证、资金由谁保管、有没有漏洞赏金计划，以及相关牌照是否有效，这些都应该提前了解清楚。
从个人钱包到机构资产，管理的资金越多，参与的人越多，需要考虑的风险也就越复杂。但无论面对什么样的场景，安全的核心始终是提前发现风险，并尽可能避免损失真正发生。
这也是《大门安全课》希望传递的理念：安全不应该只在问题发生后才被重视，而应该成为每一次操作、每一个决策中的习惯。
感谢 CertiK 与 Gate 安全团队的分享，我们下期《大门安全课》再见！
免责声明
本内容不构成任何邀约、招揽、或建议。您在做出任何投资决定之前应始终寻求独立的专业建议。请注意，Gate 可能会限制或禁止来自受限制地区的所有或部分服务。请阅读 用户协议 了解更多信息。
