Red-Teaming Crypto Wallet Operations
三句話摘要
提出專為加密貨幣設計的「加密交易破壞鏈」框架，取代傳統網路殺傷鏈在區塊鏈安全分析上的不適用性。 加密攻擊的本質是竊取「價值」而非「資料」，必須建立從發起者身分到鏈上共識的全流程攻擊鏈框架，才能在每個節點有效偵測與阻斷威脅。 現有框架有結構性缺口：BSSC 與加密認證聯盟等框架屬「目標導向清單」，只告訴你要做什麼，卻無法像攻擊鏈一樣描述攻擊者行為路徑與可介入點。
重點整理
重點- 1
現有框架有結構性缺口：BSSC 與加密認證聯盟等框架屬「目標導向清單」，只告訴你要做什麼，卻無法像攻擊鏈一樣描述攻擊者行為路徑與可介入點。
- 2
加密威脅模型根本上不同：區塊鏈的核心是價值而非資料，攻擊者目的是直接竊取資金，因此威脅模型必須從頭重建，不能沿用網路安全思維。
- 3
交易鏈每個節點都是控制點：從發起者身分（是否北韓 IT 人員）、私鑰管理、RPC/DApp 資料讀取，到簽名介面，再到鏈上共識，每一層都有機會部署偵測或阻斷控制。
- 4
簽名不代表遊戲結束：以 Bybit 攻擊為例，問題發生在交易審批環節，用戶盲簽被篡改的請求，說明鏈上控制措施（如交易防護）仍可在簽名後介入。
實用技巧與重點
乾貨- 框架名稱：加密交易破壞鏈（Crypto Transaction Kill Chain）
- 對標框架：MITRE ATT&CK（目標是開源後擴展成加密版）
- 現有框架參考：BSSC（區塊鏈安全標準委員會）、Crypto Certification Alliance
- Bybit 攻擊關鍵節點：簽名介面（Signing Interface）被入侵，用戶盲簽（Blind Signing）
- 框架起點：人類發起者身分驗證（好用戶/壞用戶、好軟體/壞軟體、好硬件/壞硬件）
- 關鍵控制層：RBAC（基於角色的存取控制）、私鑰安全、MPC（多方計算）、RPC 完整性、DApp 安全、鏈上交易防護
- 講者所屬公司：Fireblocks（專注於錢包安全，即框架上層部分）
- 計劃：將框架開源，邀請社群協作貢獻
結論
結論“加密攻擊的本質是竊取「價值」而非「資料」，必須建立從發起者身分到鏈上共識的全流程攻擊鏈框架，才能在每個節點有效偵測與阻斷威脅。”
完整解析
詳細在傳統網路安全的紅隊演練中，「網路殺傷鏈」（Cyber Kill Chain）是一個廣泛使用的分析框架，讓攻防雙方能用同一套語言描述攻擊路徑與防禦要點。然而，當業界嘗試將這套框架直接套用到加密貨幣攻擊時，講者認為這條路根本走不通——因為兩者的攻擊目標在本質上就不同。網路攻擊針對的是「資料」，而區塊鏈的核心是「價值」；加密貨幣的攻擊者目標是直接竊取資金，而非勒索軟體或資料竊盜，因此威脅模型必須從根本重新建構。
講者因此提出「加密交易破壞鏈」的概念，試圖為區塊鏈安全建立一套專屬的攻擊路徑框架。這條鏈的起點是「人類發起者」：這個人是好用戶還是壞用戶？他使用的是受信任的軟體還是受汙染的軟體？硬體是否可信？意圖是否透明？接著，框架沿著整個交易流程延伸——資料如何從 RPC 節點或 DApp 讀取、交易如何構建與審批、簽名介面是否遭到竄改、廣播後鏈上是否仍有控制手段，一直到最終共識確認。每一個節點都是可以部署偵測或阻斷控制的機會點。
Bybit 攻擊事件是講者最具體的引用案例。攻擊並非發生在資金保管環節，而是在交易審批流程中：用戶收到看似正常的轉帳提示，進行了盲簽，但簽名介面本身已被入侵。這說明一個重要觀念——交易被簽名並不代表安全工作的終點，鏈上的交易防護措施仍然可以在簽名後發揮作用，攔截或預警異常交易。講者所在的 Fireblocks 作為錢包公司，主要專注於框架的上層（私鑰管理、MPC、RBAC），但鏈上控制層同樣可以作為補充防線。
講者也點出現有框架的核心不足：BSSC 與加密認證聯盟等組織提供的是「你必須做什麼」的合規清單，屬於目標導向，而非攻擊路徑導向。它們無法回答「攻擊者會在哪個節點採取什麼行動」，也無法指引「在哪裡偵測並阻止他們」。講者希望打造的框架，正是填補這個空白——並計劃將其開源，邀請社群協作，最終發展成加密貨幣領域的 MITRE ATT&CK。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
