Not a Walk on the Block: A CISO’s Journey from Web2 to Web3 | Haim Krasniker
三句話摘要
Web2 資安老將轉戰 Web3，分析 DeFi 與區塊鏈環境中獨特的威脅格局與應對策略。 Web3 安全的本質是「時間壓縮下的去中心化風險管理」，預先寫好劇本、建好監控、演練到位，遠比事後補救更重要。 Web3 壓縮了事件響應時間至分鐘級：傳統 Web2 有數小時甚至數天處理攻擊，但鏈上操作一旦執行即不可逆，Ronin 攻擊損失逾億美元就是在數分鐘內完成，這使得預先準備劇本比事後反應更為關鍵。
重點整理
重點- 1
Web3 壓縮了事件響應時間至分鐘級：傳統 Web2 有數小時甚至數天處理攻擊，但鏈上操作一旦執行即不可逆，Ronin 攻擊損失逾億美元就是在數分鐘內完成，這使得預先準備劇本比事後反應更為關鍵。
- 2
國家級威脅行為者針對性極強且極具耐心：Lazarus 集團不只做技術攻擊，還會滲透應徵 IT 職位、透過社工接觸內部人員、混合資金快速轉移，這種複合手法遠超一般駭客能力。
- 3
Web2 攻擊面直接威脅 Web3 資產：木馬程式、雲端配置錯誤、社群媒體帳號被盜（如 Twitter/Telegram）均可作為跳板，誘騙用戶用冷錢包簽署惡意交易，Web2 安全不過關，Web3 根本無從保護。
- 4
去中心化的安全治理才符合 DeFi 現實：單一 CISO 或傳統 ISO 27001 清單無法應對去中心化協議的風險，必須設立安全委員會、建立多方觸發的緊急響應機制，同時避免誤報成為新的攻擊向量。
實用技巧與重點
乾貨- 已知攻擊案例：Ronin 攻擊（超億美元）、Wormhole、WazirX，均在數分鐘內完成
- 最高威脅等級：朝鮮 Lazarus 集團（DPRK 國家行為者）
- 威脅分類：腳本小子 → 賞金獵人 → 黑灰產組織（Anonymous 式 DoS）→ 惡意內部人員 → APT 組織 → 國家行為者
- 風險評估框架：MITRE ATT&CK（講者提及 Mitra 框架）
- 合作防釣魚夥伴：Braavos 錢包、Argent 錢包、Blockade
- 安全社群：Starknet Security Community
- 建議行動清單：
- 預先撰寫事件響應劇本（IR Playbook）
- 建立實時鏈上監控系統
- 成立安全委員會執行去中心化響應
- 網路演練（內部 + 外部）
- 形式化驗證（Formal Verification）+ 測試覆蓋率最大化
- 內部審計 → 外部審計 → 審計競賽（Audit Contest）
- 明確範圍的安全賞金計劃（Bug Bounty）
- 資金追蹤解決方案（Fund Tracing）
結論
結論“Web3 安全的本質是「時間壓縮下的去中心化風險管理」，預先寫好劇本、建好監控、演練到位，遠比事後補救更重要。”
完整解析
詳細講者 Crer 擁有 20 年網路安全資歷，曾從事惡意軟體分析、移動與 Web 漏洞利用研究，後轉型管理職。加入 Starkwell 擔任 CISO 後，他才真正意識到 Web3 的安全形勢遠比想像中嚴峻——攻擊途徑更廣、資產更多元，且同時橫跨 Web2 與 Web3 兩個世界。
在威脅行為者的分類上，Crer 採用由低到高的風險等級排列。腳本小子與賞金獵人通常動機有限，APT 組織則代表有組織犯罪集團的進化版本。最值得警惕的是兩類威脅：一是惡意內部人員，因為在 Web3 環境中能接觸私鑰者掌握的破壞力等同於直接盜取資金，Rug Pull 案例更顯示有時整個專案本身即是詐騙；二是國家級行為者，以 Lazarus 集團為代表，他們不只技術頂尖，更擅長社會工程，會滲透應徵 IT 或開發職位，入職後從內部造成最大損害，且資金混幣速度極快，難以追蹤。
Web2 的攻擊面也持續構成 Web3 的威脅。講者指出，一旦攻擊者在目標電腦植入木馬，即可偽造資料誘騙用戶用冷錢包簽署惡意交易；雲端配置錯誤、應用程式漏洞、社群媒體帳號（Twitter、Telegram）被盜後的橫向移動，都是常見的跳板路徑。這使得 Web3 安全無法獨立於 Web2 之外討論。更棘手的現實是：鏈上攻擊的執行時間往往只需數分鐘，傳統的事件響應（IRF）窗口根本不夠用，Ronin、Wormhole、WazirX 等案例皆如此。
面對上述挑戰，Crer 提出了幾個核心方向。首先是預先準備——在攻擊發生前寫好劇本、演練最壞情境，並建立實時監控與警報系統；其次是去中心化治理——安全委員會而非單一 CISO 應負責緊急響應決策，避免單點失效；第三是積極的開發安全——導入形式化驗證、提高測試覆蓋率、內外部審計並舉、審計競賽輔助；第四是社群生態保護——與錢包商（Braavos、Argent）及 Blockade 合作防釣魚，讓生態用戶也成為安全網的一部分；最後，萬一不幸遭攻擊，資金追蹤工具（Fund Tracing）能增加追回資產的可能性。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
