Full Web3 Security Stack - A Blue Team Perspective

Kiln 是一家全棧 Web3 基礎設施公司，同時運營 Ethereum 與 Solana 主要驗證器、管理 15 億美元 TVL 的液態質押智能合約（Kiln On-Chain 與 Kiln DeFi），以及面向 B2B 客戶的交易 API 與白標質押 Widget（如 Safe Wallet、Ledger Live 的 Earn 功能）。攻擊面橫跨雲端基礎設施、智能合約、內部工具、第三方 Oracle 與最終用戶，因此 Kiln 的安全工程師將防禦策略分為「基礎層」加上「迭代層」兩個維度，核心思想是：每一層單獨被突破都不應導致全線失守。

在基礎設施層，Kiln 以 SOC 2 Type 2 年度審計、持續威脅偵測（Wiz + Panther SIEM + 24/7 外部 SOC）以及 Infrastructure-as-Code 可稽核部署流程作為基線。進一步的迭代保護集中在「生產基礎設施」上：容器映像以 sha256 digest 而非 tag 固定版本，探索映像簽章以防供應鏈竄改；應用層強制唯讀檔案系統與出站網路白名單，大幅壓縮攻擊者在 Pod 內能做的事。對於需要私鑰的 Web3 應用（驗證器、Oracle），Kiln 將簽名層完全拆分到獨立的 Web3Signer 服務，私鑰存於 HashiCorp Vault，且 Kiln 工程師主動為 Web3Signer 上游貢獻了「僅記憶體載入」功能，避免金鑰落地磁碟。在簽名流程之前，還插入一個 Security Proxy，對 Oracle 報告進行合約地址、函數 sig、甚至數值合理性的靜態驗證，異常請求直接拒絕——即使 Oracle 應用本身遭到入侵，攻擊者也無法讓惡意 payload 抵達簽名層。簽名基礎設施更被隔離在獨立的雲端帳號，徹底切斷橫向移動路徑。

智能合約面，Kiln 採用多家審計商（Spearbit、Trail of Bits）、內部 Fuzzing 以及公開 Bug Bounty，但更重視「出事之後怎麼辦」。他們在合約中內建了兩階段暫停機制：任何 on-call 成員可單方面觸發短暫暫停（約 30 分鐘）進行初步確認，再視情況升級為需治理投票的長期暫停。事件發生時，on-call 守則是先確認影響範圍、立即暫停，而不是花時間追根因。此外，Kiln 預先與審計商簽好 SLA，準備好戰情室聯絡文件與多重通訊備援，並建立完善的對外溝通模板，確保事故公告能在第一時間到位。治理操作則透過內部工具 Agora 進行：提案以 YAML 加測試腳本提交 GitHub PR，Agora 自動執行模擬、後執行測試與 Exagate 風險掃描，PR 批准後在 Safe 建立多簽提案，所有簽名者可在多個介面交叉核對同一組 hash，杜絕盲簽風險。

員工端，Kiln 把所有工程師的筆電納入 MDM 管理（Kandji），以 Okta SSO 統一身份、Tailscale 限制內網存取、YubiKey 強制 git commit 簽名，並移除所有個人 GitHub PAT，僅允許由安全團隊透過 SSO 管理的機器帳號。今年以來針對員工的釣魚攻擊（假 Zoom 連結、假日曆邀請、偽裝客戶）大幅增加，因此定期安全意識訓練（使用 Riot 平台）也被列為標準配備。