Defunding North Korea - Onchain OpSec 101

區塊鏈資產安全問題持續惡化，但多數從業者對攻擊手法的認識仍停留在表面。Elliot Friedman 以高淨值個人安全錢包 Clei 創辦人及 CL 911 貢獻者的雙重視角，系統性地梳理了鏈上操作安全的完整威脅圖景，並提出一套可立即落地的防禦框架。

在攻擊手法的分類上，散戶面臨的首要威脅是豬仔騙局——詐騙者花費大量時間建立虛假關係，再誘導受害者將資金投入虛假平台。其次是釣魚攻擊，其中「冰釣魚」尤為危險：惡意前端默默蒐集多個使用者的授權簽名，等到積累足夠規模後才批次上鏈執行，一次清空所有目標。地址污染則依靠 GPU 農場大量生成外觀相似的地址，將偽造地址植入受害者的交易歷史，等待複製貼上時的一念之差。機構端的威脅更為精準：Bybit 駭客事件中，攻擊者透過讓開發人員下載惡意檔案取得立足點，再逐步提權並部署惡意酬載；Ledger connect kit 事件則是入侵前員工電腦後竄改 npm 套件，影響範圍透過 Wallet Connect 擴散至整個生態，損失 70 萬美元。

Friedman 的核心論點是：絕大多數安全事故的根源是行為，而非程式碼缺陷。當使用者以為自己在執行代幣兌換，實際上卻在簽署一份授權攻擊者轉走全部資產的許可，這種「意圖與實際行動之間的落差」才是問題所在，也是為什麼技術工具只能輔助、行為改變才是核心。在所有建議中，他最強調停止盲目簽名——面對 DeFi 前端顯示的大量原始呼叫資料，人們幾乎一律選擇略過驗證直接點擊確認，這一個壞習慣撐起了釣魚攻擊的絕大多數成功案例。

在防禦措施的優先序上，Friedman 借鑑智慧合約安全領域的「安全堆疊金字塔」邏輯，主張永遠從成本最低的措施開始投資。散戶應優先落實：維護資產隱私（ENS 不綁定冷錢包）、使用獨立簽名設備、安裝 Kerarus 或 Pocket Universe 等 ML 交易審查擴充套件、建立地址簿、定期撤銷代幣授權，並制定個人簽名規則，明確禁止在疲勞、壓力或醉酒狀態下簽署。機構則需建立多頻道交易驗證流程，同時強化 EDR 與防毒等 Web2 基礎安全措施——這些在加密公司中嚴重不足，卻是防止供應鏈攻擊的基本門檻。Friedman 特別點出，針對加密公司高管的人身綁架勒索預計將在未來幾年顯著上升，提前制定應急手冊已是機構必備課題。

整場演講以「瑞士乳酪防禦」作為收尾思維：安全不是靠一道完美的牆，而是靠多層重疊的防線確保任何單一漏洞都有後備攔截。目標也不是無懈可擊，而是成為比對手更難攻破的目標——因為攻擊者永遠會選擇阻力最小的路徑，比競爭者難攻兩倍，就已是實質的商業優勢。