慢雾作为内容贡献者参与的《数字资产安全、合规与风险管理》白皮书已正式发布
前言
近期，由 Amber Group 主导、慢雾 SlowMist 作为内容贡献者之一参与的《数字资产安全、合规与风险管理》白皮书正式发布。完整内容可通过文末链接或阅读原文下载。
背景
随着数字化的深入发展，数字经济已经成为推动经济增长的重要引擎之一，而在数字经济中，以比特币技术为代表的数字化资产的发展正是一种前所未有的技术变革。另一方面，一场史无前例的“掘金行动”也随之而来，疯狂的黑客组织、投机和管理不善的企业导致了用户大量的资金损失，给行业带来了剧烈的动荡，也成为了传统行业人才、用户和投资者畏惧进入数字资产领域的主要障碍。随着全球数字资产监管法规出台以及行业自律组织的形成，将有望建立更高效、安全、公平和透明的行业规范，致力于长期发展的数字资产企业将在合规经营的时代迎来春天，数字资产大规模普及的障碍将有望得到有效缓解。
基于此，白皮书通过介绍数字资产行业特性，引出行业共性风险与挑战，并向读者介绍行业前沿的安全、合规和风控解决方案、前沿洞察和实践案例，为数字资产企业构建满足合规监管要求的框架提供参考，贯彻"负责任技术"理念，建立数字信任新范式。
部分内容
其中，慢雾 SlowMist 根据 Web3 项目生命周期的安全防护理论架构和实战经验，为数字资产管理公司安全团队提供了 Web3 项目生命周期安全防护方法，包括开发筹备工作、开发过程要求、项目发布过程事项、项目运行过程监控和项目应急响应处理。
例如，慢雾 SlowMist 提出开发 Web3 项目过程中要注意遵循一些开发规范，包括代码规范、安全规范、测试规范、部署规范等，细节可参考慢雾 SlowMist 开源的 Web3 项目安全实践要求 (https://github.com/slowmist/Web3-Project-Security-Practice-Requirements)。
慢雾 SlowMist 根据历次资产追踪案例总结出以下项目应急响应处理建议：
1、安全事件监测与告警：
• 通过事先部署的监测系统，检测安全事件，并及时推送并报警；
• 制定系统地应急响应流程预案，组织应急响应团队。
2、执行止损处置及必要阻断：
• 及时暂停合约或关联合约隔离等操作进行及时止损；
• 若攻击正进行中，通过抢跑手段作阻断攻击；
• 及时通知社区和用户，避免进一步的合约交互导致亏损；
• 提供紧急的应用程序，比如账号冻结、资金隔离、交易回滚等操作。
3、受损资产追踪流程（一般由三方安全团队协助）：
• 追踪可行性评估，包括不限于：
1）资金转移情况
2）黑客痕迹及黑客画像
3）案件是否立案
4）是否与已知黑客团伙情报库有关联
• 持续会议沟通，反馈评估结果给受害者，不断和受害者进行沟通，并做好资产追回概率的期望管理；
• 监控被盗资金，持续对涉案钱包地址进行转移监测，尤其是流入交易所/钱包等平台要做特别预警并跟进协助警方冻结、调取证据；
• 链上追踪溯源，整理黑客链上资产转移链路，以及其他服务器快照、IP 等痕迹，输出资产追踪专业报告；
• 黑客画像分析，梳理黑客链上行为时间线，形成黑客画像，包括但不限于黑客洗钱方式、洗钱过程中所使用工具等；
• 协助警方跟进案件，在链上地址分析报告、交易所平台调证、执法过程技术协助等方面全程配合警方推进案件进度；
• 应用专业安全服务工具展开追踪，如：MistTrack 追踪分析平台、Chainalysis、MetaSleuth 等。
4、修复安全问题并复盘：
• 分析安全事故原因，总结应对教训；
• 提出优化应急预案和流程的建议；
• 持续积极协助三方安全公司和警方进行资产追踪。
另外，在白皮书中还讲述了一个慢雾 SlowMist 团队的实战案例。
“2021 年 8 月 10 日，晚上 8 点 38 分，PolyNetwork 遭到黑客攻击，共计超 6.1 亿美元的加密资产。最终经过 52 小时的追踪和谈判，8 月 12 日，攻击者退还了 PolyNetwork 5.8 亿美元资产。在攻击事件发生后，慢雾 SlowMist 团队迅速联络全球范围资源绘制了黑客画像，并做了漏洞分析，联合各方资源做各种链上可能性行为分析。最终，在与黑客做了持续两天的沟通工作后，退还了被盗资金。慢雾 SlowMist 在 PolyNetwork 被盗案例中的 “应急响应” 实践，充分应用了其在 Web3 安全实践中的资产追踪流程 workflow，包括整理黑客链上资产转移链路，以及其他服务器快照、IP 等黑客痕迹画像等。值得肯定的是，这些系统的工作还没在协助警方环节产生作用，就已经成为威慑黑客的 “筹码” ，促成了黑客及时返还了巨额被盗资产，帮助加密社区用户减少了损失。慢雾 SlowMist 安全团队在资产受损追踪流程中表现出得专业、规范以及应急响应实践在挽回资产损失上的实战意义，值得高度肯定和学习。”
总结
高度动态的 Web3 和数字资产行业需要付出更大的努力来适应不断发展的安全标准、合规性要求和监管框架。《数字资产安全、合规与风险管理》白皮书分析了机构在安全、合规和风险管理这三个宏观方面面临的挑战和场景，并就如何跟上行业标准提供了指导，为广泛读者群体提供了关于数字资产行业成熟发展的见解。总体来说，读者将洞悉安全、合规和风险管理创新的重要性，以助数字资产通过提高稳定性和普及程度实现其巨大潜力。
正如慢雾 SlowMist CISO 在白皮书中说的那样：“我们汇聚 Amber Group 的数字资产管理经验和慢雾 SlowMist 的丰富安全经验，从合规、Audit、MistTrack 等方向，共同探讨区块链安全的最新进展和未来趋势，致力于共建更加安全可靠的数字资产生态。让我们携手共进，共创数字化未来，为数字资产的长期稳定发展贡献一份力量。”
完整版本，欢迎阅读并分享 :)
https://ambergroup.io/security/dawhitepaper23
往期回顾
慢雾导航
慢雾科技官网
https://www.slowmist.com/
慢雾区官网
https://slowmist.io/
慢雾 GitHub
https://github.com/slowmist
Telegram
https://t.me/slowmistteam
https://twitter.com/@slowmist_team
Medium
https://medium.com/@slowmist
知识星球
https://t.zsxq.com/Q3zNvvF