Flipster Exchange Sicherheitsansatz: Fragen und Antworten zu Sicherheitszertifizierungen, Bug Bounties und dem Schutz der Nutzer

Inmitten eines volatilen und sich wandelnden Kryptomarktes stehen Kryptobörsen vor einem größeren Gegner, der entschlossen ist, Nutzerdaten und -gelder zu kompromittieren. Diese Woche haben wir mit Justin Hong, Chief Information Security Officer (CISO) von Flipster, ein exklusives Interview geführt. Hong eröffnete, wie die Krypto-Handelsplattform sich durch Zertifizierungen, Produktinnovationen und Echtzeit-Bedrohungsabwehr stärkt.

Laut Hong hat Flipster in diesem Jahr allein über 15 produktspezifische Sicherheitsupdates eingeführt. Diese Updates, gepaart mit ihrer ISO/IEC 27001-Zertifizierung und einer „AA“-Bewertung von CER.live, versichern den Nutzern eine sichere und geschützte Handelsumgebung.

Arbeit bei Flipster

F: Hallo Justin, bitte erzähl uns zunächst etwas über dich, deine Rolle als Chief Information Security Officer und warum dies für Web3-Unternehmen so wichtig ist. 

A: Ich habe die letzten 16 Jahre in der Cybersicherheit verbracht, mit Erfahrungen in Bankwesen, Fintech und Blockchain. Jeder Bereich bringt seine eigenen Herausforderungen mit, und zusammen haben sie geprägt, wie ich die Sicherheit angehe, insbesondere im Web3, wo die stakes einzigartig hoch sind. Das Maß an Exposition hier ist anders als alles im traditionellen Finanzwesen. Es gibt mehr Nutzerkontrolle, mehr Innovation und leider auch mehr Aufmerksamkeit von böswilligen Akteuren.

Bei Flipster leite ich die globale Sicherheitsfunktion, die alles abdeckt, von Risikomanagement und Compliance bis hin zu Incident Response und der Integration internationaler Rahmenwerke wie ISO/IEC 27001 in unsere Abläufe. Krypto bewegt sich schnell, und Bedrohungen entwickeln sich genau so schnell weiter. Wir bauen mit diesem Bewusstsein – denken immer voraus, statt nur zu reagieren.

F: Wie ist es, bei Flipster in der schnelllebigen, hochriskanten Welt der Krypto-Handelsplattformen zu arbeiten?

A: Es steht viel auf dem Spiel, was die Arbeit genau so lohnend macht. Sicherheit in diesem Bereich ist nicht passiv. Du stehst einigen der kreativsten und entschlossensten Gegner in der Technologie gegenüber. Das hält dich scharf und zwingt dich, dich ständig weiterzuentwickeln.

Was bei Flipster heraussticht, ist die Einheitlichkeit aller. Die Mission ist klar: Wir sind hier, um eine sichere, zuverlässige Handelsplattform zu bauen, auf die man sich verlassen kann. Man sieht diese Fokussierung in der Art und Weise, wie wir arbeiten – enge Zusammenarbeit, schnelle Feedback-Schleifen und ständiges Testen. 

F: Wie definieren Sie Vertrauen bei Flipster, und wie arbeitet Ihr Team daran, es aufzubauen und aufrechtzuerhalten?

A: Vertrauen baut sich im Laufe der Zeit durch Konsistenz auf – durch Transparenz, Klarheit und Rechenschaftspflicht. Wir kommunizieren, wie wir Risiken managen, Nutzergelder schützen und auf Vorfälle reagieren. Wenn etwas schiefgeht, verdienen die Nutzer zu wissen, was passiert ist und wie es angegangen wird.

Im Backend betreiben wir ein Zero-Trust-Modell. Jedes System und jeder Nutzer wird mit der gleichen Sorgfalt behandelt, ob intern oder extern. Diese Denkweise hilft uns, Phishing-Bedrohungen und anderen Insider-Risiken vorzubeugen. Aber Sicherheit darf nicht auf Kosten der Nutzererfahrung gehen. Wir verfeinern ständig Funktionen, um alles sicherer und intuitiver zu machen. Wenn diese beiden Dinge im Einklang arbeiten, müssen sich die Nutzer nicht zwischen Sicherheit und Benutzerfreundlichkeit entscheiden.

Flipsters ISO/IEC 27001 und CER.live Zertifizierung

F: Krypto-Plattformen werden zu einem „Hotbed“ für Sicherheitsvorfälle, was in den meisten Fällen zum Verlust beträchtlicher Geldbeträge führt. Haben Sie bei der Arbeit bei Flipster einen solchen Versuch erlebt, und wie sind Sie vorgegangen, um ihn einzudämmen?

A: Wir haben unsere Share an Vorfällen gesehen – DDoS-Angriffe, Phishing-Kampagnen und Identitätsdiebstahl-Versuche, um nur einige zu nennen. Diese Bedrohungen sind real und konstant.

Nehmen wir DDoS zum Beispiel. Angreifer haben versucht, unsere Plattform zu stören und sogar Erpressungstaktiken anzuwenden. Aber wir haben integrierte Erkennungs- und Minderungskontrollen in jeder Schicht, und unsere Reaktionsteams sind geschult, schnell zu handeln. In Phishing-Szenarien haben böswillige Akteure sich als Bewerber oder Partner ausgegeben, um unser Team dazu zu bringen, schädliche Dateien zu öffnen. Unsere Systeme sind darauf ausgelegt, diese Bedrohungen schnell zu erkennen, und wir folgen mit einer tiefgehenden Analyse nach dem Vorfall, um unsere Abwehrmaßnahmen weiter zu verstärken.

F: Flipster hat kürzlich eine AA-Zertifizierung von CER.live erhalten. Was beinhaltet diese Zertifizierung, und was bedeutet sie für die Nutzer?

A: Seit 2018 hat CER.live Hunderte von Börsen mit einer rigorosen Methodik bewertet, die auf mehr als 18 Sicherheitsindikatoren basiert. Es ist eine der am meisten vertrauenswürdigen unabhängigen Benchmarks in diesem Bereich.

Für Nutzer ist eine solche Zertifizierung ein klares Signal. Sie sagt Ihnen, dass eine dritte Partei unsere Plattform überprüft und die Qualität unserer Sicherheit validiert hat. Paaren Sie das mit unserer ISO/IEC 27001-Zertifizierung, und Sie beginnen, ein Bild eines Unternehmens zu sehen, das Vertrauen ernst nimmt, nicht nur in dem, was wir sagen, sondern auch in der Art und Weise, wie wir operieren.

F: Über die CER.live-Zertifizierung hinaus, welche wichtigen Sicherheitspraktiken oder -protokolle hat Flipster kürzlich implementiert, die den Nutzern bekannt sein sollten?

A: Wir haben in diesem Jahr über 15 produktspezifische Sicherheitsfunktionen eingeführt. Zu den wichtigsten Upgrades gehören Passkey-Unterstützung, Auszahlungs-Sperren und Adress-Whitelisting. Jedes davon gibt den Nutzern mehr Kontrolle und fügt eine weitere Schutzschicht hinzu.

Ich empfehle immer, sowohl Passkeys als auch das Adressbuch für Auszahlungen zu aktivieren. Diese einfachen Schritte machen einen echten Unterschied. Wir bauen auch neue Geräte-Management-Tools, die es den Nutzern ermöglichen werden, die Geräte zu verfolgen und zu verwalten, die auf ihre Kontole zugreifen – eine weitere Möglichkeit, wie wir ihnen helfen, die Kontrolle zu behalten.

F: Einige Plattformen haben eine AAA-Bewertung von CER.live erreicht. Ist dies ein Ziel für Flipster? An welchen Sicherheitsmaßnahmen arbeiten Sie, um dorthin zu gelangen?

A: Es steht auf unserer Agenda, und wir machen stetige Fortschritte. Wir konzentrieren uns derzeit auf die Stärkung der Server-Schutzmaßnahmen, die Einführung von Anti-Phishing-Tools und die Bereitstellung größerer Kontrolle für die Nutzer durch verbesserte Geräte-Management-Funktionen.

Am Ende des Tages jagen wir keine Abzeichen, sondern das, was die Plattform für unsere Nutzer tatsächlich verbessert. Wenn etwas echten Mehrwert bietet und unsere Abwehrmaßnahmen stärkt, bauen wir es. Die AAA-Bewertung ist ein Meilenstein, nicht das Ende der Fahnenstange.

Bug Bounty und weitere Sicherheitsfunktionen

F: Wie stellt Flipster sicher, dass White-Hat-Hacker auf eine Weise incentiviert werden, die mit den langfristigen Vertrauens- und Transparenzzielen der Börse übereinstimmt?

A: Wir arbeiten mit Hackenproof an einem öffentlichen Bug-Bounty-Programm, das Forschern einen klaren, vertrauenswürdigen Weg bietet, ihre Erkenntnisse mit uns zu teilen. Ihr Team prüft Einreichungen auf Wirkung und Qualität, und wir bieten faire Belohnungen basierend auf der Schwere an.

Es geht darum, über das Finden von Bugs hinauszugehen und die globale Sicherheitscommunity in unsere Mission einzubinden. Wenn Forscher wissen, dass ihre Arbeit wertgeschätzt und umgesetzt wird, sind sie eher bereit, dazu beizutragen, das Ökosystem stärker zu machen. Das ist ein Gewinn für alle.

F: Als CISO und Thought Leader in diesem Bereich, welchen Rat würden Sie anderen Unternehmen geben, die daran arbeiten, ihre Sicherheitsstandards zu verbessern?

A: Beherrschen Sie zuerst die Grundlagen. Die meisten Sicherheitsverletzungen passieren aufgrund grundlegender Übersehen – fehlende Patches, offene Berechtigungen, schwache Zugriffskontrollen. Wenn Sie diese richtig machen, eliminieren Sie einen großen Teil Ihres Risikos.

Darüber hinaus sollten Sie in Ihre Mitarbeiter und Prozesse investieren. Sie können über alle denkbaren Tools verfügen, aber wenn Ihre Teams nicht geschult sind oder Ihre Incident-Playbooks nicht getestet wurden, bleiben Sie verwundbar. Schaffen Sie eine Kultur, in der Sicherheit die Aufgabe aller ist und nicht nur des CISO. Dieser Mentalitätswandel mag Zeit in Anspruch nehmen, aber jede Mühe lohnt sich.

F: Schließlich sind auch Social-Engineering-Angriffe in diesem Bereich weit verbreitet. Welche Maßnahmen haben Sie ergriffen, um sicherzustellen, dass Benutzer geschützt oder zumindest über Versuche informiert werden, ihre Konten zu kompromittieren?

A: Wir betrachten Social Engineering in zwei Kategorien: Account-Übernahmen und betrügerische Überweisungen. Erstens haben wir starke Schutzmaßnahmen wie Passkeys, 2FA, Echtzeit-Login-Benachrichtigungen und Adress-Whitelisting implementiert. Bald werden wir auch das Device-Management hinzufügen.

Die Schulung der Benutzer spielt eine große Rolle bei der Betrugsprävention. Wir veröffentlichen regelmäßig Sicherheitsupdates und entwickeln Tools, die verdächtige oder bekannte Scam-Adressen kennzeichnen. Ziel ist es, den Benutzern sowohl das Wissen als auch die Werkzeuge an die Hand zu geben, um sicher zu bleiben. Ein gut informierter Benutzer ist eine der besten Verteidigungslinien.