Abordagem de segurança da Exchange Flipster: Perguntas e respostas sobre certificações de segurança, recompensas por bugs e proteção ao usuário

Em meio a um mercado cripto volátil e em evolução, as exchanges cripto enfrentam um adversário maior determinado a comprometer dados e fundos dos usuários. Esta semana, conversamos com Justin Hong, Diretor de Segurança da Informação (CISO) da Flipster, em uma entrevista exclusiva. Hong falou abertamente sobre como a plataforma de negociação cripto se fortalece por meio de certificações, inovação de produtos e resposta a ameaças em tempo real.

De acordo com Hong, a Flipster implementou mais de 15 atualizações de segurança em nível de produto apenas este ano. Essas atualizações, combinadas com sua certificação ISO/IEC 27001 e uma classificação ‘AA’ da CER.live, garantem aos usuários um ambiente de negociação seguro e protegido.

Trabalhando na Flipster

P: Olá Justin, por favor, comece nos contando um pouco sobre você, seu papel como Diretor de Segurança da Informação e por que isso é essencial para empresas Web3. 

R: Passei os últimos 16 anos em cibersegurança, com experiência em bancos, fintech e blockchain. Cada espaço traz seus desafios e, juntos, moldaram minha abordagem à segurança, especialmente na Web3, onde as apostas são únicas e altas. O nível de exposição aqui é diferente de qualquer coisa nas finanças tradicionais. Há mais controle do usuário, mais inovação e, infelizmente, mais atenção de atores mal-intencionados.

Na Flipster, lidero a função global de segurança, que cobre tudo, desde gerenciamento de riscos e conformidade até resposta a incidentes e incorporação de frameworks internacionais como a ISO/IEC 27001 em nossas operações. O cripto se move rápido e as ameaças evoluem tão rapidamente. Construímos com isso em mente — sempre pensando à frente, não apenas reagindo.

P: Como é trabalhar na Flipster no mundo acelerado e de alto risco das plataformas de negociação cripto?

R: Há muito em jogo, o que é exatamente o que torna o trabalho tão recompensador. A segurança neste espaço não é passiva. Você está enfrentando alguns dos adversários mais criativos e determinados da tecnologia. Isso mantém você afiado e o força a continuar evoluindo.

O que mais se destaca na Flipster é o alinhamento de todos. A missão é clara: estamos aqui para construir uma plataforma de negociação segura e confiável em que as pessoas possam confiar. Você vê esse foco na forma como trabalhamos: colaboração próxima, ciclos rápidos de feedback e testes constantes. 

P: Como você define a confiança na Flipster e como sua equipe está trabalhando para construí-la e mantê-la?

R: A confiança se constrói ao longo do tempo por meio da consistência — sendo transparente, clara e responsável. Comunicamos como gerenciamos os riscos, protegemos os fundos dos usuários e respondemos a incidentes. Se algo der errado, os usuários merecem saber o que aconteceu e como está sendo resolvido.

No back-end, operamos com um modelo de confiança zero. Todos os sistemas e usuários são tratados com o mesmo rigor, sejam internos ou externos. Essa mentalidade nos ajuda a ficar à frente de ameaças de phishing e outros riscos internos. Mas a segurança não pode vir às custas da experiência do usuário. Estamos constantemente refinando recursos para tornar as coisas mais seguras e mais intuitivas. Quando essas duas coisas funcionam em harmonia, os usuários não precisam escolher entre segurança e usabilidade.

Certificação ISO/IEC 27001 e CER.live da Flipster

P: As plataformas de criptomoedas estão se tornando um 'hotbed' de incidentes de segurança, que na maioria dos casos resultam na perda de quantias substanciais de dinheiro. Ao trabalhar na Flipster, você já encontrou esse tipo de tentativa e como você procedeu para contê-la?

R: Vimos nossa parte de incidentes — ataques DDoS, campanhas de phishing e tentativas de suplantation de identidade, para citar alguns. Essas ameaças são reais e constantes.

Pegue o DDoS, por exemplo. Os atacantes tentaram interromper nossa plataforma e até mesmo tentaram táticas de sequestro de dados (ransomware). Mas temos controles de detecção e mitigação integrados em todas as camadas, e nossas equipes de resposta são treinadas para agir rapidamente. Em cenários de phishing, atores maliciosos se passaram por candidatos a emprego ou parceiros para tentar enganar nossa equipe e fazer com que abrissem arquivos prejudiciais. Nossos sistemas são projetados para detectar essas ameaças rapidamente, e seguimos com uma análise profunda pós-incidente para fortalecer ainda mais nossas defesas.

P: A Flipster recebeu recentemente uma certificação AA da CER.live. O que a certificação envolve e o que isso significa para os usuários?

R: Desde 2018, a CER.live avaliou centenas de exchanges usando uma metodologia rigorosa baseada em mais de 18 indicadores de segurança. É um dos benchmarks independentes mais confiáveis no setor.

Para os usuários, esse tipo de certificação é um sinal claro. Diz a você que uma terceira parte avaliou nossa plataforma e validou a qualidade da nossa segurança. Combine isso com nossa certificação ISO/IEC 27001 e você começa a ver o retrato de uma empresa que leva a confiança a sério, não apenas no que diz, mas também em como opera.

P: Além da certificação CER.live, quais práticas ou protocolos de segurança-chave a Flipster implementou recentemente que os usuários devem conhecer?

R: Implementamos mais de 15 recursos de segurança em nível de produto este ano. Algumas atualizações-chave incluem suporte a chaves de acesso (passkeys), bloqueios de saque e listas brancas de endereços. Cada um dá aos usuários mais controle e adiciona outra camada de proteção.

Sempre recomendo ativar tanto as chaves de acesso quanto o livro de endereços para saques. Essas etapas simples fazem uma grande diferença. Também estamos construindo novas ferramentas de gerenciamento de dispositivos que permitirão aos usuários rastrear e gerenciar os dispositivos que acessam suas contas — outra maneira de ajudá-los a manter o controle.

P: Algumas plataformas alcançaram uma classificação AAA da CER.live. Este é um objetivo para a Flipster? Quais medidas de segurança você está trabalhando para chegar lá?

R: Está em nosso radar e estamos fazendo progresso constante. Estamos focados agora em fortalecer as proteções do servidor, implementar ferramentas anti-phishing e dar aos usuários maior controle por meio de recursos aprimorados de gerenciamento de dispositivos.

No final das contas, não estamos atrás de distintivos, mas sim do que realmente melhora a plataforma para nossos usuários. Se algo agrega valor real e fortalece nossas defesas, nós o construímos. A classificação AAA é um marco, não a linha de chegada.

Recompensa por bugs e mais recursos de segurança

P: Como a Flipster garante que os hackers de chapéu branco sejam incentivados de uma maneira que esteja alinhada com os objetivos de confiança e transparência de longo prazo da exchange?

R: Estamos trabalhando com a Hackenproof em um programa público de recompensa por bugs, dando aos pesquisadores um caminho claro e confiável para compartilhar suas descobertas conosco. Sua equipe revisa as submissões quanto ao impacto e qualidade, e fornecemos recompensas justas com base na gravidade.

Além de encontrar bugs, trata-se de engajar a comunidade global de segurança em nossa missão. Quando os pesquisadores sabem que seu trabalho é valorizado e acionado, eles têm mais probabilidade de ajudar a tornar o ecossistema mais forte. É uma vitória para todos.

P: Como CISO e líder de pensamento no setor, qual conselho você daria a outras empresas que trabalham para melhorar seus padrões de segurança?

R: Faça o básico primeiro. A maioria das violações ocorre devido a negligências básicas — patches ausentes, permissões abertas, controle de acesso fraco. Faça isso direito e você eliminará uma grande parte do seu risco.

Além disso, invista em suas pessoas e processos. Você pode ter todas as ferramentas do mundo, mas se suas equipes não forem treinadas ou seus planos de resposta a incidentes não forem testados, você estará vulnerável. Crie uma cultura onde a segurança é responsabilidade de todos, não apenas do CISO. Essa mudança de mentalidade pode levar tempo, mas vale cada esforço.

P: Finalmente, os ataques de engenharia social também são abundantes no setor. Quais medidas você implementou para garantir que os usuários estejam protegidos, ou melhor, informados sobre tentativas de comprometer suas contas?

R: Consideramos a engenharia social em duas categorias: tomadas de conta e transferências fraudulentas. Primeiro, implementamos proteções robustas como chaves de acesso, 2FA, alertas de login em tempo real e listas brancas de endereços. Em breve, adicionaremos também o gerenciamento de dispositivos.

A educação do usuário desempenha um grande papel na prevenção de fraudes. Compartilhamos atualizações regulares de segurança e estamos desenvolvendo ferramentas que sinalizam endereços suspeitos ou conhecidos como golpes. O objetivo é dar aos usuários tanto o conhecimento quanto as ferramentas para permanecerem seguros. Um usuário bem informado é uma das melhores linhas de defesa.