Flipster交易所的安全方法：关于安全认证、漏洞赏金和用户保护的问答

在波动且不断演变的加密市场环境中，加密交易所面临着更大的对手，他们决心破坏用户数据和资金。本周，我们与 Flipster 的首席信息安全官（CISO）Justin Hong 进行了独家采访。Hong 敞开了关于加密交易平台如何通过认证、产品创新和实时威胁响应来加强自身防护。

据 Hong 表示，Flipster 今年已推出超过 15 个产品级安全更新。这些更新与其 ISO/IEC 27001 认证以及 CER.live 的 'AA' 评级相结合，确保用户拥有一个安全可靠的交易环境。

在 Flipster 工作

问：你好 Justin，请开始向我们介绍一下你自己，你作为首席信息安全官的角色，以及为什么这对 Web3 公司至关重要。 

答：我在网络安全领域工作了 16 年，拥有银行、金融科技和区块链方面的经验。每个领域都有其挑战，它们共同塑造了我对安全性的看法，尤其是在 Web3 领域，那里的风险独一无二。这里的暴露程度与传统金融完全不同。这里有更多的用户控制权，更多的创新，不幸的是，也吸引了更多不良分子的注意。

在 Flipster，我领导全球安全职能，涵盖从风险管理和合规到事件响应，并将 ISO/IEC 27001 等国际框架嵌入我们的运营中。加密市场变化迅速，威胁也在迅速演变。我们以此为指导进行构建——总是未雨绸缪，而不仅仅是被动反应。

问：在快节奏、高风险的加密交易平台世界，在 Flipster 工作是什么感觉？

答：这里有很多东西值得投入，这正是工作如此令人满足的原因。这个领域的安全性不是被动的。你面对的是技术界最具创造力和决心的对手之一。这让你保持敏锐，并迫使你不断进化。

在 Flipster standout 的是每个人的高度一致。使命很明确：我们在这里建立一个安全可靠、值得信赖的交易平台。你可以在我们的工作方式中看到这种专注——紧密的合作、快速的反馈循环和不断的测试。 

问：你如何定义 Flipster 的信任，你的团队如何努力建立和维护它？

答：信任是通过一致性随着时间的推移建立的——保持透明、清晰和负责。我们沟通如何管理风险、保护用户资金以及如何应对事件。如果出现问题，用户有权知道发生了什么以及如何解决。

在后端，我们运行零信任模型。每个系统和用户都受到同样的 scrutiny，无论是内部还是外部。这种心态帮助我们领先于网络钓鱼威胁和其他内部风险。但安全性不能以牺牲用户体验为代价。我们不断完善功能，使其更安全且更直观。当这两者和谐工作时，用户不必在安全性和可用性之间做出选择。

Flipster 获得 ISO/IEC 27001 和 CER.live 认证

问：加密平台正成为安全事件的“重灾区”，在大多数情况下导致巨额资金损失。在 Flipster 工作期间，您是否遇到过此类尝试，您是如何控制事态的？

答：我们确实遇到过不少安全事件——DDoS 攻击、网络钓鱼活动以及冒充身份尝试，仅举几例。这些威胁是真实且持续存在的。

以 DDoS 为例，攻击者曾试图扰乱我们的平台，甚至尝试勒索。但我们在每一层都内置了检测和缓解控制措施，我们的响应团队受过快速行动的训练。在网络钓鱼场景中，恶意行为者曾伪装成求职者或合作伙伴，试图诱骗我们的团队打开有害文件。我们的系统设计旨在快速捕捉这些威胁，并随后进行深入的事故后分析，以进一步加强我们的防御能力。

问：Flipster 最近获得了 CER.live 的 AA 级认证。该认证包含哪些内容，对用户意味着什么？

问：自 2018 年以来，CER.live 一直使用基于 18 多个安全指标的严格方法评估数百家交易所。它是该领域最受信任的独立基准之一。

对用户而言，这种认证是一个明确的信号。它告诉您，第三方已经审核了我们的平台并验证了我们安全性的质量。再加上我们的 ISO/IEC 27001 认证，您就会看到一家认真对待信任的公司的形象，不仅体现在我们所说的话上，也体现在我们的运营方式上。

问：除了 CER.live 认证外，Flipster 最近实施了哪些用户应知的重要安全实践或协议？

答：今年我们推出了超过 15 项产品级安全功能。一些关键升级包括支持通行密钥（passkey）、提款锁定和地址白名单。每一项都让用户拥有更多控制权，并增加了另一层保护。

我总是建议同时启用通行密钥和提款地址簿。这些简单的步骤能产生真正的效果。我们还在构建新的设备管理工具，让用户能够跟踪和管理访问其账户的设备——这是我们帮助他们保持控制权的另一种方式。

问：一些平台获得了 CER.live 的 AAA 级评级。这是 Flipster 的目标吗？您正在采取哪些安全措施以达到这一目标？

答：这在我们的关注范围内，我们正在稳步取得进展。我们目前专注于加强服务器保护、推出反网络钓鱼工具，并通过增强的设备管理功能赋予用户更大的控制权。

归根结底，我们不是在追逐徽章，而是在追逐真正能为用户改善平台的举措。如果某项功能能增加实际价值并加强我们的防御，我们就会构建它。AAA 级评级是一个里程碑，而不是终点。

漏洞赏金及更多安全功能

问：Flipster 如何确保以与交易所长期信任和透明度目标一致的方式激励白帽黑客？

问：我们正与 Hackenproof 合作开展公开漏洞赏金计划，为研究人员提供清晰、可信的途径来与我们分享他们的发现。他们的团队审查提交内容的冲击力和质量，我们根据严重程度提供公平的奖励。

除了发现漏洞，更重要的是让全球安全社区参与到我们的使命中。当研究人员知道他们的工作受到重视并得到落实时，他们更有可能帮助加强生态系统。这是双赢的局面。

问：作为首席信息安全官（CISO）和该领域的思想领袖，您会给其他致力于提高安全标准的公司提供什么建议？

答：首先要把基础打好。大多数漏洞的发生是因为基本的疏忽——缺少补丁、权限开放、访问控制薄弱。把这些做好，就能消除很大一部分风险。

除此之外，还要投资于人员和流程。您可以拥有世界上所有的工具，但如果您的团队没有受过培训，或者您的事故应急预案未经过测试，您就会处于脆弱状态。建立一种安全是每个人职责的文化，而不仅仅是 CISO 的职责。这种思维转变可能需要时间，但值得付出所有努力。

问：最后，社会工程学攻击在该领域也很猖獗。您实施了哪些措施来确保用户受到保护，或者更确切地说，让用户了解试图入侵其账户的尝试？

答：我们将社会工程学分为两类：账户接管和欺诈转账。首先，我们内置了强大的保护措施，如通行密钥、双重身份验证（2FA）、实时登录警报和地址白名单。很快，我们还将添加设备管理功能。

用户教育在欺诈预防中起着重要作用。我们定期分享安全更新，并正在开发能够标记可疑或已知诈骗地址的工具。目标是让用户既拥有知识又拥有工具来保持安全。一个知情良好的用户是最好的防线之一。