主流交易所和机构在网络安全防护上无疑都投入了大量资金和人力，DilationEffect无法得知这些机构内部的安全水平和实施细节，但出于好奇，我们想尝试通过公开信息来对这些机构钱包地址做简单分析，见微知著，从普通用户角度来考量这些地址是否存在潜在安全风险，以及潜在风险敞口有多大。
本次快闪点评的数据全部来源于Etherscan、Debank等公开服务。
1、分析对象选择
查看Etherscan的Top1000Accounts，挑出其中打了标签的机构地址。
2、分析维度选取
由于不了解这些交易所和机构生成和管理钱包的技术细节，该如何对地址的安全性做分析？DilationEffect这次选取的维度是分析这些地址的合约授权情况。
因为地址被恶意合约取授权或者授权过的合约存在漏洞而导致被盗币是很常见的攻击。限制授权额度、定期清理授权已经成为最佳安全实践。那么这些大型交易所的地址做的如何呢，我们随机挑选几个地址来做分析。
福州市大数据委党组书记：重点抓好区块链等数字经济新兴产业发展:12月16日消息，福州市大数据委党组书记、主任张青雅在接受采访时表示，为确保“十四五”期间，福州市数字经济发展持续领跑全省，市大数据委将推动我市积极融入国家数字经济创新发展试验区建设，大力推进5G、工业互联网、数据中心等新型基础设施建设，重点抓好大数据、人工智能、区块链等数字经济新兴产业发展，强化政策扶持，扶引龙头企业，培育创新型企业，打造数字产业集群。同时，强化数据要素保障，以国家公共数据资源开发利用试点为抓手，打造全国领先的数据资产运营中心，让福州数字经济发展迈上新台阶。（福州新闻网）[2020/12/16 15:21:02]
案例一
地址：
Binance8(0xF977814e90dA44bFA03b6295A0616a897441aceC)
这是Binance余额最大的钱包地址，ETH链为100亿美金，其他链加起来一共161亿美金。部分资产截图如下：
人民日报：强化区块链等技术攻关 促进新兴产业培育:4月20日，中国宏观经济研究院产业所副研究员盛朝迅在人民日报刊文《推动新一代信息技术向纵深发展（新论）》。文章指出，当前，我国在全球新一代信息技术领域已经占据一席之地，产业规模体量全球领先，利用信息技术改造传统经济、培育壮大数字经济新动能的空间仍然很大。下一步，新一代信息技术产业发展应加快由大到强的转变。其一方面，继续突出新技术供给和新产业发展，做强集成电路等信息技术领域的核心产业，强化人工智能、区块链、量子通信、5G移动通信等技术攻关，促进新兴产业培育。[2020/4/20]
查看此地址在ETH链的合约授权情况，发现提示32亿美金存在风险。当然这里并不是说一定存在确定性安全风险，这只是一种潜在风险敞口的可能性描述。
声音 | 郭玖辉：在区块链等新兴科技的影响下，金融领域的信息壁垒被冲破:日前，在2019中国数字金融峰会上，国务院发展研究中心国际技术经济研究所所长郭玖辉在峰会上表示：“随着中国金融市场的改革以及开放，金融科技的应用和变革，都值得期待。而未来数据是金融科技的基石。随着行业体量的增加和治理能力的提升，数据被作为一种资产运营并在各行各业扩展应用场景。数据会帮助金融企业重塑生产、决策甚至商业链条。在区块链、大数据、人工智能等新兴科技的影响下，金融领域的信息壁垒被冲破，金融业的竞争格局被改写。”[2019/12/23]
那么我们具体来看看此地址是如何做授权的，比如什么币种授权给了什么合约，授权额度如何。以下摘录部分查询结果。
声音 | 人民日报：区块链等新兴技术合理运用是哲学社会科学创新突破口:人民日报文章显示，在新一轮科技革命和产业变革大潮中出现了大量新兴技术领域，如人工智能、区块链、基因工程、虚拟技术等，其对社会生活的巨大影响与合理运用等问题都是哲学社会科学的重要创新突破口。[2018/10/10]
这时我们会发现一个奇怪的现象，就是这个地址上有的币种限制了授权额度，有的币种却直接无限制，授权额度规则看起来并不统一。我们特别关注到BUSD、Matic、SHIB、SAND这几个余额较大的币种，地址余额分别为19亿美金、4.6亿美金、2.6亿美金、1.4亿美金，相关授权记录如下：
这里存在几个明显的问题：
一是对合约的授权没有定期清理。比如针对BUSD的合约授权，两年多过去了都没做过清理，要么没关注到要么觉得没必要。这说明Binance在内部安全管理上缺少对这块的系统覆盖。也许有人会说，已经分析过相关授权合约发现这些合约能做的操作有限，相对安全。但我们想说的是，这里首先并不是单纯的技术问题，而更多是安全管理的问题。即Binance在这里该如何全面系统的去管理第三方合约带来的风险，我们认为可以做的更严格深入。其实如果仔细看，你会发现Aave:LendingPoolV2是个可升级的代理合约，假如Aave合约被攻击，这里就是19亿美金的损失。
新加坡副总理张志贤：利用区块链等新兴技术加强政府服务:据新加坡联合早报消息，新加坡副总理兼国家安全统筹部长张志贤星期二在滨海湾金沙会展中心举行的智慧国创新周开幕研讨会上致辞时称，新加坡智慧国及数码政府署推出“数码政府蓝图”，通过六大策略加强政府服务，包括善用人工智能、物联网、区块链等新兴技术，打造符合新加坡国民和企业需求的数码服务。[2018/6/6]
二是大量的币种授权额度无限制。一旦发生相应合约被攻击的极端情况，如果限制了授权额度会相应的降低风险。这同样暴露出Binance在内部安全管理上缺少对这块的系统覆盖。当然你会说这都是极端情况，但是对Crypto行业来说很多小概率事情历史上就发生了。我们需要提高风险敏感度，对风险要保持极度的厌恶是非常必要的。
三是币种授权规则不统一，有些币种限制了额度，有些完全没限制额度，动作不统一。这说明Binance内部安全管理操作不明确，或者内部团队没有做好分工配合。
另外我们也很好奇，资产余额规模如此巨大的地址，为何要频繁参与Defi合约的操作呢？Binance是否可以做出更细粒度的地址规划和隔离设计呢？
案例二
地址：
Kucoin6(0xD6216fC19DB775Df9774a6E33526131dA7D19a2c)
这是Kucoin交易所的地址，其ETH链上有17亿美金，其他链加起来19亿美金。此地址资产截图如下：
查看此地址在ETH链的合约授权情况，发现提示11亿美金存在风险。同样的，这并不是指一定存在安全风险，而只是一种潜在风险敞口的可能性描述。
那么具体来看看Kucoin这个地址的授权情况。
哇！我们又发现了一些有意思的东西。
1、此地址的APE币种在2022-04-02授权给了Multichain的跨链Router合约，大家应该知道前几天Multichain出现了不可抗力因素的事件，但Kucoin并没有在第一时间取消对Multichain合约的授权。这体现出Kucoin在风险应急响应上还存在改进空间。
2、此地址的大金额币种USDT、USDC、KCS等全部都授权给了名为Bridge的合约，且授权额度完全无限制。简单分析后发现Bridge是KuCoin社区链KCC的跨链桥合约，但在KCC的官网上查看搜索，并没有发现相关的安全审计报告，这不禁又让人心一慌。大家还记得BNBChain的200万枚BNB攻击事件吗？
案例三
地址：
JumpTrading(0xf584F8728B874a6a5c7A8d4d387C9aae9172D621)
这是机构JumpTrading的地址，其ETH链上有1.4亿美金，其他链加起来1.5亿美金。此地址资产截图如下：
查看此地址在ETH链的合约授权情况，发现提示2500万美金存在风险。同样的，这并不是指一定存在安全风险，而只是一种潜在风险敞口的可能性描述。
那么具体来看看JumpTrading这个地址的授权情况。
可以发现此地址上币种的授权不多，而且绝大部分的授权都做了额度限制，总体上管理得还不错。
但是USDC币种在2021-02-04授权给了Curve合约，未设置限额，且一直未取消。这一点需要做出提醒，如果不需要对应的合约操作，建议立即取消对此合约的授权。
总结
这次的快闪点评到这里就结束了。DilationEffect随机抽取了几个交易所和机构地址做分析，从结果来看，这些机构在合约授权方面做得并不是很完美，希望我们的分析能给相关机构提供参考。没有抽取到地址的交易所和机构，也可以参考上文中的分析过程来检查是否存在类似问题。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。