Cam kết của chúng tôi về bảo mật và bảo vệ tài sản

Sau sự cố liên quan đến Binance, chúng tôi đã rà soát các hệ thống, cơ sở hạ tầng lưu ký và biện pháp kiểm soát giao dịch, đồng thời không phát hiện bất kỳ bằng chứng nào cho thấy OKX bị xâm nhập hoặc chịu ảnh hưởng.

Tài sản của khách hàng vẫn được bảo vệ an toàn và nền tảng tiếp tục hoạt động bình thường. Tài sản được nắm giữ theo tỷ lệ 1:1 và lưu trữ tách biệt với tài sản của chúng tôi. Nhiều lớp kiểm soát được triển khai nhằm đảm bảo không một cá nhân, hệ thống hay thiết bị đơn lẻ nào có thể tự mình di chuyển tài sản. Chúng tôi cũng duy trì quỹ dự trữ riêng để bù đắp tổn thất trong trường hợp ví nóng bị xâm phạm.

Đại đa số tài sản của khách hàng được lưu trữ trong ví lạnh cách ly hoàn toàn với mạng (air-gapped), với khóa được tạo và lưu giữ ngoại tuyến. Ví nóng chỉ giữ lượng tài sản cần thiết để xử lý các yêu cầu rút tiền, vì đây là phần mà kẻ tấn công có thể nhắm đến. Tài sản không được tự động chuyển từ ví lạnh sang ví nóng: mọi lần nạp thêm vào ví nóng đều do con người khởi tạo, từ nhiều kho lưu trữ được bố trí tách biệt về mặt vật lý. Trong trường hợp ví nóng bị xâm phạm, chúng tôi có quỹ dự trữ riêng được thiết lập để bù đắp tổn thất.

Mỗi yêu cầu rút tiền đều được kiểm tra theo các biện pháp kiểm soát tuân thủ và rủi ro trước khi ký giao dịch. Sau khi ký, từng giao dịch sẽ được đối chiếu với yêu cầu ban đầu trước khi phát đi lên mạng blockchain, nhằm ngăn chặn các yêu cầu rút tiền bị can thiệp hoặc giả mạo trước khi tài sản được chuyển đi. Mọi thay đổi đối với địa chỉ rút tiền đều cần xác thực bổ sung và phê duyệt theo cơ chế người tạo - người kiểm tra (maker-checker), đảm bảo tài khoản hoặc phiên đăng nhập bị xâm phạm không thể tự mình chuyển hướng tài sản. Các hạn mức về số tiền và tần suất giao dịch, cùng cơ chế ngắt tự động của ví nóng, giúp giới hạn số lượng và tốc độ chuyển tài sản khi phát hiện hoạt động bất thường. Tùy theo blockchain, ví sử dụng cơ chế đa chữ ký hoặc MPC, đảm bảo không cá nhân hay thiết bị đơn lẻ nào có thể tự mình phê duyệt giao dịch.

Chúng tôi đào tạo nhân viên và triển khai các đợt mô phỏng tấn công lừa đảo qua mạng (phishing), nhưng vẫn giả định rằng sớm hay muộn sẽ có một số cuộc tấn công thành công. Vì vậy, chỉ đánh cắp được mật khẩu hoặc thiết bị sẽ không đủ để truy cập bất kỳ hệ thống nào. Cơ chế xác thực đa yếu tố (MFA) chống phishing, quy trình phê duyệt theo cơ chế người tạo - người kiểm tra đối với mọi thay đổi và quyền truy cập đúng thời điểm (just-in-time access) đảm bảo không một cá nhân nào có thể tự mình truy cập hoặc thay đổi cơ sở hạ tầng ký giao dịch của chúng tôi.

Đội ngũ bảo mật và quản lý rủi ro của chúng tôi giám sát liên tục 24/7 để phát hiện các giao dịch đáng ngờ, hoạt động on-chain có rủi ro cao, dấu hiệu hệ thống bị xâm phạm cũng như các hành vi giả mạo danh tính và deepfake. Chúng tôi đối chiếu hồ sơ nội bộ với số dư on-chain trong suốt cả ngày. Khi vượt quá các ngưỡng đã thiết lập, những yêu cầu rút tiền bị ảnh hưởng sẽ tự động bị tạm khóa. Khi tạm khóa được kích hoạt, chính cơ sở hạ tầng ký giao dịch sẽ bị tạm dừng, bao gồm cả hoạt động rút và nạp tiền.

Sau các sự cố nghiêm trọng trong ngành, chúng tôi kiểm tra phương thức tấn công được ghi nhận dựa trên các biện pháp bảo vệ của chính mình và thực hiện những cải tiến có mục tiêu đối với cơ chế ký giao dịch, mức độ tài sản được lưu trữ trong ví nóng, bảo mật chuỗi cung ứng và bảo mật AI. Chúng tôi truy vết và hạn chế các địa chỉ có rủi ro, đồng thời phối hợp với các sàn giao dịch, đơn vị phát hành stablecoin, tổ chức phát triển blockchain và các cầu nối blockchain để hỗ trợ tạm khóa tài sản liên quan đến sự cố.

Các biện pháp kiểm soát của chúng tôi được kiểm tra thông qua hoạt động kiểm thử xâm nhập, chương trình tìm lỗi nhận thưởng (bug bounty) và các cuộc kiểm toán bên ngoài, bao gồm các chứng nhận ISO/IEC 27001, 27017 và 27018; SOC 1 Type II và SOC 2 Type II; cùng chứng nhận CCSS Level 2 dành cho hệ thống lưu ký ví nóng và ví lạnh.

Đội ngũ bảo mật của chúng tôi có chuyên môn cao, với kinh nghiệm trong cả lĩnh vực tiền mã hóa và tài chính truyền thống, bao gồm thị trường vốn, ngân hàng, thanh toán và cơ sở hạ tầng trọng yếu quốc gia. Kinh nghiệm này định hình các biện pháp kiểm soát của chúng tôi: được xây dựng theo tiêu chuẩn mà các tổ chức chịu sự quản lý kỳ vọng và được kiểm thử trước những mối đe dọa mà một nền tảng tiền mã hóa có thể đối mặt.

Bảo mật là công việc không bao giờ kết thúc. Chúng tôi liên tục kiểm thử các biện pháp phòng vệ và hành động dựa trên những gì đã học được.