Gate推出安全教育系列 Gate Security Academy，首期邀請區塊鏈安全公司 CertiK 與 Gate 安全團隊，討論機構如何管理大額數位資產。機構安全不僅關乎私鑰保管，也涉及交易審批、權限設定、第三方工具、資產復原和日常營運；各項控制若未能有效銜接，授權流程仍可能失效。
機構風險不只在私鑰
CertiK指出，個人錢包的安全重點通常是保管私鑰與助記詞、辨識釣魚訊息及核對交易。機構則必須在多名員工、不同系統和外部服務商之間分配權限，同時兼顧託管、業務持續運作與合規要求。資產規模愈大，流程中的小漏洞可能造成的損失也愈大。
常見風險包括權限過度集中、審批內容與實際執行的交易不符、裝置或第三方軟體遭入侵、內部人員串謀，以及操作失誤。調查資安事件時，除了確認私鑰是否遭竊，也須查明攻擊者如何取得存取權限，或如何誘使系統簽署惡意交易。
CertiK提及，2025年曾發生 Safe 錢包前端遭竄改事件：簽署者在介面上看到的是正常轉帳，實際簽署的交易卻替換了錢包的實作合約，最終導致資產遭竊。即使有多名授權者簽名，若各人看到、核准和簽署的並非同一筆交易，多重簽署也無法單獨防止損失。
Gate安全團隊將機構風險分為工具、人員和作業流程三類。遭竄改的開源軟體、雲端服務或開發工具可能暴露錢包；身分冒用、員工濫用權限，以及離職員工的權限未即時撤銷，都會形成員工管理風險。攻擊者也可能長期研究企業的技術架構，並接觸相關員工。至於流程風險，緊急時繞過審批、臨時權限未撤銷、測試環境使用真實業務資料，或為求方便將內部工具暴露於公網，都可能成為入侵途徑。
多重簽署、MPC與審批須彼此制衡
多重簽署要求多把密鑰共同授權，可降低單一密鑰失守的影響；多方計算（MPC）則將簽署能力拆分至不同密鑰份額，避免完整私鑰集中儲存或使用。內部審批處理的則是交易是否符合業務需求。CertiK提醒，機構應確認這些機制是否真正獨立：若多把密鑰仍由同一團隊或同一組管理員掌控，表面上的分散仍可能掩蓋權限集中；若畫面顯示的交易與簽署系統收到的內容不同，審批也難以有效攔阻未經授權的轉帳。
CertiK對 Gnosis Pay 事件的技術分析發現，其授權驗證模組存在缺陷，讓未授權交易通過驗證。這個案例顯示，安全審查不能只看私鑰和簽名演算法，也應涵蓋身分驗證、交易核對、權限變更及復原流程。
Gate表示，自有資產大部分存放於離線、隔離網路的多重簽署冷錢包；熱錢包則結合多重簽署與MPC，並設有餘額上限，超出上限的資金會轉入冷錢包。供機構客戶使用的 Gate Vault 採用MPC及 2-of-3 簽署方案，三份密鑰分別由用戶裝置、Gate和獨立第三方持有，任兩方共同參與才能完成交易。Gate Vault每筆轉出另設48小時等待期，用戶可在期間凍結交易，以便發現並處理可疑或誤操作的轉帳。
從交易審批到帳戶權限
CertiK建議機構為交易建立連貫的控制鏈：發起交易時核實業務目的、交易對手、收款地址和金額；審批時確認實際交易內容與最後提交簽署的內容一致；簽署及託管階段保護密鑰、裝置和操作權限；交易完成後監察異常活動，並核對鏈上紀錄與內部帳目。各環節都應指定負責人，並保留可交叉查核的紀錄。
容易被忽略的風險，還包括不會直接轉移資產、卻能改變控制權的操作，例如修改提幣白名單、調高交易限額、更換簽署人或更新錢包軟體。機構也應定期測試復原方案，確認關鍵員工離職、裝置故障或服務商無法提供服務時，仍能在多人授權要求下取回資產控制權，避免復原途徑成為繞過日常權限的後門。
Gate介紹，平台帳戶可透過主帳戶和子帳戶分配不同權限，包括檢視、交易和審批。供資產管理人使用的託管子帳戶，允許受託團隊執行約定策略，但不提供提幣權限。在此安排下，投資者無法自行建立用於自動操作的API金鑰，委託期間亦不能查看團隊的持倉、掛單和交易紀錄。Gate並表示，其API金鑰可分別設定讀取、交易及提幣權限。由於機構交易多透過程式執行，妥善拆分權限是帳戶管理的重要環節。
儲備證明與監管檢視重點
CertiK表示，監管機構評估平台時，會關注客戶資產託管、帳戶核對、權限管理、反洗錢措施及事件應變。若涉及央行數位貨幣系統，還須檢驗發行與帳本紀錄的完整性、支付服務的持續性，以及故障後能否準確復原。CertiK稱，已與吉爾吉斯共和國國家銀行簽署諒解備忘錄，計劃探討數位索姆安全評估、形式化驗證、網路安全與營運韌性，以及數位資產監管、反洗錢和託管等議題。
Gate安全團隊指出，評估平台安全時，也應確認客戶資產是否與平台自有資金隔離，以及發生問題時能否辨識資產歸屬。Gate表示，其儲備證明結合默克爾樹與零知識證明，讓用戶在保護個人資訊的同時，核驗資產是否列入儲備。Gate公布的最新數據顯示，總儲備為86.88億美元，整體儲備率為118.49%；其中比特幣儲備25,727枚，儲備率121.60%；以太幣儲備449,042枚，儲備率123.78%。儲備率高於100%，代表披露的相關資產儲備高於對應的客戶餘額。
CertiK建議機構選擇交易平台時，確認安全審計涵蓋哪些服務、系統和軟體版本，已發現的漏洞是否修復，以及哪些人員可以轉移資產或修改關鍵權限。若涉及託管，也應了解密鑰控制、資產核對、備份復原和第三方依賴情況。CertiK表示，其 Skynet 會整合鏈上與鏈下訊號，持續更新安全評分；現有資料提及評分涵蓋六個面向，但未完整列出各面向。