Gate推出安全教育系列Gate Security Academy，首期与区块链安全公司CertiK及Gate安全团队讨论机构如何管理大规模数字资产。对机构而言，安全不只是保护私钥，还包括交易审批、权限配置、第三方工具、资产恢复和日常运营；任何一个环节与其他控制脱节，都可能让授权流程失效。
机构风险不止是私钥泄露
CertiK表示，个人钱包的重点通常是保管好私钥和助记词、识别钓鱼信息并核验交易。机构则要在多名员工、多个系统和外部服务商之间分配权限，同时保障托管、业务连续性和合规要求。资产规模越大，流程中的小漏洞可能造成的影响也越大。
机构常见风险包括权限过度集中、审批内容与实际执行交易不一致、设备或第三方软件遭入侵、内部人员串通，以及操作失误。调查安全事件时，除了判断私钥是否被盗，还要查明攻击者如何取得访问权限，或如何诱使系统签署恶意交易。
CertiK提到，2025年曾发生Safe钱包前端遭篡改的事件：签署人看到的界面显示为正常转账，实际签署的交易却替换了钱包的实现合约，最终导致资产被盗。即使有多名授权者签字，若他们看到、批准和签署的内容并非同一笔交易，多签也无法单独阻止损失。
Gate安全团队将机构风险归纳为工具、人员和操作流程三类。被篡改的开源软件、云服务或开发工具可能暴露钱包；冒充身份、员工滥用权限，以及离职人员权限未及时撤销，都会带来人员风险。攻击者还可能长期研究企业技术栈并接触相关员工。流程方面，紧急情况下绕过审批、临时权限未撤销、测试环境使用真实业务数据，或为方便将内部工具暴露在公网，都可能成为入口。
多签、MPC与审批需要相互制衡
多签要求多个密钥共同授权，可以降低单一密钥失陷的影响；多方计算（MPC）则将签署能力拆分到不同密钥份额，避免完整私钥集中存放或使用。内部审批解决的是交易是否符合业务需要。CertiK强调，机构应检查这些机制是否真正独立：如果多个密钥由同一团队或同一组管理员控制，表面上的分散仍可能掩盖权限集中；若屏幕显示的交易与签署系统收到的内容不一致，审批也难以有效阻止未经授权的转账。
CertiK对Gnosis Pay事件的技术分析发现，授权验证模块存在缺陷，使未授权交易通过验证。该案例说明，审查范围不能只限于私钥和签名算法，还应覆盖身份验证、交易校验、权限变更及恢复流程。
Gate称，其自有资产大部分存放在离线、隔离网络的多签冷钱包；热钱包结合多签与MPC，并设置余额上限，超过上限的资金会转入冷钱包。面向机构客户的Gate Vault采用MPC和2-of-3签名方案，三个密钥份额分别由用户设备、Gate和独立第三方持有，任意两方共同参与才能完成交易。Gate Vault的每笔转出还设有48小时等待期，用户可在此期间冻结交易，以便发现并处理可疑或误操作转账。
交易全流程与账户权限管理
CertiK建议，机构应为交易建立连续控制链：发起时核实业务目的、交易对手、收款地址和额度；审批时确认交易实际内容与最终提交签署的内容一致；签署和托管阶段保护密钥、设备及操作权限；执行后监测异常交易，并将链上记录与内部账目核对。每个环节都应明确责任人，保留可交叉核验的记录。
容易被忽略的风险，还包括不会直接转移资产、却能改变控制权的操作，例如修改提现白名单、提高交易限额、更换签署人或更新钱包软件。机构也应定期测试恢复方案，确保关键员工离职、设备故障或服务商不可用时，仍能在多人授权要求下恢复资产控制，避免恢复路径变成绕过日常权限的后门。
Gate介绍，其平台账户可通过主账户和子账户分配不同权限，例如查看、交易和审批。面向资产管理人的托管子账户则允许受托团队执行约定策略，但不给予提现权限；在该安排下，投资者无法自行创建用于自动操作的API密钥，且在委托期间不能查看团队的持仓、挂单和交易历史。Gate还称，其API密钥支持分别设置读取、交易和提现权限。由于机构交易多以程序化方式执行，权限拆分是账户管理的重要一环。
储备证明与监管核验
CertiK表示，监管机构评估平台时会关注客户资产托管、账户核对、权限管理、反洗钱措施和事件响应；对于央行数字货币系统，还需检验发行与账本记录的完整性、支付连续性，以及故障后的准确恢复。CertiK称，其与吉尔吉斯共和国国家银行签署谅解备忘录，计划探讨数字索姆安全评估、形式化验证、网络安全与运营韧性，以及数字资产监管、反洗钱和托管等议题。
Gate安全团队指出，平台安全评估也应关注客户资产是否与平台自有资金隔离，以及发生问题时能否识别资产归属。Gate称，其储备证明结合默克尔树与零知识证明，让用户在保护个人信息的同时核验资产是否计入储备。Gate公布的最新数据为总储备86.88亿美元，整体储备率118.49%；其中比特币储备25,727枚，储备率121.60%，以太坊储备449,042枚，储备率123.78%。储备率高于100%意味着披露的相关资产储备超过对应客户余额。
在选择交易平台时，CertiK建议机构核实安全审计覆盖了哪些服务、系统和软件版本，发现的漏洞是否已修复，以及哪些人员能够转移资产或修改关键权限。若涉及托管，还需了解密钥控制、资产核对、备份恢复和第三方依赖。CertiK介绍，其Skynet会整理链上与链下信号并持续更新安全评分；现有材料提及该评分覆盖六个维度，但未完整列出各维度。