核心摘要
- 日本金融厅（FSA）发布委托德勤（Deloitte）编写的加密资产业务网络安全研究报告，基于Bybit、Radiant Capital、Balancer、Euler Finance、Resolv、LayerZero等多起安全事件进行实证分析
- 报告核心发现：加密攻击正从单纯盗取私钥转向入侵UI界面、API接口、CI/CD流水线、云权限及交易生成逻辑，利用正常签名流程转移资产
- FSA建议持牌加密交易所加强第三方风险管理、代码防篡改、异常转账控制、智能合约安全评估及外部安全审计五项核心措施
- 该报告与FSA 2026年4月发布的「加密交易所网络安全强化指南」一脉相承，构成自助—共助—公助三层防御框架的具体技术落地
- FSA计划2026年内对选定主要交易所实施威胁导向渗透测试（TLPT），模拟真实攻击者行为检验安全防线
📑 文章目录
- 报告背景与核心发现 — 德勤研究报告的覆盖范围与主要结论
- 攻击向量迁移：从私钥到供应链 — 新型攻击手法的技术细节与典型案例
- FSA三层防御框架与持牌机构合规要求 — 自助、共助、公助的具体实施方案
- 对亚太持牌机构的启示 — 日本监管模式的可借鉴要素
本文由 Aiying 艾盈合规团队原创，转载需授权。
2026年7月23日，日本金融厅（FSA）发布其委托德勤（Deloitte）编写的加密资产相关业务网络安全研究报告。该报告基于近年来全球多起重大加密安全事件进行实证分析，系统梳理了攻击手段的演进趋势，并提出了持牌加密服务商在网络安全治理方面的具体建议。这是FSA继2026年4月发布「加密交易所网络安全强化指南」后，针对加密安全议题的又一份重要技术文件。
报告背景与核心发现
覆盖范围：六大安全事件的实证分析
德勤研究报告选取了Bybit、Radiant Capital、Balancer、Euler Finance、Resolv、LayerZero等交易所及DeFi协议的安全事件作为案例样本，覆盖中心化交易所（CEX）与去中心化金融（DeFi）两类业态。报告关注的攻击面包括：用户界面（UI）篡改、API接口漏洞、CI/CD流水线劫持、云基础设施权限滥用、交易生成逻辑操纵等。
报告的核心结论具有标志性意义：加密攻击已从”盗取私钥→转移资产”的线性模式，升级为”入侵开发/运营基础设施→利用正常签名流程→绕过风控系统”的生态级攻击。换言之，攻击者不再需要攻破冷钱包——只需控制前端界面或后端API，即可在合法签名框架内完成资产转移。
五大建议的技术内涵
德勤报告向持牌加密服务商提出的五项核心建议包括：
- 第三方风险管理：对外包开发、云服务商、API供应商等第三方进行持续性安全评估，防止供应链成为攻击入口
- 代码防篡改机制：在CI/CD流水线中部署代码完整性校验，防范恶意代码注入
- 异常转账控制：建立基于行为分析的转账风控模型，对偏离正常模式的交易实施阻断或人工复核
- 智能合约与DeFi安全：对已部署的智能合约进行持续监控，建立漏洞响应与资金召回机制
- 外部安全评估：定期委托独立第三方进行渗透测试和安全审计，且审计范围须覆盖全技术栈
攻击向量迁移：从私钥到供应链
UI/API层攻击的隐蔽性
传统加密安全范式以私钥保护为核心，冷钱包一直被视为最可靠的防线。然而，德勤报告揭示了一个关键漏洞：当攻击者通过篡改前端界面或劫持API接口，诱导用户或系统在不知情的情况下对恶意交易签名时，冷钱包隔离完全失效。此类攻击在Bybit和LayerZero相关事件中均有体现。
UI层攻击的隐蔽性极高——受害者看到的交易信息（收款地址、金额）可能是伪造的，但签名操作本身是”合法”的，这为事后追溯和责任认定带来了巨大困难。
CI/CD供应链攻击的系统性风险
报告特别警示了CI/CD流水线攻击的扩散趋势。攻击者通过入侵开发环境、污染构建工具链或植入恶意依赖包，将恶意代码嵌入到正式发布的软件版本中。由于此类攻击发生在软件供应链上游，一旦得手，可能同时影响多家使用相同组件或服务的交易所。
这一风险在日本语境下尤为突出——日本持牌交易所普遍使用外包开发团队，第三方代码的供应链安全审查此前并非监管硬性要求。德勤报告实质上推动了FSA将供应链安全纳入正式监管框架。
FSA三层防御框架与持牌机构合规要求
自助层面：强制性网络安全自评估
根据FSA 2026年4月发布的「加密交易所网络安全强化指南」，从2026财年起，所有日本持牌加密交易所须实施强制性网络安全自评估（CSSA）。评估维度涵盖：安全治理架构、外部审计标准、供应商安全标准、事件响应预案。德勤报告的发布为CSSA提供了具体的技术评估基准。
共助层面：行业信息共享与联合防御
FSA要求持牌交易所加入JPCrypto-ISAC（日本加密资产信息共享与分析中心），实现威胁情报的实时共享。同时强化日本虚拟货币交易业协会（JVCEA）的自律监管职能，推动行业统一安全标准的制定与执行。
公助层面：威胁导向渗透测试
FSA计划在2026年内对选定主要交易所实施威胁导向渗透测试（TLPT）。TLPT与传统渗透测试的关键区别在于：TLPT模拟真实攻击者的行为模式，不仅测试技术防线，还检验人员响应能力、事件检测机制和组织协调能力。FSA还同步推进国际联合研究与全国性网络安全演习（Delta Wall），目标是在三年内实现全行业参与。
对亚太持牌机构的启示
日本模式的制度特征
日本的加密安全监管呈现出“法规框架+技术标准+行业自律”三位一体的特征。FSA并不单纯依赖牌照准入来控制风险，而是通过持续的技术研究和标准迭代，推动持牌机构建立动态安全能力。这一模式与新加坡MAS对持牌DPT服务商的网络卫生要求、香港SFC对VATP的平台安全评估要求既有共通之处，也在执行粒度上存在差异。
可借鉴的合规要素
对于亚太地区的持牌加密机构，无论是否直接受日本FSA管辖，德勤报告揭示的攻击向量迁移趋势具有普遍适用性。建议持牌机构关注三个维度：
- 前端与API安全审计：将UI篡改检测和API异常监控纳入常态化安全运营
- CI/CD流水线完整性：对开发环境和构建工具链实施访问控制与代码签名
- 供应商安全评估：将所有接入核心系统的第三方服务商纳入安全审计范围
常见问题（FAQ）
FSA的网络安全指南是否具有强制执行力？
FSA 2026年4月发布的「加密交易所网络安全强化指南」属于行政指导性质，但CSSA自评估和JVCEA自律规则的执行实际上具有准强制性——不符合要求的交易所将在FSA的持续监管审查中面临业务改善命令甚至牌照吊销风险。德勤报告为FSA提供了判定安全措施是否”充分”的技术基准。
TLPT与传统渗透测试有何区别？
传统渗透测试通常基于已知漏洞库进行扫描，测试范围和时间窗口有限。TLPT则模拟真实攻击者的全链条攻击行为，包括社会工程学、供应链渗透、持久化驻留等高级战术，测试的是机构的综合防御能力而非单一技术点。日本FSA是全球少数将TLPT纳入加密交易所监管框架的金融监管机构之一。
来源：
- 吴说区块链：日本金融厅发布德勤加密资产安全研究报告（2026-07-23）
- TechFlow：Japan’s FSA Announces Cybersecurity Enhancement Guidelines for Crypto Asset Exchange Operators（2026-04-04）
- Dzilla：Beyond Cold Wallets — Japan’s FSA Signals a New Era of Crypto Security（2026-04）
- Bitget News：Japan FSA releases draft Cybersecurity Enhancement Guidelines for Crypto Exchanges（2026-02）