深入了解 Alchemy 的企业级安全基础设施

企业在评估区块链基础设施提供商时，安全性是决策过程中的首要考量。无论你是正在探索区块链集成的金融服务机构、正在构建数字资产能力的财富 500 强公司，还是正在向企业级规模扩展的原生 web3 公司，安全都关乎业务的成败，也是对客户不可推卸的责任。

在 Alchemy，我们深刻理解这些要求。我们的安全团队由曾在全球要求最严苛的环境中工作过的从业者组成：大型银行、受监管的金融机构、主要云服务商、联邦机构以及领先的安全公司。我们设计的安全项目既能满足企业合规团队的标准，又能提供区块链应用所需的性能和可靠性。

以下是我们应对最关键安全挑战的具体方法。

我们的安全基础

Alchemy 的安全团队汇集了企业级基础设施所必需的三项核心能力：

• 金融服务风险管理专长，来自曾与受监管机构及其审计方合作过的团队
• 企业级运营经验，用于保障每天处理数十亿请求的高可用基础设施
• 全面的威胁防御能力，涵盖检测、响应和持续改进

这一组合使我们能够提供既满足企业合规要求、又支持现代区块链应用性能需求的基础设施安全。

企业选择 Alchemy 的原因

企业级安全并非依赖某一个工具或某一项认证，而是依靠经验丰富的人员、经过验证的流程，以及久经考验的系统协同运作。

我们满足你的合规要求：

• SOC 2 Type II 认证
• 公开的 Trust Center，提供审计方所需的文档
• 为企业安全审查设计的控制措施
• 随时可供审查的证据和审计记录

我们提供 web3 所需的性能：

• 在市场高峰期保持 99.99% 的正常运行时间
• 在企业级规模下经过实测，服务对象包括 Kinexys by J.P. Morgan、Polymarket 等
• 支持 100+ 条区块链网络
• 具备自动故障切换的全球基础设施

我们处理过的真实场景

关键的第三方基础设施提供商宕机

挑战： 2025 年 10 月 Cloudflare 发生故障时，许多服务随之中断。采用单一提供商架构的组织毫无应对办法——提供商宕机时，它们也随之宕机。

为何重要： 我们从一开始就为多提供商容灾而设计架构。我们的基础设施横跨多个云服务商，具备自动故障切换能力，因此即使主要依赖方出现问题，你的服务仍能保持在线。

应用层 DDoS 攻击

威胁： 攻击者曾试图用虚假注册淹没我们的免费套餐，这是一次真实的应用层 DDoS 事件。

我们的应对：

• 宣布进入事件响应状态，调动值班响应团队
• 限流并封禁了恶意地区和网络
• 实时将合法用户与欺诈账号区分开
• 识别并清除了所有与恶意 IP 关联的账号

结果： 客户服务始终在线，这次攻击最终成为我们通过的一场测试，而不是一次宕机事故。

国家级攻击者针对我们的基础设施

威胁： 近期，我们曾在 ClickFix/ClickFake 行动中遭到与朝鲜（DPRK）有关联的攻击团伙的针对。作为多方位协同攻击的一部分，至少发现了 15 个冒充 Alchemy 员工的虚假 LinkedIn 账号。

我们的应对： 我们的安全团队成功进入了一台活跃的命令与控制（C2）服务器，下载了恶意软件并进行了彻底分析——将一次入侵企图转化为了可用的情报。通过对恶意软件进行逆向工程，我们的分析揭示了此前未公开、未知的国家级 C2 域名、TTPs 和 IOCs。

为何重要： 我们的能力使我们能够构建自有的定制化威胁情报，而不必单纯依赖已知的威胁指标。我们不仅仅是防御——我们还生产情报，让我们始终领先于不断演变的威胁。

装有部署密钥的笔记本电脑被盗

假设场景： 一台包含部署凭证的笔记本电脑丢失或被盗——这是每个组织都需要做好准备应对的风险。

我们已有的控制措施：

• 谁能部署： 只有权限范围严格限定的角色才能访问部署密钥；访问被记录、审查，且可随时撤销。
• 笔记本电脑上有什么： 我们严格限制终端设备上可存放的内容，并通过 DLP 监控敏感数据。

我们会如何应对：

• EDR 使我们能够立即对设备进行网络隔离以开展取证
• MDM 使我们能够远程锁定并擦除设备
• 我们可以撤销该用户的会话并轮换相关密钥
• 笔记本电脑均已加密
• 零信任控制确保设备状态和网络要求达标

区别所在： 使用 Alchemy，你默认即可获得这些保障——加固的设备、受控的访问权限，以及经过实践检验的事件响应能力。而在大多数自建或传统方案中，你往往无法确切知道谁的哪台笔记本电脑上存有什么密钥。

GitHub 账号钓鱼攻击尝试

我们的防御：

• 第一层： 持续的员工培训教育，以及对可疑登录的监控。这是我们最重要的一道防线。
• 第二层： 所有 GitHub 账号均通过 Okta 启用了 SSO，这意味着攻击者必须攻破我们的 SSO 基础设施，才能对 Alchemy 专属的 GitHub 账号实施钓鱼——这增加了一层关键的防护。

审查我们的安全项目

我们欢迎企业安全和合规团队详细审查我们的安全项目：

访问我们的 Trust Center，查看我们的安全控制措施和合规文档。

联系我们，了解具体的安全要求、合规需求、监管考量或技术架构相关事宜。

常见问题

Alchemy 拥有哪些安全认证？

Alchemy 已通过 SOC 2 Type II 认证，并设有公开的 Trust Center，提供为企业安全审查设计的文档、控制措施、证据和审计记录。

Alchemy 如何为区块链应用实现高可用性？

我们通过横跨多个云服务商、具备自动故障切换能力的全球基础设施，在市场高峰期实现 99.99% 的正常运行时间，确保即使主要依赖方出现问题，服务也能持续运行。

Alchemy 实施了哪些访问控制？

我们通过 Okta 使用单点登录（SSO）并结合基于角色的访问控制（RBAC），确保访问权限范围严格限定、被记录、经过审查，且可随时轻松撤销。

Alchemy 如何应对近期的国家级攻击者针对行为？

在与朝鲜（DPRK）有关联的 ClickFix/ClickFake 行动中，Alchemy 的安全团队成功进入了一台活跃的命令与控制服务器，下载并逆向分析了恶意软件，并发现了此前未知的国家级 C2 域名、TTPs 和 IOCs。

Alchemy 针对笔记本电脑被盗或丢失有哪些防护措施？

我们使用加密的笔记本电脑，配合端点检测与响应（EDR）实现即时网络隔离、移动设备管理（MDM）实现远程锁定和擦除，采用零信任控制，并对部署密钥访问权限进行严格限定、可即时撤销。

Alchemy 如何应对 DDoS 攻击？

在一次针对免费套餐的真实应用层 DDoS 攻击中，Alchemy 团队宣布进入事件响应状态，限流并封禁了恶意地区和网络，实时将合法用户与欺诈账号区分开，并清除了所有恶意账号，整个过程中客户服务始终保持在线。

Alchemy 的安全团队凭什么能够满足企业级要求？

Alchemy 的安全团队由曾在大型银行、受监管的金融机构、主要云服务商、联邦机构以及领先安全公司积累经验的从业者组成，融合了金融服务风险管理、企业级运营和全面威胁防御能力。

Alchemy 如何防范 GitHub 钓鱼攻击？

Alchemy 要求所有 GitHub 账号通过 Okta 启用 SSO，这意味着攻击者必须先攻破 SSO 基础设施，才能对 GitHub 账号实施钓鱼，此外持续的员工培训教育和可疑登录监控是我们的主要防线。