深入了解 Alchemy 的企業級安全基礎設施

企業在評估區塊鏈基礎設施供應商時，安全性是決策過程中最重要的考量。無論你是正在探索區塊鏈整合的金融服務機構、正在建構數位資產能力的財富 500 大企業，還是正擴展到企業規模的 web3 原生公司，安全性都攸關業務成敗，也是對客戶不容妥協的責任。

在 Alchemy，我們深刻理解這些要求。我們的安全團隊由曾在全球最嚴苛環境中工作過的從業人員組成：大型銀行、受監管的金融機構、主要雲端服務供應商、聯邦機構，以及頂尖的資安公司。我們設計安全計畫的方式，既能滿足企業合規團隊的要求，又能提供區塊鏈應用所需的效能與可靠性。

以下詳細說明我們如何應對最重要的安全挑戰。

我們的安全基礎

Alchemy 的安全組織整合了三項對企業級基礎設施而言不可或缺的核心能力：

• 來自曾與受監管機構及其審計人員合作的團隊的金融服務風險管理專業知識
• 保障處理數十億次請求的高可用性基礎設施的企業級營運經驗
• 涵蓋偵測、應變與持續改進的全面威脅防禦能力

這樣的組合讓我們能夠提供符合企業合規要求的基礎設施安全性，同時支援現代區塊鏈應用的效能需求。

企業組織選擇 Alchemy 的原因

企業級安全並非取決於單一工具或認證，而是要有經驗豐富的人員、經過驗證的流程，以及久經考驗的系統相互配合。

我們符合你的合規要求：

• SOC 2 Type II 認證
• 公開信任中心提供審計人員所需的文件
• 為企業安全審查而設計的控制措施
• 隨時可供檢查的證據與稽核記錄

我們提供 web3 所需的效能：

• 在市場高峰期達到 99.99% 的正常運行時間
• 為 Kinexys by J.P. Morgan、Polymarket 等團隊完成企業級規模的效能測試
• 支援 100+ 條區塊鏈網路
• 具備自動容錯移轉的全球基礎設施

我們處理過的真實情境

關鍵第三方基礎設施供應商發生中斷

**挑戰：**2025 年 10 月 Cloudflare 發生中斷事故時，許多服務也隨之停擺。採用單一供應商架構的組織別無他法——供應商一旦中斷，它們也跟著中斷。

**這為何重要：**我們從一開始就以多供應商韌性為架構原則。我們的基礎設施橫跨多個雲端服務供應商並具備自動容錯移轉，因此即使主要依賴項發生問題，你的服務也能維持上線。

應用層 DDoS 攻擊

**威脅：**攻擊者曾試圖以虛假註冊灌爆我們的免費方案，這是一次真實的應用層 DDoS 事件。

我們的應對：

• 宣布事故等級並調動待命應變團隊
• 節流並封鎖濫用地區與網路
• 即時區分合法使用者與詐欺帳號
• 找出並移除所有與惡意 IP 相關的帳號

**結果：**客戶服務維持上線，這次攻擊成了我們通過的一次考驗——而非一次中斷事故。

民族國家級行為者鎖定我們的基礎設施

**威脅：**最近，我們在 ClickFix/ClickFake 行動中遭到與北韓有關聯的攻擊活動鎖定。調查發現至少 15 個冒充 Alchemy 員工的假 LinkedIn 帳號，屬於多線並進協同攻擊的一部分。

**我們的應對：**我們的安全團隊取得了一台正在運作中的命令與控制（C2）伺服器的存取權限，下載惡意軟體並進行徹底分析——將一次入侵嘗試轉化為可行動的情報。在對惡意軟體進行逆向工程後，我們的分析揭露了先前不曾公開、未知的國家級 C2 網域、TTP 與 IOC。

**這為何重要：**我們的能力讓我們能夠建立自有的客製化威脅情報，而不僅僅依賴已知指標。我們不只是防禦——我們發展出讓我們領先於不斷演變威脅的情報。

含有部署金鑰的筆電遭竊

**假設情境：**一台含有部署憑證的筆電遺失或遭竊——這是每個組織都需要有所準備的風險。

我們已建立的控制措施：

• **誰能部署：**只有範圍嚴格限定的角色才能存取部署金鑰；存取記錄會被記錄、審查，且容易撤銷。
• **筆電上存放的內容：**我們嚴格限制端點上可存放的內容，並透過 DLP 監控敏感資料。

我們的應對方式：

• 透過 EDR 立即將裝置進行網路隔離以進行鑑識
• 透過 MDM 遠端鎖定並清除裝置
• 撤銷與該使用者相關的所有工作階段並更換金鑰
• 筆電皆已加密
• 零信任控制確保裝置狀態與網路要求符合規範

**差異所在：**使用 Alchemy，你預設就能獲得這些保障——強化的裝置、受控的存取，以及經過實戰演練的事故應變流程。而在多數自建或舊有架構中，你往往只能猜測誰的筆電上有哪些金鑰。

GitHub 帳號釣魚攻擊嘗試

我們的防禦：

• **第一層：**持續的員工教育訓練與可疑登入監控，這是我們最重要的一道防線。
• **第二層：**所有 GitHub 帳號都透過 Okta 啟用 SSO，這代表攻擊者必須先入侵我們的 SSO 基礎設施，才有可能對 Alchemy 專屬的 GitHub 帳號進行釣魚攻擊——這增加了一層關鍵防護。

審視我們的安全計畫

我們歡迎企業安全與合規團隊詳細審視我們的安全計畫：

造訪我們的信任中心，審視我們的安全控制措施與合規文件。

與我們聯繫，討論特定的安全要求、合規需求、法規考量或技術架構。

常見問題

Alchemy 持有哪些安全認證？

Alchemy 取得 SOC 2 Type II 認證，並設有公開信任中心，提供為企業安全審查而設計的文件、控制措施、證據與稽核記錄。

Alchemy 如何為區塊鏈應用達成高正常運行時間？

我們透過橫跨多個雲端服務供應商、具備自動容錯移轉的全球基礎設施，在市場高峰期達到 99.99% 的正常運行時間，確保即使主要依賴項發生問題，服務也能維持不中斷。

Alchemy 實施了哪些存取控制措施？

我們透過 Okta 使用單一登入（SSO）搭配角色型存取控制（RBAC），確保存取範圍嚴格限定，並且可被記錄、審查與輕易撤銷。

Alchemy 如何應對近期的民族國家級行為者鎖定攻擊？

在一次與北韓有關聯的 ClickFix/ClickFake 攻擊活動中，Alchemy 的安全團隊取得了一台正在運作中的命令與控制伺服器的存取權限，下載並逆向工程該惡意軟體，並發現先前未知的國家級 C2 網域、TTP 與 IOC。

Alchemy 對筆電遭竊或遺失提供哪些防護？

我們使用加密筆電，搭配端點偵測與應變（EDR）以實現即時網路隔離、行動裝置管理（MDM）以實現遠端鎖定與清除、零信任控制，以及範圍嚴格限定且可立即撤銷的部署金鑰存取權限。

Alchemy 如何處理 DDoS 攻擊？

在一次針對免費方案的真實應用層 DDoS 攻擊中，Alchemy 團隊宣布事故等級、節流並封鎖濫用地區與網路、即時區分合法使用者與詐欺帳號，並移除所有惡意帳號，使客戶在整個過程中維持上線。

是什麼讓 Alchemy 的安全團隊符合企業要求？

Alchemy 的安全團隊由曾在大型銀行、受監管的金融機構、主要雲端服務供應商、聯邦機構及頂尖資安公司工作過的從業人員組成，結合了金融服務風險管理、企業級營運，以及全面威脅防禦能力。

Alchemy 如何防範 GitHub 釣魚攻擊嘗試？

Alchemy 要求所有 GitHub 帳號都透過 Okta 啟用 SSO，這代表攻擊者必須先入侵 SSO 基礎設施，才有可能對 GitHub 帳號進行釣魚攻擊，再加上持續的員工教育訓練與可疑登入監控作為主要防禦層。