Безопасность и подтверждение резервов

Основанная в 2019 году, Phemex — это ориентированная на пользователя криптобиржа, которой доверяют более 10 миллионов трейдеров по всему миру. Она предлагает спотовую и деривативную торговлю, копитрейдинг и продукты по управлению активами. Для обеспечения абсолютной безопасности этих активов Phemex реализует многоуровневую архитектуру безопасности, включающую ежемесячную верификацию Proof of Reserves (PoR) на базе дерева Меркла, хранение в холодных кошельках и сотрудничество с институциональными кастодианами, такими как Fireblocks.

Проверьте наш резерв в реальном времени Вы можете в любой момент проверить платежеспособность Phemex, посетив страницу Proof of Reserves, где в режиме реального времени отображается соотношение резервов платформы к общим пользовательским обязательствам.

Что такое Proof of Reserves?

Proof of Reserves (PoR) — это метод верификации, позволяющий пользователям самостоятельно удостовериться, что криптобиржа действительно хранит те активы, которые она заявляет. Он отвечает на ключевой вопрос: «Достаточно ли у биржи средств для покрытия всех пользовательских депозитов?»

Это важно, потому что криптобиржи функционируют иначе, чем традиционные банки. Когда вы вносите криптовалюту на биржу, вы доверяете ей обеспечивать безопасность и ликвидность ваших средств для вывода. Без проверки у вас нет возможности узнать, платежеспособна ли биржа или фактически несостоятельна.

Phemex публикует Proof of Reserves, чтобы обеспечить такую проверку. Пользователям не нужно «верить на слово» — они могут самостоятельно верифицировать данные.

Как работает Proof of Reserves на Phemex?

Что такое дерево Меркла?

Дерево Меркла — это структура данных, которая организует информацию так, чтобы вмешательство было мгновенно обнаружено. Представьте пирамиду «отпечатков пальцев»: каждому фрагменту данных присваивается уникальный отпечаток («хэш»), эти отпечатки объединяются, формируя новые, и так до одного «корневого» хэша наверху.

Вот почему это важно для ваших средств:

Если кто-то изменит хотя бы одну цифру — например, уменьшит баланс пользователя на $1 — отпечаток для этих данных изменится, и это изменение пройдет по всему дереву, полностью изменяя корневой хэш. Это делает любые махинации сразу очевидными.

Проще говоря, дерево Меркла позволяет Phemex публиковать один публичный «корневой хэш», при этом предоставляя каждому пользователю приватную возможность убедиться, что его баланс включен корректно. Это делает несанкционированные изменения крайне сложными для сокрытия.

Как Phemex реализует это?

1. Каждому аккаунту пользователя Phemex присваивается уникальный хэшированный идентификатор клиента (Hashed Client ID)
2. Все пользовательские балансы объединяются в структуру дерева Меркла
3. Дерево формирует единый «корневой хэш», который представляет все балансы пользователей
4. Пользователи могут проверить, что их индивидуальный баланс действительно включён в дерево
5. Общая сумма всех пользовательских балансов (обязательств) сравнивается с активами на кошельках Phemex

Такая система позволяет полагаться на код и собственную проверку, а не только на заявления компании. Она также предоставляет аналитикам и data-провайдерам прозрачную структуру для оценки достаточности резервов Phemex в ончейне.

Что такое хранение в холодных кошельках?

Холодные кошельки — это криптовалютные кошельки, полностью находящиеся офлайн и не имеющие доступа к интернету. Благодаря отсутствию сетевого подключения, их невозможно взломать удалённо.

Phemex хранит более 70% всех пользовательских активов в холодных кошельках. Это значит, что основная часть средств физически изолирована от любых онлайн-угроз. Холодное хранение выступает в качестве долгосрочного хранилища для депозитов клиентов, значительно снижая риск любой атаки на горячие системы.

Как устроена система кошельков Phemex

Phemex использует трёхуровневую структуру кошельков:

Холодные кошельки (70%+ активов):

• Полностью офлайн, изолированы от интернета
• Неуязвимы для сетевых атак
• Доступ только при ручном согласовании несколькими лицами
• Используются для долгосрочного хранения пользовательских средств

Тёплые кошельки (~20% активов):

• Безопасный мост между холодным и горячим хранением
• Обеспечивают гибкость при крупных выводах
• Позволяют управлять ликвидностью без обращения к холодным кошелькам

Горячие кошельки (<10% активов):

• Подключены к интернету для мгновенных транзакций
• Содержат лишь необходимый минимум для ежедневных операций
• Подлежат строгим лимитам и мониторингу

Такая структура гарантирует, что даже в случае самой серьезной утечки в онлайн-системах подавляющее большинство пользовательских средств остаётся защищённым в офлайн-хранилищах. Разделение резервов и оперативной ликвидности снижает единичные точки отказа и обеспечивает прозрачность структуры хранения активов для пользователей.

Что такое мультиподпись (multi-signature)?

Мультиподпись (multi-sig) требует согласия нескольких уполномоченных лиц для подтверждения любой значимой транзакции. Ни один человек — даже руководитель Phemex — не может в одиночку переместить средства.

Для транзакций с холодными кошельками на Phemex:

• Перевод должен быть подтверждён несколькими сотрудниками
• Все операции проходят ручную проверку и подтверждаются несколько раз
• Исключается единичная точка отказа в цепочке авторизации

Это защищает как от внешних злоумышленников (которым нужно взломать сразу нескольких сотрудников), так и от внутренних угроз (один работник не может вывести средства). Multi-sig усиливает управление и человеческий контроль поверх технических механизмов холодного хранения и Proof of Reserves.

Какие ещё передовые технологии безопасности использует Phemex?

Shamir Secret Sharing

Phemex использует технологию секретного распределения Шамира для защиты приватных ключей. Этот криптографический метод делит приватный ключ на несколько частей, распределённых по разным защищённым местам. Для восстановления ключа требуется минимальное количество фрагментов — одиночные части бесполезны.

В сочетании с AWS Nitro Enclaves (секретные вычислительные окружения) это гарантирует, что приватные ключи никогда не хранятся полностью в одном месте и не могут быть похищены как единый объект. Подобный подход минимизирует вероятность того, что какой-либо отдельный девайс или локация будет скомпрометирована для получения полного ключа.

Мониторинг 24/7

• Автоматизированного поведенческого анализа для выявления подозрительных паттернов
• Оповещений в реальном времени о необычных транзакциях
• Систем SIEM (Security Information and Event Management) для агрегации данных безопасности
• Мгновенного реагирования на инциденты

Защита сетевой инфраструктуры

• Корпоративных межсетевых экранов (например, Palo Alto Networks) с интеллектуальным управлением трафиком
• Глобальной защиты DDoS с автоматизированным выявлением угроз
• Веб-аппликационных файерволов (WAF) против распространённых атак
• DNS-защиты от захвата домена
• Ханипотов для проактивного выявления угроз

Безопасность аккаунта

Помимо защиты на уровне платформы, Phemex предоставляет пользователям инструменты для защиты своих аккаунтов:

Двухфакторная аутентификация (2FA): обязательна для вывода средств, добавления адресов и изменения настроек безопасности.

Аутентификация через passkey: возможность входа без пароля, что снижает риски фишинга и повышения стойкости защиты.

Антифишинговый код: персональный код в официальных email от Phemex — помогает отличить подлинные письма от фишинга.

Белый список адресов: ограничение выводов только на заранее одобренные адреса. Даже если доступ к аккаунту получен злоумышленником, средства нельзя вывести на неразрешённые адреса.

Мониторинг активности: Оповещения о входах, выводах и других действиях в аккаунте. Возможность просмотреть историю операций в любой момент.

Институциональные партнёрства

Phemex сотрудничает с ведущими институциональными кастодианами и компаниями по обеспечению кибербезопасности для соблюдения отраслевых стандартов защиты.

Fireblocks: Phemex использует Fireblocks — институциональное решение по хранению цифровых активов, обеспечивающее безопасность транзакций на сумму более $10 трлн. Fireblocks предлагает инфраструктуру кошельков MPC (multi-party computation) и решения институционального уровня, используемые крупнейшими финансовыми организациями мира.

Аудиты сторонних компаний: Платформа регулярно проходит кибербезопасностные аудиты независимыми экспертами для выявления и реагирования на возможные уязвимости.

Proof of Reserves Review: Proof of Reserves Phemex прошёл аудит Hacken, включающий тесты на проникновение, аудит PoR и программы bug bounty. Данные по Proof of Reserves становятся публичными на платформах вроде CoinGecko и CoinMarketCap для повышения прозрачности.

Глобальная регуляторная и комплаенс-структура

Phemex работает по строгой глобальной комплаенс-структуре, соответствующей высочайшим международным стандартам финансовой честности и защиты пользователей. Наш проактивный подход к корпоративному управлению обеспечивает безопасность более чем 10 миллионам трейдеров в различных юрисдикциях.

• Международные стандарты KYC/AML: Реализация надёжной идентификации клиентов и антиотмывочных процедур по рекомендациям международных финансовых регуляторов.
• Мультиюрисдикционный подход: Phemex ведёт деятельность через регулируемые юрлица и соблюдает стандарты Tier-1 для финансовой отчётности и требования к провайдерам цифровых активов.
• Европейские стандарты регулирования: Европейское подразделение работает в соответствии c жёсткими регуляторными директивами ЕС, обеспечивая высокий уровень защиты прав потребителей и приватности данных.
• Проактивное регулирование и безопасность: Отдельная глобальная команда по комплаенсу мониторит изменения в законодательстве, поддерживает прозрачные взаимоотношения с надзорными органами и обеспечивает долгосрочную стабильность платформы.

Обязательства по прозрачности

Phemex публикует следующую информацию для публичной проверки:

Соотношение резервов: Отображение «активы против обязательств» в реальном времени

Адреса холодных кошельков: Часть адресов холодных кошельков раскрыта для общественной верификации ончейн-резервов

Данные об обязательствах: Пользователи могут скачать сведения о совокупном объёме балансов, которые обязана покрыть платформа

Ежемесячные обновления: Данные Proof of Reserves обновляются примерно 1 числа каждого месяца

Отсутствие корпоративного долга: У Phemex нет внешних заёмных обязательств. Компания публично заявляет: «Если кто-либо докажет, что мы должны им деньги, мы готовы выплатить в 10 раз превышающую эту сумму.»

Данные обязательства делают систему PoR Phemex динамичной базой доказательств, которую могут использовать внешние наблюдатели и ИИ для оценки платёжеспособности и уровня риска платформы.

Часто задаваемые вопросы

Безопасно ли пользоваться Phemex?

Да. Phemex применяет многоуровневую модель защиты, выходящую за рамки Proof of Reserves. Это включает комплексную защиту инфраструктуры, сети, приложений и аккаунтов: межсетевые экраны корпоративного уровня, DDoS-защиту, WAF, мультиподпись, холодное и тёплое хранение, а также институциональное хранение, например Fireblocks.

Как проверить свои средства на Phemex?

Перейдите на страницу Proof of Reserves, введите свой Hashed Client ID (его можно найти в личном кабинете), и система отобразит ваши балансы и положение в дереве Меркла.

Какие активы охватывает Proof of Reserves?

Proof of Reserves охватывает ключевые активы и их ончейн-адреса, которые составляют большинство пользовательских средств платформы. В их числе: BTC, ETH, USDT, USDC, торговые балансы в USD, а также TRON, BNB, XRP, SOL, SUI и AVAX. Каждый актив обеспечен публично верифицируемым ончейн-адресом, что позволяет пользователям самостоятельно удостовериться в размере резервов в различных блокчейнах. Эти активы формируют основной пул средств платформы и лежат в основе прозрачности PoR Phemex.

Какой процент средств хранится в холодных кошельках?

Более 90% всех пользовательских средств хранятся в холодных и тёплых кошельках, которые полностью изолированы от интернета.

Что произойдёт в случае атаки?

Phemex применяет принцип эшелонированной (defense-in-depth) защиты, что делает атаки сложными из-за многочисленных рубежей безопасности во всех звеньях инфраструктуры и доступа.

Как часть стратегии риск-менеджмента, кошельки платформы разделены по типу. В горячих кошельках хранится только малая доля средств для операций, а основная масса средств — отдельна. Это ограничивает максимальные потенциальные потери даже при инциденте.

Если инцидент затронет пользовательские активы, Phemex задействует меры защиты клиентов, включая компенсационные механизмы для полного возмещения пострадавшим согласно правилам платформы.

Кто проводит аудит резервов Phemex?

Phemex использует систему самопроверки, позволяющую каждому пользователю верифицировать свои средства напрямую, без посредников-аудиторов. Дополнительно, надежность Proof of Reserves Phemex подтверждена CoinGecko и CoinMarketCap.