---
title: "深入了解 Alchemy 的企業級安全基礎設施"
description: "企業在評估區塊鏈供應商時，安全性至關重要。我們的安全團隊成員來自大型銀行、聯邦機構與主要雲端服務供應商，以下說明他們如何打造符合企業標準的基礎設施。"
---

# 深入了解 Alchemy 的企業級安全基礎設施

<ImageBlock
  src="https://media.alchemy.com/1770649172-enterprise-security.png"
  alt="Alchemy 企業級安全基礎設施總覽"
  width={1920}
  height={900}
  priority
/>

企業在評估區塊鏈基礎設施供應商時，安全性是決策過程中最重要的考量。無論你是正在探索區塊鏈整合的金融服務機構、正在建構數位資產能力的財富 500 大企業，還是正擴展到企業規模的 web3 原生公司，安全性都攸關業務成敗，也是對客戶不容妥協的責任。

在 Alchemy，我們深刻理解這些要求。我們的安全團隊由曾在全球最嚴苛環境中工作過的從業人員組成：大型銀行、受監管的金融機構、主要雲端服務供應商、聯邦機構，以及頂尖的資安公司。我們設計安全計畫的方式，既能滿足企業合規團隊的要求，又能提供區塊鏈應用所需的效能與可靠性。

以下詳細說明我們如何應對最重要的安全挑戰。

## 我們的安全基礎

Alchemy 的安全組織整合了三項對企業級基礎設施而言不可或缺的核心能力：

- 來自曾與受監管機構及其審計人員合作的團隊的**金融服務風險管理專業知識**
- 保障處理數十億次請求的高可用性基礎設施的**企業級營運經驗**
- 涵蓋偵測、應變與持續改進的**全面威脅防禦能力**

這樣的組合讓我們能夠提供符合企業合規要求的基礎設施安全性，同時支援現代區塊鏈應用的效能需求。

## 企業組織選擇 Alchemy 的原因

企業級安全並非取決於單一工具或認證，而是要有經驗豐富的人員、經過驗證的流程，以及久經考驗的系統相互配合。

**我們符合你的合規要求：**

- SOC 2 Type II 認證
- [公開信任中心](/security)提供審計人員所需的文件
- 為企業安全審查而設計的控制措施
- 隨時可供檢查的證據與稽核記錄

**我們提供 web3 所需的效能：**

- 在[市場高峰期](/blog/best-uptime-biggest-liquidation-event-in-crypto)達到 99.99% 的正常運行時間
- 為 [Kinexys by J.P. Morgan](/blog/alchemy-smart-wallets-jp-morgan-token)、[Polymarket](/case-studies/polymarket) 等團隊完成企業級規模的效能測試
- 支援 100+ 條區塊鏈網路
- 具備自動容錯移轉的全球基礎設施

<EmbeddedTable
  table={{
    columns: [
      { key: "1", width: 200, title: "Security Requirement", dataType: "object" },
      { key: "2", width: 200, title: "Doing It Yourself", dataType: "object" },
      { key: "3", width: 200, title: "With Alchemy", dataType: "object" },
    ],
    data: [
      {
        "1": { title: "<p><strong>Security Certifications:</strong><br/>Can you show partners, investors, or compliance teams that your infra meets real security standards?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>No formal certifications. Hard to get through enterprise security reviews.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>SOC 2 Type II certified with a public Trust Center at trust.alchemy.com making it easier to clear enterprise requirements.</p>", tooltip: "", icon: "" },
        id: 0,
      },
      {
        "1": { title: "<p><strong>API Key & Access Security:</strong><br/>How well protected are your keys, and can you control who can hit your endpoints?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>You have to build all the protections yourself— allowlists, monitoring, alerts, everything.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>Built-in protections: IP/domain allowlists, per-app keys, traffic insights, and abuse detection.</p>", tooltip: "", icon: "" },
        id: 1,
      },
      {
        "1": { title: "<p><strong>Operational Security:</strong><br/>How locked-down and well-managed is the actual infrastructure running your blockchain connections?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>Full responsibility lands on your team— patches, upgrades, network hardening.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>Professionally managed security with regular testing and clear policies to meet industry requirements.</p>", tooltip: "", icon: "" },
        id: 2,
      },
      {
        "1": { title: "<p><strong>Uptime & Reliability:</strong><br/>Will your app actually stay online during traffic spikes or market chaos?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>Depends entirely on your engineering muscle— outages are very likely.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>Proven 99.99% uptime with global redundancy and automatic failover across multiple cloud providers.</p>", tooltip: "", icon: "" },
        id: 3,
      },
      {
        "1": { title: "<p><strong>Performance Under Load:</strong><br/>When traffic surges, does the system keep up or fall over?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>You'll need expensive overbuilds to survive spikes.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>Designed for huge bursts (NFT drops, trading volatility, gaming traffic) without degradation.</p>", tooltip: "", icon: "" },
        id: 4,
      },
      {
        "1": { title: "<p><strong>Supporting Multiple Chains:</strong><br/>How hard is it to launch on more chains as you scale?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>Every new chain = another infra project and more overhead.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>One platform that supports 80+ networks with consistent performance.</p>", tooltip: "", icon: "" },
        id: 5,
      },
      {
        "1": { title: "<p><strong>Auditability & Compliance:</strong><br/>Can you easily provide the logs, controls, and evidence auditors or partners need?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>Heavy lift— you have to create everything yourself.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>Ready-to-use audit documentation, logs, and controls that speed up reviews.</p>", tooltip: "", icon: "" },
        id: 6,
      },
      {
        "1": { title: "<p><strong>Incident Response:</strong><br/>When something breaks, who's fixing it and how fast?</p>", tooltip: "", icon: "" },
        "2": { title: "<p>Entirely your team's problem— including middle-of-the-night firefights.</p>", tooltip: "", icon: "" },
        "3": { title: "<p>Dedicated infrastructure team with battle-tested playbooks and fast response times 24x7x365.</p>", tooltip: "", icon: "" },
        id: 7,
      },
    ],
  }}
/>

## 我們處理過的真實情境

### 關鍵第三方基礎設施供應商發生中斷

**挑戰：**2025 年 10 月 Cloudflare 發生中斷事故時，許多服務也隨之停擺。採用單一供應商架構的組織別無他法——供應商一旦中斷，它們也跟著中斷。

**這為何重要：**我們從一開始就以多供應商韌性為架構原則。我們的基礎設施橫跨多個雲端服務供應商並具備自動容錯移轉，因此即使主要依賴項發生問題，你的服務也能維持上線。

<EbookCta
  eyebrow="免費指南"
  title="Build vs. Buy：區塊鏈基礎設施"
  description="在雇用基礎設施團隊前，先看看這個：在處理任何一筆正式環境請求之前，自建可能就要花費每年 $850K–$1M 以上。查看完整成本細項。"
  ctaLabel="下載指南"
  ctaHref="/resources/build-vs-buy"
  coverImage={{
    src: "https://media.alchemy.com/ebooks/cta-build-vs-buy.png",
    alt: "Build vs. Buy ebook cover",
  }}
/>

### 應用層 DDoS 攻擊

**威脅：**攻擊者曾試圖以虛假註冊灌爆我們的免費方案，這是一次真實的應用層 DDoS 事件。

**我們的應對：**

- 宣布事故等級並調動待命應變團隊
- 節流並封鎖濫用地區與網路
- 即時區分合法使用者與詐欺帳號
- 找出並移除所有與惡意 IP 相關的帳號

**結果：**客戶服務維持上線，這次攻擊成了我們通過的一次考驗——而非一次中斷事故。

### 民族國家級行為者鎖定我們的基礎設施

**威脅：**最近，我們在 ClickFix/ClickFake 行動中遭到與北韓有關聯的攻擊活動鎖定。調查發現至少 15 個冒充 Alchemy 員工的假 LinkedIn 帳號，屬於多線並進協同攻擊的一部分。

**我們的應對：**我們的安全團隊取得了一台正在運作中的命令與控制（C2）伺服器的存取權限，下載惡意軟體並進行徹底分析——將一次入侵嘗試轉化為可行動的情報。在對惡意軟體進行逆向工程後，我們的分析揭露了先前不曾公開、未知的國家級 C2 網域、TTP 與 IOC。

**這為何重要：**我們的能力讓我們能夠建立自有的客製化威脅情報，而不僅僅依賴已知指標。我們不只是防禦——我們發展出讓我們領先於不斷演變威脅的情報。

### 含有部署金鑰的筆電遭竊

**假設情境：**一台含有部署憑證的筆電遺失或遭竊——這是每個組織都需要有所準備的風險。

**我們已建立的控制措施：**

- **誰能部署：**只有範圍嚴格限定的角色才能存取部署金鑰；存取記錄會被記錄、審查，且容易撤銷。
- **筆電上存放的內容：**我們嚴格限制端點上可存放的內容，並透過 DLP 監控敏感資料。

**我們的應對方式：**

- 透過 EDR 立即將裝置進行網路隔離以進行鑑識
- 透過 MDM 遠端鎖定並清除裝置
- 撤銷與該使用者相關的所有工作階段並更換金鑰
- 筆電皆已加密
- 零信任控制確保裝置狀態與網路要求符合規範

**差異所在：**使用 Alchemy，你預設就能獲得這些保障——強化的裝置、受控的存取，以及經過實戰演練的事故應變流程。而在多數自建或舊有架構中，你往往只能猜測誰的筆電上有哪些金鑰。

### GitHub 帳號釣魚攻擊嘗試

**我們的防禦：**

- **第一層：**持續的員工教育訓練與可疑登入監控，這是我們最重要的一道防線。
- **第二層：**所有 GitHub 帳號都透過 Okta 啟用 SSO，這代表攻擊者必須先入侵我們的 SSO 基礎設施，才有可能對 Alchemy 專屬的 GitHub 帳號進行釣魚攻擊——這增加了一層關鍵防護。

## 審視我們的安全計畫

我們歡迎企業安全與合規團隊詳細審視我們的安全計畫：

[**造訪我們的信任中心**](https://trust.alchemy.com/)，審視我們的安全控制措施與合規文件。

[**與我們聯繫**](/contact-sales)，討論特定的安全要求、合規需求、法規考量或技術架構。

## 常見問題

### Alchemy 持有哪些安全認證？

Alchemy 取得 SOC 2 Type II 認證，並設有公開信任中心，提供為企業安全審查而設計的文件、控制措施、證據與稽核記錄。

### Alchemy 如何為區塊鏈應用達成高正常運行時間？

我們透過橫跨多個雲端服務供應商、具備自動容錯移轉的全球基礎設施，在市場高峰期達到 99.99% 的正常運行時間，確保即使主要依賴項發生問題，服務也能維持不中斷。

### Alchemy 實施了哪些存取控制措施？

我們透過 Okta 使用單一登入（SSO）搭配角色型存取控制（RBAC），確保存取範圍嚴格限定，並且可被記錄、審查與輕易撤銷。

### Alchemy 如何應對近期的民族國家級行為者鎖定攻擊？

在一次與北韓有關聯的 ClickFix/ClickFake 攻擊活動中，Alchemy 的安全團隊取得了一台正在運作中的命令與控制伺服器的存取權限，下載並逆向工程該惡意軟體，並發現先前未知的國家級 C2 網域、TTP 與 IOC。

### Alchemy 對筆電遭竊或遺失提供哪些防護？

我們使用加密筆電，搭配端點偵測與應變（EDR）以實現即時網路隔離、行動裝置管理（MDM）以實現遠端鎖定與清除、零信任控制，以及範圍嚴格限定且可立即撤銷的部署金鑰存取權限。

### Alchemy 如何處理 DDoS 攻擊？

在一次針對免費方案的真實應用層 DDoS 攻擊中，Alchemy 團隊宣布事故等級、節流並封鎖濫用地區與網路、即時區分合法使用者與詐欺帳號，並移除所有惡意帳號，使客戶在整個過程中維持上線。

### 是什麼讓 Alchemy 的安全團隊符合企業要求？

Alchemy 的安全團隊由曾在大型銀行、受監管的金融機構、主要雲端服務供應商、聯邦機構及頂尖資安公司工作過的從業人員組成，結合了金融服務風險管理、企業級營運，以及全面威脅防禦能力。

### Alchemy 如何防範 GitHub 釣魚攻擊嘗試？

Alchemy 要求所有 GitHub 帳號都透過 Okta 啟用 SSO，這代表攻擊者必須先入侵 SSO 基礎設施，才有可能對 GitHub 帳號進行釣魚攻擊，再加上持續的員工教育訓練與可疑登入監控作為主要防禦層。