2022年對于整個數(shù)字資產(chǎn)行業(yè)來說是艱難的一年。在市場低迷的大環(huán)境下，65%的數(shù)字資產(chǎn)市值化為烏有，而數(shù)量空前的黑客攻擊、詐騙事件和機構(gòu)崩盤，讓本就損失慘重的投資者們雪上加霜。
從今年3月Ronin Bridge被盜6.24億美元事件到11月FTX幾乎一夜崩塌，2022年的損失規(guī)模創(chuàng)下了歷史之最。今年的資產(chǎn)損失約為37.7億美元，遠(yuǎn)遠(yuǎn)超過2021年的13億美元記錄。
本報告將深入探究導(dǎo)致Celsius、BlockFi以及FTX等中心化交易所潰敗的各種因素。作為這些迅速重蹈行業(yè)覆轍的中心化機構(gòu)的替代品，Web3.0和基于開源區(qū)塊鏈的去中心化金融應(yīng)用將會發(fā)揮重要作用，但僅憑這一點就期望Web3.0走向大規(guī)模應(yīng)用還不太現(xiàn)實。雖然與今年中心化領(lǐng)域的破產(chǎn)規(guī)模相比，去中心化世界的損失相對較小，但其總額也有數(shù)十億美元之多。整個Web3.0行業(yè)都需要對過去一年進行深刻反思，努力從這段艱難時期中尋求一線生機。
雖然不安全的協(xié)議仍在不斷造成損失，但這并不能否定Web3.0所具有的真正價值。如今，各類資產(chǎn)的估值普遍下降，人們的狂熱情緒也逐漸平息。由此我們可以退一步審視現(xiàn)狀，并在一個更加堅實的基礎(chǔ)上建設(shè)這個行業(yè)。
除了回顧今年發(fā)生的主要黑客攻擊和漏洞事件外，本報告也將展示CertiK公開的獨家安全研究，以履行其守護Web3.0世界的使命。
2022年行業(yè)安全概要
① 2022年，黑客從Web3.0協(xié)議中盜取了價值約37.7億美元的資產(chǎn)。
② 這個數(shù)字比2021年的13億美元損失增加了189%。
③ 2022年發(fā)生了316起退出騙局，共盜取了約2.1億美元，102起閃電貸與預(yù)言機操縱事件共造成了約3.6億美元的損失。
④ 僅僅9個跨鏈橋漏洞就占了所有損失價值的三分之一以上，黑客從跨鏈橋攻擊中總共盜取了約13.5億美元。
⑤ 盡管經(jīng)歷了一年熊市，CertiK審計的項目數(shù)量依然在持續(xù)增長。迄今為止，CertiK共完成了5046個Web3.0項目的審計。相比去年年底的總審計數(shù)目增加了73%。
⑥ 本文涵蓋了這一年的主要安全事件、Web3.0發(fā)展趨勢以及整個行業(yè)在一年動蕩后的狀況分析。
中心化平臺或成為難以調(diào)和的矛盾
今年以來，許多知名數(shù)字資產(chǎn)企業(yè)的消亡給整個行業(yè)都蒙上了陰影。雖然這些企業(yè)全都從事數(shù)字資產(chǎn)買賣、借貸和交易業(yè)務(wù)，但當(dāng)我們?yōu)槠滟N上相同標(biāo)簽之前，應(yīng)該考慮一下，這些已然倒閉的企業(yè)是否真正可以被歸類為數(shù)字資產(chǎn)公司。
可以肯定的是，導(dǎo)致這些企業(yè)失敗的原因更多是源于他們的商業(yè)運營模式，而不是他們所管理的資產(chǎn)。中心化數(shù)字資產(chǎn)企業(yè)（也被稱為CeFi，意為“中心化金融”，與“去中心化金融”DeFi相反）的致命缺陷就隱含在其名稱中：它們在具有單點控制的中心化系統(tǒng)上運行，而這恰恰引發(fā)了今年我們所目睹的單點潰敗。
接下來的故事多少有些悲劇性的諷刺色彩。在今年2月份的超級碗比賽期間（Super Bowl，美國國家橄欖球聯(lián)盟年度冠軍賽），F(xiàn)TX曾向數(shù)百萬的觀眾推銷數(shù)字資產(chǎn)的概念，聲稱數(shù)字資產(chǎn)是“下一個大事件”，并暗示不參與其中的人就像廣告中所扮演的傻瓜那樣會錯失一切。
然而，F(xiàn)TX背地里卻將用戶的存款發(fā)送至該公司所謂的“非內(nèi)部”但實際為內(nèi)部的交易部門——Alameda，該部門很快就在投資上損失了數(shù)十億美元，這也嚴(yán)重違反了該交易所的服務(wù)條款。
關(guān)于FTX非流動性資產(chǎn)負(fù)債狀況的驚人消息很快不脛而走，典型的銀行擠兌事件也隨即爆發(fā)。如果一家交易所按1:1的比例保留存款資金，且不在未經(jīng)許可的情況下進行重新抵押或出借，那么它或許就能經(jīng)受住這次考驗。但FTX的情況并非如此。
FTX前首席執(zhí)行官Sam Bankman-Fried曾策劃了一連串極其奢華的收購、贊助和救助活動，因此也令FTX的垮臺也更加令人難以置信。比如另一家現(xiàn)已倒閉的CeFi公司Voyager Digital在申請破產(chǎn)后就宣布FTX成功收購了其資產(chǎn)，然而在FTX閃電式崩盤后只能再次申請破產(chǎn)，這些突如其來的事件全部發(fā)生在了2022年下半年。
FTX和Three Arrows Capital等公司的倒閉確實打擊了許多大型投資機構(gòu)，但受傷最嚴(yán)重的還是大量的普通散戶。鋪天蓋地的營銷、公眾人物代言和個人崇拜使他們將信心投放在了錯誤的平臺，并為此付出了慘痛代價。
之所以說受傷散戶的比例很高，是因為在Voyager平臺上，97%的用戶資產(chǎn)都不到1萬美元。其中許多誤認(rèn)為CeFi平臺更加安全的用戶，其資產(chǎn)現(xiàn)已蕩然無存。他們認(rèn)為把資產(chǎn)存入CeFi平臺更加放心，收益也更高，同時避免了去中心化平臺的智能合約所帶來的高入門門檻以及各種風(fēng)險。
關(guān)于FTX更多細(xì)節(jié)，請查看《FTX事件始末，黑客攻擊總結(jié)：2022 第四季度Web3.0行業(yè)安全報告》了解詳情。
雖然這些教訓(xùn)讓人們非常痛苦，但其實也是必不可少的一課。數(shù)字資產(chǎn)的核心原則是自我監(jiān)管和自主權(quán)（Self-Custody and Self-Sovereignty），所以將用戶的資產(chǎn)控制權(quán)交給中心化平臺也就違背了以上原則。
這些平臺完全有可能不遵守其服務(wù)條款，而你也無從得知你的資產(chǎn)正被平臺如何利用。此外，你無法驗證平臺的財務(wù)健康狀況，也不能追蹤資產(chǎn)的流向來了解字面上的收益來源，以及所要承擔(dān)的風(fēng)險，一切都只是建立在用戶的盲目信任和信念之上，而今年所發(fā)生的事件也證明了其后果：看似安然無恙的開端，最終卻墜入了滿目瘡痍的結(jié)局。
Terra崩盤事件
今年影響最大的事件之一是Terra的崩盤，其450億美元的市值在幾天內(nèi)化為泡影。
與Tether、USDC和BUSD等穩(wěn)定幣不同，算法穩(wěn)定幣并非依靠與美元1:1的錨定比率來維持穩(wěn)定，而是通過其內(nèi)部機制來維持貨幣錨定。具體來說，算法穩(wěn)定幣通過智能合約設(shè)定的鑄幣及銷毀功能來維持其基本價值。
以Terra的UST穩(wěn)定幣為例，UST與另一項獨立的數(shù)字資產(chǎn)Luna掛鉤，UST的持有者隨時可以把他們的資產(chǎn)兌換成等值的LUNA。在5月初，LUNA的交易價格為85美元，此時一個UST穩(wěn)定幣可以交易0.0118枚LUNA。
假如UST的交易價格跌破其設(shè)定的1美元門檻，做市商們隨即會把大量UST兌換為LUNA以縮小二者間的價值缺口。其原理是在降低UST供應(yīng)量的同時，提升對LUNA的需求，也就是通過提高支持該穩(wěn)定幣儲備資產(chǎn)的價格，來維持貨幣錨定的穩(wěn)定。
5月7日，鏈上分析顯示UST被大量拋售，8500萬的UST被兌換成了8450萬USDC，這直接導(dǎo)致了UST首次脫鉤美元。受此影響，5月8日UST的價格跌至0.985美元的低點。
為了讓UST重新錨定美元，Luna Foundation Guard（LFG）部署了價值7.5億美元的比特幣，以協(xié)助做市商們維持UST價格的穩(wěn)定。在市場環(huán)境恢復(fù)正常后，LFG又回購了價值7.5億美元的比特幣。
然而令人意想不到的是，5月9日UST的價格竟然跌至0.65美元的更低點。UST的再次脫鉤隨之引發(fā)了LUNA的價格震動，其價格驟跌至35美元，跌幅超過44%，而這又使得LUNA與UST之間的市值脫鉤，從而危及其作為穩(wěn)定儲備資產(chǎn)的功能。因為此時的LUNA生態(tài)系統(tǒng)已經(jīng)沒有足夠的價值來抵押所有正在流通的UST了。
從這時開始，LUNA和UST之間的微妙平衡開始瓦解。然而禍不單行，Terra創(chuàng)建者Terraform Labs的首席執(zhí)行官Do Kwon被曝是此前失敗的算法穩(wěn)定幣Basis Cash背后的匿名聯(lián)合創(chuàng)始人之一。有指控稱，在經(jīng)歷了價值脫鉤和數(shù)十億美元的損失后，Do Kwon挪用了價值約6700萬美元的比特幣，卻并未將其用于維護貨幣錨定。韓國檢察官已對Do Kwon's發(fā)出逮捕令，但其目前仍然在逃。
Terra/LUNA的這次歷史性的崩盤讓整個區(qū)塊鏈生態(tài)系統(tǒng)措手不及，從業(yè)者們和用戶不得不停下來思考此次事件對Web 3.0的未來產(chǎn)生的深刻影響。
危機持續(xù)蔓延
Celsius是一個支持用戶存入資產(chǎn)以賺取收益的中心化平臺，其曾在Terra生態(tài)系統(tǒng)中持有超過5億美元的資金。在Celsius倒閉前，其聲稱已經(jīng)撤回了所有資產(chǎn)。但一個月過后，該公司就宣布暫停存款業(yè)務(wù)，并申請破產(chǎn)。
Celsius的用戶永遠(yuǎn)無法得知他們所賺取的收益來源，他們也對自己所承擔(dān)的風(fēng)險一無所知。
Celsius還利用去中心化平臺償還了許多債務(wù)，以努力挽回其所剩無幾的流動性資金，這也從側(cè)面證明了DeFi的力量：所有鏈上活動都是公開可見的，這就與Celsius對投資者和債權(quán)人各種隱瞞的負(fù)債形成了鮮明對比。
雪上加霜的是，為了證明偽匿名去中心化金融平臺的隱私優(yōu)勢，Celsius后來在一份法庭文件中公開披露了其數(shù)千名用戶的姓名、余額和交易歷史記錄。這是極其不負(fù)責(zé)任的而且危險的行為。
而Aave等DeFi平臺的持續(xù)成功，為去中心化商業(yè)模式提供了正面的素材支持。用戶可以實時驗證Aave的償還支付能力，了解儲戶賺取的收益來自哪里。而該平臺的清算過程，根本不允許出現(xiàn)最終導(dǎo)致Celsius倒閉的風(fēng)險。
與中心化金融平臺相比，DeFi明顯具有多方面的優(yōu)勢。不過為Web 3.0提供動力的智能合約在某種程度上也不是無懈可擊的：DeFi協(xié)議也有屬于自己的一系列風(fēng)險，比如智能合約的編寫不規(guī)范會引入一系列的漏洞，而黑客們已經(jīng)發(fā)現(xiàn)并利用了這些漏洞，在2022年竊取了高達(dá)30多億美元的資金。
在詳細(xì)了解Web 3.0的優(yōu)勢以及行業(yè)趨勢后，本報告將重點分析今年的一些重大安全事件。
Web 3.0解決方案
或許這就是Web 3.0世界的意義：建立在開源區(qū)塊鏈上的去中心化應(yīng)用，為不透明的中心化機構(gòu)世界提供了強有力的替代，同樣也為具有眾所周知缺陷的金融運作方式提供了真正的替代。
使用過Aave的用戶可能知道，該平臺是無法違背其服務(wù)條款的，因為這些條款被寫入了管理其運作的智能合約，就如同一個準(zhǔn)則被寫入了DNA一樣；在 Pancake Swap平臺上交易的用戶也不需要擔(dān)心他們的資產(chǎn)控制權(quán)有可能被轉(zhuǎn)移給平臺，因為所有交易都在區(qū)塊鏈上被公開透明地執(zhí)行；雖然各種高收益率的Yield產(chǎn)品可能會使用戶承擔(dān)相當(dāng)大的風(fēng)險，但這也取決于Yield產(chǎn)品的特性和策略。無論如何用戶可以隨時看到他們資產(chǎn)的去向以及收益率的獲得方式，一切將公開透明。
雖然以上所述確實給用戶帶來了更多的盡職調(diào)查負(fù)擔(dān)，但Web 3.0模式相較中心化平臺還是有著不可比擬的優(yōu)勢，許多中心化金融（CeFi）的崩潰故事在去中心化的環(huán)境中根本不可能發(fā)生。
然而，Web 3.0在實現(xiàn)其全部潛力和被認(rèn)為是CeFi的真正替代之前，還有一段路要走。
值得思考的是：為什么數(shù)以百萬計的用戶愿意將數(shù)十億美元“托付”給這些中心化組織？
或許是因為中心化組織提供了一個流程簡化的服務(wù)，并且消除了自我保管的風(fēng)險。除此之外，他們也提供更大的流動性和更豐富的金融產(chǎn)品，并提供支持與服務(wù)平臺以便及時幫助用戶解決遇到的問題。最后，別忘了黑客僅2022年就利用去中心化協(xié)議的漏洞獲得了數(shù)十億美元的收益，這也是為什么更多人選擇相信中心化的平臺。
如果想要走的更遠(yuǎn)，Web 3.0需要在兩個主要方面進行改進：可用性和安全性。
可用性：要了解如何使用某DeFi平臺，有時候甚至需要花上數(shù)小時去研究，而這僅僅還是資金投入之前。想要研究透徹多個平臺，甚至可能會花上幾天。
安全性：雖然DeFi在2022年的損失可能比CeFi少，但從Web 3.0中流失的價值仍然有數(shù)十億美元。通過對2022年主要事件的總結(jié)，我們希望能夠喚起人們對Web 3.0仍需改進的領(lǐng)域特別是安全方面的關(guān)注。只有重新致力于基本理想和回歸初心，我們才能建立一個完整的替代性產(chǎn)品，為每個人提供真正自由和公平的金融系統(tǒng)。
跨鏈橋攻擊事件
2022年，針對跨鏈橋的攻擊事件共導(dǎo)致了13億美元的損失，這個數(shù)字占據(jù)了過去12個月總損失金額的36%。僅其中三起事件就占據(jù)了整個跨鏈橋資產(chǎn)損失的87%，這也突顯了跨鏈橋攻擊會帶來的巨大風(fēng)險。
跨鏈應(yīng)用大多具有極其復(fù)雜的技術(shù)結(jié)構(gòu)，同時也包含了各種攻擊載體。其復(fù)雜性能夠為其提供更廣泛的功能，但代價是會暴露更多的攻擊面。
?Ronin損失6.25億美元
Ronin Bridge事件可以說是DeFi領(lǐng)域有史以來最大的攻擊事件/漏洞。3月23日，為Web 3.0游戲Axie Infinity建立的側(cè)鏈被黑客攻擊，超過173,600枚ETH和2,550萬USDC（總價值6.25億美元）受到損失。
Nomad的報告顯示，黑客設(shè)法獲得了保護網(wǎng)絡(luò)的五個驗證節(jié)點私鑰，并且有證據(jù)表明攻擊者是朝鮮的黑客組織Lazarus Group。該組織利用先進的魚叉式網(wǎng)絡(luò)釣魚攻擊來獲取私鑰，在榨干資產(chǎn)后，攻擊者通過Tornado Cash和中心化交易所（包括FTX和Huobi）將贓款洗白。
?Wormhole損失3.26億美元
2月2日，Wormhole Bridge被黑客攻擊，損失了價值3.26億美元的資產(chǎn)。攻擊者通過注入假的sysvar賬戶來繞過驗證檢查，讓他們可以借此輸出惡意信息，并被Bridge接受。攻擊者通過調(diào)用帶有惡意信息的complete_wrapped函數(shù)，成功鑄造了12萬枚WETH。鑄幣兩分鐘后，攻擊者將1萬枚ETH橋接到以太坊區(qū)塊鏈上。大約20分鐘后，以太坊區(qū)塊鏈上又進行了8萬枚ETH的交易。截至2022年底，這些被盜資金仍存放在攻擊者的錢包。
?Nomad 損失1.9億美元
8月1日，Nomad Bridge被利用，損失價值約1.9億美元。攻擊者利用了初始化過程中的一個漏洞 ——即部署合約時將合約參數(shù)committedRoot初始化為零。這個漏洞可以使攻擊者繞過消息驗證，從而耗盡橋接合約中持有的token。攻擊者只要在一條鏈上存入ETH（比如0.1甚至0.0001枚ETH），就可在另一條鏈上收到任意數(shù)量的ETH。
而值得注意的是，由于攻擊流程很快就被公開了，而資金還在Bridge中，因此至少有41個錢包復(fù)制了這一攻擊流程。結(jié)果導(dǎo)致Nomad Bridge幾乎全軍覆沒，其總鎖倉價值（TVL）在幾分鐘內(nèi)從1.9億美元驟降至1.2萬美元。
Profanity漏洞與私鑰泄漏事件
私鑰泄露引發(fā)的攻擊或成為了2022年最具破壞性的事件之一：通過私鑰泄露被盜的金額在2022年超過了10億美元，占比近全年損失的三分之一。這一數(shù)字與2021年相比有所增長——2021年因私鑰泄露造成的損失為8.92億美元。Ronin事件就是因私鑰泄露導(dǎo)致被惡意利用的一個典型例子。
一旦惡意行為者獲得了錢包的私鑰，他們就可以完全控制錢包中的所有資產(chǎn)。私鑰泄露可能是密鑰本身沒有被安全管理的結(jié)果。然而，去年最大的安全事件是由Profanity工具生成的 Vanity 地址中的一個特定漏洞造成的。
什么是Profanity？
大多數(shù)以太坊地址會是以0x開頭并且看起來像是一串隨機的十六進制字符。這樣的好處是提供了一定程度的隱私性，但這并不能滿足那些想要一個獨特地址的用戶。而Vanity地址就如同車牌或者QQ靚號，它可幫助用戶為包含指定單詞或字符串的地址生成密鑰。
除此之外，Profanity還可以被用來創(chuàng)建錢包地址，以優(yōu)化手續(xù)費，這也是Wintermute團隊創(chuàng)建0x00000000AE347……b92280f9e75地址的初衷，但卻最終導(dǎo)致了錢包被黑。開頭那串冗長的0簡化了地址，減少了以太坊網(wǎng)絡(luò)的算力需求，從而在一定程度上降低了交易手續(xù)費——這些節(jié)省下來的手續(xù)費看似微小，卻會在成千上萬的交易中積少成多。
2022年1月，用戶k06a曾在Profanity的GitHub（已被開發(fā)者放棄三年以上）：https://github.com/johguse/profanity/issues/61，提出了一個關(guān)于私鑰生成方式的問題：Profanity使用一個隨機的32位種子數(shù)來生成256位私鑰，并呼吁關(guān)注私鑰的生成方式。然而這個意見似乎沒有得到解決。
暴力攻擊密碼或私鑰就是類似于使用硬件來不斷嘗試每一個可能的組合。如果你有1000把鑰匙和一把鎖，你只需嘗試每一把鑰匙，直到找到合適的那一把。
僅過兩天，該漏洞就在眾目睽睽之下遭到黑客利用：0x6…b93錢包賬戶抽空了多個Vanity錢包，包括來自0x0Babe…B05的500枚ETH、0x888888888…597的100枚ETH、0x000000…422的104.4枚ETH，以及更多其他錢包的資產(chǎn)，總價值為330萬美元。
“一組1000個GPU理論上可以在50天內(nèi)對使用Profanity生成的每個7字 Vanity 地址的私鑰進行暴力破解。我們使用16GB內(nèi)存的Macbook M1，在不到10個小時內(nèi)預(yù)計算出一個數(shù)據(jù)集——這個數(shù)據(jù)集只需要計算一次就可以利用不同的地址。實際的過程（不算預(yù)計算），對于一個前面有七個零的地址來說，大約需要40分鐘。我們做到了，并在不到48小時內(nèi)破解了0x0000000…99b的私鑰。”
—— Amber Group
在技術(shù)發(fā)展瞬息萬變的Web 3.0世界，只需要兩天就能借助這一漏洞攻破一個Wintermute的DeFi交易錢包，其損失的1.62億美元也是今年因私鑰泄露而造成的第二大資金損失，僅次于Ronin。
目前問題尚未得到解決：所有基于Profanity創(chuàng)建的錢包都存在風(fēng)險。所有使用Profanity生成錢包的用戶都應(yīng)盡快將資產(chǎn)轉(zhuǎn)移到可離線生成密鑰的錢包中。
“私鑰管理安全是Web 3.0領(lǐng)域的一個基本要求。正如Profanity漏洞和其他多個私鑰泄露事件所顯示的那樣，密鑰生成或管理方面的任何弱點都會給Web 3.0用戶和應(yīng)用程序帶來災(zāi)難性的后果。”
—— 李康教授，CertiK首席安全官
黑客組織Lazarus Group
Lazarus Group一直是數(shù)字資產(chǎn)領(lǐng)域最持久、最有效的威脅者之一。除了讓他們凈賺5億多美元的Ronin Bridge漏洞外，這個由朝鮮國家支持的黑客組織在2022年還進行了多次有利可圖的攻擊。最值得關(guān)注的是Operation In(ter)ception，Gate.io漏洞，和Harmony Horizon Bridge攻擊。In(ter)ception行動是一個由Lazarus Group實施的求職欺詐廣告計劃，Lazarus在LinkedIn等網(wǎng)站上發(fā)布工作機會，要求申請者下載一個部署有可執(zhí)行文件的PDF文件，然后這個惡意軟件使Lazarus的操作人員能夠針對受害者系統(tǒng)中的漏洞，竊取業(yè)內(nèi)員工的敏感信息。
Lazarus Group的活動并不局限于數(shù)字資產(chǎn)領(lǐng)域：2014年他們就曾是黑過索尼影業(yè)和早期針對韓國和美國DDoS的幕后黑手。不過自從將注意力轉(zhuǎn)向Web 3.0以來，該集團的惡勢力影響力便增加了。由該團伙“操刀”的2017年WannaCry勒索軟件攻擊是同類攻擊中規(guī)模最大的一次，影響了150個國家的30多萬臺電腦，并要求以比特幣支付贖金。針對個人用戶的魚叉式釣魚攻擊和對韓國交易所的利用，為Lazarus Group帶來了數(shù)百萬美元的收入。
Lazarus Group的活動反面襯托了Web 3.0界中構(gòu)建和運營時安全的重要性。而DeFi平臺想要足夠安全，不僅要能抵御來自無良Solidity開發(fā)者的攻擊，同時還能抵御來自世界上最有效的黑客的攻擊。否則，持有數(shù)億美元用戶資金的智能合約將繼續(xù)成為攻擊目標(biāo)。
揭開黑市KYC演員
產(chǎn)業(yè)鏈面紗
KYC, 即了解你的客戶，也可以被稱為項目背景調(diào)查。項目開發(fā)者可以選擇接受KYC驗證，以便向他們的社區(qū)表明他們愿意公開身份，并將身份和聲譽與他們提供的服務(wù)聯(lián)系起來以增加項目可信度。
然而，KYC演員行業(yè)顛覆了身份驗證的正當(dāng)性。CertiK于不久前發(fā)布了一份關(guān)于KYC演員黑市買賣的采訪和調(diào)查報告。在黑市上，不到50人民幣的價格就可以購買讓專業(yè)KYC演員代替你進行驗證的服務(wù)。因此不將這種潛在的演員替代風(fēng)險考慮在內(nèi)的KYC是毫無意義的。
CertiK的KYC項目背景調(diào)查服務(wù)是一個深入調(diào)查的過程，由CertiK聘請的專家，利用他們的專業(yè)調(diào)查背景來提供最高水平的身份驗證，因此不必?fù)?dān)心KYC有造假，風(fēng)險也將從社群回歸到持有數(shù)百萬或數(shù)十億美元用戶資金的項目開發(fā)者身上。
而真正的去中心化協(xié)議，就是其開發(fā)者已經(jīng)明確地放棄了對平臺的任何所有權(quán)。因此那些對用戶資金有著集中控制權(quán)的項目被社區(qū)要求進行KYC，以增加透明度和信任度，是合乎情理的。
“今年，我們在CertiK端到端安全服務(wù)中增加了定制的KYC項目背景調(diào)查服務(wù)。由于匿名創(chuàng)始人可能會有犯罪前科等問題，團隊也可能使用質(zhì)量參差不齊甚至是偽造的KYC認(rèn)證，許多用戶對Web 3.0團隊缺乏信任，從而產(chǎn)生了實際問題。我們將利用我們特定領(lǐng)域的知識和專長來進行項目團隊審查，給團員們進行精準(zhǔn)和深入的身份審計。當(dāng)然，我們與社區(qū)分享該風(fēng)險評估的的結(jié)果同時會絕對保護團隊的隱私。”
—— Hugh Brooks，CertiK安全運營總監(jiān)
網(wǎng)絡(luò)釣魚攻擊
網(wǎng)絡(luò)釣魚攻擊仍是Web 3.0領(lǐng)域的持續(xù)威脅，而且欺詐者們的騙術(shù)也隨著道高一尺魔高一丈而變得越來越高超精湛。目前已有數(shù)百萬美元價值的資產(chǎn)因為網(wǎng)絡(luò)釣魚而被盜。不僅是社群，個人用戶也成為了惡意軟件和惡意者的目標(biāo)。新型網(wǎng)絡(luò)釣魚方式層出不窮，而他們的詐騙行為均是利用了區(qū)塊鏈的不可逆性以及用戶的經(jīng)驗缺乏。
比如最近新出的一種網(wǎng)絡(luò)釣魚方式，被稱為Ice Phishing騙局，通俗一點理解就是空手套白狼。它與傳統(tǒng)網(wǎng)絡(luò)釣魚攻擊不同，是Web 3.0獨有的攻擊類型。傳統(tǒng)網(wǎng)絡(luò)釣魚通常會通過一些手段獲得如私鑰或密碼等個人信息，而Ice Phishing則更多是為了欺騙用戶簽署權(quán)限，并授予惡意者任意花費其資產(chǎn)，但又無需獲取用戶的私鑰。Ice Phishing對Web 3.0的投資者來說是相當(dāng)大的威脅，因為與DeFi協(xié)議的互動需要用戶授予某些權(quán)限，而簽名到底授予了哪些權(quán)限人們并不總是百分之百清楚。
法律法規(guī)
各個國家（地區(qū)）的法律法規(guī)條款詳情，請下載PDF版本進行查看。
2022年度回顧
2022年，數(shù)字貨幣的市值損失了數(shù)萬億美元，數(shù)百億美元被封鎖在中心化機構(gòu)已破產(chǎn)的程序中，而去中心化的協(xié)議損失了30多億美元，因此2022年的美好景象已很難描繪而出。
由于形勢的極端動蕩，許多Web 3.0頭部大型參與者已經(jīng)消逝在歷史中，這包括了那些我們曾經(jīng)以為無懈可擊的項目或平臺。不過幸存的大多數(shù)Web 3.0應(yīng)用程序和平臺仍在危機中緩緩前進，目前來看一切尚還維持著常態(tài)。
過去的12個月對整個行業(yè)都是一個重大的壓力測試，并不是所有的人都挺過來了。但是“殺不死你的會讓你變得更強大”，幸存者將吸取往日的教訓(xùn)，搏出更具潛力的前景。
開源、去中心化的系統(tǒng)為用戶提供了真正的好處，可以使互聯(lián)網(wǎng)成為一個更自由、更公平的地方，這是在建設(shè)數(shù)字未來時要牢記的愿景。但是，當(dāng)你的資產(chǎn)可能在頃刻之間被盜時，公平和自由就毫無意義可言了。這就是為什么安全是至關(guān)重要的因素。而CertiK端到端的安全解決方案，為用戶和建設(shè)者提供了他們需要的工具，使得用戶可以安全地瀏覽新興的Web 3.0世界。
安全是一種選擇，為了將Web 3.0的優(yōu)勢帶給最廣泛的用戶群體，我們無疑需要做出這種選擇。
2022年是艱難的一年，但艱難的時刻已經(jīng)過去。現(xiàn)在正是時候以全新且樂觀的態(tài)度展望行業(yè)的未來。
鄭重聲明：本文版權(quán)歸原作者所有，轉(zhuǎn)載文章僅為傳播更多信息之目的，如作者信息標(biāo)記有誤，請第一時間聯(lián)系我們修改或刪除，多謝。
