Web3 安全科普与 GoPlus:如何打造安全赛道的 Steam 和 SaaS 生态
本文是对 GoPlus 新版白皮书所涉及内容的解读,让大家理解其安全 SAAS 生态体系的大致思路
作者:Abyss,极客 web3
摘要:对于广大用户而言,一笔交易从生成到最终确认的整个生命周期中,有多少个环节隐藏着风险?钓鱼页面、智能合约中的恶意逻辑、浏览器和钱包插件的漏洞、粘贴板和木马文件或是各种硬件设备漏洞,都是攻击者的惯用路径,即使你避开了上述要素,MEV 科学家也会掠夺你的潜在收益。如果没有各大 Web3 安全平台的监测与保护,难以想象在黑暗森林中摸爬滚打的人们该如何生存。
随着 Web3 业内的长期演化,主流的 Web3 安全攻防思路已经分化出 B 端和 C 端两种,前者依赖于安全机构对 B 端产品进行全面审计,而后者需要在 Web3 生态里建立全面的个人保护措施。未来的 web3 安全核心叙事将集中在 C 端。
在充分思量了商业逻辑后,GoPlus 将致力于成为一个大型的 Web3 安全 SAAS 生态或是类似于 Steam 的商店,打造「以用户为中心」的 Web3 安全范式,全面覆盖 B 端和 C 端。其推出了便于集成的“安全模块化”服务,将针对交易的全流程提供安全防护,为各大平台设计便于集成的安全模块,包括钱包、DApp、RPC 和排序器的专用插件,以实现全面的链上风险管理。
下文中,我们将从 Web3 安全知识的科普出发,为大家系统梳理那些重要但常被忽视的知识。在让更多人感受到“黑暗森林”的危险之余,让我们一起来理解为何 GoPlus SecWareX 为代表的 Web3 安全 SAAS 生态体系将越来越重要。
web3 安全的现状:黑暗森林
在 2020 年一篇名为“Ethereum is a Dark Forest”的文章中,Paradigm 的两名研究员直接将以太坊生态乃至于整个 web3 形容为“黑暗森林”,这个概念原本脱胎于《三体》的宇宙社会学法则,描述的是充斥着各种未知危险和残酷丛林法则的生存环境。后来,慢雾在《黑暗森林自救手册》中再度引用“黑暗森林”这一概念,用于概括当时的 Web3 大环境:江湖险恶,人人自危。
显然,Paradigm 和慢雾的说辞并不是空穴来风。根据零时科技的统计,2023 年 Web3 领域发生了 506 起不同类型的攻击事件,累计损失达 110 亿美元,其中,6 大主要赛道(公链、跨链桥、钱包、交易所、NFT、DeFi)共发生安全事件 435 起,损失超 79.83 亿美元,占比达 72%。
可以说,Web3 中的“监管缺失”是一把双刃剑:我们在拿回数据与资产主权的同时,也踏入了充满危险的黑暗森林,尤其是在 Code is Law 的环境下,没有技术认知或防范意识不足的人,无时无刻不在面临着网络钓鱼、Rug Pull、Scam等多样化的安全风险,极易遭受损失。而自从 2020 年的 DeFi 盛夏后,庞大的 TVL 为闪电贷攻击供给资产,又为 web3 安全引入了新的隐患。
但是,相比 B 端平台的智能合约等单点风险,C 端面临的威胁更广泛、安全需求更旺盛——不管是普通人还是项目方创始人,都屡遭网络钓鱼、诈骗合约等 C 端攻击。比起针对 B 端协议的攻击,针对 C 端个人用户的攻击手法更多样、威胁更严重,影响面更大——这让用户直接感知到的体验变得极差,尤其对于新用户而言,由于缺少安全知识,很容易在复杂的链上操作中蒙受损失。
如何建立起更全面的 C 端保护措施,来帮助用户对抗五花八门的攻击手段,将是考验 Web3 安全赛道中各大平台和项目方的核心问题。下面,让我们从一笔交易发起到结束的整个生命周期,来深入认识基于区块链的安全风险,以及该如何防患于未然。
从交易的生命周期看安全风险
在区块链中,用户从前端发起一笔交易,到该交易被最终确认的过程,涉及到一系列复杂的步骤。这涵盖了交易创建、验证、广播、上链和最终确认,在这套链式的流程中,隐藏着大量易受攻击的薄弱点。下面我将展开介绍并指出相关的安全隐患。
生命周期
用户从前端发起交易,到该交易被最终确认,整个过程经历 Transaction(Txn)的发起和创建、广播给区块链的 RPC 节点并其接收验证、再广播给其他节点直到被出块节点获取、最终依据一定的规则被记录到链上。大致分为以下步骤
1.提交数据:用户根据要调用的智能合约逻辑,在前端构建交易数据。
2.生成签名:用户通过客户端或钱包插件,对生成的交易数据进行签名,证明这笔交易是本人授权后发起的。
3.提交给 RPC 节点:钱包插件把签名后的交易提交给区块链网络中的 RPC 节点,后者会进行验证,如果交易数据有问题,比如签名无效或是有其他错误,会被拒收并不会被再度广播。
4.再度 P2P 广播:RPC 节点对交易验证后,会将交易再度广播给网络中其他节点,最终一笔交易数据会被传播给网络内所有节点。
5.出块及最终确认:出块者把交易打包进区块后,会把区块 P2P 广播给其他节点设备。一个区块被节点同步后,并不代表其完成了“最终确认”,要再等多个区块产生和全网同步后,才能“最终确认”。
这些过程看起来简单,实际上却暗藏杀机。比如说,在最开始生成交易数据的过程中,用户很难直接识别自己交互的 DAPP 页面是否是钓鱼网站,或者直接识别 DAPP 智能合约是否包含恶意逻辑,是否会触发恶意的授权或盗币行为。
在生成数字签名的步骤中,用户主要依赖于钱包前端进行操作,所以钱包的健康性是安全的关键所在,然而即使是世界上最为流行的 chrome 浏览器,基于其的插件钱包 metamask、okx wallet、keplr 等等,也会因为 chrome 本身存在的漏洞而被连带攻击。
而不同人管理钱包的不同方法更可能埋下祸根,比如,你是否频繁导出自己的私钥,那么你的粘贴板有可能被某些应用监听到,又或者你曾经通过某些文本文件,记录了助记词,这些文本文件极有可能被某些有访问权限的应用扫描到,甚至连苹果手机都爆出过针对性的漏洞。这意味着钱包会在设备的使用链路上遇到各种威胁。
参考资料:《Trust Wallet: 苹果手机 iMessage 存高危零日漏洞,可被黑客利用入侵》
当然,这还没完。交易数据在被广播给 RPC 节点或其他节点时,就被全网公开了,你发起的交易可以被反解出交易行为,如果矿工或其他人模拟你的行为,分析出这笔交易有盈利空间,那么就会有人模仿你的交易路径,多付一点手续费抢跑在你前面,把原本应属于你的交易利润给“偷走”,这种窃取 MEV 价值的抢跑行为屡见不鲜,甚至发展出了庞大的“产业链”与生态。
据 Beosin-Eagle Eye 消息,2023 年各种抢跑交易(三明治攻击)掠取的 MEV 价值高达 2500 万美元,这些利润原本应该属于最初的交易发起者,但都被专业的 MEV 科学家给抢跑了。区块链之所以像“黑暗森林”一样弱肉强食,某种程度也是拜 MEV 科学家们所赐。
Web3 安全攻防新思路
主流思想
我们先简单介绍下如今主流的 Web3 安全攻防思路,包括面向 B 端和面向 C 端两种类型:
面向 B 端(项目方、DApp 协议等 Web3 平台)的安防措施,主要是传统审计模式,最典型的特征,就是我们所熟知的:事前依赖安全机构对 B 端进行全面审计,提供一套重心后置的被动防御体系——事前地址搜集、事发时介入、事后积极追索;
绝大部分 Web3 安全项目也针对 C 端推出了安全插件(Scam Sniffer、MetaDock 等)、合约 / 地址风控监测(OKLink 链上天眼等)、高风险地址交易链条追索(MistTrack)、合约授权管理(Revoke)常见的 ToC 安全服务,这些方法可以在一定程度上满足安全需求,但往往还不够全面和深入。
如何重塑以用户为中心的 Web3 安全范式,将 Web3 安全的战线覆盖 2B 和 2C,进一步优化 2C 的安防,成为了当前 Web3 安全的关键。毕竟你无法保证每天涌现的成百上千的新协议,全都被安全机构审计并能被发现代码漏洞,这并不现实。但你可以从个人角度守好资产,防止被钓鱼攻击,从 C 端为资产上好一把锁。
可以说,Web3 安全赛道的终局在于 C 端,谁牵住了「个人链上地址」这个牛鼻子,谁才能拥有话语权。
GoPlus 的 Web3 安全新思路
Web3 安全公司 GoPlus 推出了「以用户为中心」的「Web3 整体安全观」新思路,他们称:“Web3 安全是个整体,不能单纯依靠审计机构事前审查,应该重塑以用户为中心的 Web3 安全范式”。以其面向 C 端的 SecWareX 为例,你可以直接链接钱包并进行安全扫描,涵盖绝大部分风险指标,支持每个用户自行了解潜在的安全风险。
![](https://img.bitgetimg.com/multiLang/image/social/92a4af49a3e25ae0958f92451ea09e551722928180826.jpeg)
![](https://img.bitgetimg.com/multiLang/image/social/8afb90879a7f3f89b4803aa1f11f97b71722928181034.jpeg)
事前预防——安全风险检测
正所谓“防患于未然”,制止危险事件的最佳方法就是不让它发生。在交易的生命周期中,最重要的一环正在于交易发起和生成时的步骤。钓鱼诱导、骗取授权、恶意关联合约等黑客惯用的手法,仅在 2024 年初就为广大用户造成了超过 2 亿美元的损失。如何在交易发起与生成时就把危险扼杀在摇篮中,是安全平台必须重视的环节。
![](https://img.bitgetimg.com/multiLang/image/social/87bb845271c439d344afe9c7db99a9c21722928181668.jpeg)
- 合约风险: 目前已知的代币种类高达 160 多万,风险种类繁多,包括代币是否可增发、是否为貔貅盘、Token 合约是否存在管理员等等。目前可知的是,相当多的 Token 或多或少存在隐患。
- 黑名单地址: 过去被检测出危险的合约,往往被统一归集进黑名单内,用户在生成交易时需要避免和黑名单中已有的高危合约交互,而要获取更实时、更详细的黑名单信息,需要集成相应的第三方模块。
- 授权风险: 在对 dApp 产品进行使用时,常常需要对其进行合约授权,这种授权的权限是极大的,使得合约能够支配用户的资产,如果合约被恶意行为者利用,将会构成极大的风险敞口。
![](https://img.bitgetimg.com/multiLang/image/social/a362cb22d707801933eda55acf0c31241722928181933.jpeg)
事后防御 - 细数余痕
![](https://img.bitgetimg.com/multiLang/image/social/5d74a6747017b7af57b277b2d34e43661722928182709.jpeg)
免责声明:文章中的所有内容仅代表作者的观点,与本平台无关。用户不应以本文作为投资决策的参考。
你也可能喜欢
一体化比特币质押平台:标准、创新与整合
![](https://img.bitgetimg.com/multiLang/image/social/ab62caacabcecadfffd7aa2f82514d251725957912793.png&w=3840&q=75)
Bitget 研究院:美国 CPI 数据于本周三公布,市场出现日内反弹但仍需警惕探底风险
![](https://img.bitgetimg.com/multiLang/web/4280cbd981e1d94906cabd1cb32e4373.png)
Bitget Launchpool 指南(App 端2024年版)
Bitget 是全球领先的加密货币交易所,提供各种金融产品,帮助用户实现数字资产投资组合增长。Bitget Launchpool 是我们最受欢迎的理财产品之一,为用户提供一种独特的投资增长方式,同时还能为加密生态系统的发展做出贡献。 助力财富增长,释放质押收益潜能 Bitget Launchpool 提供免费获得奖励的机会,用户可选择有前景的新项目,质押自己的现有资产。不同于传统的加密货币质押,Bitget Launchpool 简化了投资流程,旨在提高便利性和效率,因此用户可以毫不费力地参与。短期质押让用户可以对市场变化做出快速反应,根据需要灵活调整策略,同时最大限度地提高盈利潜力。 平台
![](https://img.bitgetimg.com/multiLang/web/422aa17878d4636423b7d8a33c7a1fc1.png)
QNT加密货币面临72美元的阻力——突破迫在眉睫吗?
![](https://img.bitgetimg.com/multiLang/image/social/b106374baca8a34d6381a792abf907be1725941745185.jpg)