Web3 安全风险令人生畏？应该如何应对？

Web3 和区块链的世界是否像听起来那样令人生畏？拜登竞选活动的首席事件响应官、前英特尔事件响应总监 Jackie Singh 采访了 Web3 安全从业人员，以了解他们对保护 Web3 技术的挑战和机遇的看法。

去年 12 月，当我在 S.T.O.P 公司的合伙人 Jason 意外收到加入 NFT 市场初创公司担任高级软件工程师的邀请时，我一开始很紧张。

决定在一个新行业从事可能不稳定的工作似乎令人生畏，尤其是作为一个有小孩的家庭。

尽管最近加密货币市场出现了波动，但我的担忧随着时间的推移而消失。Jason 的职业生涯转向 Web3，也让我更加了解了他的工作，包括所有用户的无许可使用、通过 Github 设计开源代码、与第三方开发者公开合作以及与 NFT 艺术家建立合作伙伴关系。与他之前在传统金融领域的工作相比，这是一个令人耳目一新的变化！

实话说，我知道 Web3 社区具有强大的凝聚力，但作为一名信息安全专业人士，我也对广泛的、“技术解决方案主义”的风险以及阻碍 Web3 崛起的大规模违法行为存有疑问。

“许多 Web3 开发人员在他们的开发过程中优先考虑安全性，以防止漏洞，这很好，但还有更多工作要做，”网络安全公司 Mandiant 的高级主管 Robert Wallace 在一份自述文件中写道，“预防是前提，但检测和审计也是必要的。很高兴看到更多关于 Web3 中的威胁检测和响应方面的研究。”

Danal和LG CNS将合作开发Web3支付平台:7月12日消息，韩国支付服务平台Danal与LG CNS合作开发支付网络，希望将Web3相关的数字资产支付引入现有的金融系统。

“Danal One Payment Platform”将提供移动端和信用卡支付，支持加密货币、NFT和元宇宙“未来”支付方案。Danal表示，计划利用最近与美国支付解决方案提供商Fiserv签订的谅解备忘录（MOU）进行全球扩张。

据悉，LG CNS是韩国第四大企业集团LG Corporation的信息技术咨询和解决方案子公司。（Forkast）[2022/7/12 2:07:33]

多年来，Wallace 与他的顾问团队一起应对了多家 Web3 公司的安全事件。他指出，利用智能合约的黑客已经带来了迄今为止最大的一些有关“DeFi”的黑客攻击。

“另一个挑战是对 Web3 开发人员的攻击，这些开发人员可能没有安全团队时刻监视系统，”Wallace 说，“这可能会引发密钥被盗，导致 Web3 公司甚至是中心化交易所发生巨额盗窃。”

我邀请了三位在 Web3 安全方面有经验的专家分享他们的一些见解，并解读他们的日常工作。

Miles Nolan 是网络安全公司 Kudelski Security 的高级区块链安全分析师，该公司目前也将区块链包含在业务范围内。

Web3社区平台Highlight完成1100万美元种子轮融资，Haun Ventures领投:金色财经消息，Web3社区平台Highlight完成1100万美元的种子轮融资，Haun Ventures领投，1kx、A_Capital、SciFiVC、Floodgate、Coinbase Ventures、35Ventures、PolygonStudios、MischiefVC、DAOJones、OfflineVentures、GokulRajaram、LennyRachitsky、WME、MethodManagement、ThreeSixZero、TomWindish等参投。据悉，Highlight是专注于社区建设工具的NFT平台，为不具备编码或加密背景的创作者提供铸币工具。在Highlight上，创作者通过出售NFT来获得奖励和收藏品社区的访问权限。（theblockcrypto）[2022/5/11 3:04:54]

您和您的团队在 Kudelski Security 做什么？

Miles：

我在 Kudelski 的应用程序安全团队中担任区块链安全分析师。我们主要审计 Web3 应用程序和智能合约代码的漏洞。我个人从事智能合约审计/审查工作。

Karen：BitDNS的DWeb4.0将构建纯粹的去中心化生态:1月5日20:00, BitDNS CEO Karen作客MXC抹茶社区，就“BitDNS去中心化域名解析”作出分享。

Karen表示：“BitDNS致力于打造一个去中心化的云计算平台，并以此来搭建实现Dweb4.0的核心基础设施，我们的愿景是构建一个纯粹的去中心化网络生态系统。据白皮书显示，未来基于BitDNS去中心化云计算平台的服务内容将包含：弹性计算、边缘计算、物联网、分布式AI计算、分布式应用程序组件，应用场景包括：网站、APP服务器、论坛、博客、聊天工具、云电脑、云直播、云游戏、电商/O2O等等。其中，BitDNS的域名解析技术将作为实现和去中心化云计算平台的核心组件和关键的互连工具。”

据了解，MXC抹茶创新区将于1月6日20时上线DNS并开启USDT交易，现已开启新币挖矿活动。[2021/1/5 16:30:17]

您是如何开始使用 Web3 的？

我在大学三年级时产生了兴趣。我获得了「管理信息系统」学位。那是在 2017 年，比特币出现了疯狂的“牛市”，DeFi 开始小范围出现。我对技术和金融的热情加上疯狂地炒作让我跳入了这个领域，并吸收了我能学到的任何知识。

对你来说，每天的工作是怎样的？

我是该领域大多数人所说的“智能合约审计员”。我大部分时间都在审查智能合约代码中的漏洞。在一个典型的工作日，我会在一天的第一个小时里审查/编写与我正在审计的项目无关的代码，这有助于我热身。我将在接下来的一个小时里查看与我正在使用的区块链相关的文档。Web3 中的事情每天都在变化，所以我必须保持了解。在一天的剩余时间里，我会一直审查智能合约代码中的各种错误。

火币研究院：IPFS将引领Web3.0时代存储变革:7月24日晚8点，火币研究院直播栏目《洞若观火的研究员》正式上线，本次直播首秀主题为“区块链行业最强智库天团——火币研究院巅峰成团夜”。

在《IPFS的征途和远方：Web3.0时代存储变革》环节，火币研究院对于IPFS概念、背景、技术基石、Web3.0时代存储变革进行了深入分析。详情点击原文链接。[2020/7/24]

您在该领域面临哪些挑战？

Miles：?

Web3 的发展速度非常快，当我第一次加入时，感觉就像我一直在追赶。

区块链或其他 Web3 技术是否提供了任何特定的技术能力，使信息安全任务更容易或更困难？

虽然有很多优点需要强调，但我必须指出一个痛点。区块链引入了一个竞争环境，攻击者实际上可以通过执行漏洞来获利。在 Web2 世界中，攻击者可以关闭一项主要服务、窃取一些数据、出售恶意软件/0-days 等，虽然这可能是有利可图，并且会给其他方造成资金损失，但不值得花时间和冒险实施这些类型的恶意行为。但是在 Web3 世界中，攻击者可以从一个漏洞中窃取 3 亿美元以上的资金。所以分布式账本技术固有地为安全专业人员带来了这些新的风险来应对。

Katelyn Perna 是 BlockFi 的安全战略和数字资产托管副总裁，BlockFi 是一家总部位于美国的加密货币交易平台，提供包括贷款和加密信用卡在内的各种金融产品。

动态 | Bancor团队将重新设计 Web App 以实现以太坊和基于EOS的代币之间的转换:据引力观察报报道，Bancor团队将重新设计了 Web App，从而整合用于以太坊的Bancor网络和用于EOS的Bancor网络，使得用户只进行一次操作就可以实现以太坊和基于EOS的代币之间的转换。在没有整合的情况下，代币之间的转换需要执行多个步骤才能完成。[2018/12/24]

您能给我们介绍一下您目前的角色吗？

Katelyn：

作为 BlockFi 的安全战略和数字资产托管副总裁，我负责构建我们的安全计划。

安全战略和数字资产托管团队主要负责确保 BlockFi 原生加密技术的安全性。团队拥有非常独特和专业的技能人才组合，涵盖网络安全、区块链技术、加密货币安全和托管，涵盖了几乎所有的数字资产。我们专注于加密货币安全、密码学、密钥管理、链上协议和 Web3 安全。

你的团队关注什么？

一直以来，我的日常工作主要集中在加密货币方面，可以是分析资产和各种链上协议，构建资产存储、托管和密钥管理的技术和解决方案，分析智能合约漏洞。

你是如何开始使用 Web3 的？是什么引起了你的兴趣？

在 Web3/区块链之前，我的背景是传统的网络安全。我第一次了解加密货币是在 2016 年，很快就被迷住了。当时我在为大型科技和银行公司从事网络工作，我很快意识到传统金融服务方面需要改进。

我看到了区块链技术和加密货币在科技和银行业方面的巨大潜力，可以让社会通过更少的第三方中介来管理他们自己的数据和资金，我想成为其中的一员。然而，建立新的资金、平台和文化并不容易，更何况很难安全、可靠地做到这一点。当我们专注于将权力和控制权交到用户手中时，我最感兴趣的是各种可能性以及不同的“社会面貌”。我告诉自己，我将在接下来的 5 年里从事区块链/加密货币领域的工作，然后看看情况如何。

你在该领域面临哪些挑战？

其中一个挑战是这是一项完全新兴的技术。区块链和加密货币出现的时间并不长，想想管理数十亿美元的资金会给这些公司的安全带来巨大的责任。

总的来说，我认为技术人才，尤其是安全方面的人才目前在 Web3 领域很稀缺。

进一步的挑战包括：

用户和机构在 Web3 领域普遍缺乏教育和意识，造成了技术和安全方面的巨大知识差距。

确保管理数十亿美元所需的真正安全。没有捷径。安全性可能因资产和底层协议而异。这需要进行严格的调查和尽职的审查。

区块链互操作性和安全性具有挑战性，尤其是在智能合约逻辑和密钥管理方面。以可扩展的方式管理节点和保护节点也是一项重大挑战。

区块链或其他 Web3 技术是否提供了任何特定的技术能力，使信息安全更容易或更困难？

从 Web2 到 Web3 的转变带来了围绕安全、隐私的思维方式的巨大转变。

在 Web2，我们要让某人（银行、技术等）为我们做所有事情——我们所需要管理的只是一个密码，也许还有 2FA。

Web3 并非如此。如果你不知道自己在 Web2 中做什么，Web3 会更糟。自己管理自己的资产和数据，即成为自己的“银行”，听起来不错（而且确实如此），但你必须学会这些工作：必须了解如何管理钱包、私钥，并且必须考虑安全性。

对于 CeFi 或机构，这个工作需要提高 10 倍！（ CeFi，即中心化金融，旨在通过传统金融的易用性和安全性提供与 DeFi 类似的收益。）

此外，Web3 生态系统的空投和有针对性的网络钓鱼行为依然会继续发展。

你会对不喜欢区块链技术的信息安全专业人士说些什么？

区块链技术其实并不是新事物，它只是以不同的方式融合了一些已经存在了几十年的不同技术。

Web3 支持更多的自主权和去中心化应用程序。这是一件好事。因为任何一家公司都不应该拥有用户的所有数据或金钱或任何东西。

安全始终是推动因素。

技术可以做很多事情，作为信息安全人员，我们应该尽最大努力确保它可以尽可能安全地被使用。

你会给对 Web3 感兴趣的信息安全专业人员提供的最重要的一条建议是什么？

永远不要只从表面上评判任何东西。仅仅因为有人说它是真的，并不能使它成为真的。没有人知道所有的答案，也没有人知道所有的一切。挑战自己和遇到的每一个人。Web3 行业需要信息安全。

Bobby Tonic 是一家数字支付公司的安全工程师。过去，他曾是安全公司 Trail of Bits 的顾问，在那里他领导了执行复杂安全审计的团队。

Web3 组织面临的最大挑战是什么？

Bobby：

在担任现职之前，我与各种各样的 Web3 组织都有过接触。我发现他们经常面临与传统组织类似的挑战。在这些挑战中，了解系统中使用的技术的复杂性以及能够确保其应用程序设计的正确性是最值得注意的两个。

对于 Web3 组织而言，未能成功应对这些挑战可能会产生灾难性后果，因为攻击者通常可以随时查看其系统和应用程序的源代码。

因此，Web3 组织开发其应用程序及其基础架构并将其提交给第三方安全研究公司进行审查已成为一种共识。这样做可以向客户承诺，应用程序的设计和实施已经过对抗性测试，并表明该组织对其未来客户的尽职与负责。

当今 Web3 最需要哪些信息安全研究？

在我看来，对于成熟的 Web3，信息安全最有影响力的研究是测试 Web3 系统和应用程序。我们作为第三方安全人员，代替开发人员关注设计上的安全环节，这样会节省时间，并加快后续的开发工作。

此外，Web3 通常要求开发人员为被测系统实现样板，导致他们需要花费时间建立测试系统，而不是用工具实际开发测试。我们在各种各样的测试技术中看到了这一点，比如模糊化、属性测试。这些问题极大地劝阻了大多数希望在日常开发工作中使用这些测试技术的开发人员。

并不是开发人员不想使用这些测试技术，或者他们不知道它们的存在，而是在使用它们时存在很多“摩擦”！

根据央行等部门发布的《关于进一步防范和处置虚拟货币交易炒作风险的通知》，本文内容仅用于信息分享，不对任何经营与投资行为进行推广与背书，请读者严格遵守所在地区法律法规，不参与任何非法金融行为。

标签：WEBWEB3区块链加密货币CoinwebWeb3Camp玩区块链的都是什么人群加密货币总市值最高多少

PEPE热门资讯