2023年1月中旬，随着中国农历新年临近，以比特币、以太坊为代表的加密货币，在经历了几个月的蛰伏期后，经历了一波「小涨」。连带着因为FTX「暴雷」而一蹶不振的Web3行业，重新焕发出一丝活力。
刚刚过去的2022年，对于Web3从业者来说是艰难的一年——从黑客攻击、跨链桥失守，再到知名中心化交易所和投资机构相继暴雷，整个Web3行业也被拖入熊市。
从某种角度来看，安全问题，而不是「易用性」，已经成为Web3行业最大的挑战之一。
不久前，专门从事Web3安全的创业公司CertiK团队，发布了2022年Web3安全报告。作为业内少有的专门针对Web3行业提供安全解决方案的公司，CertiK收到来自红杉等知名机构的投资，目前估值已超过20亿美元，成为新晋的Web3行业的独角兽公司。
根据这份报告，整个2022年，黑客从Web3协议中盗取了价值37.7亿美元的资产，这还不算FTX、Terra等中心化机构中暴雷，而让用户损失的上百亿美元。
面对这样的难题，Web3创业团队和公司，又该怎样保障自己和用户财产的安全？
下面是CertiK推出的2022Web3安全报告正文，经极客公园编辑整理。
欲阅读完整报告，可点击链接进行申请下载。
图片来源：Pixabay
报告概述
2022年对于整个数字资产行业来说是艰难的一年。在市场低迷的大环境下，65%的数字资产市值化为乌有，而数量空前的黑客攻击、事件和机构崩盘，让本就损失惨重的投资者们雪上加霜。
从2022年3月RoninBridge被盗6.24亿美元事件到11月FTX几乎一夜崩塌，2022年的损失规模创下了历史之最。2022年Web3协议的资产损失约为37.7亿美元，远远超过2021年的13亿美元纪录。
本报告将深入探究导致Celsius、BlockFi以及FTX等中心化交易所溃败的各种因素。作为这些迅速重蹈行业覆辙的中心化机构的替代品，Web3和基于开源区块链的去中心化金融应用将会发挥重要作用，但仅凭这一点就期望Web3走向大规模应用还不太现实。
Algorand升级协议并缩短出块时间，ALGO 24H涨幅逾4%:6月22日消息，周四，Algorand升级其协议，以减短平均出块时间，使网络上的应用程序开发更快、更具成本效益。
Algorand首席产品官Paul Riegle表示，其PoS区块链的升级将把出块时间从3.8秒减少到3.3秒。
其他改进包括一个模拟器，允许开发人员在将代码库部署到主网之前测试和模拟问题，以及一个新的插件框架，允许人们创建简单的、可定制的数据。
欧易OKX行情显示，ALGO代币现报0.1270 USDT，24H涨幅为4.27%。[2023/6/22 21:55:02]
虽然与2022年中心化领域的破产规模相比，去中心化世界的损失相对较小，但其总额也有数十亿美元之多。整个Web3行业都需要对过去一年进行深刻反思，努力从这段艰难时期中寻求一线生机。
虽然不安全的协议仍在不断造成损失，但这并不能否定Web3所具有的真正价值。如今，各类资产的估值普遍下降，人们的狂热情绪也逐渐平息。由此我们可以退一步审视现状，并在一个更加坚实的基础上建设这个行业。
除了回顾2022年发生的主要黑客攻击和漏洞事件外，本报告也将展示CertiK公开的独家安全研究，以履行其守护Web3世界的使命。
「中心化」之殇
FTX「一夜崩塌」
2022年以来，许多知名数字资产企业的消亡给整个行业都蒙上了阴影。虽然这些企业全都从事数字资产买卖、借贷和交易业务，但当我们为其贴上相同标签之前，应该考虑一下，这些已然倒闭的企业是否真正可以被归类为数字资产公司。
可以肯定的是，导致这些企业失败的原因更多是源于他们的商业运营模式，而不是他们所管理的资产。
中心化数字资产企业的致命缺陷就隐含在其名称中：它们在具有单点控制的中心化系统上运行，而这恰恰引发了2022年我们所目睹的单点溃败。
接下来的故事多少有些悲剧性的讽刺色彩。在2022年2月份的超级碗比赛期间，FTX曾向数百万的观众推销数字资产的概念，并声称数字资产是「下一个大事件」，并暗示不参与其中的人就像广告中所扮演的傻瓜那样会错失一切。
然而，FTX背地里却将用户的存款发送至该公司所谓的「非内部」但实际为内部的交易部门——Alameda，该部门很快就在投资上损失了数十亿美元，这也严重违反了该交易所的服务条款。
Arbitrum反女巫规则存漏洞，21.8％空投分配给15万个女巫地址和至少4000个女巫社区:3月22日消息，据数据分析平台X-explore研究，Arbitrum此次空投中的反女巫规则造成了“重大漏洞”，导致大约有15万个Sybil（女巫）地址和至少4000个Sybil社区获利超过2.53亿代币，占总空投数量的21.8％。
据X-explore推测，Arbitrum的规则为：在检测Sybil时排除跨链桥、中心化交易所和智能合约；对小规模、同一人地址采用相对宽容的检测；仅快照（2023年2月6日）之前的数据用于Sybil检测；只有来自Arbitrum和以太坊的数据被用于Sybil检测，而忽略了来自其他以太坊2层的数据，例如Optimism和Polygon。而这些Sybil检测规则会造成重大漏洞，根据以上规则，X-explore通过内部的同一人地址/Sybil地址识别模型检测出女巫地址数据。[2023/3/22 13:19:27]
关于FTX非流动性资产负债状况的惊人消息很快不胫而走，典型的银行挤兑事件也随即爆发。如果一家交易所按1:1的比例保留存款资金，且不在未经许可的情况下进行重新抵押或出借，那么它或许就能经受住这次考验。但FTX的情况并非如此。
FTX前首席执行官SamBankman-Fried曾策划了一连串极其奢华的收购、赞助和救助活动，因此也令FTX的垮台也更加令人难以置信。
比如另一家现已倒闭的CeFi公司VoyagerDigital在申请破产后就宣布FTX成功收购了其资产，然而在FTX闪电式崩盘后只能再次申请破产，这些突如其来的事件全部发生在了2022年下半年。
FTX「暴雷」让Web3行业在熊市中雪上加霜｜TheBlock
FTX和ThreeArrowsCapital等公司的倒闭确实打击了许多大型投资机构，但受伤最严重的还是大量的普通散户。铺天盖地的营销、公众人物代言和个人崇拜使他们将信任投放在了错误的平台，并为此付出了惨痛代价。
之所以说受伤散户的比例很高，是因为在Voyager平台上，97%的用户资产都不到1万美元。其中许多误认为CeFi平台更加安全的用户，其资产现已荡然无存。他们认为把资产存入CeFi平台更加放心，收益也更高，同时避免了去中心化平台的智能合约所带来的高入门门槛以及各种风险。
动态 | 中信证券：Libra对我国货币政策操作形成一定程度上的影响:中信证券在其昨日发布的Libra的《投资价值与货币政策影响-利率债专题报告》中指出，Libra是一种具有明显使用价值的货币种类。相对Bitcoin，Libra更有成为一种货币的潜力。而对于国内货币政策而言，Libra的影响主要产生在国际资本流动方面，当Libra在一定程度上发挥避险功能时，它会促进资本的流动效应，而这势必会造成资本流动程度的加深。从货币政策操作的角度来看，Libra对于资本流动的这种影响会对我国的货币政策操作形成一定程度上的制约。[2019/7/6]
虽然这些教训让人们非常痛苦，但其实也是必不可少的一课。数字资产的核心原则是自我监管和自主权，所以将用户的资产控制权交给中心化平台也就违背了以上原则。这些平台完全有可能不遵守其服务条款，而你也无从得知你的资产正被平台如何利用。
此外，你无法验证平台的财务健康状况，也不能追踪资产的流向来了解字面上的收益来源，以及所要承担的风险，一切都只是建立在用户的盲目信任和信念之上，而2022年所发生的事件也证明了其结果：看似安然无恙的开端，最终却坠入了满目疮痍的结局。
Terra崩盘
2022年影响最大的事件之一是Terra的崩盘，其450亿美元的市值在几天内化为泡影。
与Tether、USDC和BUSD等稳定币不同，算法稳定币并非依靠与美元1:1的锚定比率来维持稳定，而是通过其内部机制来维持货币锚定。具体来说，算法稳定币通过智能合约设定的铸币及销毁功能来维持其基本价值。
以Terra的UST稳定币为例，UST与另一项独立的数字资产Luna挂钩，UST的持有者随时可以把他们的资产兑换成等值的LUNA。在5月初，LUNA的交易价格为85美元，此时一个UST稳定币可以交易0.0118枚LUNA。
假如UST的交易价格跌破其设定的1美元门槛，做市商们随即会把大量UST兑换为LUNA以缩小二者间的价值缺口。其原理是在降低UST供应量的同时，提升对LUNA的需求，也就是通过提高支持该稳定币储备资产的价格，来维持货币锚定的稳定。
5月7日，链上分析显示UST被大量抛售，8500万的UST被兑换成了8450万USDC，这直接导致了UST首次脱钩美元。受此影响，5月8日UST的价格跌至0.985美元的低点。
动态 | 西班牙央行表示CBDC可能有助于中央银行实施货币政策:据彭博报道，西班牙央行周一发布的报告中表示，采用中央银行数字货币（CBDC）可能有助于中央银行实施货币政策，但也可能加剧金融危机期间的银行挤兑。[2018/7/30]
为了让UST重新锚定美元，LunaFoundationGuard部署了价值7.5亿美元的比特币，以协助做市商们维持UST价格的稳定。在市场环境恢复正常后，LFG又回购了价值7.5亿美元的比特币。
Terra和LUNA之间的机制在危机面前迅速崩溃｜Bitnovo
然而令人意想不到的是，5月9日UST的价格竟然跌至0.65美元的更低点。UST的再次脱钩随之引发了LUNA的价格震动，其价格骤跌至35美元，跌幅超过44%，而这又使得LUNA与UST之间的市值脱钩，从而危及其作为稳定储备资产的功能。因为此时的LUNA生态系统已经没有足够的价值来抵押所有正在流通的UST了。
从这时开始，LUNA和UST之间的微妙平衡开始瓦解。
然而祸不单行，Terra创建者TerraformLabs的首席执行官DoKwon被曝是此前失败的算法稳定币BasisCash背后的匿名联合创始人之一。有指控称，在经历了价值脱钩和数十亿美元的损失后，DoKwon挪用了价值约6700万美元的比特币，却并未将其用于维护货币锚定。韩国检察官已对DoKwon's发出逮捕令，但其目前仍然在逃。
Terra/LUNA的这次历史性的崩盘让整个区块链生态系统措手不及，从业者们和用户不得不停下来思考此次事件对Web3的未来产生的深刻影响。
去中心化是答案吗？
相对于中心化平台，而Aave等DeFi平台的持续成功，为去中心化商业模式提供了正面的素材支持。用户可以实时验证Aave的偿还支付能力，了解储户赚取的收益来自哪里。而该平台的清算过程，根本不允许出现最终导致Celsius倒闭的风险。
与中心化金融平台相比，DeFi明显具有多方面的优势。
不过为Web3提供动力的智能合约在某种程度上也不是无懈可击的：DeFi协议也有属于自己的一系列风险，比如智能合约的编写不规范会引入一系列的漏洞，而黑客们已经发现并利用了这些漏洞，在2022年窃取了高达30多亿美元的资金。
或许这就是Web3世界的意义：建立在开源区块链上的去中心化应用，为不透明的中心化机构世界提供了强有力的替代，同样也为具有众所周知缺陷的金融运作方式提供了真正的替代。
使用过Aave的用户可能知道，该平台是无法违背其服务条款的，因为这些条款被写入了管理其运作的智能合约，就如同一个准则被写入了DNA一样；在PancakeSwap平台上交易的用户也不需要担心他们的资产控制权有可能被转移给平台，因为所有交易都在区块链上被公开透明地执行；虽然各种高收益率的Yield产品可能会使用户承担相当大的风险，但这也取决于Yield产品的特性和策略。无论如何用户可以随时看到他们资产的去向以及收益率的获得方式，一切将公开透明。
去中心化金融DeFi比CeFi在机制上更可靠，但依然有安全挑战｜BAPSolution
虽然以上所述确实给用户带来了更多的尽职调查负担，但Web3模式相较中心化平台还是有着不可比拟的优势，许多中心化金融的崩溃故事在去中心化的环境中根本不可能发生。
然而，Web3在实现其全部潜力和被认为是CeFi的真正替代之前，还有一段路要走。
值得思考的是：为什么数以百万计的用户愿意将数十亿美元「托付」给这些中心化组织？
或许是因为中心化组织提供了一个流程简化的服务，并且消除了自我保管的风险。除此之外，他们也提供更大的流动性和更丰富的金融产品，并提供支持与服务平台以便及时帮助用户解决遇到的问题。最后，别忘了黑客仅2022年就利用去中心化协议的漏洞获得了数十亿美元的收益，这也是为什么更多人选择相信中心化的平台。
如果想要走的更远，Web3需要在两个主要方面进行改进：可用性和安全性。
可用性：要了解如何使用某DeFi平台，有时候甚至需要花上数小时去研究，而这仅仅还是资金投入之前。想要研究透彻多个平台，甚至可能会花上几天。
安全性：虽然DeFi在2022年的损失可能比CeFi少，但从Web3中流失的价值仍然有数十亿美元。通过对2022年主要事件的总结，我们希望能够唤起人们对Web3仍需改进的领域特别是安全方面的关注。只有重新致力于基本理想和回归初心，我们才能建立一个完整的替代性产品，为每个人提供真正自由和公平的金融系统。
黑客凶猛
2022年，针对跨链桥的攻击事件共导致了13亿美元的损失，这个数字占据了过去12个月总损失金额的36%。仅其中三起事件就占据了整个跨链桥资产损失的87%，这也凸显了跨链桥攻击会带来的巨大风险。
跨链应用大多具有极其复杂的技术结构，同时也包含了各种攻击载体。其复杂性能够为其提供更广泛的功能，但代价是会暴露更多的攻击面。
Play-to-earn最火的游戏AxieInfinity遭到了黑客攻击｜PlaytoEarn
Ronin损失6.25亿美元
RoninBridge事件可以说是DeFi领域有史以来最大的攻击事件/漏洞。3月23日，为Web3游戏AxieInfinity建立的侧链被黑客攻击，超过173,600枚ETH和2,550万USDC受到损失。
Nomad的报告显示，黑客设法获得了保护网络的五个验证节点私钥，并且有证据表明攻击者是黑客组织LazarusGroup。该组织利用先进的鱼叉式网络钓鱼攻击来获取私钥，在榨干资产后，攻击者通过TornadoCash和中心化交易所将赃款洗白。
Wormhole损失3.26亿美元
2月2日，WormholeBridge被黑客攻击，损失了价值3.26亿美元的资产。攻击者通过注入假的sysvar账户来绕过验证检查，让他们可以借此输出恶意信息，并被Bridge接受。攻击者通过调用带有恶意信息的complete_wrapped函数，成功铸造了12万枚WETH。
铸币两分钟后，攻击者将1万枚ETH桥接到以太坊区块链上。大约20分钟后，以太坊区块链上又进行了8万枚ETH的交易。截至2022年底，这些被盗资金仍存放在攻击者的钱包。
Nomad损失1.9亿美元
8月1日，NomadBridge被利用，损失价值约1.9亿美元。攻击者利用了初始化过程中的一个漏洞——即部署合约时将合约参数committedRoot初始化为零。这个漏洞可以使攻击者绕过消息验证，从而耗尽桥接合约中持有的token。攻击者只要在一条链上存入ETH，就可在另一条链上收到任意数量的ETH。
而值得注意的是，由于攻击流程很快就被公开了，而资金还在Bridge中，因此至少有41个钱包复制了这一攻击流程。结果导致NomadBridge几乎全军覆没，其总锁仓价值在几分钟内从1.9亿美元骤降至1.2万美元。
大鳄和钓鱼
LazarusGroup一直是数字资产领域最持久、最有效的威胁者之一。除了让他们净赚5亿多美元的RoninBridge漏洞外，这个黑客组织在2022年还进行了多次有利可图的攻击。最值得关注的是OperationIn(ter)ception，Gate.io漏洞，和HarmonyHorizonBridge攻击。
In(ter)ception行动是一个由LazarusGroup实施的求职欺诈广告计划，Lazarus在LinkedIn等网站上发布工作机会，要求申请者下载一个部署有可执行文件的PDF文件，然后这个恶意软件使Lazarus的操作人员能够针对受害者系统中的漏洞，窃取业内员工的敏感信息。
LazarusGroup的活动反面衬托了Web3行业中构建和运营时安全的重要性。而DeFi平台想要足够安全，不仅要能抵御来自无良Solidity开发者的攻击，同时还能抵御来自世界上最有效的黑客的攻击。否则，持有数亿美元用户资金的智能合约将继续成为攻击目标。
另一方面，网络钓鱼攻击仍是Web3领域的持续威胁，而且欺诈者们的术也随着道高一尺魔高一丈而变得越来越高超精湛。目前已有数百万美元价值的资产因为网络钓鱼而被盗。不仅是社群，个人用户也成为了恶意软件和恶意者的目标。新型网络钓鱼方式层出不穷，而他们的行为均是利用了区块链的不可逆性以及用户的经验缺乏。
比如最近新出的一种网络钓鱼方式，被称为IcePhishing局，通俗一点理解就是空手套白狼。
它与传统网络钓鱼攻击不同，是Web3独有的攻击类型。传统网络钓鱼通常会通过一些手段获得如私钥或密码等个人信息，而IcePhishing则更多是为了用户签署权限，并授予恶意者任意花费其资产，但又无需获取用户的私钥。
IcePhishing对Web3的投资者来说是相当大的威胁，因为与DeFi协议的互动需要用户授予某些权限，而签名到底授予了哪些权限人们并不总是百分之百清楚。
图片来源：InfoSec
Web3压力测试
2022年，数字货币的市值损失了数万亿美元，数百亿美元被封锁在中心化机构已破产的程序中，而去中心化的协议损失了30多亿美元，因此2022年的美好景象已很难描绘而出。
由于形势的极端动荡，许多Web3头部大型参与者已经消失在历史中，这包括了那些我们曾经以为无懈可击的项目或平台。不过幸存的大多数Web3应用程序和平台仍在危机中缓缓前进，目前来看一切尚还维持着常态。
过去的12个月对整个行业都是一个重大的压力测试，并不是所有的人都挺过来了。但是「杀不死你的会让你变得更强大」，幸存者将吸取往日的教训，搏出更具潜力的前景。
开源、去中心化的系统为用户提供了真正的好处，可以使互联网成为一个更自由、更公平的地方，这是在建设数字未来时要牢记的愿景。但是，当你的资产可能在顷刻之间被盗时，公平和自由就毫无意义可言了。这就是为什么安全是至关重要的因素。而CertiK端到端的安全解决方案，为用户和建设者提供了他们需要的工具，使得用户可以安全地浏览新兴的Web3世界。
安全是一种选择，为了将Web3的优势带给最广泛的用户群体，我们无疑需要做出这种选择。
2022年是艰难的一年，但艰难的时刻已经过去。现在正是时候以全新且乐观的态度展望行业的未来。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。