web3的大量安全性依赖于区块链做出承诺和对人为干预具有弹性?的特殊能力。但最终性的相关特征——交易通常是不可逆的——使得这些软件控制的网络成为攻击者的诱人目标。事实上，随着区块链——作为web3基础的分布式计算机网络——及其伴随的技术和应用程序的增值，它们越来越成为攻击者梦寐以求的目标。
尽管web3与互联网的早期迭代有所不同，但我们已经观察到与以前的软件安全趋势的共同点。在许多情况下，最大的问题与以往一样。通过研究这些领域，防御者——无论是开发者、安全团队还是日常加密用户——可以更好地保护自己、他们的项目和他们的钱包免受潜在的窃贼的侵害。下面我们根据我们的经验提出一些常见的攻击类型和预测。
跟着钱
攻击者通常旨在最大化投资回报。他们可以花费更多的时间和精力来攻击具有更多“总价值锁定”或TVL的协议，因为潜在的回报更大。
资源最丰富的黑客团体更经常瞄准高价值系统。最新的攻击技术也将更频繁地针对这些有价值的目标。
低成本攻击永远不会消失，我们预计它们在可预见的未来会变得更加普遍
修补漏洞
随着开发人员从久经考验的攻击中学习，他们可能会将web3软件的状态提高到“默认安全”的程度。通常，这涉及收紧应用程序编程接口或API，?以使人们更难错误地引入漏洞。
金色午报 | 10月15日午间重要动态一览:7:00-12:00关键词：Filecoin、华山论剑、数字人民币、加密征税
1.Filecoin官方将对矿工进行补偿，使其进入主网前没有负债。
2.樊纲：深圳开展数字人民币红包试点揭示着未来发展路径。
3.Coinbase、火币等5家大型交易所持有比特币总量的10%。
4.报告：2020上半年加密并购价值已超2019年全年。
5.富士通、JCB和瑞穗银行测试数字身份互操作性。
6.以太坊上的锚定比特币流通量突破14万枚。
7.韩国区块链协会敦促政府推迟2021年10月对加密征税的计划。
8.朱嘉明：我们需要看到区块链和数字转型代表的社会变化。
9.阿里云创始人王坚：城市大脑的数据资源流动在区块链之上。[2020/10/15]
虽然安全始终是一项正在进行中的工作——可以肯定的是，没有什么是防黑客的——防御者和开发人员可以通过消除攻击者的大部分唾手可得的果实来提高攻击成本。
随着安全实践的改进和工具的成熟，以下攻击的成功率可能会大幅下降：治理攻击、价格预言机操纵和重入漏洞。
无法确保“完美”安全性的平台将不得不使用漏洞缓解措施来降低损失的可能性。这可能会通过减少其成本收益分析的“收益”或上行空间来阻止攻击者。
金色财经挖矿数据播报 | BCH今日全网算力上涨3.32%:金色财经报道，据蜘蛛矿池数据显示：
BTC全网算力116.134EH/s，挖矿难度13.73T，目前区块高度634130，理论收益0.00000948/T/天。
ETH全网算力179.840TH/s，挖矿难度2282.94T，目前区块高度10241523，理论收益0.00866310/100MH/天。
BSV全网算力1.829EH/s，挖矿难度0.26T，目前区块高度638830，理论收益0.00049213/T/天。
BCH全网算力2.456EH/s，挖矿难度0.34T，目前区块高度639048，理论收益0.00036651/T/天。[2020/6/11]
分类攻击
对不同系统的攻击可以根据它们的共同特征进行分类。定义特征包括攻击的复杂程度、攻击的自动化程度以及可以采取哪些预防措施来防御它们。
以下是我们在过去一年中最大的黑客攻击中看到的攻击类型的非详尽列表。我们还包括了我们对当今威胁形势的观察以及我们预计未来web3安全性的发展方向。
APT操作：顶级掠食者
专家级对手，通常被称为高级持久威胁，是安全的恶魔。他们的动机和能力差异很大，但他们往往很富裕，正如这个绰号所暗示的那样，他们坚持不懈；不幸的是，他们可能永远在身边。不同的APT运行许多不同类型的运营，但这些威胁行为者往往最不可能直接攻击公司的网络层来实现其目标。
金色财经掌门来了正在播出中:减半倒计时矿业特别活动，关注抖音APP抖音号“金色财经掌门来了”，一起与F2Pool联合创始人、Cobo联合创始人兼CEO 神鱼、ViaBTC&CoinEx创始人 杨海坡、BTC.com CEO 庄重、蚂蚁矿池联合创始人 田鑫、蜘蛛矿池创始人 陈华、火币矿池CEO 曹飞、OKEx矿池负责人 Alina 、币信矿业CEO 刘飞、币印联合创始人，运营总监 朱砝、上海挖易联合创始人 李培才10位矿业掌门人以及主持人F2Pool CMO 青青、力说创始人 张力、金色财经 陈颖一起互动吧！
本次活动分5组进行不同方向话题开聊，直播中还将有好礼随机送出，更有神秘彩蛋等你。[2020/5/8]
我们知道一些高级团体正在积极瞄准web3项目，我们怀疑还有其他人尚未确定。最受关注的APT背后的人往往生活在与美国和欧盟没有引渡条约的地方，这使得他们更难因其活动而受到起诉。最著名的APT之一是Lazarus，这是一个朝鲜组织，联邦调查局最近将其归因于进行了迄今为止最大的加密黑客攻击。
举例：Ronin验证器被破解
简要概括：
谁：民族国家、资金雄厚的犯罪组织和其他先进的有组织的团体。例子包括Ronin黑客。?
复杂性：高。
金色沙龙 | 许英龙：减半行情下 不建议普通用户投资加密货币衍生品:在本期金色沙龙中，科银资本中国CEO许英龙针对“2020年比特币第三次减半，市场出现的机遇及行情”等问题做了回答。许英龙表示，2020年对于区块链行业来说，即使没有疫情，也注定会成为备受关注的一年，因为目前发展稳定的主流币，将先后迎来减产。之前的几次减半都孕育了比较不错的牛市行情，此次减产，使很多人对于主流币的表现有了很高的预期。但是作为行业中存活比较久的投资机构，我们会相对冷静的看待这次减产，毕竟这次减半和之前两次有很大区别。
之前的主流数字货币，操作相对单一，此前两次的减半行情，整体体量相对较小，依托于主流数字货币的金融衍生品较小，较容易形成单边行情。而这次的减半，承载了太多人的预期，也承载了太多资金压力，这就给金融衍生品已经相对完备的市场，足够的做空机会。即使是真的会有币价的大涨，对于一般投资人来说还是以现货为主，远离各类金融衍生品。如果坚定看好这个行业，就持有主流数字货币，然后去为这个行业的发展做力所能及的贡献。[2020/3/4]
可自动化性：低
对未来的期望：只要APT能够将其活动货币化或实现各种目的，它们就会保持活跃。
以用户为目标的网络钓鱼：社会工程师
网络钓鱼是一个众所周知的普遍问题。网络钓鱼者试图通过各种渠道发送诱饵消息来诱捕他们的猎物，这些渠道包括即时通讯、电子邮件、Twitter、电报、Discord和被黑网站。如果您浏览垃圾邮件邮箱，您可能会看到数百次企图诱使您泄露密码等信息或窃取您的钱财。?
金色财经现场报道优势资本董事长吴克忠：区块链是产业重构换道超车的力量: 金色财经现场报道优势资本董事长吴克忠表示，“区块链是产业重构换道超车的力量，现在区块链是价值互联网，过去是信息互联网，今天区块链在信息传播、产品溯源，支付领域有巨大的价值。”[2018/5/19]
现在web3允许人们直接交易资产，例如代币或NFT，几乎可以立即确定，网络钓鱼活动正在针对其用户。这些攻击是知识或技术专长很少的人通过窃取加密货币来赚钱的最简单方法。即便如此，对于有组织的团体来说，它们仍然是一种有价值的方法来追踪高价值目标，或者对于高级团体来说，通过例如网站接管来发动广泛的、耗尽钱包的攻击。?
举例：
直接针对用户的OpenSea网络钓鱼活动
最终包含应用程序的BadgerDAO网络钓鱼攻击
简要概括：
谁：从脚本小子到有组织的团体的任何人。
复杂性：低-中。
可自动化性：中等-高。
对未来的期望：网络钓鱼的成本很低，网络钓鱼者往往会适应并绕过最新的防御措施，因此我们预计这些攻击的发生率会上升。可以通过提高教育和意识、更好的过滤、改进的警告横幅和更强大的钱包控制来改进用户防御。
供应链漏洞：最薄弱的环节
当汽车制造商发现车辆中的缺陷部件时，他们会发出安全召回；在软件供应链中也不例外。
第三方软件库引入了很大的攻击面。在web3之前，这一直是跨系统的安全挑战，例如去年12月影响广泛的Web服务器软件的log4j漏洞利用。攻击者将扫描互联网以查找已知漏洞，以找到他们可以利用的未修补漏洞。
导入的代码可能不是项目方自己的技术团队编写的，但其维护至关重要。团队必须监控其软件组件的漏洞，确保部署更新，并及时了解他们所依赖的项目的发展势头和健康状况。web3软件漏洞利用的真实和即时成本使得负责任地将这些问题传达给图书馆用户具有挑战性。关于团队如何或在何处以一种不会意外使用户资金面临风险的方式相互交流这些信息的结论仍未确定。?
举例：
跨链桥项目Wormhole被盗
Multichain合约漏洞攻击
简要概括：
谁：有组织的团体，例如APT、个人和内部人士。
复杂性：中等。
可自动化性：中等。
对未来的期望：随着软件系统的相互依赖和复杂性的增加，供应链漏洞可能会增加。在为web3安全开发出良好的、标准化的漏洞披露方法之前，机会主义的黑客攻击也可能会增加。
治理攻击：选举窃取者
这是第一个上榜的特定于加密货币的问题。web3中的许多项目都包含治理方面，代币持有者可以在其中提出改变网络的提案并对其进行投票。虽然这为持续发展和改进提供了机会，但它也为引入恶意提案打开了后门，如果实施这些提案可能会破坏网络。
攻击者设计了新的方法来规避控制、征用领导权和掠夺国库。曾经是一个理论上的问题，现在已经证明了治理攻击。攻击者可以拿出大量的“闪电贷”来摇摆选票，就像最近发生在去中心化金融项目Beanstalk上一样。导致提案自动执行的治理投票更容易被攻击者利用；然而，如果提案的制定存在时间延迟或需要多方手动签署，则可能更难实现。
举例：算法稳定币Beanstalk?Farms遭遇黑客攻击事件
简要概括：
谁：从有组织的团体(APT)到任何人。
复杂性：从低到高，取决于协议。
可自动化性：从低到高，取决于协议。?
对未来的期望：这些攻击高度依赖于治理工具和标准，特别是因为它们与监控和提案制定过程有关。
定价预言机攻击：市场操纵者
准确地为资产定价是困难的。在传统交易领域，通过市场操纵人为抬高或降低资产价格是非法的，这些人可能会因此受到罚款或逮捕。DeFi给随机的人提供了“闪电贷”数亿或数十亿美元的可能行，从而导致价格突然波动，在这一领域，问题就凸显出来了。
许多web3项目依赖于“预言机”——提供实时数据的系统，并且是链上无法找到的信息来源。例如，预言机通常用于确定两种资产之间的交换定价。但是攻击者已经找到了这些假定真相的来源的方法。
随着预言机标准化的进展，链下和链上世界之间将会有更安全的桥梁，我们可以期待市场对操纵尝试变得更有弹性。运气好的话，有朝一日这类攻击可能会几乎完全消失。
举例：DeFi协议Cream?Finance闪电贷攻击
简要概括：
谁：有组织的团体(APT)、个人和内部人士。
复杂程度：中等。
自动化程度：高。
对未来的期望：随着准确定价方法变得更加标准，可能会降低。
新漏洞：不知之不知
零日漏洞，是指被发现后立即被恶意利用的安全漏洞。之所以如此命名，是因为它们在出现时就已为人所知——是信息安全领域的热点问题，在web3安全领域也不例外。因为它们来得突然，所以它们是最难防御的攻击。
如果有什么不同的话，web3让这些昂贵的劳动密集型攻击变得更容易货币化，因为人们一旦被盗就很难追回加密资金。攻击者可以花费大量时间仔细研究运行链上应用程序的代码，以找到一个错误以证明他们的努力。同时，一些曾经新颖的漏洞继续困扰着毫无戒心的项目：著名的重入漏洞TheDAO是早期的以太坊企业，今天继续在其他地方重新浮出水面。
目前尚不清楚该行业将能够多快或轻松地适应对这些类型的漏洞进行分类，但对审计、监控和工具等安全防御的持续投资将增加攻击者试图利用这些漏洞的成本。
举例：
Poly的跨链交易漏洞
Qubit的无限铸币漏洞
简要概括：
谁：有组织的团体(APT)、内部人士。
复杂性：中等-高。
可自动化性：低。
对未来的期望：更多的关注会吸引更多的白帽，并使发现新漏洞的“进入门槛”更高。同时，随着web3采用的增长，黑帽黑客寻找新漏洞的动机也在增加。就像在许多其他安全领域一样，这很可能仍然是一场猫捉老鼠的游戏。
文章源自：a16z?RiyazFaizullabhoy以及MattGleason，金色财经进行全文翻译。原文链接：《Web3Security:AttackTypesandLessonsLearned》
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。