von Isaiah Washington

Mehr als 3 Mrd. USD Verlust durch Smart-Contract-Exploits im Jahr 2022 (Chainalyse) enthüllt die Unreife der Sicherheitslandschaft und die unzureichende Nutzung von Sicherheitspraktiken in web3. Grundlegende Unterschiede zwischen Web2- und Web3-Technologien schaffen neue Möglichkeiten, um die Daten und Vermögenswerte von Benutzern anzugreifen und zu sichern, die Blockchain nutzen. Heute wird der globale Cybersicherheitsmarkt auf etwa 167 Mrd. $ (McKinsey). Wenn web3 auf der S-Kurve der Einführung weiter voranschreitet, wird es sowohl finanzielle als auch nichtfinanzielle Daten enthalten, sodass wir mindestens einen ähnlich großen Markt für web3-Sicherheit sehen werden.

Die Web3-Sicherheit ist nicht gebrochen, aber unterentwickelt. Das aktuelle Ökosystem halbreifer Web3-Sicherheitsunternehmen ist im Vergleich zur Breite der Sicherheitslösungstypen in Web2 noch im Entstehen begriffen. Von allen Web3-Sicherheitsunternehmen, die eine Serie A erzielt haben oder einen Jahresumsatz von über 3 Millionen US-Dollar erzielen, basiert die Mehrheit hauptsächlich auf Dienstleistungen, wobei intelligente Vertragsprüfungen das wichtigste Wertversprechen sind. Auditing ist ein manueller Prozess, um den Code eines Projekts zu untersuchen und Sicherheitslücken aufzuzeigen. Während die Prüfung eine wichtige Säule der web3-Sicherheit ist, gab es im Jahr 167 2022 größere Hacks. Die Hälfte dieser Hacks betraf geprüfte Smart-Contracts (Beosin Web3-Sicherheitsbericht), was den Bedarf an mehr Sicherheitsinfrastruktur und Automatisierung demonstriert.

Die aktuelle Web3-Sicherheitslandschaft

Die sich entwickelnde Landschaft von Web3-Sicherheitsunternehmen kann in drei Hauptkategorien unterteilt werden: Auditing, Tools und Communities. Innerhalb von Tools und Communitys sind einige der Bereiche, in denen wir viele frühe Aktivitäten sehen, sichere Codeentwicklung, kontinuierliche oder Laufzeitüberwachung, Prämien für Sicherheitsfehler und Wettbewerbsgemeinschaften sowie Transaktionssicherheit.

Sichere Codeentwicklung: Sicherheitsprodukte müssen in den Entwicklerfluss integriert werden. Lösungen, die Entwicklern helfen, mit einer „sicherheitsorientierten“ Denkweise zu entwickeln, und die es Entwicklern ermöglichen, die Bereitstellung von schädlichem Code zu verhindern, können dazu beitragen, die Sicherheit auf Audit-Ebene in web3 skalierbarer zu machen. Ein großartiges Beispiel für ein Unternehmen, das sich für diese These einsetzt, ist das Portfoliounternehmen von CoinFund Certora, das Tools zum Sichern von Smart Contracts mit einer formalen Verifizierungsstrategie bereitstellt und darauf ausgelegt ist, Smart Contract-Schwachstellen vor der Bereitstellung und Vorprüfung zu minimieren. Beispiele für Unternehmen, die hier die Grenzen der Innovation verschieben, sind kontinuierliche Sicherheitsentwicklungstools wie Enigma-Labors was sich entwickelt Dev0x, ein Entwicklertool für die Orchestrierung von Sicherheitsprodukten. Es gibt auch Transaktions- und Ökosystemtest- und Simulationstools wie z Zärtlich, Chaos-Labors und Stulpe. Diese Projekte tragen zum Entwickler-Sicherheits-Toolset bei, indem sie es Entwicklern ermöglichen, Smart-Contract-Ausgaben vor ihrer Bereitstellung zu verwalten und vorherzusagen.

Kontinuierliche/Laufzeitüberwachung: Unternehmen wie Chainalysis und TRM Labs haben zusammen 686.5 Millionen US-Dollar für die postmortale Erkennung, Untersuchung und Datenanalyse von AML gesammelt. Allerdings klafft eine Marktlücke für Runtime-Monitoring-Lösungen zur proaktiven Abwehr von Security-Exploits. Durch die Echtzeitüberwachung und das Hinzufügen von Vorhersagefunktionen zur Exploit-Erkennung und -Prävention mögen Unternehmen Fort und Cyvers bauen, um diese Lücke zu schließen. Forta ist ein verteiltes Netzwerk für die kontinuierliche Laufzeitüberwachung und CyVers ist die Lösung dafür nutzt maschinelles Lernen zur kontinuierlichen Überwachung mehrerer Netzwerke und zur automatischen Erkennung von Angriffen im Auftrag von Börsen, Depotbanken und DeFi-Protokollen. (Siehe auch Die These von CoinFund über KI für mehr über die Schnittmenge von KI und Krypto). Nach der Erkennung können Techniken wie Transaktions-Front-Running und automatisierte Schutzschalter eingesetzt werden, um den Verlust von Vermögenswerten zu mindern.

Sicherheitsnetzwerke/-gemeinschaften: Web3 wird durch Community-Engagement angetrieben. Es gibt Entwicklergemeinschaften (zB Developer DAO), Investorengemeinschaften (zB FlamingoDAO) und Infrastruktur für Finanzgemeinschaften (zB SyndicateDAO, Juicebox). Es wird erfolgreiche Sicherheitslösungen und -plattformen geben, die sicherheitsorientierte Fachleute am besten zusammenführen und mobilisieren, um sich für die Sicherung von Web3 zu engagieren. Zum Beispiel ImmuneFi, wer hat kürzlich 24 Millionen Dollar für seine Serie A gesammelt, hat die Leistungsfähigkeit der Nutzung der Community zur Sicherung von Code für web3 demonstriert, indem ein Netzwerk von White-Hat-Hackern geschaffen und Anreize geschaffen wurden, um Schwachstellen und Fehler in Smart-Contracts zu identifizieren. Miteinander ausgehen, Immunefi hat über 65 Millionen US-Dollar an Bug-Prämien ermöglicht an ethische Hacker ausgezahlt. Andere frühe Beispiele wie es umfassen Code4rena, Sicher3 und PwnedNoMore. Das verteilte Netzwerk von Forta bietet einem Netzwerk von Sicherheitsexperten und Bastlern Anreize, Erkennungs-Bots zu erstellen und einzusetzen, Smart Contracts, die böswillige Smart Contracts erkennen und darauf reagieren, indem sie die Benutzer oder Ersteller des Vertrags warnen. Forta nutzt sein Netzwerk, um auf maschinellem Lernen basierende Lösungen zu entwickeln, um böswillige Smart Contracts zu erkennen .

Transaktionssicherheitslösungen für Verbraucher und Institutionen: Benutzerorientierte Transaktions- und Wallet-Sicherheitsprodukte, die vom Benutzer einer dApp/eines Protokolls gekauft werden, werden eine wichtige Rolle bei der Sicherheit von Web3-Assets sowohl für Einzelpersonen als auch für Institutionen spielen. Lösungen können auch an Brieftaschen selbst verkauft werden, um das Gesamterlebnis bei der Verwendung der Brieftasche sicherer zu machen. Während Wallets auch daran arbeiten können, Sicherheitsfunktionen in ihre Produkte selbst einzubauen, werden sicherheitsorientierte Lösungen, die einen technologischen Burggraben aufbauen, indem sie proprietäre Algorithmen verwenden, um Risiken zu erkennen und die Integration so einfach wie möglich zu gestalten, sich von den anderen abheben und ein starkes Argument für den Kauf sein anstatt zu bauen. Ein großartiges Beispiel für ein Firmengebäude in diese Richtung ist umdefinieren, das Echtzeit-Transaktionsrisikobewertungen und -warnungen bereitstellt, die durch eine Kombination aus Echtzeit-Transaktionssimulation und Überwachungsmechanismen informiert und direkt an die Stelle geliefert werden, die am stärksten motiviert ist, Gelder zu schützen, den Benutzer. Einige andere Lösungen vom Typ „Firewall“, die den Transaktor schützen, umfassen insbesondere Shield, Hexagon und TrustCheck von Web3Builders.

Über Auditing hinausgehen: Häufig erkennen große Wirtschaftsprüfungsgesellschaften die Notwendigkeit der Produktisierung, um ihr Angebot zu erweitern und ihre Unternehmen skalierbarer zu machen. Obwohl sich Halbborn heute hauptsächlich auf manuelle Audits konzentriert, baut er mit der Absicht, dies zu erreichen Prozessautomatisierungstools für die Prüfung und Entwicklung auf dem Markt. Unternehmen wie Quantstamp und Sherlock, ein CoinFund-Portfoliounternehmen, verfolgen einen anderen Ansatz, indem sie die Schnittstelle zwischen Sicherheitsprüfung und Vermögensversicherung untersuchen.

Was ist bei der web3-Sicherheit wichtig?

Auf hoher Ebene gibt es einige wichtige Thesenpunkte, die mein Denken in Richtung Web3-Sicherheitsentwicklung treiben:

• Identifizierung der wichtigsten Sicherheitsbeteiligten: Web3 führt zu einer grundlegenden Veränderung unserer Denkweise über den Zielmarkt von Sicherheitsprodukten und -diensten. Entwickler und Projekte, die durch die Einführung von web3-Produkten motiviert sind, und Benutzer, die motiviert sind, ihre Vermögenswerte zu schützen, sind die wichtigsten Kunden von Sicherheitslösungen. Dies unterscheidet sich von web2, wo Unternehmen rechtlich und wirtschaftlich für den Schutz von Benutzerdaten verantwortlich waren. In einer Welt, in der Benutzer ihre eigenen Daten besitzen, erben sie auch die Herausforderung, diese zu schützen, und werden die sichersten Protokolle und neuen Produkte verwenden, die es Benutzern ermöglichen, ihre eigenen Vermögenswerte direkt zu sichern.
• Prävention, Minderung und Reaktion: Sicherheit ist ein mehrschichtiger Ansatz (IBM) und es besteht eine Notwendigkeit für kontinuierliche und proaktive Sicherheitsstrategie, die durch den heutigen (fast ausschließlichen) Fokus auf Pre-Launch-Audits in web3 nicht erreicht wird. Code kann nie vollständig frei von Sicherheitslücken sein, was eine Abwehr und Reaktion auf Exploits in Echtzeit in web3 ebenso erforderlich macht wie in web2.
• Eine Kombination aus traditioneller Sicherheit und web3-Expertise: Sicherheit ist historisch gesehen ein sehr herausfordernder und überfüllter Markt, in dem sich das Talent und die Strategie von Hackern ständig weiterentwickeln. Trotz der vielen Tausend Sicherheits-Startups auf dem Markt haben nur eine Handvoll das Durchbruchspotenzial erreicht. Formbare und schnell iterierende Gründer, die traditionelle Sicherheit und die sich entwickelnde Web3-Sicherheitslandschaft genau kennen, sind am attraktivsten. Obwohl web3 neu ist, sind grundlegende Sicherheitsprobleme und -lösungen gut bekannt. Daher werden Sicherheitsforscher, die Jahre damit verbracht haben, Schwachstellen in der Technologie zu verstehen, den Weg zur Sicherung von web3 weisen

Was wir bei einer investierbaren Sicherheitsmöglichkeit suchen

Bei CoinFund investieren wir in Unternehmen, die den Aufbau, die Verwendung und den sicheren Zugriff auf Blockchains vereinfachen. Skalierbare Lösungen, Produkte und Netzwerke, die die web3-Sicherheit vorantreiben, sind wichtige Bestandteile dieser Vision. Teams, die aus Investitionsperspektive am attraktivsten sind, sind Teams mit (1) umfassender Web2-Sicherheitsexpertise sowie einer kryptonativen Sichtweise, (2) der Fähigkeit zu erkennen, „wer sich am meisten um die Sicherheit kümmert“, die sie bieten, und effektiv an diese Stakeholder zu verkaufen seien es Protokollentwickler oder institutionelle und individuelle Benutzer, (3) ein Produkt oder Netzwerk, das entsprechend der Fähigkeit der zugrunde liegenden Technologie, Kunden zu bedienen, skaliert werden kann.

Auf dem Web3-Sicherheitsmarkt werden, wie es bei der Web2-Sicherheit der Fall war, Tausende von Lösungen geschaffen. Allerdings werden vergleichsweise wenige zu Milliarden-Dollar-Unternehmen skalieren, und CoinFund zielt darauf ab, mit Gründern zusammenzuarbeiten, die darauf ausgerichtet sind, branchenführende Standards zu werden, wenn sich der Sicherheitsmarkt für Web3-Technologie entwickelt. Wir wollen in Teams investieren, die den web3 Security Stack erweitern. Wenn Sie ein Entwicklertool entwickeln, das Entwicklern dabei hilft, mit einer sicherheitsorientierten Denkweise zu bauen, eine Lösung, die dabei hilft, den Sicherheitsfokus von Prävention auf Minderung und Reaktion zu erweitern, oder ein Tool, das alltäglichen Blockchain-Benutzern hilft, ihre Vermögenswerte zu schützen, suchen wir Du.

Es gibt viele Bereiche der web3-Sicherheit, die wir in diesem Beitrag ausgelassen haben. Sichere Schlüsselverwaltung, sichere Verwahrung und Datenschutz sind tief in sich geschlossen. Was ist Ihnen bei der web3-Sicherheit am wichtigsten? Ich würde es gerne in den Kommentaren oder in meinen DMs hören. Auch wenn Sie eine Lösung im Web3-Sicherheitsbereich entwickeln, würde ich mich gerne mit Ihnen unterhalten. Beifall!

TG: @isaiahwash

E-Mail: isaiah@coinfund.io

[Vielen Dank an das CoinFund-Team sowie an Mooley Sagiv (Certora), Jesse Tasman (Redefine), Don Ho (Quantstamp), Catrina Wang (Protocol Labs) und andere, die mir geholfen haben, meine Gedanken zu verfeinern]

Die hier geäußerten Ansichten sind die der einzelnen zitierten Mitarbeiter von CoinFund Management LLC („CoinFund“) und nicht die Ansichten von CoinFund oder seinen verbundenen Unternehmen. Bestimmte hierin enthaltene Informationen wurden von Drittquellen bezogen, einschließlich von Portfoliounternehmen von Fonds, die von CoinFund verwaltet werden. CoinFund stammt zwar aus als zuverlässig erachteten Quellen, hat diese Informationen jedoch nicht unabhängig überprüft und gibt keine Zusicherungen über die dauerhafte Genauigkeit der Informationen oder ihre Angemessenheit für eine bestimmte Situation. Darüber hinaus kann dieser Inhalt Werbung von Drittanbietern enthalten; CoinFund hat solche Anzeigen nicht überprüft und unterstützt keine darin enthaltenen Werbeinhalte.

Dieser Inhalt wird nur zu Informationszwecken bereitgestellt und sollte nicht als Rechts-, Geschäfts-, Anlage- oder Steuerberatung angesehen werden. Sie sollten diesbezüglich Ihre eigenen Berater konsultieren. Verweise auf Wertpapiere oder digitale Vermögenswerte dienen nur der Veranschaulichung und stellen keine Anlageempfehlung oder ein Angebot zur Erbringung von Anlageberatungsdiensten dar. Darüber hinaus richtet sich dieser Inhalt nicht an Anleger oder potenzielle Anleger und ist nicht für die Verwendung durch diese bestimmt, und es darf unter keinen Umständen darauf vertraut werden, wenn eine Entscheidung getroffen wird, in einen von CoinFund verwalteten Fonds zu investieren. (Ein Angebot zur Investition in einen CoinFund-Fonds erfolgt nur durch das Privatplatzierungsmemorandum, den Zeichnungsvertrag und andere relevante Unterlagen eines solchen Fonds und sollte vollständig gelesen werden.) Alle erwähnten, erwähnten oder erwähnten Investitionen oder Portfoliounternehmen beschrieben sind nicht repräsentativ für alle Investitionen in Vehikel, die von CoinFund verwaltet werden, und es kann nicht garantiert werden, dass die Investitionen rentabel sind oder dass andere Investitionen in der Zukunft ähnliche Eigenschaften oder Ergebnisse aufweisen werden. Eine Liste der Investitionen, die von von CoinFund verwalteten Fonds getätigt wurden (mit Ausnahme von Investitionen, für die der Emittent CoinFund keine Genehmigung zur öffentlichen Offenlegung erteilt hat, sowie unangekündigte Investitionen in öffentlich gehandelte digitale Vermögenswerte) ist verfügbar unter https://www.coinfund.io/portfolio.

Die darin bereitgestellten Diagramme und Grafiken dienen ausschließlich zu Informationszwecken und sollten bei Anlageentscheidungen nicht als verlässlich angesehen werden. Die Wertentwicklung in der Vergangenheit ist kein Hinweis auf zukünftige Ergebnisse. Der Inhalt spricht nur zum angegebenen Datum. Alle Prognosen, Schätzungen, Prognosen, Ziele, Aussichten und/oder Meinungen, die in diesen Materialien geäußert werden, können ohne Vorankündigung geändert werden und können von den Meinungen anderer abweichen oder ihnen widersprechen.