Írta: Isaiah Washington

3-ben több mint 2022 milliárd dollárt veszítettek az intelligens szerződések kihasználása miatt (Chainalysis) felfedi a biztonsági környezet éretlenségét és a biztonsági gyakorlatok kihasználatlanságát a web3-ban. A web2 és web3 technológiák közötti alapvető különbségek új lehetőségeket teremtenek a blokkláncot kihasználó felhasználók adatainak és eszközeinek megtámadására és védelmére. Ma a globális kiberbiztonsági piacot körülbelül 167 milliárd dollárra becsülik (McKinsey). Ahogy a web3 tovább halad az S-görbe mentén, pénzügyi és nem pénzügyi adatokat is tartalmazni fog, így legalább a web3 biztonságának hasonló méretű piacát fogjuk látni.

A Web3 biztonsága nem törött, hanem fejletlen. A félig érett web3 biztonsági cégek jelenlegi ökoszisztémája kialakulóban van a web2 biztonsági megoldásainak széles skálájához képest. Az A-sorozatú vagy 3 millió dollár feletti éves bevételt elérő web3 biztonsági cégek többsége többnyire szolgáltatásokon alapul, és az intelligens szerződések auditja a fő értékajánlat. Az auditálás egy manuális folyamat a projekt kódjának átvizsgálására és a biztonsági rések kiemelésére. Míg az auditálás a web3 biztonságának egyik fontos pillére, 167-ben 2022 nagyobb feltörés történt. Ezeknek a feltöréseknek a fele auditált intelligens szerződések (Beosin Web3 biztonsági jelentés), bemutatva a nagyobb biztonsági infrastruktúra és automatizálás szükségességét.

A jelenlegi Web3 biztonsági táj

A web3 biztonsági cégek fejlődő környezete három fő kategóriába sorolható: auditálás, eszközök és közösségek. A szerszámozáson és a közösségeken belül néhány olyan terület, ahol korai tevékenységet tapasztalunk, a biztonságos kódfejlesztés, a folyamatos vagy futásidejű megfigyelés, a biztonsági hibák és a versenytársak közösségei, valamint a tranzakciók biztonsága.

Biztonságos kódfejlesztés: A biztonsági termékeket integrálni kell a fejlesztői folyamatba. Azok a megoldások, amelyek segítik a fejlesztőket abban, hogy „első a biztonságot” szem előtt tartva építsenek, és lehetővé teszik a fejlesztők számára, hogy megakadályozzák a rossz kódok telepítését, segíthetnek az audit szintű biztonság skálázhatóságában a web3-ban. A tézis mellett álló vállalat nagyszerű példája a CoinFund portfólióvállalata Certora, amely eszközöket biztosít az intelligens szerződések formális ellenőrzési stratégiával történő biztosításához, és célja az intelligens szerződések sebezhetőségeinek minimalizálása a telepítés és az előzetes ellenőrzés előtt. Az innováció határait feszegető vállalatok példái közé tartoznak a folyamatos biztonsági fejlesztési eszközök, mint pl Enigma Labs amely fejlődik Dev0x, egy fejlesztői eszköz a biztonsági termékek összehangolásához. Vannak tranzakciós és ökoszisztéma tesztelési és szimulációs eszközök is, mint pl Gyengéden, Chaos Labsés Páncélkesztyű. Ezek a projektek hozzájárulnak a fejlesztői biztonsági eszközkészlethez azáltal, hogy lehetővé teszik a fejlesztők számára az intelligens szerződések kimenetének kezelését és előrejelzését a telepítés előtt.

Folyamatos/futásidejű megfigyelés: Az olyan cégek, mint a Chainalysis és a TRM Labs, összesen 686.5 millió dollárt gyűjtöttek össze a halál utáni AML-felderítésre, -vizsgálatra és adatelemzésre. A biztonsági visszaélések proaktív megelőzésére szolgáló futásidejű felügyeleti megoldások piacán azonban hiányosságok vannak. Valós idejű megfigyeléssel és előrejelző képességekkel a kihasználások észleléséhez és megelőzéséhez a vállalatok kedvelik Kényszerítés és a Cyvers azért építkeznek, hogy betöltsék ezt a hiányt. A Forta egy elosztott hálózat a folyamatos futásidejű monitorozáshoz, a CyVers pedig megoldás erre kihasználja a gépi tanulást több hálózat folyamatos figyelésére és a támadások automatikus észlelésére a tőzsdék, a letétkezelők és a DeFi protokollok nevében. (Lásd még A CoinFund tézise az AI-ról További információ az AI és a kriptográfia metszéspontjáról). Az észlelést követően olyan technikák alkalmazhatók, mint a tranzakciós előfutás és az automatizált megszakítók az eszközvesztés mérséklésére.

Biztonsági hálózatok/közösségek: A Web3-at a közösségi elkötelezettség vezérli. Vannak fejlesztői közösségek (pl. fejlesztői DAO), befektetői közösségek (pl. FlamingoDAO) és pénzügyi közösségek infrastruktúrája (pl. SyndicateDAO, Juicebox). Nyertes biztonsági megoldások és platformok lesznek, amelyek a legjobban összesítik és mobilizálják a biztonsággal foglalkozó szakembereket a web3 biztonságának megteremtésében. Például ImmuneFi, aki nemrég 24 millió dollárt gyűjtött az A sorozatért, bebizonyította a közösség kihasználásának erejét a web3 kódjának biztonságossá tételében azáltal, hogy létrehozta és ösztönözte a white-hat hackerek hálózatát az intelligens szerződések sebezhetőségeinek és hibáinak azonosítására. Randizni, Az Immunefi több mint 65 millió dolláros kártérítést nyújtott kifizetett az etikus hackereknek. Más, ehhez hasonló korai példák közé tartozik Code4rena, Biztonságos 3és PwnedNoMore. A Forta elosztott hálózata biztonsági szakemberekből és amatőrökből álló hálózatot ösztönöz arra, hogy olyan észlelőbotokat, intelligens szerződéseket építsenek és telepítsenek, amelyek észlelik és reagálnak a rosszindulatú intelligens szerződésekre, figyelmeztetve a szerződés felhasználóit vagy létrehozóit. A Forta a hálózatát kihasználva gépi tanuláson alapuló megoldásokat hoz létre a rosszindulatú intelligens szerződések észlelésére .

Fogyasztói és intézményi tranzakcióbiztonsági megoldások: A dApp/protokoll felhasználója által megvásárolt, felhasználóbarát tranzakciós és pénztárcabiztonsági termékek fontos szerepet fognak játszani a web3 eszközbiztonságában mind az egyének, mind az intézmények számára. A megoldások maguknak a pénztárcáknak is eladhatók, hogy biztonságosabbá tegyék a pénztárca használatának általános élményét. Míg a pénztárcák maguk is képesek biztonsági funkcionalitást beépíteni termékeikbe, a biztonságra összpontosító megoldások, amelyek technológiai árkot építenek a kockázatok észlelésére és az integráció lehető legkönnyebbé tételére, a biztonságra összpontosító megoldások kiemelkednek a többiek közül, és határozottan indokolják a vásárlást. építés helyett. Egy nagyszerű példa arra, hogy egy vállalat ilyen irányba építkezik Újradefiniál, amely valós idejű tranzakciós kockázatértékeléseket és riasztásokat biztosít, amelyekről a valós idejű tranzakciószimulációs és -figyelési mechanizmusok kombinációja tájékoztat, és közvetlenül a pénzeszközök védelmére leginkább ösztönzött entitáshoz, a felhasználóhoz jut el. Néhány más „tűzfal” típusú megoldás, amely kifejezetten védi a tranzektort, a Shield, a Hexagon és a Web3Builders TrustCheck.

Az auditáláson túl: A nagy könyvvizsgáló cégek gyakran felismerik a termékesítés szükségességét kínálatuk bővítése és vállalataik méretezhetőbbé tétele érdekében. A Halborn, bár manapság főleg a manuális auditokra koncentrál, azzal a szándékkal építkezik, hogy hozza folyamatautomatizálási eszközök auditáláshoz és piacra terjesztéshez. Olyan cégek, mint a Quantstamp és SherlockA CoinFund portfólióvállalata más megközelítést alkalmaz a biztonsági auditálás és az eszközbiztosítás metszéspontjának feltárásával.

Mi a fontos a web3 biztonságában?

Magas szinten van néhány kulcsfontosságú tézispont, amely a web3 biztonsági fejlesztése felé tereli a gondolkodásomat:

• A legfontosabb biztonsági érdekelt felek azonosítása: A Web3 alapvető változást vezet be a biztonsági termékek és szolgáltatások célpiacáról való gondolkodásunkban. A web3 termék bevezetése által motivált fejlesztők és projektek, valamint az eszközeik védelmére motivált felhasználók a legfontosabb biztonsági megoldások vásárlói. Ez eltér a web2-től, ahol a vállalkozások jogilag és gazdaságilag felelősek voltak a felhasználói adatok védelméért. Egy olyan világban, ahol a felhasználók birtokolják saját adataikat, öröklik az adatok védelmének kihívását is, és a legbiztonságosabb protokollokat és új termékeket fogják használni, amelyek lehetővé teszik a felhasználók számára, hogy közvetlenül biztosítsák saját eszközeiket.
• Megelőzés, mérséklés és reagálás: A biztonság egy réteges megközelítés (IBM) és folyamatosra van szükség és a proaktív biztonsági stratégia, amely nem valósul meg a mai (majdnem kizárólagos) web3-ban az indítás előtti ellenőrzéssel. A kód soha nem lehet teljesen sebezhetőség mentes, ami valós idejű kizsákmányolás mérséklését és válaszadását teszi szükségessé a web3-ban, ahogyan a web2-ben is.
• A hagyományos biztonsági és web3-as szakértelem kombinációja: A biztonság történelmileg egy nagyon kihívásokkal teli és zsúfolt piac, ahol a hackerek tehetsége és stratégiája folyamatosan fejlődik. A piacon lévő több ezer biztonsági startup ellenére csak néhányuk érte el a kitörési potenciált. A formálható és gyorsan iteráló alapítók, akik közelről ismerik a hagyományos biztonságot és a fejlődő web3 biztonsági környezetet, a legvonzóbbak. Bár a web3 újszerű, az alapvető biztonsági problémákat és megoldásokat jól értik. Ezért azok a biztonsági kutatók, akik éveket töltöttek a technológiai sebezhetőségek megértésével, vezetik majd a web3 biztonságát

Amit keresünk egy befektetésre alkalmas biztonsági lehetőségben

A CoinFundnál olyan vállalatokba fektetünk be, amelyek megkönnyítik a blokkláncok építését, használatát és biztonságos hozzáférését. A web3 biztonságát előremozdító, méretezhető megoldások, termékek és hálózatok fontos részei ennek az elképzelésnek. Befektetési szempontból azok a csapatok a legvonzóbbak, amelyek (1) mély web2 biztonsági szakértelemmel, valamint kriptográfiai szemlélettel rendelkeznek, (2) képesek azonosítani, „kit érdekel” az általuk nyújtott biztonság, és hatékonyan eladni az érintetteknek. legyenek azok protokollfejlesztők vagy intézményi és egyéni felhasználók, (3) olyan termék vagy hálózat, amely a mögöttes technológia ügyfelek kiszolgálására való képességének megfelelően méretezhető.

A web3 biztonsági piacon, ahogyan az a web2 biztonságban is történt, megoldások ezrei születnek majd. Azonban viszonylag kevesen érik el a milliárd dolláros üzletet, és a CoinFund célja, hogy az alapítókkal partneri viszonyban legyen, szemük pedig az iparág vezető szabványává váljon, ahogy a web3 technológia biztonsági piaca fejlődik. Olyan csapatokba szeretnénk beruházni, amelyek bővítik a web3 biztonsági készletét. Ha olyan fejlesztői eszközt készít, amely segíti a fejlesztőket a biztonságot előtérbe helyező felépítésben, egy olyan megoldást, amely segít kiterjeszteni a biztonsági fókuszt a megelőzésről a mérséklésre és válaszlépésekre, vagy olyan eszközt, amely segíti a blokklánc felhasználóinak mindennapi eszközeik védelmét, akkor keresünk te.

A web3 biztonságának számos olyan területe van, amelyet kihagytunk ebből a bejegyzésből. A biztonságos kulcskezelés, a biztonságos őrzés és az adatvédelem önmagukban rejlik. Mi a legfontosabb számodra a web3 biztonságban? Szívesen hallanám kommentben vagy DM-ben. Továbbá, ha megoldást épít a web3 biztonsági területen, szívesen csevegnék. Egészségére!

TG: @isaiahwash

E-mail: isaiah@coinfund.io

[Köszönöm a CoinFund csapatának, valamint Mooley Sagivnek (Certora), Jesse Tasmannak (Újradefiniálás), Don Honak (Quantstamp), Catrina Wangnak (Protocol Labs) és másoknak, hogy segítettek a gondolataim finomításában]

Az itt kifejtett nézetek a CoinFund Management LLC ("CoinFund") idézett alkalmazottainak nézetei, és nem a CoinFund vagy leányvállalatai nézetei. Az itt található bizonyos információk harmadik féltől származnak, beleértve a CoinFund által kezelt alapok portfólióvállalatait is. Noha megbízhatónak vélt forrásokból származnak, a CoinFund nem ellenőrizte önállóan ezeket az információkat, és nem vállal felelősséget az információk tartós pontosságával vagy egy adott helyzetre való megfelelőségével kapcsolatban. Ezenkívül ez a tartalom harmadik féltől származó hirdetéseket is tartalmazhat; A CoinFund nem vizsgálta át az ilyen hirdetéseket, és nem támogatja az azokban található reklámtartalmakat.

Ez a tartalom csak tájékoztatási célokat szolgál, és nem támaszkodhat rá jogi, üzleti, befektetési vagy adótanácsadásként. Ezekkel a kérdésekkel kapcsolatban konzultáljon saját tanácsadójával. Bármely értékpapírra vagy digitális eszközre történő hivatkozások csak illusztrációs célt szolgálnak, és nem minősülnek befektetési ajánlásnak vagy ajánlatnak befektetési tanácsadási szolgáltatások nyújtására. Ezen túlmenően ez a tartalom nem irányul befektetőknek vagy leendő befektetőknek, és nem szánja őket felhasználásra, és semmilyen körülmények között nem lehet rá támaszkodni a CoinFund által kezelt alapokba történő befektetésről szóló döntés meghozatalakor. (CoinFund alapba történő befektetésre vonatkozó felajánlást csak az ilyen alap zártkörű kibocsátási memoranduma, jegyzési szerződése és egyéb vonatkozó dokumentációja tesz, és azokat teljes egészében el kell olvasni.) Minden említett, hivatkozott befektetés vagy portfólióvállalat, vagy A leírtak nem reprezentatívak a CoinFund által kezelt járművekbe történő összes befektetésre vonatkozóan, és nem lehet garantálni, hogy a befektetések nyereségesek lesznek, vagy hogy a jövőben végrehajtott más befektetések hasonló tulajdonságokkal vagy eredménnyel járnak. A CoinFund által kezelt alapok befektetéseinek listája (kivéve azokat a befektetéseket, amelyek esetében a kibocsátó nem adott engedélyt a CoinFund számára a nyilvánosságra hozatalra, valamint a nyilvánosan forgalmazott digitális eszközökbe történő be nem jelentett befektetéseket) a következő címen érhető el: https://www.coinfund.io/portfolio.

A benne található diagramok és grafikonok kizárólag tájékoztató jellegűek, és nem szabad rájuk hagyatkozni befektetési döntések meghozatalakor. A múltbeli teljesítmény nem jelzi a jövőbeli eredményeket. A tartalom csak a feltüntetett dátum szerint beszél. Az ezekben az anyagokban megfogalmazott előrejelzések, becslések, előrejelzések, célok, kilátások és/vagy vélemények előzetes értesítés nélkül változhatnak, és mások véleményétől eltérhetnek vagy ellentétesek lehetnek.