מאת ישעיהו וושינגטון

3B+$ הפסידו לניצול חוזים חכמים בשנת 2022 (שרשרת) חושפת את חוסר הבשלות של נוף האבטחה ואת חוסר השימוש בפרקטיקות האבטחה ב-web3. הבדלים מהותיים בין טכנולוגיות web2 ו-web3 יוצרים הזדמנויות חדשות לתקוף ולאבטח את הנתונים והנכסים של משתמשים הממנפים את הבלוקצ'יין. כיום, שוק אבטחת הסייבר העולמי מוערך בכ-167 מיליארד דולר (מקינזי). ככל ש-web3 מתקדם יותר בעקומת ה-S של האימוץ, הוא יכלול נתונים פיננסיים ולא פיננסיים, כך שנראה שוק בגודל דומה לאבטחת web3 לכל הפחות.

אבטחת Web3 אינה שבורה, אלא לא מפותחת. המערכת האקולוגית הנוכחית של חברות אבטחה web3 בוגרות למחצה היא בתחילת דרכן בהשוואה למגוון סוגי פתרונות האבטחה ב-web2. מכל חברות האבטחה של web3 שגייסו סדרה A או שהן מעל 3 מיליון דולר בהכנסות שנתיות, רובן מבוססות בעיקר על שירותים עם ביקורת חוזים חכמות כהצעה העיקרית. ביקורת היא תהליך ידני לבדיקת הקוד של הפרויקט והדגשת פרצות אבטחה. בעוד שביקורת היא נדבך חשוב באבטחת web3, היו 167 פריצות גדולות בשנת 2022. מחצית מהפריצות הללו היו של חוזים חכמים מבוקרים (דוח אבטחה של Beosin Web3), המדגים את הצורך ביותר תשתית אבטחה ואוטומציה.

נוף האבטחה הנוכחי של Web3

ניתן להפריד את הנוף המתפתח של חברות אבטחת web3 לשלוש קטגוריות עיקריות: ביקורת, כלים וקהילות. בתוך כלים וקהילות, חלק מהתחומים שבהם אנו רואים פעילות מוקדמת רבה הם פיתוח קוד מאובטח, ניטור רציף או ריצה, פרסומות באגי אבטחה וקהילות תחרות ואבטחת עסקאות.

פיתוח קוד מאובטח: מוצרי אבטחה צריכים להיות משולבים בזרימת המפתחים. פתרונות שעוזרים למפתחים לבנות עם חשיבה "אבטחה תחילה" ומאפשרים למפתחים למנוע פריסה של קוד גרוע יכולים לעזור להפוך את האבטחה ברמת הביקורת למדרגית יותר ב-web3. דוגמה מצוינת לחברה שדוגלת בתזה זו היא חברת הפורטפוליו של CoinFund צרטורה, המספק כלים לאבטחת חוזים חכמים עם אסטרטגיית אימות פורמלית ונועד למזער פגיעויות של חוזים חכמים לפני פריסה וביקורת מוקדמת. דוגמאות לחברות שפורצות את גבולות החדשנות כאן כוללות כלי פיתוח אבטחה מתמשכים כמו אניגמה לאבס אשר מתפתח Dev0x, כלי מפתח לתזמור מוצרי אבטחה. ישנם גם כלי בדיקה וסימולציה של טרנזקציות ומערכות אקולוגיות כמו בעדינות, ChaosLabs, ו כְּפָפַת שִׁריוֹן. פרויקטים אלה תורמים לכלי האבטחה למפתחים בכך שהם מאפשרים למפתחים לנהל ולחזות פלט חוזים חכמים לפני פריסתו.

ניטור רציף/זמן ריצה: חברות כמו Chainalysis ו-TRM Labs גייסו יחד 686.5 מיליון דולר עבור זיהוי, חקירה וניתוח נתונים של AML לאחר המוות. עם זאת, קיים פער בשוק לפתרונות ניטור זמן ריצה למניעה יזומה של ניצול אבטחה. על ידי נטילת ניטור בזמן אמת והוספת יכולות חיזוי לזיהוי ומניעת ניצול, חברות אוהבות פורטה ו סייברס בונים כדי למלא את החסר הזה. Forta היא רשת מבוזרת לניטור רציף בזמן ריצה ו-CyVers היא פתרון לכך ממנף למידת מכונה לנטר באופן רציף רשתות מרובות ולזהות אוטומטית התקפות מטעם מרכזיות, אפוטרופוסים ופרוטוקולי DeFi. (ראה גם התזה של CoinFund על AI למידע נוסף על ההצטלבות בין AI וקריפטו). לאחר הזיהוי, ניתן לפרוס טכניקות כמו הפעלה קדמית של עסקאות ומפסקי חשמל אוטומטיים כדי לצמצם אובדן נכסים.

רשתות אבטחה/קהילות: Web3 מונע על ידי מעורבות קהילתית. ישנן קהילות מפתחים (כלומר Developer DAO), קהילות משקיעים (כלומר FlamingoDAO) ותשתיות לקהילות פיננסיות (כלומר SyndicateDAO, Juicebox). יהיו פתרונות ופלטפורמות אבטחה מנצחים שיצטברו בצורה הטובה ביותר ויגייסו אנשי מקצוע ממוקדי אבטחה לעסוק באבטחת web3. לדוגמה, ImmuneFi, מי גייסה לאחרונה 24 מיליון דולר עבור סדרה A שלה, הוכיחה את הכוח של מינוף הקהילה לאבטחת קוד עבור web3 על ידי יצירה ותמריץ של רשת האקרים בעלי כובע לבן לזהות פגיעויות ובאגים בחוזים חכמים. עד היום, Immunefi העניקה יותר מ-65 מיליון דולר בהטבות באגים שולם להאקרים אתיים. דוגמאות מוקדמות אחרות כמו זה כוללות Code4rena, מאובטח 3, ו PwnedNoMore. הרשת המבוזרת של Forta מעודדת רשת של אנשי אבטחה וחובבים לבנות ולפרוס בוטים לזיהוי, חוזים חכמים שמזהים ומגיבים לחוזים חכמים זדוניים על ידי התראה למשתמשים או יוצרי החוזה. פורטה ממנפת את הרשת שלה ליצירת פתרונות מבוססי למידת מכונה לזיהוי חוזים חכמים זדוניים .

פתרונות אבטחת עסקאות צרכנים ומוסדיים: מוצרי אבטחת עסקאות וארנק הפונים למשתמש הנרכשים על ידי המשתמש ב-dApp/פרוטוקול, ישחקו תפקיד חשוב באבטחת נכסי web3 עבור יחידים ומוסדות כאחד. ניתן למכור פתרונות גם לארנקים עצמם כדרך להפוך את החוויה הכוללת של השימוש בארנק לבטוחה יותר. בעוד ארנקים יכולים לעבוד גם כדי לבנות פונקציונליות אבטחה במוצרים שלהם עצמם, פתרונות ממוקדי אבטחה הבונים חפיר טכנולוגי באמצעות אלגוריתמים קנייניים כדי לזהות סיכונים ולהפוך את האינטגרציה לקלה ככל האפשר, יבלטו מעל השאר ויהוו בסיס חזק לקנייה במקום לבנות. דוגמה מצוינת לבניית חברה בכיוון זה היא הגדר מחדש, המספק הערכות סיכוני עסקאות והתרעות בזמן אמת, המבוססות על שילוב של מנגנוני סימולציית עסקאות וניטור בזמן אמת, ומועברות ישירות לגורם המומרץ ביותר להגן על כספים, המשתמש. כמה פתרונות אחרים מסוג "חומת אש" המגנים על הטרנסאקטור כוללים במיוחד Shield, Hexagon ו TrustCheck של Web3Builders.

מעבר לביקורת: לעתים קרובות חברות רואי חשבון גדולות מזהות את הצורך בייצור כדי להרחיב את ההיצע שלהן ולהפוך את החברות שלהן לניתנות להרחבה יותר. הלבורן, למרות שהיום מתמקד בעיקר בביקורות ידניות, בונה מתוך כוונה להביא כלי אוטומציה של תהליכים לביקורת ופיתוח לשוק. חברות כמו Quantstamp ו שרלוק, חברת פורטפוליו CoinFund, נוקטת בגישה אחרת על ידי בחינת המפגש בין ביקורת אבטחה וביטוח נכסים.

מה חשוב באבטחת web3?

ברמה גבוהה, יש כמה נקודות מפתח של התזה המניעות את החשיבה שלי לקראת פיתוח אבטחת web3:

• זיהוי מחזיקי עניין מרכזיים בתחום האבטחה: Web3 מציג שינוי מהותי באופן שבו אנו חושבים על שוק היעד של מוצרי ושירותי אבטחה. מפתחים ופרויקטים, המונעים על ידי אימוץ מוצרי web3, ומשתמשים, עם מוטיבציה להגן על הנכסים שלהם, הם לקוחות פתרונות האבטחה החשובים ביותר. זה שונה מ-web2 שבו עסקים היו אחראים מבחינה משפטית וכלכלית להגנה על נתוני המשתמש. בעולם שבו משתמשים הבעלים של הנתונים שלהם, הם גם יורשים את האתגר להגן עליהם וישתמשו בפרוטוקולים המאובטחים ביותר ובמוצרים חדשים המאפשרים למשתמשים לאבטח את הנכסים שלהם ישירות.
• מניעה, הפחתה ותגובה: אבטחה היא גישה מרובדת (יבמ) ויש צורך ברציפות ו אסטרטגיית אבטחה פרואקטיבית שאינה מושגת על ידי ההתמקדות (כמעט בלעדית) של היום בביקורת טרום-השקה ב-web3. קוד לעולם לא יכול להיות נטול פגיעות לחלוטין, מה שהופך את הפחתת הניצול בזמן אמת ותגובה נחוצים ב-web3 כפי שהוא ב-web2.
• שילוב של אבטחה מסורתית ומומחיות web3: מבחינה היסטורית אבטחה היא שוק מאוד מאתגר וצפוף שבו הכישרון והאסטרטגיה של האקרים מתפתחים כל הזמן. למרות האלפים הרבים של סטארט-אפים בתחום האבטחה בשוק, רק מעטים הגיעו לפוטנציאל פריצה. אטרקטיביים ביותר הם מייסדים בעלי יכולת ניתנת ומהירות, שמכירים מקרוב את האבטחה המסורתית ואת נוף האבטחה המתפתח של web3. למרות ש-web3 הוא חדשני, בעיות אבטחה בסיסיות ופתרונות מובנים היטב. לכן, חוקרי אבטחה שהשקיעו שנים בהבנת נקודות תורפה בטכנולוגיה יובילו את הדרך לאבטחת web3

מה אנחנו מחפשים בהזדמנות אבטחה ניתנת להשקעה

ב-CoinFund, אנו משקיעים בחברות המקלות על בניית בלוקצ'יין, שימוש וגישה בטוחה. פתרונות, מוצרים ורשתות הניתנים להרחבה הדוחפים את אבטחת web3 קדימה הם חלקים חשובים בחזון זה. צוותים שהכי אטרקטיביים מנקודת מבט של השקעה הם צוותים עם (1) מומחיות עמוקה באבטחת web2 כמו גם ראייה קריפטונטיבית, (2) יכולת לזהות "למי הכי אכפת" מהאבטחה שהם מספקים ולמכור ביעילות לאותם בעלי עניין בין אם הם מפתחי פרוטוקולים או משתמשים מוסדיים ואינדיווידואלים, (3) מוצר או רשת שיכולים להתרחב בהתאם ליכולת הטכנולוגיה הבסיסית לשרת לקוחות.

בשוק האבטחה web3, כפי שהיה באבטחת web2, ייווצרו אלפי פתרונות. עם זאת, מעטים יחסית יהיו עסקים של מיליארדי דולרים ו-CoinFund שואפת לשתף פעולה עם מייסדים כשעיניהם מכוונות להפוך לסטנדרטים מובילים בתעשייה ככל ששוק האבטחה לטכנולוגיית web3 מתפתח. אנחנו רוצים להשקיע בצוותים שמרחיבים את מחסנית האבטחה של web3. אם אתה בונה כלי למפתחים כדי לעזור למפתחים לבנות עם חשיבה ראשונה באבטחה, פתרון שעוזר להרחיב את מיקוד האבטחה ממניעה להפחתה ותגובה, או כלי שיעזור בכל יום למשתמשי blockchain להגן על הנכסים שלהם, אנחנו מחפשים אתה.

ישנם תחומים רבים של אבטחת web3 שהשארנו מחוץ לפוסט הזה. ניהול מאובטח של מפתחות, משמורת מאובטחת ופרטיות נמצאים עמוק בפני עצמם. מה הכי חשוב לך באבטחת web3? אשמח לשמוע את זה בתגובות או ב-DM שלי. כמו כן, אם אתה בונה פתרון במרחב האבטחה של web3, אשמח לשוחח בצ'אט. לחיים!

TG: @isaiahwash

דוא"ל: isaiah@coinfund.io

[תודה לצוות CoinFund וכן למולי שגיב (Certora), ג'סי טסמן (Redefine), Don Ho (Quantstamp), Catrina Wang (Protocol Labs), ואחרים שעזרו לי לחדד את המחשבות שלי]

הדעות המובעות כאן הן אלה של אנשי CoinFund Management LLC (להלן: "CoinFund") המצוטטות ואינן הדעות של CoinFund או החברות הקשורות לה. מידע מסוים הכלול במסמך זה הושג ממקורות צד שלישי, לרבות מחברות פורטפוליו של קרנות המנוהלות על ידי CoinFund. למרות שנלקחה ממקורות האמינים שהם אמינים, CoinFund לא אימתה מידע כזה באופן עצמאי ואינה מציגה שום מצג לגבי הדיוק המתמשך של המידע או התאמתו למצב נתון. בנוסף, תוכן זה עשוי לכלול פרסומות של צד שלישי; CoinFund לא בדק פרסומות מסוג זה ואינה תומכת בתוכן פרסומי כלשהו הכלול בהן.

תוכן זה מסופק למטרות מידע בלבד, ואין להסתמך עליו כייעוץ משפטי, עסקי, השקעות או מס. עליך להתייעץ עם היועצים שלך באשר לעניינים אלה. הפניות לניירות ערך או לנכסים דיגיטליים כלשהם נועדו למטרות המחשה בלבד, ואינן מהוות המלצת השקעה או הצעה לספק שירותי ייעוץ השקעות. יתר על כן, תוכן זה אינו מכוון ואינו מיועד לשימוש על ידי משקיעים או משקיעים פוטנציאליים כלשהם, ואין להסתמך עליו בשום פנים ואופן בעת ​​קבלת החלטה להשקיע בקרן כלשהי המנוהלת על ידי CoinFund. (הצעה להשקעה בקרן CoinFund תתבצע רק על ידי תזכיר ההנפקה הפרטית, הסכם המנוי ותיעוד רלוונטי אחר של כל קרן כזו ויש לקרוא אותה במלואה). המתוארים אינם מייצגים את כל ההשקעות בכלי רכב המנוהלים על ידי CoinFund, ואין כל ביטחון שההשקעות יהיו רווחיות או שלהשקעות אחרות שיבוצעו בעתיד יהיו מאפיינים או תוצאות דומות. רשימה של השקעות שבוצעו על ידי קרנות המנוהלות על ידי CoinFund (למעט השקעות שעבורן המנפיק לא נתן אישור ל-CoinFund לחשוף בפומבי וכן השקעות בלתי מוקדמות בנכסים דיגיטליים הנסחרים בבורסה) זמינה בכתובת https://www.coinfund.io/portfolio.

תרשימים וגרפים המסופקים בתוכן הם למטרות מידע בלבד ואין להסתמך עליהם בעת קבלת החלטת השקעה כלשהי. ביצועי העבר אינם מעידים על תוצאות עתידיות. התוכן מדבר רק לתאריך המצוין. כל תחזיות, אומדנים, תחזיות, יעדים, סיכויים ו/או דעות המובעות בחומרים אלו כפופים לשינויים ללא הודעה מוקדמת ועשויים להיות שונים או מנוגדים לדעות שהובעו על ידי אחרים.