av Isaiah Washington

$3B+ tapt på utnyttelse av smarte kontrakter i 2022 (Chainalysis) avslører umodenhet i sikkerhetslandskapet og underbruk av sikkerhetspraksis i web3. Grunnleggende forskjeller mellom web2- og web3-teknologier skaper nye muligheter til å både angripe og sikre data og eiendeler til brukere som utnytter blockchain. I dag er det globale cybersikkerhetsmarkedet estimert til rundt 167 milliarder dollar (McKinsey). Ettersom web3 kommer lenger langs S-kurven for adopsjon, vil den inkludere både finansielle og ikke-finansielle data, slik at vi vil se et like stort marked for web3-sikkerhet som et minimum.

Web3-sikkerheten er ikke ødelagt, men underutviklet. Det nåværende økosystemet til halvmodne web3-sikkerhetsselskaper er begynnende sammenlignet med bredden av sikkerhetsløsningstyper i web2. Av alle web3-sikkerhetsselskapene som har hentet inn en serie A eller er over 3 millioner dollar i årlig omsetning, er flertallet for det meste tjenestebasert med smart kontraktrevisjoner som hovedverdiforslaget. Revisjon er en manuell prosess for å granske et prosjekts kode og synliggjøre sikkerhetssårbarheter. Mens revisjon er en viktig pilar for web3-sikkerhet, var det 167 store hacks i 2022. Halvparten av disse hackene var av reviderte smartkontrakter (Beosin Web3 sikkerhetsrapport), som viser behovet for mer sikkerhetsinfrastruktur og automatisering.

Det nåværende Web3-sikkerhetslandskapet

Utviklingslandskapet til web3-sikkerhetsselskaper kan deles inn i tre hovedkategorier: revisjon, verktøy og fellesskap. Innenfor verktøy og fellesskap er noen av områdene der vi ser mye tidlig aktivitet utvikling av sikker kode, kontinuerlig overvåking eller overvåking under kjøretid, sikkerhetsbug-premier og konkurransefellesskap, og transaksjonssikkerhet.

Sikker kodeutvikling: Sikkerhetsprodukter må integreres i utviklerflyten. Løsninger som hjelper utviklere med å bygge med en "sikkerhet-først"-tankegang og lar utviklere forhindre distribusjon av dårlig kode, kan bidra til å gjøre sikkerhet på revisjonsnivå mer skalerbar i web3. Et godt eksempel på et selskap som forkjemper denne oppgaven er CoinFunds porteføljeselskap Certora, som gir verktøy for å sikre smartkontrakter med formell verifiseringsstrategi og er designet for å minimere smartkontraktssårbarheter før distribusjon og forhåndsrevisjon. Eksempler på selskaper som flytter grensene for innovasjon her inkluderer kontinuerlige sikkerhetsutviklerverktøy som Enigma Labs som utvikler seg Dev0x, et utviklerverktøy for orkestrering av sikkerhetsprodukter. Det er også transaksjons- og økosystemtesting og simuleringsverktøy som Ømt, Chaos Labsog Gauntlet. Disse prosjektene bidrar til sikkerhetsverktøysettet for utviklere ved å tillate utviklere å administrere og forutsi smart kontraktutgang før det distribueres.

Kontinuerlig/kjøretidsovervåking: Selskaper som Chainalysis og TRM Labs har samlet inn 686.5 millioner dollar for post mortem AML-deteksjon, etterforskning og dataanalyse. Imidlertid er det et gap i markedet for kjøretidsovervåkingsløsninger for proaktiv forebygging av sikkerhetsutnyttelser. Ved å ta overvåking i sanntid og legge til prediktive funksjoner for oppdagelse og forebygging av utnyttelse, liker selskaper Makt og Cyvers bygger for å fylle dette gapet. Forta er et distribuert nettverk for kontinuerlig kjøretidsovervåking og CyVers er løsningen som utnytter maskinlæring å kontinuerlig overvåke flere nettverk og automatisk oppdage angrep på vegne av utvekslinger, forvaltere og DeFi-protokoller. (Se også CoinFunds oppgave om AI for mer om skjæringspunktet mellom AI og krypto). Etter deteksjon kan teknikker som transaksjoner foran og automatiserte strømbrytere brukes for å redusere tap av eiendeler.

Sikkerhetsnettverk/fellesskap: Web3 er drevet av samfunnsengasjement. Det er utviklersamfunn (dvs. utvikler DAO), investorsamfunn (dvs. FlamingoDAO) og infrastruktur for finanssamfunn (dvs. SyndicateDAO, Juicebox). Det vil være vinnende sikkerhetsløsninger og plattformer som best samler og mobiliserer sikkerhetsfokuserte fagfolk til å engasjere seg i å sikre web3. For eksempel ImmuneFi, som nylig samlet inn 24 millioner dollar for sin serie A, har demonstrert kraften i å utnytte fellesskapet for å sikre kode for web3 ved å opprette og stimulere et nettverk av white-hat hackere for å identifisere sårbarheter og feil i smartkontrakter. Til dags dato, Immunefi har lagt til rette for over $65 millioner i feilbelønninger utbetalt til etiske hackere. Andre tidlige eksempler som det inkluderer Code4rena, Sikkert 3og PwnedNoMore. Fortas distribuerte nettverk stimulerer et nettverk av sikkerhetseksperter og hobbyfolk til å bygge og distribuere deteksjonsroboter, smartkontrakter som oppdager og reagerer på ondsinnede smartkontrakter ved å varsle kontraktens brukere eller skapere. Forta utnytter nettverket sitt til å lage maskinlæringsbaserte løsninger for å oppdage ondsinnede smarte kontrakter .

Sikkerhetsløsninger for forbruker- og institusjonelle transaksjoner: Brukervendte transaksjons- og lommeboksikkerhetsprodukter som er kjøpt av brukeren av en dApp/protokoll, vil spille en viktig rolle i web3-aktivasikkerhet for både enkeltpersoner og institusjoner. Løsninger kan også selges til selve lommebøker som en måte å gjøre den generelle opplevelsen av å bruke lommeboken tryggere. Selv om lommebøker også kan fungere for å bygge sikkerhetsfunksjonalitet inn i produktene deres selv, vil sikkerhetsfokuserte løsninger som bygger en teknologisk vollgrav ved å bruke proprietære algoritmer for å oppdage risiko og gjøre integrasjon så enkel som mulig skille seg ut over resten og gjøre en sterk sak for kjøp heller enn å bygge. Et godt eksempel på en bedriftsbygging i denne retningen er Omdefinere, som gir sanntids transaksjonsrisikovurderinger og varsler som er informert av en kombinasjon av sanntids transaksjonssimulering og overvåkingsmekanismer og leveres direkte til den enheten som er mest motivert til å beskytte midler, brukeren. Noen andre løsninger av typen "brannmur" som beskytter transaktoren, inkluderer Shield, Hexagon og Web3Builders TrustCheck.

Gå utover revisjon: Ofte erkjenner store revisjonsfirmaer behovet for produktisering for å utvide tilbudet og gjøre selskapene deres mer skalerbare. Selv om Halborn i dag hovedsakelig fokuserer på manuelle revisjoner, bygger han med den hensikt å bringe prosessautomatiseringsverktøy for revisjon og devops til markedet. Selskaper som Quantstamp og Sherlock, et CoinFund-porteføljeselskap, tar en annen tilnærming ved å utforske skjæringspunktet mellom sikkerhetsrevisjon og aktivaforsikring.

Hva er viktig i web3-sikkerhet?

På et høyt nivå er det noen viktige avhandlingspunkter som driver min tenkning mot web3-sikkerhetsutvikling:

• Identifikasjon av viktige sikkerhetsinteressenter: Web3 introduserer et grunnleggende skifte i hvordan vi tenker om målmarkedet for sikkerhetsprodukter og -tjenester. Utviklere og prosjekter, motivert av web3-produktadopsjon, og brukere, motivert til å beskytte sine eiendeler, er de viktigste sikkerhetsløsningskundene. Dette er forskjellig fra web2 hvor bedrifter var juridisk og økonomisk ansvarlige for beskyttelse av brukerdata. I en verden der brukere eier sine egne data, arver de også utfordringen med å beskytte dem og vil bruke de sikreste protokollene og nye produktene som lar brukere sikre sine egne eiendeler direkte.
• Forebygging, redusering og respons: Sikkerhet er en lagdelt tilnærming (IBM) og det er behov for kontinuerlig og proaktiv sikkerhetsstrategi som ikke oppnås av dagens (nesten eksklusive) fokus på pre-lanseringsrevisjon i web3. Kode kan aldri være helt sårbarhetsfri, noe som gjør sanntidsbegrensning og respons nødvendig i web3 som det er i web2.
• En kombinasjon av tradisjonell sikkerhet og web3-ekspertise: Sikkerhet er historisk sett et svært utfordrende og overfylt marked hvor talentet og strategien til hackere er i stadig utvikling. Til tross for de mange tusen sikkerhetsstartupene i markedet, har bare en håndfull nådd utbruddspotensial. Smidig og raskt-itererende grunnleggere som kjenner tradisjonell sikkerhet og det utviklende web3-sikkerhetslandskapet er mest attraktive. Selv om web3 er nytt, er grunnleggende sikkerhetsproblemer og løsninger godt forstått. Derfor vil sikkerhetsforskere som har brukt årevis på å forstå sårbarheter i teknologi lede veien til å sikre web3

Hva vi ser etter i en investerbar sikkerhetsmulighet

Hos CoinFund investerer vi i selskaper som gjør blokkjeder enklere å bygge på, bruke og trygt få tilgang til. Skalerbare løsninger, produkter og nettverk som presser web3-sikkerhet fremover er viktige deler av denne visjonen. Lag som er mest attraktive, fra et investeringsperspektiv, er team med (1) dyp web2-sikkerhetsekspertise så vel som et kryptonativt syn, (2) en evne til å identifisere "hvem som bryr seg" mest om sikkerheten de gir og effektivt selger til disse interessentene det være seg protokollutviklere eller institusjonelle og individuelle brukere, (3) et produkt eller nettverk som kan skaleres i tråd med den underliggende teknologiens evne til å betjene klienter.

I web3-sikkerhetsmarkedet, slik tilfellet var innen web2-sikkerhet, vil det bli laget tusenvis av løsninger. Forholdsvis få vil imidlertid skalere til milliardbedrifter, og CoinFund har som mål å samarbeide med gründere med øynene deres på å bli industriledende standarder etter hvert som sikkerhetsmarkedet for web3-teknologi utvikler seg. Vi ønsker å investere i team som utvider web3-sikkerhetsstakken. Hvis du bygger et utviklerverktøy for å hjelpe utviklere med å bygge med et sikkerhetsorientert tankesett, en løsning som bidrar til å utvide sikkerhetsfokuset fra forebygging til avbøtende tiltak og respons, eller et verktøy for å hjelpe daglige blockchain-brukere med å beskytte sine eiendeler, leter vi etter du.

Det er mange områder av web3-sikkerhet vi utelot i dette innlegget. Sikker nøkkelhåndtering, sikker forvaring og personvern ligger dypt i seg selv. Hva er viktigst for deg innen web3-sikkerhet? Jeg vil gjerne høre det i kommentarene eller i DM-ene mine. Hvis du bygger en løsning i web3-sikkerhetsområdet, vil jeg gjerne chatte. Jubel!

TG: @isaiahwash

E-post: isaiah@coinfund.io

[Takk til CoinFund-teamet samt Mooley Sagiv(Certora), Jesse Tasman(Redefine), Don Ho(Quantstamp), Catrina Wang(Protocol Labs) og andre for å hjelpe meg med å avgrense tankene mine]

Synspunktene som uttrykkes her er de fra individuelle CoinFund Management LLC ("CoinFund") personell som er sitert og er ikke synspunktene til CoinFund eller dets tilknyttede selskaper. Visse opplysninger her er innhentet fra tredjepartskilder, inkludert fra porteføljeselskaper av fond forvaltet av CoinFund. Selv om det er hentet fra kilder som antas å være pålitelige, har CoinFund ikke uavhengig verifisert slik informasjon og gir ingen representasjoner om den varige nøyaktigheten til informasjonen eller dens hensiktsmessighet for en gitt situasjon. I tillegg kan dette innholdet inkludere tredjepartsannonser; CoinFund har ikke vurdert slike annonser og støtter ikke noe reklameinnhold som finnes deri.

Dette innholdet er kun gitt for informasjonsformål, og bør ikke stoles på som juridisk, forretningsmessig, investerings- eller skatterådgivning. Du bør rådføre deg med dine egne rådgivere om disse sakene. Referanser til verdipapirer eller digitale eiendeler er kun for illustrasjonsformål, og utgjør ikke en investeringsanbefaling eller tilbud om å tilby investeringsrådgivningstjenester. Videre er dette innholdet ikke rettet mot eller ment for bruk av noen investorer eller potensielle investorer, og kan ikke under noen omstendigheter stoles på når du tar en beslutning om å investere i et fond som forvaltes av CoinFund. (Et tilbud om å investere i et CoinFund-fond vil kun gis av det private emisjonsmemorandumet, tegningsavtalen og annen relevant dokumentasjon for et slikt fond og bør leses i sin helhet.) Eventuelle investeringer eller porteføljeselskaper nevnt, referert til, eller beskrevet er ikke representative for alle investeringer i kjøretøy administrert av CoinFund, og det kan ikke gis noen garanti for at investeringene vil være lønnsomme eller at andre investeringer som gjøres i fremtiden vil ha lignende egenskaper eller resultater. En liste over investeringer foretatt av fond forvaltet av CoinFund (unntatt investeringer som utstederen ikke har gitt tillatelse til at CoinFund offentliggjør så vel som uanmeldte investeringer i børsnoterte digitale eiendeler) er tilgjengelig på https://www.coinfund.io/portfolio.

Diagrammer og grafer gitt i er kun for informasjonsformål og bør ikke stoles på når du tar investeringsbeslutninger. Tidligere resultater er ikke en indikasjon på fremtidige resultater. Innholdet taler kun fra den angitte datoen. Eventuelle anslag, estimater, prognoser, mål, prospekter og/eller meninger uttrykt i dette materialet kan endres uten varsel og kan avvike eller være i strid med meninger uttrykt av andre.