przez Isaiaha Washingtona

Ponad 3 miliardy dolarów utracone z powodu wykorzystywania inteligentnych kontraktów w 2022 r. (Chainalysis) ujawnia niedojrzałość krajobrazu bezpieczeństwa i niedostateczne wykorzystanie praktyk bezpieczeństwa w web3. Podstawowe różnice między technologiami web2 i web3 stwarzają nowe możliwości zarówno atakowania, jak i zabezpieczania danych i zasobów użytkowników wykorzystujących blockchain. Obecnie światowy rynek cyberbezpieczeństwa jest szacowany na około 167 miliardów dolarów (McKinsey). W miarę jak web3 posuwa się dalej wzdłuż krzywej S adopcji, będzie obejmował zarówno dane finansowe, jak i niefinansowe, więc zobaczymy co najmniej podobną wielkość rynku bezpieczeństwa web3.

Bezpieczeństwo Web3 nie jest zepsute, ale słabo rozwinięte. Obecny ekosystem częściowo dojrzałych firm zajmujących się bezpieczeństwem web3 dopiero się rodzi w porównaniu z szeroką gamą typów rozwiązań bezpieczeństwa w web2. Spośród wszystkich firm zajmujących się bezpieczeństwem web3, które osiągnęły Serię A lub mają ponad 3 mln USD rocznych przychodów, większość opiera się głównie na usługach, a audyty inteligentnych kontraktów stanowią główną wartość. Audyt to ręczny proces mający na celu zbadanie kodu projektu i wykrycie luk w zabezpieczeniach. Chociaż audyt jest ważnym filarem bezpieczeństwa web3, w 167 r. miało miejsce 2022 poważnych włamań. Połowa z tych włamań dotyczyła skontrolowanych inteligentnych kontraktów (Raport bezpieczeństwa Beosin Web3), co wskazuje na potrzebę większej infrastruktury bezpieczeństwa i automatyzacji.

Obecny krajobraz bezpieczeństwa Web3

Rozwijający się krajobraz firm zajmujących się bezpieczeństwem web3 można podzielić na trzy główne kategorie: audyt, narzędzia i społeczności. W ramach narzędzi i społeczności niektóre z obszarów, w których obserwujemy wiele wczesnych działań, to bezpieczne opracowywanie kodu, monitorowanie ciągłe lub w czasie wykonywania, nagrody za błędy bezpieczeństwa i społeczności konkurencji oraz bezpieczeństwo transakcji.

Bezpieczny rozwój kodu: Produkty zabezpieczające muszą być zintegrowane z przepływem deweloperskim. Rozwiązania, które pomagają programistom w budowaniu z myślą o bezpieczeństwie i pozwalają programistom zapobiegać wdrażaniu złego kodu, mogą sprawić, że zabezpieczenia na poziomie audytu będą bardziej skalowalne w web3. Świetnym przykładem firmy broniącej tej tezy jest spółka portfelowa CoinFund Certora, które zapewnia narzędzia do zabezpieczania inteligentnych kontraktów z formalną strategią weryfikacji i ma na celu zminimalizowanie luk w zabezpieczeniach inteligentnych kontraktów przed wdrożeniem i wstępnym audytem. Przykłady firm przesuwających granice innowacji obejmują narzędzia do ciągłego tworzenia zabezpieczeń, takie jak Laboratoria Enigmy który się rozwija Dev0x, narzędzie deweloperskie do orkiestracji produktów zabezpieczających. Istnieją również narzędzia do testowania i symulacji transakcji i ekosystemów, takie jak Delikatnie, Laboratoria Chaosu, Rękawica. Projekty te wnoszą wkład do zestawu narzędzi bezpieczeństwa dla programistów, umożliwiając programistom zarządzanie wynikami inteligentnego kontraktu i przewidywanie ich wyników przed ich wdrożeniem.

Monitorowanie ciągłe/w czasie pracy: Firmy takie jak Chainalysis i TRM Labs zebrały łącznie 686.5 miliona dolarów na pośmiertne wykrywanie AML, dochodzenie i analizę danych. Istnieje jednak luka na rynku rozwiązań do monitorowania środowiska wykonawczego w celu proaktywnego zapobiegania lukom w zabezpieczeniach. Dzięki monitorowaniu w czasie rzeczywistym i dodaniu funkcji predykcyjnych do wykrywania exploitów i zapobiegania im, firmy takie jak: wytrzymałość i Cyvers budują, aby wypełnić tę lukę. Forta to rozproszona sieć do ciągłego monitorowania czasu działania, a CyVers to rozwiązanie wykorzystuje uczenie maszynowe do ciągłego monitorowania wielu sieci i automatycznego wykrywania ataków w imieniu giełd, opiekunów i protokołów DeFi. (Zobacz też Teza CoinFund na temat sztucznej inteligencji więcej na temat skrzyżowania sztucznej inteligencji i krypto). Po wykryciu można wdrożyć techniki, takie jak wyprzedzanie transakcji i automatyczne wyłączniki automatyczne, aby ograniczyć utratę aktywów.

Sieci bezpieczeństwa/społeczności: Web3 opiera się na zaangażowaniu społeczności. Istnieją społeczności programistów (np. Developer DAO), społeczności inwestorów (np. FlamingoDAO) oraz infrastruktura dla społeczności finansowych (np. SyndicateDAO, Juicebox). Pojawią się zwycięskie rozwiązania i platformy bezpieczeństwa, które najlepiej agregują i mobilizują specjalistów zajmujących się bezpieczeństwem do zaangażowania się w zabezpieczanie Web3. Na przykład ImmuneFi, kto niedawno zebrał 24 miliony dolarów na swoją serię A, zademonstrował siłę wykorzystywania społeczności do zabezpieczania kodu dla web3, tworząc i zachęcając sieć hakerów w białych kapeluszach do identyfikowania luk w zabezpieczeniach i błędów w inteligentnych kontraktach. Spotykać się z kimś, Immunefi umożliwił nagrody za błędy w wysokości ponad 65 milionów dolarów wypłacane etycznym hakerom. Inne wczesne przykłady, takie jak to, obejmują Kod4rena, Bezpieczny3, PwnedNieWięcej. Rozproszona sieć Forta zachęca sieć profesjonalistów i hobbystów ds. bezpieczeństwa do tworzenia i wdrażania botów wykrywających, inteligentnych kontraktów, które wykrywają złośliwe inteligentne kontrakty i reagują na nie, ostrzegając użytkowników lub twórców kontraktu. Forta wykorzystuje swoją sieć do tworzenia rozwiązań opartych na uczeniu maszynowym w celu wykrywania złośliwych inteligentnych kontraktów .

Rozwiązania w zakresie bezpieczeństwa transakcji konsumenckich i instytucjonalnych: Skierowane do użytkownika produkty zabezpieczające transakcje i portfele, które są kupowane przez użytkownika dApp/protokołu, będą odgrywać ważną rolę w bezpieczeństwie aktywów web3 zarówno dla osób prywatnych, jak i instytucji. Rozwiązania mogą być również sprzedawane portfelom jako sposób na zwiększenie bezpieczeństwa korzystania z portfela. Podczas gdy portfele mogą również pracować nad wbudowywaniem funkcji bezpieczeństwa w swoje produkty, rozwiązania skoncentrowane na bezpieczeństwie, które budują technologiczną fosę za pomocą zastrzeżonych algorytmów w celu wykrywania ryzyka i jak najprostszej integracji, będą wyróżniać się na tle innych i będą mocnym argumentem za zakupem zamiast budować. Świetnym przykładem firmy budującej się w tym kierunku jest Przedefiniuj, która zapewnia oceny ryzyka transakcji w czasie rzeczywistym i alerty, które są oparte na połączeniu mechanizmów symulacji i monitorowania transakcji w czasie rzeczywistym i są dostarczane bezpośrednio do podmiotu najbardziej zmotywowanego do ochrony środków, użytkownika. Niektóre inne rozwiązania typu „firewall” chroniące transakcję to w szczególności Shield, Hexagon i Web3Builders' TrustCheck.

Wyjście poza audyt: Często duże firmy audytorskie dostrzegają potrzebę uproduktowienia, aby rozszerzyć swoją ofertę i zwiększyć skalowalność swoich firm. Halborn, choć dziś koncentruje się głównie na audytach ręcznych, buduje z zamiarem wprowadzenia narzędzia automatyzacji procesów do audytu i devops na rynek. Firmy takie jak Quantstamp i Sherlock, spółka portfelowa CoinFund, stosuje inne podejście, badając skrzyżowanie audytu bezpieczeństwa i ubezpieczenia aktywów.

Co jest ważne w bezpieczeństwie web3?

Na wysokim poziomie istnieje kilka kluczowych punktów tezy, które kierują moim myśleniem w kierunku rozwoju bezpieczeństwa Web3:

• Identyfikacja kluczowych interesariuszy bezpieczeństwa: Web3 wprowadza fundamentalną zmianę w sposobie myślenia o rynku docelowym produktów i usług związanych z bezpieczeństwem. Deweloperzy i projekty, zmotywowani przyjęciem produktu web3, oraz użytkownicy zmotywowani do ochrony swoich zasobów, są najważniejszymi klientami rozwiązań bezpieczeństwa. Różni się to od web2, gdzie przedsiębiorstwa były prawnie i ekonomicznie odpowiedzialne za ochronę danych użytkowników. W świecie, w którym użytkownicy są właścicielami własnych danych, dziedziczą również wyzwanie związane z ich ochroną i będą korzystać z najbezpieczniejszych protokołów oraz nowych produktów, które umożliwiają użytkownikom bezpośrednie zabezpieczenie ich własnych zasobów.
• Zapobieganie, łagodzenie i reagowanie: Bezpieczeństwo to podejście warstwowe (IBM) i istnieje potrzeba ciągłego i proaktywna strategia bezpieczeństwa, której nie można osiągnąć przez dzisiejsze (prawie wyłączne) skupienie się na audytach przed uruchomieniem w web3. Kod nigdy nie może być całkowicie wolny od luk w zabezpieczeniach, co sprawia, że ​​łagodzenie luk w zabezpieczeniach i reagowanie na nie w czasie rzeczywistym jest konieczne w web3, podobnie jak w web2.
• Połączenie tradycyjnego bezpieczeństwa i wiedzy o web3: Bezpieczeństwo jest historycznie bardzo wymagającym i zatłoczonym rynkiem, na którym talent i strategia hakerów stale ewoluują. Pomimo wielu tysięcy startupów zajmujących się bezpieczeństwem na rynku, tylko garstka osiągnęła potencjał przełomowy. Najbardziej atrakcyjni są plastyczni i szybko iterujący założyciele, którzy dobrze znają tradycyjne zabezpieczenia i rozwijający się krajobraz bezpieczeństwa Web3. Chociaż web3 jest nowością, podstawowe problemy bezpieczeństwa i rozwiązania są dobrze rozumiane. Dlatego badacze bezpieczeństwa, którzy spędzili lata na badaniu luk w zabezpieczeniach technologii, poprowadzą drogę do zabezpieczenia web3

Czego szukamy w możliwości zainwestowania w zabezpieczenia

W CoinFund inwestujemy w firmy, które sprawiają, że łańcuchy bloków są łatwiejsze w budowaniu, użytkowaniu i bezpiecznym dostępie. Skalowalne rozwiązania, produkty i sieci, które posuwają naprzód bezpieczeństwo web3, są ważnymi elementami tej wizji. Zespoły, które są najbardziej atrakcyjne z perspektywy inwestycyjnej, to zespoły posiadające (1) specjalistyczną wiedzę na temat głębokiego bezpieczeństwa web2, a także spojrzenie na kryptografię, (2) umiejętność określenia, „kogo najbardziej obchodzi” bezpieczeństwo, które zapewniają, i skutecznej sprzedaży tym interesariuszom niezależnie od tego, czy są to twórcy protokołów, czy użytkownicy instytucjonalni i indywidualni, (3) produkt lub sieć, które można skalować zgodnie ze zdolnością podstawowej technologii do obsługi klientów.

Na rynku bezpieczeństwa web3, podobnie jak w przypadku bezpieczeństwa web2, powstaną tysiące rozwiązań. Jednak stosunkowo niewiele z nich rozwinie się do miliardów dolarów, a CoinFund ma na celu współpracę z założycielami, którzy chcą stać się wiodącymi standardami w branży w miarę rozwoju rynku bezpieczeństwa dla technologii web3. Chcemy inwestować w zespoły, które rozbudowują stack bezpieczeństwa web3. Jeśli tworzysz narzędzie dla programistów, które pomaga programistom tworzyć z myślą o bezpieczeństwie, rozwiązanie, które pomaga rozszerzyć nacisk na bezpieczeństwo z zapobiegania na łagodzenie i reagowanie, lub narzędzie, które codziennie pomaga użytkownikom łańcucha bloków chronić ich zasoby, szukamy Ty.

Istnieje wiele obszarów bezpieczeństwa web3, które pominęliśmy w tym poście. Bezpieczne zarządzanie kluczami, bezpieczna opieka i prywatność są ważne same w sobie. Co jest dla Ciebie najważniejsze w bezpieczeństwie web3? Chciałbym to usłyszeć w komentarzach lub w moich DM. Ponadto, jeśli budujesz rozwiązanie w przestrzeni bezpieczeństwa web3, chętnie porozmawiam. Dzięki!

TG: @isaiahwash

E-mail: isaiah@coinfund.io

[Dziękuję zespołowi CoinFund, a także Mooleyowi Sagivowi (Certora), Jesse Tasmanowi (Redefine), Donowi Ho (Quantstamp), Catrinie Wang (Protocol Labs) i innym za pomoc w dopracowaniu moich myśli]

Wyrażone tutaj poglądy są poglądami poszczególnych cytowanych pracowników CoinFund Management LLC („CoinFund”) i nie są poglądami CoinFund ani jego podmiotów stowarzyszonych. Niektóre informacje zawarte w niniejszym dokumencie zostały uzyskane ze źródeł zewnętrznych, w tym ze spółek portfelowych funduszy zarządzanych przez CoinFund. Chociaż pochodzą ze źródeł uważanych za wiarygodne, CoinFund nie zweryfikował niezależnie takich informacji i nie składa żadnych oświadczeń dotyczących trwałej dokładności informacji lub ich stosowności w danej sytuacji. Ponadto treści te mogą zawierać reklamy osób trzecich; CoinFund nie przeglądał takich reklam i nie popiera żadnych zawartych w nich treści reklamowych.

Te treści są udostępniane wyłącznie w celach informacyjnych i nie należy ich traktować jako porady prawnej, biznesowej, inwestycyjnej lub podatkowej. Powinieneś skonsultować się w tych sprawach z własnymi doradcami. Odniesienia do jakichkolwiek papierów wartościowych lub aktywów cyfrowych służą wyłącznie celom ilustracyjnym i nie stanowią rekomendacji inwestycyjnej ani oferty świadczenia usług doradztwa inwestycyjnego. Ponadto treść ta nie jest skierowana ani przeznaczona do użytku przez jakichkolwiek inwestorów lub potencjalnych inwestorów i w żadnym wypadku nie można na nich polegać przy podejmowaniu decyzji o inwestowaniu w jakikolwiek fundusz zarządzany przez CoinFund. (Oferta inwestycji w fundusz CoinFund zostanie złożona wyłącznie na podstawie memorandum dotyczącego oferty prywatnej, umowy subskrypcyjnej i innej odpowiedniej dokumentacji takiego funduszu i należy ją przeczytać w całości.) Wszelkie inwestycje lub spółki portfelowe wymienione, wymienione lub opisane nie są reprezentatywne dla wszystkich inwestycji w pojazdy zarządzane przez CoinFund i nie można zapewnić, że inwestycje będą opłacalne lub że inne inwestycje dokonane w przyszłości będą miały podobne cechy lub wyniki. Lista inwestycji dokonanych przez fundusze zarządzane przez CoinFund (z wyłączeniem inwestycji, w przypadku których emitent nie wyraził zgody na publiczne ujawnienie CoinFund oraz niezapowiedzianych inwestycji w aktywa cyfrowe będące w obrocie publicznym) jest dostępna pod adresem https://www.coinfund.io/portfolio.

Wykresy i wykresy zamieszczone w niniejszym dokumencie służą wyłącznie celom informacyjnym i nie należy na nich polegać przy podejmowaniu jakichkolwiek decyzji inwestycyjnych. Wyniki osiągnięte w przeszłości nie wskazują na przyszłe wyniki. Treść mówi dopiero od wskazanej daty. Wszelkie prognozy, szacunki, prognozy, cele, perspektywy i/lub opinie wyrażone w tych materiałach mogą ulec zmianie bez powiadomienia i mogą się różnić lub być sprzeczne z opiniami wyrażanymi przez innych.