av Isaiah Washington

$3B+ förlorade på smarta kontraktsexploater 2022 (Chainalysis) avslöjar omognaden i säkerhetslandskapet och underanvändningen av säkerhetspraxis i web3. Grundläggande skillnader mellan web2- och web3-teknologier skapar nya möjligheter att både attackera och säkra data och tillgångar för användare som utnyttjar blockchain. Idag uppskattas den globala cybersäkerhetsmarknaden till cirka 167 miljarder dollar (McKinsey). När web3 kommer längre på S-kurvan för adoption kommer den att inkludera både finansiell och icke-finansiell data, så vi kommer att se en lika stor marknad för web3-säkerhet som ett minimum.

Web3-säkerheten är inte trasig, utan underutvecklad. Det nuvarande ekosystemet av halvmogna web3-säkerhetsföretag är begynnande jämfört med bredden av säkerhetslösningstyper i web2. Av alla webb3-säkerhetsföretag som har tagit upp en serie A eller är över 3 miljoner USD i årliga intäkter, är majoriteten mestadels tjänstebaserade med smarta kontraktsrevisioner som det viktigaste erbjudandet. Revision är en manuell process för att granska ett projekts kod och belysa säkerhetsbrister. Även om revision är en viktig pelare för webb3-säkerhet, fanns det 167 stora hack 2022. Hälften av dessa hack var av granskade smarta kontrakt (Beosin Web3 Säkerhetsrapport), vilket visar behovet av mer säkerhetsinfrastruktur och automatisering.

Det nuvarande Web3-säkerhetslandskapet

Web3-säkerhetsföretagens utvecklingslandskap kan delas upp i tre huvudkategorier: revision, verktyg och gemenskaper. Inom verktyg och gemenskaper är några av de områden där vi ser mycket tidig aktivitet säker kodutveckling, kontinuerlig övervakning eller körtidsövervakning, säkerhetsbuggar och konkurrensgemenskaper och transaktionssäkerhet.

Säker kodutveckling: Säkerhetsprodukter måste integreras i utvecklarflödet. Lösningar som hjälper utvecklare att bygga med ett "säkerhet-först"-tänk och låter utvecklare förhindra distribution av dålig kod kan hjälpa till att göra säkerheten på revisionsnivå mer skalbar i web3. Ett bra exempel på ett företag som kämpar för denna avhandling är CoinFunds portföljbolag Certora, som tillhandahåller verktyg för att säkra smarta kontrakt med formell verifieringsstrategi och är utformad för att minimera sårbarheter i smarta kontrakt före implementering och förgranskning. Exempel på företag som tänjer på gränserna för innovation här inkluderar kontinuerliga säkerhetsutvecklingsverktyg som Enigma Labs som utvecklas Dev0x, ett utvecklarverktyg för orkestrering av säkerhetsprodukter. Det finns också transaktions- och ekosystemtester och simuleringsverktyg som Ömt, Chaos Labsoch Gatlopp. Dessa projekt bidrar till säkerhetsverktyget för utvecklare genom att tillåta utvecklare att hantera och förutsäga smarta kontraktsutdata innan de distribueras.

Kontinuerlig/körtidsövervakning: Företag som Chainalysis och TRM Labs har samlat in 686.5 miljoner USD för post mortem AML-detektion, utredning och dataanalys. Det finns dock en lucka på marknaden för runtime-övervakningslösningar för att proaktivt förhindra säkerhetsmissbruk. Genom att ta övervakning i realtid och lägga till prediktiva möjligheter för att upptäcka och förebygga utnyttjande, gillar företag Tvinga och Cyvers bygger för att fylla denna lucka. Forta är ett distribuerat nätverk för kontinuerlig körtidsövervakning och CyVers är lösningen som utnyttjar maskininlärning att kontinuerligt övervaka flera nätverk och automatiskt upptäcka attacker på uppdrag av börser, vårdnadshavare och DeFi-protokoll. (Se även CoinFunds avhandling om AI för mer om skärningspunkten mellan AI och krypto). Efter upptäckt kan tekniker som transaktioner i förväg och automatiserade strömbrytare användas för att minska tillgångar.

Säkerhetsnätverk/gemenskaper: Web3 drivs av samhällsengagemang. Det finns utvecklargemenskaper (dvs. utvecklare DAO), investerargemenskaper (dvs. FlamingoDAO) och infrastruktur för finansiella gemenskaper (t.ex. SyndicateDAO, Juicebox). Det kommer att finnas vinnande säkerhetslösningar och plattformar som bäst samlar och mobiliserar säkerhetsfokuserade proffs att engagera sig i att säkra webb3. Till exempel ImmuneFi, som samlade nyligen in 24 miljoner dollar för sin serie A, har visat kraften i att utnyttja communityn för att säkra kod för web3 genom att skapa och uppmuntra ett nätverk av white-hat-hackers för att identifiera sårbarheter och buggar i smarta kontrakt. Hittills, Immunefi har finansierat över 65 miljoner dollar i buggar betalas ut till etiska hackare. Andra tidiga exempel som det inkluderar Code4rena, Säker 3och PwnedNoMore. Fortas distribuerade nätverk uppmuntrar ett nätverk av säkerhetsproffs och hobbyister att bygga och distribuera upptäcktsrobotar, smarta kontrakt som upptäcker och svarar på skadliga smarta kontrakt genom att varna kontraktets användare eller skapare. Forta utnyttjar sitt nätverk för att skapa maskininlärningsbaserade lösningar för att upptäcka skadliga smarta kontrakt .

Säkerhetslösningar för konsument- och institutionella transaktioner: Användarvända transaktions- och plånbokssäkerhetsprodukter som köps av användaren av en dApp/protokoll kommer att spela en viktig roll i webb3-tillgångssäkerhet för både individer och institutioner. Lösningar kan också säljas till själva plånböckerna som ett sätt att göra den övergripande upplevelsen av att använda plånboken säkrare. Även om plånböcker också kan bygga in säkerhetsfunktioner i sina produkter själva, kommer säkerhetsfokuserade lösningar som bygger en teknisk vallgrav genom att använda proprietära algoritmer för att upptäcka risker och göra integrationen så enkel som möjligt att sticka ut över resten och göra ett starkt argument för köp snarare än att bygga. Ett bra exempel på ett företagsbyggande i denna riktning är Omdefiniera, som tillhandahåller transaktionsriskbedömningar och varningar i realtid som informeras av en kombination av transaktionssimulering och övervakningsmekanismer i realtid och som levereras direkt till den enhet som är mest motiverad att skydda pengar, användaren. Några andra lösningar av typen "brandvägg" som skyddar transaktorn inkluderar specifikt Shield, Hexagon och Web3Builders TrustCheck.

Går bortom revision: Ofta inser stora revisionsbyråer behovet av produktisering för att utöka sina erbjudanden och göra sina företag mer skalbara. Även om Halborn idag främst fokuserar på manuella revisioner, bygger han med avsikten att ta med sig processautomationsverktyg för revision och devops till marknaden. Företag som Quantstamp och Sherlock, ett CoinFund-portföljbolag, tar ett annat tillvägagångssätt genom att utforska skärningspunkten mellan säkerhetsrevision och tillgångsförsäkring.

Vad är viktigt i web3-säkerhet?

På en hög nivå finns det några viktiga avhandlingspunkter som driver mitt tänkande mot webb3-säkerhetsutveckling:

• Identifiering av viktiga säkerhetsintressenter: Web3 introducerar en grundläggande förändring i hur vi tänker på målmarknaden för säkerhetsprodukter och -tjänster. Utvecklare och projekt, motiverade av webb3-produktadoption, och användare, motiverade att skydda sina tillgångar, är de viktigaste kunderna för säkerhetslösningar. Detta skiljer sig från web2 där företag var juridiskt och ekonomiskt ansvariga för skyddet av användardata. I en värld där användare äger sin egen data, ärver de också utmaningen att skydda den och kommer att använda de säkraste protokollen och nya produkter som gör det möjligt för användare att säkra sina egna tillgångar direkt.
• Förebyggande, begränsning och reaktion: Säkerhet är ett skiktat tillvägagångssätt (IBM) och det finns ett behov av kontinuerlig och proaktiv säkerhetsstrategi som inte uppnås av dagens (nästan exklusiva) fokus på pre-launch revision i web3. Kod kan aldrig vara helt sårbarhetsfri, vilket gör att begränsning och respons i realtid är nödvändig i web3 som det är i web2.
• En kombination av traditionell säkerhet och web3 expertis: Säkerhet är historiskt sett en mycket utmanande och trång marknad där hackarnas talang och strategi ständigt utvecklas. Trots många tusen säkerhetsstartuper på marknaden har bara en handfull nått utbrottspotential. Formbara och snabba grundare som känner till traditionell säkerhet och det växande webb3-säkerhetslandskapet är mest attraktiva. Även om web3 är nytt, förstås grundläggande säkerhetsproblem och lösningar väl. Därför kommer säkerhetsforskare som har ägnat flera år åt att förstå sårbarheter i teknik leda vägen för att säkra webb3

Vad vi letar efter i en investeringsbar säkerhetsmöjlighet

På CoinFund investerar vi i företag som gör blockkedjor lättare att bygga vidare på, använda och komma åt på ett säkert sätt. Skalbara lösningar, produkter och nätverk som driver webb3-säkerhet framåt är viktiga delar av den visionen. Team som är mest attraktiva ur ett investeringsperspektiv är team med (1) djup webb2-säkerhetsexpertis såväl som en kryptonativ syn, (2) en förmåga att identifiera "vem som bryr sig" mest om den säkerhet de tillhandahåller och effektivt säljer till dessa intressenter vare sig de är protokollutvecklare eller institutionella och individuella användare, (3) en produkt eller ett nätverk som kan skalas i linje med den underliggande teknikens förmåga att betjäna kunder.

På webb3-säkerhetsmarknaden kommer tusentals lösningar att skapas, vilket var fallet inom web2-säkerhet. Men jämförelsevis få kommer att skala till miljardföretag och CoinFund siktar på att samarbeta med grundare med ögonen inställda på att bli industriledande standarder när säkerhetsmarknaden för web3-teknik utvecklas. Vi vill investera i team som utökar webb3-säkerhetsstacken. Om du bygger ett utvecklarverktyg för att hjälpa utvecklare att bygga med ett säkerhetstänk, en lösning som hjälper till att utöka säkerhetsfokuset från förebyggande till begränsning och respons, eller ett verktyg som hjälper varje dag blockchain-användare att skydda sina tillgångar, letar vi efter du.

Det finns många områden av web3-säkerhet som vi utelämnade i det här inlägget. Säker nyckelhantering, säker förvaring och integritet ligger djupt i sig själva. Vad är viktigast för dig inom web3-säkerhet? Jag skulle gärna höra det i kommentarerna eller i mina DM:s. Dessutom, om du bygger en lösning i webb3-säkerhetsutrymmet, skulle jag gärna chatta. Skål!

TG: @isaiahwash

E-post: isaiah@coinfund.io

[Tack till CoinFund-teamet såväl som Mooley Sagiv(Certora), Jesse Tasman(Redefine), Don Ho(Quantstamp), Catrina Wang(Protocol Labs) och andra för att ni hjälpte mig förfina mina tankar]

De åsikter som uttrycks här är de från den individuella CoinFund Management LLC ("CoinFund") personal som citeras och är inte synpunkter från CoinFund eller dess dotterbolag. Viss information häri har erhållits från tredjepartskällor, inklusive från portföljbolag med fonder som förvaltas av CoinFund. Även om det är hämtat från källor som anses vara tillförlitliga, har CoinFund inte självständigt verifierat sådan information och gör inga utfästelser om informationens varaktiga riktighet eller dess lämplighet för en given situation. Dessutom kan detta innehåll innehålla tredjepartsannonser; CoinFund har inte granskat sådana annonser och stöder inte något reklaminnehåll som finns däri.

Detta innehåll tillhandahålls endast i informationssyfte och bör inte litas på som juridisk rådgivning, affärs-, investerings- eller skatterådgivning. Du bör rådfråga dina egna rådgivare i dessa frågor. Hänvisningar till värdepapper eller digitala tillgångar är endast i illustrativt syfte och utgör inte en investeringsrekommendation eller erbjudande om att tillhandahålla investeringsrådgivningstjänster. Dessutom är detta innehåll inte riktat till eller avsett att användas av några investerare eller potentiella investerare, och får inte under några omständigheter litas på när man fattar ett beslut om att investera i någon fond som förvaltas av CoinFund. (Ett erbjudande om att investera i en CoinFund-fond kommer endast att göras av den privata placeringsmemorandumet, teckningsavtalet och annan relevant dokumentation för en sådan fond och bör läsas i sin helhet.) Alla investeringar eller portföljbolag som nämns, hänvisas till, eller beskrivna är inte representativa för alla investeringar i fordon som hanteras av CoinFund, och det finns ingen garanti för att investeringarna kommer att vara lönsamma eller att andra investeringar som görs i framtiden kommer att ha liknande egenskaper eller resultat. En lista över investeringar gjorda av fonder som förvaltas av CoinFund (exklusive investeringar för vilka emittenten inte har gett tillstånd för CoinFund att offentliggöra såväl som oanmälda investeringar i offentligt handlade digitala tillgångar) finns på https://www.coinfund.io/portfolio.

Diagram och grafer som tillhandahålls i är endast i informationssyfte och bör inte litas på när man fattar investeringsbeslut. Tidigare resultat är inte en indikation på framtida resultat. Innehållet talar endast från det angivna datumet. Alla prognoser, uppskattningar, prognoser, mål, framtidsutsikter och/eller åsikter som uttrycks i detta material kan ändras utan föregående meddelande och kan skilja sig åt eller strida mot åsikter som uttrycks av andra.