โดย อิสยาห์ วอชิงตัน

$3B+ สูญเสียไปจากการใช้ประโยชน์จากสัญญาอัจฉริยะในปี 2022 (Chainalysis) เผยให้เห็นความไม่สมบูรณ์แบบของภูมิทัศน์ด้านความปลอดภัยและการใช้แนวทางปฏิบัติด้านความปลอดภัยใน web3 น้อยเกินไป ความแตกต่างพื้นฐานระหว่างเทคโนโลยี web2 และ web3 สร้างโอกาสใหม่ในการโจมตีและรักษาความปลอดภัยข้อมูลและทรัพย์สินของผู้ใช้โดยใช้บล็อกเชน วันนี้ ตลาดความปลอดภัยทางไซเบอร์ทั่วโลกอยู่ที่ประมาณ $167B (McKinsey). เมื่อ web3 ก้าวไปสู่ ​​S-curve ของการนำไปใช้ มันจะมีทั้งข้อมูลทางการเงินและที่ไม่ใช่ทางการเงิน ดังนั้นเราจะเห็นตลาดที่มีขนาดใกล้เคียงกันสำหรับการรักษาความปลอดภัย web3 เป็นขั้นต่ำ

การรักษาความปลอดภัย Web3 ไม่ได้เสียหาย แต่ด้อยพัฒนา. ระบบนิเวศปัจจุบันของบริษัทรักษาความปลอดภัย web3 กึ่งสมบูรณ์นั้นเพิ่งเกิดขึ้นเมื่อเทียบกับประเภทโซลูชันการรักษาความปลอดภัยใน web2 ในบรรดาบริษัทด้านความปลอดภัยบนเว็บ 3 แห่งที่มีรายรับต่อปีสูงกว่าระดับ Series A หรือสูงกว่า 3 ล้านเหรียญสหรัฐ บริษัทส่วนใหญ่ส่วนใหญ่ให้บริการโดยใช้การตรวจสอบสัญญาอัจฉริยะเป็นคุณค่าหลัก การตรวจสอบเป็นกระบวนการที่ดำเนินการด้วยตนเองเพื่อกลั่นกรองโค้ดของโครงการและเน้นย้ำถึงช่องโหว่ด้านความปลอดภัย ในขณะที่การตรวจสอบเป็นเสาหลักที่สำคัญของการรักษาความปลอดภัย web3 มีการแฮ็กครั้งใหญ่ 167 ครั้งในปี 2022 ครึ่งหนึ่งของการแฮ็กเหล่านี้เป็นสัญญาอัจฉริยะที่ผ่านการตรวจสอบ (รายงานความปลอดภัยของ Beosin Web3) แสดงให้เห็นถึงความต้องการโครงสร้างพื้นฐานด้านความปลอดภัยและระบบอัตโนมัติที่มากขึ้น

ภาพรวมความปลอดภัยของ Web3 ปัจจุบัน

ภูมิทัศน์ที่กำลังพัฒนาของบริษัทรักษาความปลอดภัย web3 สามารถแบ่งออกเป็นสามประเภทหลัก: การตรวจสอบ เครื่องมือ และชุมชน ภายในเครื่องมือและชุมชน พื้นที่บางส่วนที่เราเห็นกิจกรรมในช่วงแรกคือการพัฒนาโค้ดที่ปลอดภัย การตรวจสอบอย่างต่อเนื่องหรือรันไทม์ การให้รางวัลข้อบกพร่องด้านความปลอดภัยและชุมชนการแข่งขัน และการรักษาความปลอดภัยในการทำธุรกรรม

การพัฒนารหัสที่ปลอดภัย: ผลิตภัณฑ์ด้านความปลอดภัยจำเป็นต้องรวมเข้ากับโฟลว์ของนักพัฒนา โซลูชันที่ช่วยให้นักพัฒนาสร้างด้วยกรอบความคิด "ความปลอดภัยมาก่อน" และอนุญาตให้ผู้พัฒนาป้องกันการปรับใช้โค้ดที่ไม่ถูกต้องสามารถช่วยให้การรักษาความปลอดภัยระดับการตรวจสอบปรับขนาดได้มากขึ้นใน web3 ตัวอย่างที่ดีของบริษัทที่สนับสนุนวิทยานิพนธ์นี้คือบริษัทในพอร์ตโฟลิโอของ CoinFund เซอร์โตร่าซึ่งมีเครื่องมือสำหรับการรักษาความปลอดภัยของสัญญาอัจฉริยะด้วยกลยุทธ์การตรวจสอบอย่างเป็นทางการ และได้รับการออกแบบมาเพื่อลดช่องโหว่ของสัญญาอัจฉริยะให้เหลือน้อยที่สุดก่อนการใช้งานและการตรวจสอบล่วงหน้า ตัวอย่างของบริษัทที่ผลักดันขอบเขตของนวัตกรรมในที่นี้ ได้แก่ เครื่องมือพัฒนาความปลอดภัยอย่างต่อเนื่อง เช่น อีนิกมาแล็บส์ ซึ่งกำลังพัฒนา Dev0xซึ่งเป็นเครื่องมือสำหรับนักพัฒนาสำหรับการประสานผลิตภัณฑ์ด้านความปลอดภัย นอกจากนี้ยังมีเครื่องมือทดสอบการทำธุรกรรมและระบบนิเวศและการจำลองเช่น อ่อนโยน, เคออสแล็บส์และ การฝ่าอันตราย. โปรเจ็กต์เหล่านี้สนับสนุนชุดเครื่องมือรักษาความปลอดภัยสำหรับนักพัฒนาโดยอนุญาตให้นักพัฒนาจัดการและคาดการณ์ผลลัพธ์ของสัญญาอัจฉริยะก่อนที่จะนำไปใช้งาน

การตรวจสอบต่อเนื่อง/รันไทม์: บริษัทต่างๆ เช่น Chainalysis และ TRM Labs ได้ระดมทุนรวมกัน 686.5 ล้านดอลลาร์สำหรับการตรวจจับ AML หลังชันสูตร การสอบสวน และการวิเคราะห์ข้อมูล อย่างไรก็ตาม มีช่องว่างในตลาดสำหรับโซลูชันการตรวจสอบรันไทม์สำหรับการป้องกันเชิงรุกจากการแสวงหาผลประโยชน์ด้านความปลอดภัย ด้วยการตรวจสอบตามเวลาจริงและเพิ่มความสามารถในการคาดการณ์สำหรับการตรวจจับและป้องกันการเจาะระบบ บริษัทต่างๆ เช่น ฟอร์ตา และ ไซเวอร์ กำลังสร้างเพื่อเติมเต็มช่องว่างนี้ Forta เป็นเครือข่ายแบบกระจายสำหรับการตรวจสอบรันไทม์อย่างต่อเนื่อง และ CyVers เป็นโซลูชันนั้น ใช้ประโยชน์จากการเรียนรู้ของเครื่อง เพื่อตรวจสอบหลายเครือข่ายอย่างต่อเนื่องและตรวจจับการโจมตีโดยอัตโนมัติในนามของการแลกเปลี่ยน ผู้ดูแล และโปรโตคอล DeFi (ดูสิ่งนี้ด้วย วิทยานิพนธ์ของ CoinFund เกี่ยวกับ AI สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการตัดกันของ AI และ crypto) หลังจากการตรวจจับ สามารถนำเทคนิคต่าง ๆ เช่น การทำธุรกรรมล่วงหน้าและเบรกเกอร์วงจรอัตโนมัติมาใช้เพื่อลดการสูญเสียสินทรัพย์

เครือข่ายความปลอดภัย/ชุมชน: Web3 ขับเคลื่อนโดยการมีส่วนร่วมของชุมชน มีชุมชนนักพัฒนา (เช่น Developer DAO) ชุมชนนักลงทุน (เช่น FlamingoDAO) และโครงสร้างพื้นฐานสำหรับชุมชนการเงิน (เช่น SyndicateDAO, Juicebox) จะมีโซลูชันและแพลตฟอร์มด้านความปลอดภัยที่ได้รับรางวัลซึ่งรวบรวมและระดมผู้เชี่ยวชาญที่มุ่งเน้นด้านความปลอดภัยได้ดีที่สุดเพื่อมีส่วนร่วมในการรักษาความปลอดภัยของเว็บ3 ตัวอย่างเช่น ImmuneFi ใคร เพิ่งระดมทุนได้ 24 ล้านดอลลาร์สำหรับ Series Aได้แสดงพลังของการใช้ประโยชน์จากชุมชนเพื่อรักษาความปลอดภัยรหัสสำหรับ web3 โดยการสร้างและจูงใจเครือข่ายของแฮ็กเกอร์หมวกขาวเพื่อระบุช่องโหว่และจุดบกพร่องในสัญญาอัจฉริยะ จนถึงปัจจุบัน Immunefi ได้อำนวยความสะดวกมากกว่า $ 65M ในด้านข้อผิดพลาด จ่ายให้กับแฮ็กเกอร์ที่มีจริยธรรม ตัวอย่างแรกอื่น ๆ เช่นมันรวมถึง Code4rena, ปลอดภัย 3และ PwnedNo More. เครือข่ายแบบกระจายของ Forta สร้างแรงจูงใจให้เครือข่ายของผู้เชี่ยวชาญด้านความปลอดภัยและมือสมัครเล่นสร้างและปรับใช้บอทตรวจจับ ซึ่งเป็นสัญญาอัจฉริยะที่ตรวจจับและตอบสนองต่อสัญญาอัจฉริยะที่เป็นอันตรายโดยแจ้งเตือนผู้ใช้หรือผู้สร้างสัญญา Forta ใช้ประโยชน์จากเครือข่ายเพื่อสร้างโซลูชันที่ใช้การเรียนรู้ของเครื่องเพื่อตรวจจับสัญญาอัจฉริยะที่เป็นอันตราย .

โซลูชันความปลอดภัยของการทำธุรกรรมของผู้บริโภคและสถาบัน: ธุรกรรมที่ผู้ใช้เผชิญหน้าและผลิตภัณฑ์รักษาความปลอดภัยกระเป๋าเงินที่ซื้อโดยผู้ใช้ dApp/โปรโตคอล จะมีบทบาทสำคัญในการรักษาความปลอดภัยสินทรัพย์ web3 สำหรับทั้งบุคคลและสถาบัน โซลูชันยังสามารถขายให้กับกระเป๋าเงินได้ด้วยเพื่อให้ประสบการณ์โดยรวมของการใช้กระเป๋าเงินปลอดภัยยิ่งขึ้น ในขณะที่กระเป๋าเงินยังสามารถทำงานเพื่อสร้างฟังก์ชันความปลอดภัยในผลิตภัณฑ์ของตนได้ โซลูชันที่เน้นความปลอดภัยซึ่งสร้างคูเมืองทางเทคโนโลยีโดยใช้อัลกอริทึมที่เป็นกรรมสิทธิ์เพื่อตรวจจับความเสี่ยงและทำให้การรวมระบบทำได้ง่ายที่สุดเท่าที่จะเป็นไปได้จะโดดเด่นเหนือสิ่งอื่นใด และเป็นกรณีที่แข็งแกร่งสำหรับการซื้อ มากกว่าการสร้าง ตัวอย่างที่ดีอย่างหนึ่งของการสร้างบริษัทในทิศทางนี้คือ สร้างนิยามใหม่ให้ซึ่งให้การประเมินความเสี่ยงในการทำธุรกรรมตามเวลาจริงและการแจ้งเตือนที่แจ้งโดยการผสมผสานระหว่างการจำลองการทำธุรกรรมแบบเรียลไทม์และกลไกการตรวจสอบ และส่งตรงไปยังหน่วยงานที่ต้องการปกป้องเงินทุนมากที่สุด ซึ่งก็คือผู้ใช้ โซลูชันประเภท "ไฟร์วอลล์" อื่น ๆ บางส่วนที่ปกป้องทรานส์คเตอร์โดยเฉพาะ ได้แก่ Shield, Hexagon และ TrustCheck ของ Web3Builders.

ไปไกลกว่าการตรวจสอบ: บ่อยครั้งที่บริษัทตรวจสอบบัญชีรายใหญ่ตระหนักถึงความจำเป็นในการผลิตเพื่อขยายข้อเสนอและทำให้บริษัทของตนปรับขนาดได้มากขึ้น Halborn แม้ว่าวันนี้จะมุ่งเน้นไปที่การตรวจสอบด้วยตนเองเป็นหลัก แต่กำลังสร้างด้วยความตั้งใจที่จะนำ ประมวลผลเครื่องมืออัตโนมัติสำหรับการตรวจสอบและส่งมอบสู่ตลาด. บริษัทอย่าง Quantstamp และ เชอร์ล็อกบริษัทในพอร์ตโฟลิโอของ CoinFund กำลังใช้แนวทางอื่นโดยการสำรวจจุดตัดกันของการตรวจสอบความปลอดภัยและการประกันทรัพย์สิน

การรักษาความปลอดภัย web3 มีความสำคัญอย่างไร

ในระดับสูง มีวิทยานิพนธ์หลักสองสามประเด็นที่ขับเคลื่อนความคิดของฉันไปสู่การพัฒนาความปลอดภัยของเว็บ 3:

• การระบุผู้มีส่วนได้เสียด้านความปลอดภัยที่สำคัญ: Web3 นำเสนอการเปลี่ยนแปลงพื้นฐานในวิธีที่เราคิดเกี่ยวกับตลาดเป้าหมายของผลิตภัณฑ์และบริการด้านความปลอดภัย นักพัฒนาและโครงการที่ได้รับแรงบันดาลใจจากการนำผลิตภัณฑ์ web3 มาใช้ และผู้ใช้ที่มีแรงจูงใจในการปกป้องทรัพย์สินของพวกเขา คือลูกค้าโซลูชันการรักษาความปลอดภัยที่สำคัญที่สุด สิ่งนี้แตกต่างจาก web2 ที่ธุรกิจต้องรับผิดทางกฎหมายและทางเศรษฐกิจในการปกป้องข้อมูลผู้ใช้ ในโลกที่ผู้ใช้เป็นเจ้าของข้อมูลของตนเอง พวกเขายังได้รับความท้าทายในการปกป้องข้อมูลและจะใช้โปรโตคอลที่ปลอดภัยที่สุดและผลิตภัณฑ์ใหม่ที่ช่วยให้ผู้ใช้สามารถรักษาความปลอดภัยทรัพย์สินของตนเองได้โดยตรง
• การป้องกัน บรรเทา และตอบสนอง: การรักษาความปลอดภัยเป็นวิธีการแบบหลายชั้น (ไอบีเอ็ม) และมีความต้องการอย่างต่อเนื่อง และ กลยุทธ์การรักษาความปลอดภัยเชิงรุกที่ไม่สามารถทำได้โดยการมุ่งเน้น (เกือบพิเศษ) ในปัจจุบันที่การตรวจสอบก่อนเปิดตัวใน web3 โค้ดไม่สามารถปราศจากช่องโหว่ได้อย่างสมบูรณ์ ซึ่งทำให้การบรรเทาการโจมตีแบบเรียลไทม์และการตอบสนองที่จำเป็นใน web3 เช่นเดียวกับใน web2
• การผสมผสานระหว่างความปลอดภัยแบบดั้งเดิมและความเชี่ยวชาญด้าน web3: ในอดีตการรักษาความปลอดภัยเป็นตลาดที่ท้าทายและแออัดมาก ซึ่งความสามารถและกลยุทธ์ของแฮ็กเกอร์มีการพัฒนาอย่างต่อเนื่อง แม้จะมีสตาร์ทอัพด้านความปลอดภัยหลายพันรายในตลาด แต่มีเพียงไม่กี่รายเท่านั้นที่บรรลุศักยภาพในการฝ่าวงล้อม ผู้ก่อตั้งที่คล่องแคล่วและทำซ้ำได้อย่างรวดเร็วซึ่งรู้จักการรักษาความปลอดภัยแบบดั้งเดิมอย่างใกล้ชิดและแนวการรักษาความปลอดภัย web3 ที่กำลังพัฒนานั้นน่าสนใจที่สุด แม้ว่า web3 จะเป็นเรื่องใหม่ แต่ปัญหาด้านความปลอดภัยขั้นพื้นฐานและแนวทางแก้ไขนั้นเป็นที่เข้าใจกันดี ดังนั้น นักวิจัยด้านความปลอดภัยที่ใช้เวลาหลายปีในการทำความเข้าใจช่องโหว่ในเทคโนโลยีจะเป็นผู้นำในการรักษาความปลอดภัยของ web3

สิ่งที่เรามองหาจากโอกาสในการรักษาความปลอดภัยที่น่าลงทุน

ที่ CoinFund เราลงทุนในบริษัทต่างๆ ที่ทำให้บล็อกเชนง่ายต่อการสร้าง ใช้งาน และเข้าถึงได้อย่างปลอดภัย โซลูชัน ผลิตภัณฑ์ และเครือข่ายที่ปรับขนาดได้ซึ่งผลักดันการรักษาความปลอดภัย web3 ไปข้างหน้าเป็นส่วนสำคัญของวิสัยทัศน์ดังกล่าว ทีมที่น่าดึงดูดที่สุดจากมุมมองการลงทุนคือทีมที่มี (1) ความเชี่ยวชาญด้านความปลอดภัยของ deep web2 เช่นเดียวกับมุมมองการเข้ารหัส (2) ความสามารถในการระบุ "ผู้ที่ใส่ใจ" มากที่สุดเกี่ยวกับการรักษาความปลอดภัยที่พวกเขาจัดหาและขายให้กับผู้มีส่วนได้ส่วนเสียเหล่านั้นอย่างมีประสิทธิภาพ ไม่ว่าจะเป็นผู้พัฒนาโปรโตคอลหรือสถาบันและผู้ใช้รายบุคคล (3) ผลิตภัณฑ์หรือเครือข่ายที่สามารถปรับขนาดให้สอดคล้องกับความสามารถของเทคโนโลยีพื้นฐานในการให้บริการลูกค้า

ในตลาดการรักษาความปลอดภัย web3 เช่นเดียวกับกรณีของการรักษาความปลอดภัย web2 จะมีการสร้างโซลูชันหลายพันรายการ อย่างไรก็ตาม มีเพียงไม่กี่รายที่จะปรับขนาดเป็นธุรกิจพันล้านดอลลาร์ได้ และ CoinFund ตั้งเป้าที่จะเป็นพันธมิตรกับผู้ก่อตั้งด้วยเป้าหมายที่จะกลายเป็นมาตรฐานชั้นนำของอุตสาหกรรมในขณะที่ตลาดการรักษาความปลอดภัยสำหรับเทคโนโลยี web3 พัฒนาขึ้น เราต้องการลงทุนในทีมที่กำลังขยายการรักษาความปลอดภัย web3 หากคุณกำลังสร้างเครื่องมือสำหรับนักพัฒนาเพื่อช่วยนักพัฒนาสร้างด้วยความคิดที่คำนึงถึงความปลอดภัยเป็นอันดับแรก โซลูชันที่ช่วยขยายโฟกัสด้านความปลอดภัยจากการป้องกันไปสู่การลดผลกระทบและการตอบสนอง หรือเครื่องมือที่ช่วยให้ผู้ใช้บล็อกเชนทุกวันปกป้องทรัพย์สินของพวกเขา เรากำลังมองหา คุณ.

มีหลายพื้นที่ของการรักษาความปลอดภัย web3 ที่เราละทิ้งจากโพสต์นี้ การจัดการคีย์ที่ปลอดภัย การดูแลที่ปลอดภัย และความเป็นส่วนตัวนั้นลึกซึ้งในตัวของมันเอง อะไรสำคัญที่สุดในการรักษาความปลอดภัย web3 สำหรับคุณ? ฉันชอบที่จะได้ยินในความคิดเห็นหรือใน DM ของฉัน นอกจากนี้ หากคุณกำลังสร้างโซลูชันในพื้นที่ความปลอดภัยของ web3 ฉันชอบที่จะพูดคุย ไชโย!

TG: @isaiahwash

อีเมล: isaiah@coinfund.io

[ขอบคุณทีมงาน CoinFund รวมถึง Mooley Sagiv (Certora), Jesse Tasman (Redefine), Don Ho (Quantstamp), Catrina Wang (Protocol Labs) และคนอื่นๆ ที่ช่วยขัดเกลาความคิดของฉัน]

ความคิดเห็นที่แสดงในที่นี้เป็นความคิดเห็นของบุคลากร CoinFund Management LLC (“CoinFund”) แต่ละรายการที่เสนอราคา และไม่ใช่มุมมองของ CoinFund หรือบริษัทในเครือ ข้อมูลบางอย่างในที่นี้ได้รับมาจากแหล่งบุคคลที่สาม รวมถึงจากบริษัทพอร์ตโฟลิโอของกองทุนที่จัดการโดย CoinFund ในขณะที่นำมาจากแหล่งที่เชื่อว่าเชื่อถือได้ CoinFund ไม่ได้ตรวจสอบข้อมูลดังกล่าวอย่างอิสระและไม่รับรองความถูกต้องของข้อมูลหรือความเหมาะสมสำหรับสถานการณ์ที่กำหนด นอกจากนี้ เนื้อหานี้อาจรวมถึงโฆษณาของบุคคลที่สาม CoinFund ไม่ได้ตรวจสอบโฆษณาดังกล่าวและไม่รับรองเนื้อหาโฆษณาใด ๆ ที่อยู่ในนั้น

เนื้อหานี้จัดทำขึ้นเพื่อจุดประสงค์ในการให้ข้อมูลเท่านั้น และไม่ควรใช้เป็นคำแนะนำทางกฎหมาย ธุรกิจ การลงทุน หรือภาษี คุณควรปรึกษาที่ปรึกษาของคุณเองในเรื่องเหล่านั้น การอ้างอิงถึงหลักทรัพย์หรือสินทรัพย์ดิจิทัลใด ๆ มีวัตถุประสงค์เพื่อเป็นตัวอย่างเท่านั้น และไม่ถือเป็นการแนะนำการลงทุนหรือข้อเสนอเพื่อให้บริการที่ปรึกษาการลงทุน นอกจากนี้ เนื้อหานี้ไม่ได้มุ่งเป้าไปที่หรือมีไว้สำหรับการใช้งานโดยนักลงทุนหรือนักลงทุนที่คาดหวัง และไม่อาจเชื่อถือได้ภายใต้สถานการณ์ใด ๆ เมื่อตัดสินใจลงทุนในกองทุนใด ๆ ที่จัดการโดย CoinFund (การเสนอให้ลงทุนในกองทุน CoinFund จะทำโดยบันทึกเฉพาะบุคคล ข้อตกลงการสมัครสมาชิก และเอกสารที่เกี่ยวข้องอื่น ๆ ของกองทุนดังกล่าวและควรอ่านอย่างครบถ้วน) การลงทุนหรือบริษัทพอร์ตการลงทุนใดๆ ที่กล่าวถึง อ้างถึง หรือ ที่อธิบายไว้ไม่ได้เป็นตัวแทนของการลงทุนทั้งหมดในยานพาหนะที่จัดการโดย CoinFund และไม่สามารถรับประกันได้ว่าการลงทุนจะทำกำไรหรือการลงทุนอื่น ๆ ในอนาคตจะมีลักษณะหรือผลลัพธ์ที่คล้ายคลึงกัน รายการการลงทุนที่ทำโดยกองทุนที่จัดการโดย CoinFund (ไม่รวมการลงทุนที่ผู้ออกไม่อนุญาตให้ CoinFund เปิดเผยต่อสาธารณะและการลงทุนที่ไม่ได้ประกาศในสินทรัพย์ดิจิทัลที่ซื้อขายในตลาดหลักทรัพย์) สามารถดูได้ที่ https://www.coinfund.io/portfolio.

แผนภูมิและกราฟที่ให้ไว้ภายในมีวัตถุประสงค์เพื่อให้ข้อมูลเท่านั้น และไม่ควรใช้ในการตัดสินใจลงทุนใดๆ ผลการดำเนินงานในอดีตไม่ได้บ่งบอกถึงผลลัพธ์ในอนาคต เนื้อหาพูดตามวันที่ระบุเท่านั้น การคาดการณ์ การประมาณการ การคาดการณ์ เป้าหมาย โอกาส และ/หรือความคิดเห็นใดๆ ที่แสดงในเอกสารเหล่านี้อาจเปลี่ยนแปลงได้โดยไม่ต้องแจ้งให้ทราบและอาจแตกต่างหรือขัดแย้งกับความคิดเห็นที่แสดงโดยผู้อื่น