ADVERTISEMENT
Web3 這一個月來風波不斷。
8 月初，明星公鏈 Solana 發生駭客盜幣事件，超過 9000 個錢包位址被襲擊，損失約 400 多萬美元，在使用群中引發了一波恐慌情緒，也讓 Solana 陷入信用危機。
幾天後，加密貨幣混幣器 Tornado Cash 被美國財政部的下屬機構——海外資產控制辦公室（OFAC）列入制裁名單，其中包括 40 多個與 Tornado Cash 協定相關的以太坊位址，涉及價值超 4 億美元的資產被凍結。
定位於隱私服務的混幣器，在加密社群的名聲一直備受爭議，其中的「龍頭」Tornado Cash 更是有「髒幣銷金窟」之稱。
這次制裁意味著美國的社群使用者，無論個人還是實體，都不得再與 Tornado Cash 平臺以及和它綁定的錢包位址進行經濟交易。按照過往的案例，如果違規，可能面臨高達 30 多萬美元的罰款和最高 30 年的監禁。
緊接著，外媒曝出 29 歲的 Tornado Cash 開發者在荷蘭阿姆斯特丹被逮捕，當地執法部門稱 Tornado Cash 涉嫌隱瞞非法資金流動和協助洗錢，從今年 6 月份開始一直在對其進行調查。
Tornado Cash 被制裁，加密行業引發兩邊論戰。有人公開表達不滿，認為美國財政部監管越界，侵犯了美國公民的隱私權和自由；也有人帶頭回應監管，穩定幣 USDC 的發行方 Circle 迅速凍結了 Tornado Cash 相關錢包位址上的資產。
Web3 正面臨著崛起以來最嚴峻的安全考驗與審查壓力。2022 年上半年，Web3 領域的資產損失約為 20 億美元，超過了去年全年被駭客攻擊的總損失數額。隨之而來的連鎖反應是，監管執法之手越伸越長。
人們的慣常認知中，強調去中心化邏輯的 Web3 本應擁有更強的安全性和私密性，如今卻被駭客和監管雙雙盯上。加密世界正經歷著對其未來命運影響深遠的動盪時刻。
駭客打劫 Solana：一場懸而未決的「公案」
距離 Solana 發生駭客盜幣時間已經過去半個多月，官方依然沒有給出最終的調查結果。
區塊鏈安全公司分析發現，根據 Solana foundation 提供的資料顯示，近 60% 被盜用戶使用的是 Phantom 錢包，此外有 30% 左右位址使用了 Slope 錢包，並且 iOS 和 Android 版本的APP都有相應的受害者。
事發 3 天後，Slope 曾在 twitter 上發佈了一個官方錢包位址，並公開表示，一直在與執法部門和情報公司合作追蹤被盜資產，如果駭客願意歸還，可以向其支付 10% 的賞金。「收回這些資金後，我們就不會再繼續追究，也不會採取任何法律行動。」
Slope 團隊給駭客留了 48 小時的時間來歸還資產，但這個賞金要約並未得到駭客的回應。
事發當日一個有 100 多位白帽駭客的「war room」安全專家們討論了事件可能的經過。 「最初的猜測是某個 NFT 專案被集體攻擊。」從被駭的錢包地址數量來看，八九千個的量級通常是某個 NFT 專案發行的常見數量，最初的猜測是某個 NFT 項目方作惡，例如進行了惡意授權。
但這個猜測很快被否定。安全技術人員發現，有幾筆被盜交易的發生是由於用私密金鑰做簽名，而不是錯誤授權導致資產轉移。接下來，關於事故原因的猜測還有供應鏈攻擊、駭客撞取亂數、採取不恰當的簽名方式等等，隨後也都被一一推翻。
當天下午，一位海外研究人員發現，Solana 鏈上的 Slope 錢包私有化部署了協力廠商應用監控服務 Sentry，會收集使用者的私密金鑰或助記詞等資訊，然後上傳到中心化的伺服器。
Sentry 是一個應用監測平臺，可以即時監控應用在運行狀態時出現的異常或錯誤日誌資訊。如果 Sentry 發現了系統 bug，會透過郵件等方式通知應用方的技術人員。
在加密世界，Sentry 服務被廣泛應用，Slope 錢包就是其一。但使用 Sentry 時需要注意一個問題，如果出現了配置錯誤，Sentry 可能會收集到額外的資料，如私密金鑰或助記詞等私密訊息。
安全專家們推測，在 Solana 盜幣事件中，用戶創建錢包時，Slope 將助記詞和私密金鑰等敏感性資料錯誤發送給了 Sentry。這給駭客提供了可乘之機，駭客竊取了存儲在 Sentry 中心化伺服器上的私密金鑰。
經過調查後，Slope 發布聲明稱，雖然上述安全性漏洞確實存在，但被攻擊的 Slope 位址的數量只是這次被盜錢包位址總數的一小部分。目前也暫無證據表明 Sentry 官方遭到了入侵和攻擊，因為 Slope 錢包使用的 Sentry 服務部署在私有伺服器。
此外，具體資料來看，伺服器上的私密金鑰和助記詞派生出來的位址中，與受害者位址有交集的，只有 5 個以太坊位址和 1388 個 Solana 地址。也就是說，Slope 此次被駭的超過 2700 個錢包中只有一半存在 Sentry 漏洞，這無法解釋其餘用戶錢包是如何被駭的。
就已經掌握的調查結果來看，已知的攻擊者地址有 4 個，被盜資產在 Solana 鏈上尚未出現進一步轉移，但在 ETH 鏈上，一些資金已經被轉移到疑似 OTC 個人錢包位址，剩餘部分被兌換為 ETH 後，轉移到了 Tornado Cash。
Web3「危機四伏」
在這次 Solana 被襲同期，跨鏈橋 Nomad Bridge 也受到攻擊。值得注意的是，參與攻擊 Nomad Bridge 的駭客有上百位，損失近 2 億美元。
目前對 Web3 的攻擊類型主要有兩種：
一是鏈上攻擊，例如假儲值、重入攻擊、重放攻擊、重排攻擊等。這類攻擊往往更加隱秘，需要透過專業的程式碼安全審計、完備的鏈上分析監測預警等方法來辨識。
二是鏈下攻擊，如進階長期威脅（APT）、網路釣魚、供應鏈攻擊等。這類都是傳統 Web2 常見的安全問題，但是目前卻對 Web3 生態安全產生了很大影響。
今年 4 月，周杰倫丟失價值超過千萬台幣的無聊猿編號 3738 的 NFT，就是因為無意中點了釣魚連結。
Web3 具有金融屬性，金錢的誘惑下，更容易被駭客盯上。隨著 Web3 玩家的體量不斷擴大，加密貨幣犯罪也呈現快速上漲趨勢。
根據統計，2022 年上半年，Web3 領域的資產損失接近 20 億美元，已經超過 2021 年全年因駭客攻擊漏洞造成的總損失。
2022 年因此被稱作「Web3 興起以來損失最慘重的一年」。其中，以去中心化程度低、流動資金量大的跨鏈橋受損最為嚴重。
截至 6 月 30 日，今年共發生 7 起跨鏈橋安全事件，損失超過 10 億美元，占上半年總資產損失的半數以上。在上半年損失金額達到上億美元的 4 起事件中，有 3 起波及跨鏈橋。
比較有代表性的是區塊鏈遊戲 Axie Infinity 的側鏈 Ronin Network 被襲，造成 6.24 億美元的損失，以及 Solana 的跨鏈橋項目 Wormhole 被攻擊，損失 3.26 億美元。
除了跨鏈橋，區塊鏈錢包也是安全事件發生的「重災區」。
錢包是使用者管理加密資產的工具，也是使用者進入各類 Web3 應用的帳戶入口，加密世界的互動和交易透過錢包來進行。
錢包包含著基於公開金鑰和私密金鑰產生的位址，表面上看是一組有字母、數字構成的符號串。其中的私密金鑰可以對照理解為 Web2 支付工具的密碼，掌握這個「密碼」的人才是加密資產的真正主人。
所以，私密金鑰一般是駭客攻擊竊取的關鍵資訊。通常來說，大部分錢包都會與網路連接，私密金鑰洩露的風險係數較高。
加密貨幣被駭客盜取後，主要流向就是洗錢場景，以混幣器為代表性「幫兇」。
從隱私保護出發的混幣器，本來的設想是消除使用者的鏈上交易痕跡，卻被駭客用作轉移被盜資產後的洗錢工具。不久前被制裁的 Tornado Cash 自 2019 年創建以來，已經「清洗」了價值超過 70 億美元的虛擬貨幣。
今年 5 月份的時候，美國曾經制裁了中心化混幣平臺 Blender，理由是 Blender 涉嫌説明北韓知名駭客組織 Lazarus Group 清洗從 Axie Infinity 盜取的部分資產。
以美國政府為代表的監管勢力盯上混幣器，駭客們的如意算盤未來或許打得不那麼響。制裁犯罪固然重要，但另一個關鍵的問題是，加密世界亟需更優化的安全方案，在財產、隱私保護與犯罪監管之間尋求平衡。
無論對淺試 Web3 的個體玩家還是 All in 的建設者來說，在通向一個美麗新世界之前，先要走過一片遍布安全陷阱的暗黑森林。
請注意！留言要自負法律責任，相關案例層出不窮，請慎重發文！