内容风险是存储系统的主要法律风险，但短期内无需过度担心。
原文标题：《数据合规||IPFS，一场平台到矿工的风险转移？》来源：火小律
IPFS/Filecoin测试如火如荼的进行，越来越多的人开始担心IPFS合规性问题，去中心化存储会不会和国内网络监管、数据安全政策冲突而腰斩？
火小律的观点是，短期内无需过度担心。项目太年轻，未来发展不确定性较多，需要时间发酵。监管不会过早出手。比特币2008年问世，2013年监管第一次重视，威震业界的94文件更是2017年才发布，前后相差近10年。
关于去中心化分布式存储，想要长久持续规模化发展，有些问题还需尽早考虑。本文仅根据现有官方消息及相关测试等情况，主要从矿工角度就法律合规问题做适当探讨。
LendHub被黑简析：系LendHub中存在新旧两市场:金色财经报道，据慢雾安全区情报，2023 年 1 月 13 日，HECO 生态跨链借贷平台 LendHub 被攻击损失近 600 万美金。慢雾安全团队以简讯的形式分享如下：
此次攻击原因系 LendHub 中存在两个 lBSV cToken，其一已在 2021 年 4 月被废弃但并未从市场中移除，这导致了新旧两个 lBSV 都存在市场中。且新旧两个 lBSV 所对应的 Comptroller 并不相同但却都在市场中有价格，这造成新旧市场负债计算割裂。攻击者利用此问题在旧的市场进行抵押赎回，在新的市场进行借贷操作，恶意套取了新市场中的协议资金。
目前主要黑客获利地址为 0x9d01..ab03，黑客攻击手续费来源为 1 月 12 日从 Tornado.Cash 接收的 100 ETH。截至此时，黑客已分 11 笔共转 1,100 ETH 到 Tornado.Cash。通过威胁情报网络，已经得到黑客的部分痕迹，慢雾安全团队将持续跟进分析。[2023/1/13 11:11:00]
传统云存储服务商的常见风险
Beosin：SheepFarm项目遭受攻击事件简析:金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，BNB链上的SheepFarm项目遭受漏洞攻击，Beosin分析发现由于SheepFarm合约的register函数可以多次调用，导致攻击者0x2131c67ed7b6aa01b7aa308c71991ef5baedd049多次利用register函数增大自身的gems，再利用upgradeVillage函数在消耗gems的同时累加yield属性，最后调用sellVillage方法把yield转换为money后再提款。本次攻击导致项目损失了约262个BNB，约7.2万美元。Beosin Trace追踪发现被盗金额仍在攻击者账户，将持续关注资金走向。[2022/11/16 13:10:39]
讨论IPFS法律合规风险，不得不先了解传统云存储的法律风险。
安全团队：Audius项目恶意提案攻击简析，攻击者总共获利约108W美元:7月24日消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，Audius项目遭受恶意提案攻击。成都链安安全团队简析如下：攻击者先部署恶意合约并在Audius: Community Treasury 合约中调用initialize将自己设置为治理合约的监护地址，随后攻击者调用ProposalSubmitted 提交恶意85号提案并被通过，该提案允许向攻击合约转账1,856w个AudiusToken，随后攻击者将获得的AudiusToken兑换为ETH，总共获利约108W美元，目前获利资金仍然存放于攻击者地址上（0xa0c7BD318D69424603CBf91e9969870F21B8ab4c）。[2022/7/24 2:34:31]
传统的云存储，也就是中心化云存储，风险一般由云存储服务商，即平台承担。
Grim Finance 被黑简析：攻击者通过闪电贷借出 WFTM 与 BTC 代币:据慢雾区情报，2021 年 12 月 19 日，Fantom 链上 Grim Finance 项目遭受攻击。慢雾安全团队进行分析后以简讯的形式分享给大家。
1. 攻击者通过闪电贷借出 WFTM 与 BTC 代币，并在 SpiritSwap 中添加流动性获得 SPIRIT-LP 流动性凭证。
2. 随后攻击者通过 Grim Finance 的 GrimBoostVault 合约中的 depositFor 函数进行流动性抵押操作，而 depositFor 允许用户指定转入的 token 并通过 safeTransferFrom 将用户指定的代币转入 GrimBoostVault 中，depositFor 会根据用户转账前后本合约与策略池预期接收代币(预期接收 want 代币，本次攻击中应为 SPIRIT-LP)的差值为用户铸造抵押凭证。
3. 但由于 depositFor 函数并未检查用户指定转入的 token 的合法性，攻击者在调用 depositFor 函数时传入了由攻击者恶意创建的代币合约地址。当 GrimBoostVault 通过 safeTransferFrom 函数调用恶意合约的 transferFrom 函数时，恶意合约再次重入调用了 depositFor 函数。攻击者进行了多次重入并在最后一次转入真正的 SPIRIT-LP 流动性凭证进行抵押，此操作确保了在重入前后 GrimBoostVault 预期接收代币的差值存在。随后 depositFor 函数根据此差值计算并为攻击者铸造对应的抵押凭证。
4. 由于攻击者对 GrimBoostVault 合约重入了多次，因此 GrimBoostVault 合约为攻击者铸造了远多于预期的抵押凭证。攻击者使用此凭证在 GrimBoostVault 合约中取出了远多于之前抵押的 SPIRIT-LP 流动性凭证。随后攻击者使用此 SPIRIT-LP 流动性凭证移除流动性获得 WFTM 与 BTC 代币并归还闪电贷完成获利。
此次攻击是由于 GrimBoostVault 合约的 depositFor 函数未对用户传入的 token 的合法性进行检查且无防重入锁，导致恶意用户可以传入恶意代币地址对 depositFor 进行重入获得远多于预期的抵押凭证。慢雾安全团队建议：对于用户传入的参数应检查其是否符合预期，对于函数中的外部调用应控制好外部调用带来的重入攻击等风险。[2021/12/19 7:49:04]
除却常规的许可证申请等必备程序事项，最常见的2项风险，一项是数据合规风险，一项是侵权风险。
数据合规风险，目前更多的还是针对个人信息的保护，涉及数据收集、使用、存储、流动、删除、跨境等多个环节的合规要求。核心是避免不必要的采集和防止泄露，而数据出境，即数据的跨国流动则需满足更高的要求。
侵权风险，主要指存储内容涉嫌侵犯他人知识产权时，平台应采取哪些合理措施以免责。一般情况遵循「通知-删除」规则，即当平台接到用户侵权通知后，需及时采取删除、屏蔽、断开链接等必要措施，若失职导致损害扩大，需对扩大部分承担连带责任。但针对阿里云等Iaas服务商，并不适用上述规则。主要还是根据服务商具体的服务性质、服务内容以及是否存在衍生性技术服务等综合判定，法律上较为复杂，这里就不展开了。
一场平台到矿工的风险转移？
纵观IPFS白皮书，剖开所有的修饰词和特征，核心还是云存储，只是采用分布式的方式，即提供具体存储服务的从平台换成了个人。
由此产生2个问题。
第一，信息自由存储是否意味着无需满足监管要求？
显然不是。一切只有在合规的要求下才能长久有序的发展，这个道理大家都明白，无需多说。
既然需在监管框架下运行，为何开篇又说暂时无需担心可能的监管冲突？这是个「短期」vs「长期」的问题。现实的说，实务中监管无法渗透到方方面面，即便是已然成熟的行业，也难免有缺失和滞后，更何况是短期内未成气候的。
第二，分布式存储是否意味着平台责任转移至个人？
某种程度上是的。根据现有信息及测试网运行情况，无论存储或是检索，矿工均是有偿服务。而这一过程中平台并不撮合交易，一切由用户和矿工自行沟通。既然是收费服务，又不受平台过多干涉，具备较强的自主性，那么享有利益的同时自然也承担一定的责任。
矿工可能面对的主要风险
鉴于项目存有变数，目前仍处于测试期间，只能笼统分析基础风险。
对绝大多数矿工而言，担心的应该是，会不会挖到一半，整个项目被政府叫停，自己的投资和付出打了水漂。这方面短期内无需过多担心。技术是中立的，可以将整个项目理解为有偿存储业务，FIL币视为类似游戏代币，供存储检索消耗使用。单纯的内循环模式运作，只要不被大量用作违法犯罪事项，不涉及人民币虚拟货币兑换事项，被突然叫停的可能性并不大。
回归法律风险，对于一个存储系统，最关键的还是「内容风险」。
存储普通合法内容，自然什么问题没有。若是违法内容或者敏感内容，则风险系数直线上升。
敏感内容主要集中在2类，个人信息商业秘密；违法内容，涉及2层，第1层是非法内容，例如涉黄涉暴危恐等法律明文禁止的内容；第2层是潜在的违法内容，例如侵犯他人著作权等相关知识产权的内容。
无论是官宣的碎片式加密存储，或是测试网的整份存储，矿工的风险基本都集中在存储、传播、保管三件事上。
例如，存储时，是否知道或者有合理依据判断属于非法内容等？又如，明知涉隐私内容或不良内容，是否存在主动传播的行为等？再如，保存过程中是否未尽合理义务导致数据丢失或外泄等？这些都是可能的风险，不同的情况触发不同的责任，还需结合业务环境具体分析。
IPFS将走向何方？
一直困扰火小律这个圈外人的疑问。
IPFS作为一个存储系统，最终落地场景是哪些领域？单纯依靠「去中心化」的信仰，是否可以吸引足够的现实的存储用户？用户舍弃已有的云存储品牌服务商，选择IPFS的核心原因是什么？
如果不能切实接地气的回答以上问题，谈监管谈合规化，真心为时尚早。
官方的太空竞赛2主要针对存储用户和开发人员，基本的用户身份审核后，期望用户携带真实、有价值和可用的数据进场，包括但不限于应用程序数据或数据集合。只有汇集更多优质、有价值的数据，才能盘活项目，提升项目含金量。
试想，比特币诞生后，作为虚拟货币的一种，只要不威胁到主权货币的地位，合规未必会成为难题。Libra2.0的妥协便是很好的例证。为什么发展至今，币价居高不下，炒币客已然遍布全国，仍不受监管待见？答案恐怕只能是几乎所有人心照不宣的「」问题。
当一个项目，即使是像IPFS这样当年的金牌项目，如果充斥着大量垃圾无效违规内容，被频繁用于违法犯罪活动，想不被叫停也难了。互金便是例证，只剩黯淡退出的结局。
IPFS将走向何方？只有项目本身和参与者才能给出最终的答案。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。