web3的安全性在很大程度上取决于区块链做出承诺的特殊能力和对人类干预的弹性。但相关的最终性特征--交易通常是不可逆的--使这些软件控制的网络成为攻击者的诱人目标。事实上，随着区块链--作为web3基础的分布式计算机网络--及其伴随的技术和应用不断积累价值，它们成为了攻击者越来越垂涎的目标。
尽管web3与早期的互联网不同，但我们已经观察到了与以前的软件安全趋势的共同之处。在许多情况下，最大的问题仍然和以前一样。通过研究这些领域，防御者--无论是建设者、安全团队，还是日常的加密用户--可以更好地保护他们自己、项目和钱包免受潜在黑客的侵害。下面我们将介绍一些共同的主题和基于我们经验的预测。
追逐金钱
攻击者通常以投资回报最大化为目标。他们可以花费更多的时间和精力来攻击具有更多“总价值锁定”的协议，因为潜在的回报更大。
资源最丰富的黑客组织更经常地攻击高价值系统。最具价值的新型攻击也更频繁地瞄准这些有价值的目标。
低成本攻击--如网络钓鱼--永远不会消失，而且我们预计在可预见的未来，它们会变得更加普遍。
弥补漏洞
随着开发人员从经过验证的攻击中学习，他们可能会改善Web3软件的状态，使其变得“默认安全”。通常情况下，这涉及到收紧应用程序接口，或API，使人们更难错误引入漏洞。
虽然安全问题始终是一项进展中的工作--而且可以肯定的是，没有什么东西是可以防黑客的--但防御者和开发者可以通过消除攻击者容易实现的目标来提高攻击成本。
链上数据显示a16z正在逢高出售700万美元的MKR代币:金色财经报道，区块链数据显示，随着加密贷款平台MakerDAO的MKR治理代币价格飙升至近一年高位，Andreessen Horowitz(a16z)正在逢高出售其对MKR治理代币的部分持仓。以太坊区块链监控网站Etherscan显示，约700万美元的MKR已从a16z的加密钱包转移到上周四新创建的地址，新钱包开始每天向加密交易所Coinbase存入1,380枚代币（价值约150万美元），将代币发送到交易所通常表明有意出售。截至周二，从该钱包存入Coinbase的存款总额为610万美元，最新一笔交易发生在北京时间周二10:18?PM。
这些交易发生之际，MKR一度飙升至近一年高点1,200美元以上，此前一项新的代币回购计划启动，减少了代币的供应。该代币目前交易价为1,140 美元。
a16z的加密钱包仍持有12,395MKR（占其流通供应量的1.3%），价值1,400万美元。[2023/7/26 15:58:42]
随着安全实践的改进和工具的成熟，以下攻击的成功率可能会大幅下降：治理攻击、价格预言机操纵和重入错误。。
无法确保“完美”安全性的平台将不得不使用漏洞缓解措施来降低损失的可能性。这可以通过减少其成本效益分析的“好处”或上行部分来阻止攻击者。
对攻击进行分类
对不同系统的攻击可以根据其共同特征进行分类。定义的特征包括攻击的复杂程度，攻击的自动化程度，以及可以采取什么预防措施来防御它们。
a16z通过11个地址控制4150万枚UNI，约占供应量的4.15%:2月6日消息，加密KOL Chris Blec发推表示，a16z使用其全部投票权重来反对Uniswap使用Wormhole跨链桥在BNBChain上启动Uniswap协议的提议，a16z是Wormhole竞争对手Layer Zero的大投资者，币安创始人赵长鹏转推称，“Uniswap由a16z控制？”。
此外赵长鹏还转推区块链数据公司Bubblemaps的推文，称a16z可以通过11个地址控制4150万枚UNI，占UNI供应量的4%以上（4.15%），这是通过任何提案所需的数量。[2023/2/6 11:49:20]
以下是我们在过去一年最大的黑客攻击中看到的攻击类型的一个非详尽的列表。此外，还囊括了我们对当今威胁形势的观察，以及我们对web3安全未来发展的期望。
APT：顶级掠食者
专家对手，通常被称为高级持续性威胁，是安全领域的恶魔。他们的动机和能力千差万别，但他们往往很有钱，而且正如其名称所暗示的那样，具有持久性；不幸的是，他们很可能会一直存在。不同的APTs运行许多不同类型的操作，但这些威胁行为者往往最可能直接攻击公司的网络层以实现其目标。
Web3音乐创作平台Arpeggi Labs完成510万美元种子轮融资，a16z Crypto领投:9月15日消息，Web3音乐创作平台ArpeggiLabs完成510万美元种子轮融资，a16z Crypto领投，1 confirmation、Palm TreeCrew、WndrCoVentures、Steve Aoki、3LAU、WyclefJean、DiscoFries、Electric FeelVentures、LouisBell、JoeZadeh、Audius Foundation、Shayne Coplan、Paul Veradittakit和Cooper Turley参投。Arpeggi为用户提供创作、发布和混合音频的Web3音乐创作平台，后续更新包括推出免费浏览器DAW、集成其它Web2和Web3音乐平台以及推出网站原生社交功能等。[2022/9/15 6:57:23]
我们知道一些先进的团体正在积极针对web3项目，我们怀疑还有一些人尚未被发现。最令人关注的APTs背后的人往往居住在与美国和欧盟没有引渡条约的地方，使他们更难因其活动而被起诉。最知名的APTs之一是Lazarus，这是一个朝鲜团体，联邦调查局最近认为它进行了迄今为止最大的加密黑客攻击。
例子：
Ronin验证器黑客
概况
谁：民族国家、资金雄厚的犯罪组织和其他先进的有组织团体。例子包括Ronin黑客。
复杂程度：高。
自动化程度：低。
a16z报告：DAO最好提交法律文件并进行纳税:6月3日消息，DAO的兴起引发了法律上的难题，即如何正式建立一个设计上并不真正想成为实体的实体。a16z提出了一套拟议的解决方案，并于周四发布了一份报告，称这类群体可能更适合安顿下来并缴纳美国税款。DAO将资金锁定在一个区块链上，一组参与者可以透明地朝向某个共同目标。a16z在其最近一次为DAO建立美国法律基础的公开努力中称，DAO需要“不要求进行真实世界的人类活动”的结构来满足法律要求——可能有利于非法人非营利组织（UNA）和有限责任公司（LLC）。面临的挑战是保持DAO的去中心化，同时允许它满足企业或非营利组织的税务要求和其他实际需求。
a16z总顾问兼去中心化负责人Miles Jennings和参与DAO研究小组的律师David Kerr撰写的论文称，使用受欢迎的离岸策略来避税可能会大大增加全球抵制的风险。美国国内结构对拥有大量美国成员和联系方的项目的实际好处是显而易见的，该文件总结道，并质疑在行业等待监管的同时进入免税司法管辖区是否真的是最佳的行动方案。（CoinDesk）[2022/6/3 4:00:07]
对未来的期望：只要APT能够使其活动盈利或达到各种目的，他们就会继续活跃。
针对用户的网络钓鱼：社会工程师
A16z合伙人引用名言回击Jack Dorsey：Web 3离胜利已经不远了:金色财经报道，针对Jack Dorsey发表的Web 3言论，a16z合伙人Chris Dixon再次做出回击，他引用名言称：“首先他们无视于你，而后是嘲笑你，接著是批斗你，再来就是你的胜利之日。”Chris Dixon表示，Web 3现在处于“被批斗”的阶段，暗示距离胜利已经不远了。[2021/12/21 7:54:18]
网络钓鱼是一个众所周知、无处不在的问题。钓鱼者试图通过各种渠道发送诱饵信息来诱捕他们的猎物，包括即时通讯工具、电子邮件、Twitter、Telegram、Discord和被黑的网站。如果你浏览你的垃圾邮件信箱，你可能会看到数以百计封邮件，诱使你泄露信息，如密码，或窃取你的金钱。
现在，web3允许人们直接交易资产，如代币或NFT，且几乎是即时的最终结果，网络钓鱼活动正在针对web3用户。这些攻击是没有什么知识或技术专长的人窃取加密货币牟利的最简单方法。即便如此，它们仍然是有组织的团体追求高价值目标的重要方法，或者是高级团体通过网站接管等方式发动广泛的、消耗钱包的攻击。
例子
直接针对用户的?OpenSea网络钓鱼活动
BadgerDAO网络钓鱼攻击
概况
谁：任何人，从脚本新手到有组织的团体。
复杂程度：中低。
自动化程度：中高。
对未来的期望：网络钓鱼很简单，而且网络钓鱼者倾向于适应--并绕过--最新的防御系统，因此我们预计这些攻击的发生率会上升。用户可以通过加强教育和意识、更好的过滤、改进的警告标语和更强大的钱包控制来更好的防御攻击。
供应链的脆弱性：最薄弱的一环
当汽车制造商发现车辆中存在有缺陷的部件时，他们会发布安全召回；这在软件供应链中也是一样的。
第三方软件库会引入巨大的攻击面。在web3之前，这早已是整个系统的安全挑战，例如去年12月的log4j漏洞，影响了大规模的网络服务器软件。攻击者会在互联网上扫描已知的漏洞，找到他们可以利用的未修补的问题。
导入的代码可能不是你自己的工程团队写的，但它的维护是至关重要的。团队必须监控其软件的组成部分是否存在漏洞，确保部署更新，并随时了解他们所依赖的项目的势头和健康状况。利用web3软件漏洞的真实和即时成本使得负责任地将这些问题传达给用户成为一种挑战。关于团队如何或在哪里以一种不会意外地将用户资金置于风险中的方式相互交流这些信息，目前还没有定论。
例子
Wormhole桥黑客
Multichain漏洞披露黑客
概况
谁：有组织的团体，如APTs，单独行动者，和内部人员。
复杂程度：中等。
自动化程度：中等。
对未来的期望：随着软件系统的相互依赖性和复杂性的提高，供应链的漏洞可能会增加。在为Web3安全开发出良好的、标准化的漏洞披露方法之前，机会性的黑客攻击也可能会增加。
治理攻击：选举窃取者
这是第一个上到该表单的加密具体问题。web3中的许多项目都包括治理，其中代币持有者可以提出并投票决定改变网络的建议。虽然这提供了一个持续发展和改进的机会，但它也为引入恶意建议打开了一扇后门，这些建议一旦实施，可能会破坏网络。
攻击者已经设计了新的方法来规避控制，征用领导权，并掠夺财富。治理攻击曾经是一种理论上的担忧，但现在已被证明可行。攻击者可以通过大规模的“闪电贷”来影响投票，就像最近发生在去中心化金融项目Beanstalk上的那样。导致提案自动执行的治理投票更容易被攻击者利用；而如果提案的颁布有时间延迟或需要多方的手动签署，则较难成功。
例子
Beanstalk资金盗用
概况
谁：任何人，从有组织的团体到独立行为者。
复杂程度：从低到高，取决于协议。。
自动化程度：从低到高，取决于协议。
对未来的期望：这些攻击高度依赖于治理工具和标准，特别是与监测和提案颁布过程有关的。
定价预言机攻击：市场操纵者
准确地为资产定价是很难的。在传统的交易领域，通过操纵市场人为地抬高或压低资产价格是非法的，你可能因此被罚款和/或逮捕。在DeFi中，它使得随机个人有能力“闪电交易”数亿或数十亿美元，造成价格的突然波动，而且这个问题很明显。
许多web3项目依靠“预言机”--提供实时数据的系统，是链下信息的来源。例如，“预言机”经常被用来确定两种资产之间的交换价格。但攻击者已经找到了愚弄这些所谓真相来源的方法。
随着预言机标准化的进展，链下和链上世界之间将有更安全的桥梁可用，我们可以期待市场对操纵企图变得更具弹性。如果运气好的话，有一天这类攻击有可能会完全消失。
例子
Cream市场操纵
概况
谁：有组织的团体、个人行为者和内部人员。
复杂程度：中等。
自动化程度：高。
对未来的期望：随着准确定价的方法变得更加标准，这类攻击可能会减少。
新颖漏洞：未知的不确定因素
“零日”漏洞--又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞--是信息安全领域的一个热点问题，在Web3安全领域也不例外。因为它们是突然出现的，所以是最难抵御的攻击。
如果有的话，web3使这些昂贵的、劳动密集型的攻击更容易获益，因为一旦加密货币资金被盗，人们就很难将其追回。攻击者可以花大量时间研究运行在链上应用程序的代码，找到一个可以证明他们所有努力的漏洞。同时，一些曾经新颖的漏洞继续困扰着毫无戒心的项目；曾使早期以太坊企业TheDAO丧生的重入漏洞，今天依旧在其他地方重新出现。
目前还不清楚这个行业能够多快或多容易地适应这些类型的漏洞，但对安全防御的持续投资，如审计、监控和工具，将增加攻击者寻求利用这些漏洞的成本。
例子
Poly跨链交易漏洞
Qubit无限铸币漏洞
概况
谁：有组织的团体，单一行动者，以及内部人员。
复杂程度：中高。
自动化程度：低。
对未来的期望：更多的关注吸引了更多的白帽，使发现新漏洞的“门槛”更高。同时，随着web3应用的增加，黑客们寻找新漏洞的动机也在增加。这可能仍然是一场猫鼠游戏，就像它在许多其他安全领域一样。?
本文来自?a16z，作者为RiyazFaizullabhoy和MattGleason，以下由DeFi之道编译。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。