区块链:半年损失超20亿美元，区块链安全赛道被资本疯抢

原文作者：Flowie，链捕手

Acala遭黑客攻击增发超12亿稳定币AUSD、Solana生态钱包大面积被盗……不夸张地说，区块链2022年这大半年一半热点都是安全问题贡献的。

根据Certik发布的安全报告，仅在2022年前6个月，区块链与Web3项目就因黑客攻击和漏洞利用而损失超20亿美元，并已经超过2021全年的总和。

安全问题爆发的同时，很多项目方的智能合约要安排上安全审计，却可能要排队到半年之后。即使审计完成了，也如大家所看的那样，依然会面临被攻击的风险。

区块链安全毫无疑问是刚需，但一个现实是，无论是项目方还是普通用户，似乎都很难有安全感。

在这样的背景下，我们观察到新入场的安全服务厂商们前赴后继。截止到目前，2022年陆续有Carret、BlockSec、Secure3、Halborn、Redefine等海内外安全公司获得了较大金额的融资，其中Certik几乎近一年内筹集了4轮资金，市场之火热可见一斑。

在本文中，我们试图从安全“守护者”的现状去看，整个区块链安全究竟面临着怎样的困境？行业格局又在发生怎样的演变？

还在“拓荒”的区块链安全服务

区块链“野蛮”生长，安全的需求同时激增，但安全服务却跟不上。

BlockSec联合创始人周亚金提到，“智能合约的安全审计排队2-3月是近两年的常态，很多项目的安全审计服务甚至都排队到了半年之后。”而从成都链安的数据来看，2022年第二季度，被攻击的项目中，接近一般的项目未能经过安全审计。

尽管安全服务商们前赴后继，但在YMCapital投资人Thomas看来，“真正有供给能力，且品牌有一定影响力的服务商并不够，全球内也就一二十家。”周亚金认为，安全审计上即使有一些ConsensysDiligence、TrailofBits、ChainSecurity、Certik等较早入局的知名公司，但其实它们所占据但市场份额也并没有很大，整个市场仍然很分散。

柬埔寨央行数字货币Bakong用户数大增，上半年交易额达5亿美元:日经新闻报道，柬埔寨央行数字货币Bakong自2020年10月正式推出以来，用户数大增，截至6月，Bakong电子钱包用户数较三个月前翻了一番，达到20万。Bakong系统接触的总用户数（包括通过会员银行app间接接触的用户）达到约590万。2021年上半年共产生140万笔交易，价值约5亿美元。除巴哈马和东加勒比国家外，柬埔寨是目前唯一正式推出CBDC的国家，该国希望借此打通支离破碎的支付系统，同时摆脱对美元的依赖。

Bakong由柬埔寨央行在日本区块链技术公司Soramitsu的帮助下开发，允许柬埔寨公民在商店支付或通过app汇款，而无需使用现金，并允许以柬埔寨瑞尔或美元进行结算和汇款。负责该项目的柬埔寨央行总干事Chea Serey称用户数大增令人非常满意，她说尤其是疫情爆发后，数字支付采用率开始增长，转向更多数字媒介的时机已经成熟。（日经亚洲）[2021/8/5 1:36:29]

此外，在具体的细分赛道上，入场的玩家们并没有充分覆盖不同需求，大多还是在收入模式清晰、有很好现金流的安全审计里“卷”。

实际上，与传统互联网安全类似，区块链的安全服务也大致分为toB端和toC端。在toB端，一个区块链项目的安全，分为则上链前和上链后，上链前主要是智能合约代码的安全审计，上链后则有攻击溯源、危险情报等实时监测。而在toC端，主要涉及用户钱包、NFT等各类资产安全。

周亚金认为，在整个安全服务市场，toB端的DaPP开发者运营的安全性，toC端用户的钱包、NFT安全等等重要的安全服务，都是较为空白的市场。“区块链的安全服务几乎还在一个拓荒的状态”。

为什么供需不平衡成为常态？

佳士得今年上半年售出35亿美元艺术品:7月14日消息，随着 NFT热潮和加密收藏家和千禧一代的推动，艺术市场回暖，佳士得2021年上半年售出 35 亿美元艺术品，比去年前七个月增长了 75%。其中， 87%的产品在今年上半年找到了买家。[2021/7/14 0:51:29]

供需失衡背后的原因也不难理解，首先区块链行业开源特性和当下发展阶段，让区块链安全服务的需求在“野蛮生长”。

YMCapital投资人Thomas押注区块链安全赛道的一个基本判断是，“相比传统互联网安全，区块链安全更刚需。”

一方面，由于区块链行业非常重视代码开源，这也使得多数项目源代码向所有人开放出来，也为黑客等技术人员发掘其中漏洞提供了更多的天然的便利；另一方面，目前区块链项目上线门槛很低并且缺乏监管，项目方质量也层次不齐，项目方与用户都需要安全审计等方式为自己提供安全背书。

此外，Web3安全服务相比与Web2有个很大痛点是，攻击者可以通过执行漏洞来获利。在Web2世界中，攻击者虽然可以关闭一些主要服务、窃取一些数据、出售恶意软件等来获利，但从收益来看仍然有限。但在Web3世界中，由于区块链代码链接了各类庞杂的经济金融场景，直接与用户的加密货币资产相关联，一个漏洞很容易就为攻击者带来数百万乃至数千万亿美元以上的收益。“在面临社区的监督共创下，区块链安全产品每一次更迭都需有复杂的解释流程，相比于传统互联网很难快速做产品迭代，那么产品的安全性也需要在上线前更慎重地去考虑。”

在这样安全更刚需的情况下，区块链产品对于安全的需求以及付费意愿极高。从Certikb3轮融资中披露的数据来看，2021年Certik收入增长了12倍，利润增长了3000倍。

Safello完成130万美元融资，计划在2021年上半年进行IPO:欧洲比特币交易所Safello表示已完成了1100万瑞典克朗（约合130万美元）的融资，以支付其计划于2021年上半年在纳斯达克第一北方成长市场上市的费用。本次融资由CoinDesk的母公司Digital Currency Group领投，风险投资公司Northzone、White Star Capital和Techstars也参与其中。（CoinDesk）[2020/12/18 15:42:20]

在需求端野蛮生长情况下，供给端自身也有很多“力不从心”。

和早期传统互联网安全需要手动去本地库里匹配攻击方式“土方法”类似。单从安全审计来看，大部分服务商几乎难做到标准化自动化，这意味着供给能力非常受人力限制。

即使能靠人力来推，上哪去找那么多合格的安全审计人才，也是个巨大的问号。合约审计需要结合具体业务场景来做，针对区块链不同的链不同的场景所需要的审计能力都不一样，合格的审计人才非常稀缺。很多具有审计能力的技术人员，可能更愿意做一名独立黑客或者白帽黑客，无论是进行智能合约攻击还是提交智能合约漏洞以获得赏金，都能获得更可观的收益。今年以来，区块链行业已经出现过多笔超过百万美元的漏洞赏金。

相比于数量级上供需完全失衡，在GoSecurity创始人Mike看来，还有一个更核心的问题是在安全资源供需结构上的不匹配，导致匹配效率很低。

当我们谈安全问题的时候，似乎都把安全守方压在了安全审计上。但在整个开发流程中进行自测，优化合约设计，提高代码质量，同步进行漏洞扫描这些方面，如果有合适的工具或服务，其实是可以大幅降低审计工作量的。“行业一个现状是，很多专业的安全审计师审很多精力都浪费了非常低级别的代码层错误”。

沈阳市浑南区下半年将积极培育区块链等新产业:8月4日，沈阳市浑南区召开中共沈阳市浑南区委一届十二次全会。下半年，浑南区将积极培育大数据、云计算、人工智能、区块链等新产业，加快发展互联网+、5G+、文化+、在线游戏视频等新技术，扎实推进智能机器人、半导体薄膜、数字医疗等产业基地建设，着力打造智能工厂、数字化车间示范项目，年底前重点园区、商圈、景区实现5G全覆盖，落地5G应用项目5个以上，搭建工业互联网平台8个以上，加快形成数字经济生态圈。（沈阳晚报）[2020/8/5]

“标准化”是核心竞争力

在目前市场有很多想象空间且蓝海的当下，无论是新老玩家，我们观察到，除了在安全技术本身去迭代之外，基本是在两个痛点上寻找更大的机会：一是推出要更标准化、更自动化产品来降低边际成本，打破发展瓶颈；二是覆盖更多的细分场景或者特定环节，吃到更多的安全预算。

从融资势头最猛的Certik来看，除了上链前的安全审计之外，Certik也推出了上链后7*24小时无间断运行的自动监测SaaS平台Skynet来防御安全威胁。OpenZeppelin则将游戏化技术来识别智能合同中的安全漏洞，提供“Defender”等服务，帮助项目实现智能合同管理的自动化、创建自动化脚本等等。

而近期结束新一轮融资的BlockSec，为上链前的安全审计提供服务之外，也会为上链后区块链项目提供实时安全监控服务产品。

“目前来看区块链安全审计类项目还是以股权融资上市的模式，如果无法推出SaaS化标准化自动化产品，基本不可能成功完成上市。”MiranaVentures投资人kenneth认为这也是促成产品SaaS化的一个动力因素之一。“但目前区块链迭代太快，细分场景很多，攻击事件的问题庞杂，一些类似SaaS类的软件提供安全服务没有被市场所接受，大部分还是casebycase，这也给新入场的玩家提供了很多弯道超车的机会”

动态 | 新湖中宝半年报：近年在区块链等高科技板块进行较大规模投资以实现投资转型:据新浪财经消息，8月30日，新湖中宝（600208.SH）发布了2019年半年度报告。在保持地产基本盘的同时，新湖中宝近年来在金融服务、金融科技和高科技板块的投资力度颇大。在信息技术、区块链、智能制造等板块进行较大规模的投资，以实现持续投资转型。新湖中宝称，所投金融机构、金融科技企业、高科技企业部分已具备或即将具备上市条件，后续将积极推进上市工作。[2019/8/31]

除了申请人工审计，也越来越多的项目方会同时寻求自动化审计。

为了追求更加自动化，目前业界常用的手段是是形式化验证(formalverification)，这种方式会事先定义好安全规则，之后证明客户的代码符合这些规则，从而避免违反这些规则的安全漏洞。

但BlockSec创始人周亚金认为，很多安全漏洞是与智能合约的具体业务场景有关，仅保证代码的正确性并不能保证整个智能合约的安全性，另外形式化验证规则本身也需要对项目进行定制。所以在具体操作中，BlockSec会通过"攻"的思路进行代码审计，具体技术包括攻击面的提取和分析以及自动化Fuzzing等技术相结合的整体方案。

GoSecurity创始人Mike观点也是如此，目前国内外行业的认知是，形式化的验证还没有找到明确提高技术效率的方法，还很难取代人工审计，在整个审计流程中占比还比较低。

在还没有很好的解决自动化思路出现时，传统的安全审计公司中，审计流程的设计其实是审计公司的核心竞争力，“比如说像Quantstamp，同时进行三线审计。业务表述上的核心点就在于说付出足够多的人力，进行充份审计，来保证好的安全结果，再通过服务的案例来为自己背书。”

对于toB端的区块链安全服务厂商而言，除了技术能力之外，品牌能力也是一个核心竞争力，如何运营好社区以及一些战略合作，来向市场输出自己的安全实力尤为重要。

和传统互联网安全最开始从toC端安全做起的路径相反，区块链安全目前还是主要集中在项目方中，而toC端的安全服务相对冷清。

但也有少数创业者选择做C端业务，GoSecurity创始人Mike就是其中之一。GoSecurity通过动态风险检测平台，以数据API的方式接入Web3应用，覆盖用户的风险场景，实时识别用户可能遇到的资产，行为风险，比如基于合约检测的Token，NFT，授权检测，也有基于用户使用场景的防钓鱼网站、钓鱼邮件、社群等，在为用户提供安全防护的同时，也剥离了Web3应用之前不好处理的用户侧风险。

Mike认为虽然从传统互联网的经验来看，只有少量用户会为安全付费，但Web3用户对于购买安全服务的收益模型更明确，这个有点像买车必须上保险，安全服务可能是日后所有Web3用户的必备服务，且toC端核心其实是安全流量和数据，商业逻辑和toB按项目收服务费的逻辑并不一样，扩大数据规模是关键。“toC端整个技术架构反而是要快，每天都有新的攻击方法出现，要识别定位，安全引擎有几百个策略，十多个检测类型在跑的时候，如何能在2秒内，出准确结果，这可能是toC安全的关键。”而扩大数据规模除了做好产品服务外，依赖于对生态的开发聚合。

无论是toC还是toB，或者是否能突破标准化，在MiranaVentures投资人kenneth看来，关键还是人，SaaS软件也需要人力研发，所以项目目前拓展人力上的能力也非常关键，“投资的BlockSec、Secure3的创始团队都有学术和高校背景，能培养一些针对区块链安全的高端人才，且在人力成本上也有优势。”

目前市场玩家们，除了在标准化自动化上和业务深度上做出努力之外，也出现了一些小而美的打法。

比如北美有一些新审计公司，定位于精细化审计，主要服务于StepN、BanklessDao等创新型业务。这部分细分市场对于传统审计公司来说很难嚼或者说性价比不高，因为要做很多复杂的修改才能匹配到创新型业务。

此外还有一些针对类似于反作弊这样很细分痛点去切入安全服务的创业者。很多GameFi项目需要花50%的研发资源去做反作弊这一层，但这一层未来可能变化成类似于可介入API的数据服务层，让专业的反作弊第三方服务来帮项目进行更高效地处理。

两个模糊地带：收费与追责

除了产品上的标准化，还有一些付费和责任分配模式不够清晰。

区块链项目虽然对安全服务的付费意愿很高，但不代表愿意或者说有能力去支出大额的安全预算。即使一个漏洞确实保护了平台用户非常多的资产，但安全服务商能拿付到多少比例，怎么收费，都是个问题。

传统的项目常见的收费模式基本上有三类，一种是按项目收服务费或者SaaS模式收费。第二种是收取保护项目网格资产的一定比例提成，第三种是提供安全API，按调用次数来收费。如果是token类项目，可能还会通过内置代币模型来达到付费目的，但这类目前还没有很成熟的做法。

周亚金表示，代码审计通常是根据项目大小，按次收费。而智能合约上链后，数据监控的部分则会采取订阅制，比如按年收费。而对于追损服务，在订阅制之外，同时会根据追回金额的多少，按百分点收取费用。

不过在MiranaVentures投资人kenneth看来，“行业内其实没有一个清晰的收费标准，尽管大家在强调推出SaaS，但收费上还是casebycase，可能差不多的项目方最终付费差得很多，不利于市场拓展”。

除了收费模式不标准外，安全审核或保护类的项目最终遭受类攻击，谁来担责呢？目前来看，大多数被攻击的项目都曾完成过安全审计，并且很多都是来自知名安全公司的升级，但仍然没有避免遭受被攻击的命运。

kenneth提到，像传统四大会记事务所的审计服务，一旦出现问题，都有第三方来制定一套从上到下的规则，来明确哪些是项目的责任和服务方的责任，目前区块链的安全服务并没有建立到这套规则。“即使未来有，但法律法规的不健全，不同国家和地区的规则差异，也会带来一些责任审查和追责的难题。”

TornadoCash因反被制裁来看，安全服务未来会从代码审计拓展到类似与隐私数据等等其它服务上，会很受当地政策限制，很多数据相关业务并不能跨越国界。

而市场格局走向稳定成熟过程中，YMCapital投资人Thomas表示，从Web2的发展经验来看，安全商业本身存在一个大量兼并机会，包括横向并购与纵向并购，未来安全公司也可能突破安全的边界，向非安全的其它数据业务方向做拓展。

从目前现状来看，很多所谓的Web3安全公司还是一个很Web2的心态，本质上还是只是服务的客户从Web2切换到Web3。YMCapital投资人Thomas期待的是，有没有更Web3去中心化形态的公司或组织，或者渠道上，能构建一张去中心化的安全网络。

GoSecurity创始人Mike也认为，安全不同的细分领域里面都会有一些头部公司，但相比于传统互联网安全服务，它会更加生态化，而不是靠一个头部公司来垄断整个市场。

区块链安全赛道是一个非常庞大的市场，但要根本上解决问题，不仅要依赖安全审计公司在项目上线前尽可能疏通漏洞，也需要白帽黑客等独立研究者在上线后基于赏金模式持续发掘漏洞，更需要监管机制、用户教育等方面的发力，形成针对区块链项目的全方位全周期安全保障机制。

标签：区块链WEBSECWEB3区块链专业就业前景web3域名哪里注册SecretMetaWeb3Pad

以太坊热门资讯