STC:当奈飞的NFT忘记了web2的业务安全

奈飞Netflix是市值达800亿美金的视频类娱乐服务公司，在190多个国家/地区拥有2.22亿付费会员如此巨头又怎会放过web3的风口呢？

因此在近期X2earn的火热下，他也创意独裁出了个WatchtoEran

官方入口：

https://lovedeathandart.com/

大概是会员在阅读影片的过程中，会随机出现一个二维码，结合用户的以太坊地址后，官方会签名信息，用户将可以得到一个signature数值，而有了这个值，即可在netflix官方发布的NFT合约中，铸造一枚nft，如图美观度上十分不错结合上稳定的经济模型，或许又是一个跑鞋般的顶流项目！

安全公司：黑客正在对MetaMask等主流钱包进行“模态网络钓鱼”攻击:金色财经报道，安全公司CertiK在社交媒体披露，黑客正在对MetaMask等主流钱包进行“模态网络钓鱼”攻击，通过将网络钓鱼消息发送到被识别为合法去中心化应用程序 (dApp) 的移动钱包控制非托管钱包的“模态窗口”，以引诱其所有者批准错误的交易，用户可能会认为他或她正在通过MetaMask钱包批准“安全更新”。 CertiK团队提醒并强调，用户应该对每一个未知的交易请求都非常谨慎，甚至持怀疑态度——即使是那些被标记为安全升级的请求。[2023/4/14 14:03:02]

所以一开始，大家还想冲一波会员，来慢慢watch2eran

价值约4901万美元的ETH转入Coinbase:金色财经报道，3.1万枚ETH于今日13:33从未知钱包转入Coinbase，价值约4901万美元，交易哈希为0xcbc23808d1917f8192e56c9205e3952ffe9611b2b8bea9c2f48117a86c5ccde3。[2023/1/17 11:16:26]

然而，万万没想到，这个得到官方进行签名的过程，他竟然毫无防护！

活动开始，当web3科学家们满怀激动的心，颤抖的手来抓包想等到收到二维码的时候，赫然发现，原来扫码签名无需同web2账号进行鉴权，也无风控逻辑？？？

“山寨币”和“元宇宙”两词被收录进韦氏大词典:金色财经报道，韦氏大词典（Merriam-Webster）最近将370个新词汇加入其中，在添加的新术语中，包含了“山寨币（Altcoin）”和“元宇宙（metaverse）”两个与加密货币行业相关的词汇。韦氏大词典特约编辑 Peter Sokolowski 表示，新词汇提供了一个了解我们不断变化的语言和文化的窗口，只有当有明确和持续的证据证明这些词汇被使用时，它们才会被添加到韦氏大词典中。另据谷歌趋势数据显示，“元宇宙”在五个国家中搜索次数最多，分别是：新加坡、土耳其、中国、塞浦路斯和阿联酋。（bitcoinist）[2022/9/11 13:22:11]

只需要构建以下的请求，将自己的以太坊地址和目标中的系列号写入

币安发布公告称无限期暂停部分网络的LUNC、USTC充提:9月2日消息，币安官方发布公告称，由于跨链桥即将关闭，将对LUNC以及USTC充提进行更改，具体如下；（1）LUNC（Shuttle）在以太坊网络（ERC20）上的充提，以及USTC（Shuttle）在币安智能链（BEP20）、以太坊网络（ERC20）和Polygon网络的充提将于2022年09月07日08:00（东八区时间）无限期暂停；

（2）请用户于2022年09月07日08:00（东八区时间）之前为使LUNC（Shuttle）和USTC（Shuttle）充值业务留出足够的时间。在此时间之后的LUNC（Shuttle）和USTC（Shuttle）充值将不会上账；

（3）用户仍然可以通过Terra Classic网络充值和提现LUNC和USTC代币；

（4）LUNC和USTC的现货交易、杠杆交易、理财平台的相关服务（例如：质押和币安宝等）将不受影响。[2022/9/3 13:05:58]

mac系统可以直接在命令行发出，window系统可以用postman等请求包构建工具，即可发出此请求。返回的信息里会有一个signature。

浦东：“张江·未来之城SUPER CITY”元宇宙数字孪生未来之城先导区发布:金色财经报道，据浦东发布官方公众号，在9月1日举行的2022世界人工智能大会产业发展全体会议上，“张江·未来之城SUPER CITY”的构想发布，打造张江数字孪生“未来之城”的先导区。该先导区将展现元宇宙数字化产业发展趋势，大量运用元宇宙相关技术，不断往上叠加。同时，作为系统集成的‘牛鼻子’和服务实体经济的‘产业元宇宙’，‘未来之城’将全方位引领科技进步、产业兴旺、安居乐业。[2022/9/2 13:03:50]

然后去官方合约地址

https://etherscan.io/address/0xfd43d1da000558473822302e1d44d81da2e4cc0d#writeContract

写入，随意编写个data值，以及对应的系列号，即可进行mint。

而且几小时后，就有同学制作一键式脚本，进一步降低操作难度。

由于此nft获取的代价太低，基本平均在当前20wei的gas成本下，截止5.20-9点已经有5W次交易，大多数是mint的操作。当然出了bug后，基本后续此nft的价格不会太高，大家也就相当于参与体验玩玩

但是对于Netflix而言，一个可能媲美stepn的创意就在最基础的web2业务流程中被爆破了。

虽然某种意义上，这个bug的传播效果似乎完全超出了活动本身的策划。。

从安全的角度解读

web3

我们来分析下合约可以看出，其实他web3部分的合约安保措施是相对到位的。

1：属于标准设计模式，结合eip1271的验签方式来确定白名单资格，1271是为合约进行签名所设计的，其指定的isValidSignature可以设定任意验签逻辑，如支持单签、多签、门限签名等。

如果不做这样的签名验证，则在此活动中，如何管控mint白名单就是个高成本的问题了。

因为活动本身在于激励用户持续观看，

如果积累一段时间的白名单merkle树根到链上，则用户受到激励反馈会比较长

而如果每得到一个用户，就上白名单一次，就会造成活动方的高成本

2：其次合约还会再将此钱包地址+系列号，纳入hasMinted中，防止重放，并且实现的方式是先修改权限再操作mint，也很到位。

web2

但是从web2的角度看，他获取官方签名的环节，其攻破成本几乎为0。这点可以类比传统web2上营销发行优惠券，一直都是企业的大挑战。

笔者本身从业web2业务安全风控5年，出于职业习惯，也补充下web2好用的安全防护对抗方案。

其核心是依赖于账号安全体系健全，黑灰产黑名单数据库的全面性，实时对抗策略的体系。

一个要健全的web2上营销反作弊场景保护，其需要4大环节：

1：业务风险评估=产品逻辑+数据埋点+埋点处理+动态埋点对抗

2：离线策略建模=策略研发+验证+上线评估

3：现网持续对抗=策略灰度+策略监控+策略迭代+动态攻防+客诉反馈+黑产情报

4：决策处置对抗=行为及时阻断+人机验证+身份核验

其中高度依赖黑数据质量，这是成本对抗的基础，核心有设备指纹库，IP画像库，手机画像库，账号画像库等等

最后是持续性的算法加强策略检测，比如异常检测，团伙发现，行为检测等。

总之

web2的基础不丢才有跑鞋的辉煌，web3是营销利器但也不是独立生态，长期看会与web2诸多基建共存。

附录：https://eips.ethereum.org/EIPS/eip-1271

来源：金色财经

标签：WEBUSTC元宇宙STCWeb3CampJustCarbon Removal国家为什么要打击元宇宙概念FirstCoin

中币下载热门资讯