“警报！警报！警报！”，一只手机躺在床头柜上，吱哇乱叫。
Michael J（以下简称MJ）熟睡中被惊醒，拿起手机一看，来自加密艺术平台Nifty Gateway出售商品警报、各个信用卡商的欺诈警报，充斥着他的手机界面。
“坏了！”MJ瞬间清醒，一下子坐起身来，火速打开Nifty Gateway准备转移资产，可惜为时已晚，他所有的NFT收藏品全被清空，黑客甚至还用MJ的数字钱包购买了价值1万美元的新NFT，一并转走了。
几分钟时间，MJ价值数十万美元的NFT藏品化为乌有，再也找不回来了。
Nifty Gateway是一家注册在美国的加密艺术品交易平台。
有人说，这种情况不能找Nifty Gateway维权吗？NFT数字作品不是锚定产权人，不可更改吗？难道没有办法吗？MJ也这么想，找到Nifty Gateway。
“由于记录了包括转账在内的所有交易，因此我知道我被盗的NFT发送到的2个具体帐户以及购买人信息。”MJ将此提供给Nifty Gateway，此时黑客在Discord频道上寻找买家。
对此，Nifty Gateway发表声明说，正在对MJ事件进行分析。“初步评估表明此事件影响有限，未受影响的帐户都启用了2FA(Two-factor-authentication双元验证法)，并且可以通过有效的帐户凭据获得访问权限。”
在境外NFT炒作浪潮里，除了价格泡沫外，参与者还会面临资产安全风险。
事实证明，随着NFT大热，资本快速涌入，网络罪犯也在将他们的注意力转向NFT领域。近几个月来，NFT市场蓬勃发展，数字艺术品资产被盗事件也发生的越来越频繁。
强大的元宇宙难道无法保护一张数字图片吗？为此，《链新》采访了多位一线技术人员，试图分析出NFT数字资产被盗一事背后的底层技术逻辑、隐藏问题、行业看法以及可防范措施。
2021年4月，黑客珀森从佳士得的网站上下载并伪造了Beeple的《每一天：第一个5000天》文件，然后通过Beeple钱包铸造了另一个铸币，在一个NFT平台上挂牌出售。
做完这一切，珀森在自己的网站NFTheft上，发表了一篇题为《我为什么这么做》的文章，直言:“才华横溢、经验丰富的创作者无法为他们的作品提供任何必要的保障。”，“没有任何权利或保护措施来防止他们的艺术品被盗或被误用。”
自去年11月以来，多家加密挖矿公司股价高位腰斩:金色财经报道，正如比特币的价格从接近 70,000 美元的高位暴跌到今天的 42,000 美元左右一样，最大的加密采矿公司的股价也大多腰斩。据The Block Research的数据，总部位于内华达州的Marathon Patent市值已从 11 月初的 76.5 亿美元降至今天的约 30 亿美元。科罗拉多州的 Riot Blockchain 已从 42.5 亿美元跌至 20.5 亿美元。总部位于多伦多的 Hut 8 矿业从 23.3 亿美元降至 11.9 亿美元。Hive、Argo Blockchain 和 Canaan 的股价也大都暴跌超50%。自 11 月的高点以来，几家最大的加密货币矿工的股价已经下跌了一半。
uxor Tech 的首席运营官 Ethan Vera 将矿业股描述为类似于“比特币的杠杆交易”。（theblockcrypto）[2022/1/7 8:32:10]
这是黑客珀森的一场行为艺术，但他说的话却比他的行为更吸引人。
业内人士告诉《链新》，一个典型的NFT常分成两个独立的部分，存储在链上的智能合约或ERC-721标准规范，以及数字艺术品本身。目前，访问艺术品的主要模式是使用URL（网络地址），而非数字作品直接上链。
从事数字艺术品的经营的凯拉尼·尼科尔（Kelani Nichole）曾公开表示对ERC-721的质疑，称这种模式是危险的，其直言 “如果哪天NFT平台的服务器宕机了，或者他们的IPFS（分布式文件存储系统，一种常见的防护措施）节点宕机了，你花很多钱买的内容将无法访问”。?
事实上，即便是用户采用了IPFS进行维护，还有不少因素同样会导致URL被破坏，以至于类似Checkmynft.com（用户可以插入合同地址和令牌ID检查URL状态检验）等平台应运而生。
而就在今年3月，Checkmynft发现，已经使用过IPFS存储的Grimes、DeadMau5和Steve Aoki等用户的NFT出现无法加载的情况，最终文件外流。虽然文件外流没有对市场造成太大影响，却也加重了人们对NFT的储存方式的担忧。
既然如此，为什么不直接选择，简单直接的数字艺术品直接上链呢？
艾贝链动 CEO 叶新告诉《链新》记者：“NFT选择基于智能合约URL指向的形式存在，还是作为独立的作品直接上链，本质上是成本问题。”
艾贝链动是一家区块链领域安全产品与技术服务公司，业务集中在数字身份、数字资产凭证、资产追踪服务等方面。
简单计算两种储存方式的成本，目前来说，以太坊的存储成本是256bit=32字节=20 K gas，假设当前gasPrice是100 gwei，ETH价格为3000美元，那20K gas成本就为6美元。
普遍URL都在64字节以内，所以一个URL在以太坊网络正常情况下的存储成本大约是12美元左右，通常NFT合约只存了一份URL前缀并使用不同的id拼接出完整的URL。
但如果是独立上链的话，以Cryptopunk为例，一张图大概需要3000字节，也就是2000 K gas，约600美元，其成本将会是普通URL上链成本的50倍，1万张图就是600万美元。
倘若再遇到以太坊网络拥堵，独立上链的gasPrice成本将超出想象。
所以说，从成本上考虑，URL是目前虽然有漏洞却是最具性价比的选择。
那么，黑客们究竟是如何一步步从潜在的技术漏洞，到真正窃取他人的NFT资产的呢？
据链圈专业人士介绍，尽管区块链账户号称是不可变的，但智能合约比许多人想象的更容易被窃取和伪造。而且，由于NFT交易可能会带来丰厚的利润，黑客就有了进一步攻击的动机。
叶新告诉《链新》，近年来NFT 市场频发资产被盗事件主要原因是NFT资产的价值及流通性大幅提升。事实上，个人钱包被盗事件一直很多，只是过去谈的是加密货币，现在谈的是NFT，黑客们自然会在掌握受害者私钥后将 NFT 转走套现。
这却是一件吊诡的事：NFT是一种防篡改的电子账本，对原始数字艺术进行认证和定义，还可以向艺术家提供永久的交易分成；人们基于相信制作NFT的区块链技术会带来切实好处而引发2021年上半年的“NFT抢购潮”和逐渐走高的价格；而这个价值24亿美元的新兴行业所使用的技术基础却很差，无法实现它所给出的承诺，短时间内还无法找到根治之策。
既然如此，或许尝试了解黑客们盗走NFT的方式，能在某种程度上减少一些受害者。
据《链新》了解，用户NFT数字资产被盗就是因为所属钱包私钥遭到了泄露或用户在不知情的情况下授权了非法转账交易行为。而要做到这一点，离不开用户的“配合”，简单来说，即用户在不知情的情况下进行了授权，可能有以下三种情况：?
1.用户没能保管好私钥，比如将私钥信息储存在邮箱等云存储上，或是误发到通信软件或是误贴到钓鱼网站等，也就是所谓的“私钥触网”。例如在缺乏 2FA （双因素验证）的情况下，黑客可以暴破邮箱弱口令将私钥截获；
2、用户错误授权，黑客可利用搭建虚假网站、虚假钱包或者构建虚假项目取用户授权，进而利用智能合约中 approve/transferFrom 的特性在用户没有感知的情况下盗取资产。在 NFT 的场景，由于资产可能带有图片或视频，还存在一个有别于币的攻击面，黑客可能通过交易网站的漏洞由恶意图片触发看似合法的授权弹窗，诱用户点击；
3、私钥存储设备被入侵，这是更进阶的一种盗取私钥的方式。任何联网的设备都可能通过钓鱼邮件，word 文件等方式被黑客安装木马，假设用户以明文方式存储私钥或者加密口令过于简单，黑客都可能远程盗取私钥，因此储存私钥的设备需要即时更新安全补丁及安装防软件定期扫描，用冷钱包操作私钥是更安全的做法。
要杜绝此类事件发生，除了要知道黑客们惯用手段、提高日常警惕之外，不同平台之间权责明晰也非常必要，可NFT正处于萌发阶段，现有制度和人们的共识还未完善，需要时间搭建完整体系。
不过在叶新看来，对于个别用户因私钥被盗或被钓鱼造成的 NFT 盗窃事件，目前来看责任主要在于用户自己。这是加密市场去中心化市场的主要特性。
而钱包方、交易平台、拍卖平台有义务在产品使用过程中层层设防，在自身安全保障过硬的基础上，还应做好用户安全意识教育，钓鱼陷阱普及等认知教育工作。
体系不够健全，行业自当努力，NFT的存储方式有问题需要解决，不少区块链创业公司都希望能在这里裨补阙漏、贡献力量。
比如，区块链服务和安全公司RubiX的CEO和创始人尼廷·帕拉瓦利(Nithin Palavalli)，它们认为目前的存储选择还不够，于是发明了一种新的机制——通过该模型在区块链上验证交易，允许用户在链上存储大量数据，帮助资产防护黑客攻击。
而对于那些看重NFT中文件的用户来说，文件的丢失可能会令人崩溃。
对此，RubiX与艺术家合作，使用生物识别技术访问创建了一种安全性更高的文件，还与微软智能安全协会(Microsoft Intelligent security Association)合作，开发了几个分散的安全协议，作为区块链安全产品的一部分，这些解决方案或许会令NFT市场更好地运转。
另外，知识产权律师杰夫·格鲁克(Jeff Gluck)一直关心着与艺术家们权利息息相关的智能合约。他表示，由于没有铸造的集中标准，艺术家最终会被去转售分成，于是他创立了提供智能合约的CXIP实验室，可以对任何平台协议进行转译。
储存选择、文件流失、智能合约，似乎一切正如叶新所言，漏洞是暂时的，需要在行业进步过程中一点点规避的。就像早期的 DeFi 协议也存在大量攻击事件，但随着项目开发者普遍安全意识提升，攻击事件就逐步降低，NFT市场也会经历这么一个过程。
1.DeFi总市值：1359.09亿美元 DeFi总市值数据来源：Coingecko 2.过去24小时去中心化交易所的交易量：32.2亿美元 过去24小时去中心化交易所的交易量数据来源：Debank 3.DeFi借贷平台借款总量：286.4亿美元 DeFi借贷平台借款总量数据来源：Debank 4.1DeFi中锁定资产：992。
已不记得今年什么时候,元宇宙就突然火了起来。 一时间,所有的新概念层出不穷,资本也是拼命寻找相关标的。在36氪举办的一次游戏峰会上,投资人们针对元宇宙和游戏的话题持续到会议结束,都不愿离去。 那个火热场面,侧面证明很多人在元宇宙上看到了新的机会,也有太多想要表达的观点。
金色周刊是金色财经推出的一档每周区块链行业总结栏目,内容涵盖一周重点新闻、矿业信息、项目动态、技术进展等行业动态。本文是其中的新闻周刊,带您一览本周区块链行业大事。
OlympusDAO 的激励模型、以及完全掌控自己流动性的策略,堪称是大师级的激励设计。至关重要的是,这是一个加密原生模型,一个开箱即用工具应该有的样子。 几个月前,当我们对之前 撰文讨论过的 Alchemix 进行研究时,我们第一次了解到 OlympusDAO 及其原生代币 OHM。
7月30日,《财富》杂志封面报道：DeFi正在占领华尔街。文章的意思是DeFi正在快速渗透华尔街,以至于所有的金融机构都必须构筑自己的DeFi策略,以免在未来的竞争中被淘汰出局。
以色列中央银行可能会发行一种数字货币,这使得中央银行都从某种意义而言充满了活力。 数字谢克尔（以色列法定货币）已经不仅仅存在于理论,而是一种可持续性的解决方案。关于CBDC的利弊已经越来越明显,以色列中央银行开始寻找答案和新的解决方案。 早在6月份,以色列银行副行长Andrew Abir就宣布了一项内部试点计划,就CBDC进行了试验。
链资讯