作者：雪小顽
2022年是Web3崛起以来，损失最惨重的一年。
Web3这一个月来风波不断。
8月初，明星公链Solana发生黑客盗币事件，超过9000个钱包地址被袭击，损失约400多万美元，在用户中引发了一波恐慌情绪，也让Solana陷入信用危机。
几天后，加密货币混币器TornadoCash被美国财政部的下属机构——海外资产控制办公室列入制裁名单，其中包括40多个与TornadoCash协议相关的以太坊地址，涉及价值超4亿美元的资产被冻结。
定位于隐私服务的混币器，在加密社区的名声一直备受争议，其中的「头部」TornadoCash更是有「脏币销金窟」之称。
TornadoCash被美国财政部制裁后，其代币价格大幅下降。｜来源：business2community.com
这次制裁意味着美国的社区用户，无论个人还是实体，都不得再与TornadoCash平台以及和它绑定的钱包地址进行经济交易。按照过往的案例，如果违规，可能面临高达30多万美元的罚款和最高30年的监禁。
数据：韩国2022年上半年加密货币市场价值为23万亿韩元:金色财经报道，根据韩国金融情报机构（KoFIU）的数据，2022年上半年，韩国的加密货币市场价值为23万亿韩元（约161亿美元），较去年年底的六个月期间下降58%。
此外，日交易量下降了53%，平均为5.3万亿韩元（约37亿美元）。韩国的虚拟资产服务提供商的总营业利润下降了62%，从1.64万亿（约11亿美元）下降到0.63万亿韩元（约4.41亿美元）。（Forkast）[2022/9/27 22:32:22]
紧接着，外媒曝出29岁的TornadoCash开发者在荷兰阿姆斯特丹被逮捕，当地执法部门称TornadoCash涉嫌隐瞒非法资金流动和协助，从今年6月份开始一直在对其进行调查。
TornadoCash被制裁，在加密行业引发「站队」。有人公开表达不满，认为美国财政部监管越界，侵犯了美国公民的隐私权和自由；也有人带头响应监管，稳定币USDC的发行方Circle迅速冻结了TornadoCash相关钱包地址上的资产。
Web3正面临着崛起以来最严峻的安全考验与审查压力。2022年上半年，Web3领域的资产损失约为20亿美元，超过了去年全年被黑客攻击的总损失数额。随之而来的连锁反应是，监管执法之手越伸越长。
Crypto.com向一女子误转1050万美元，半年后发现并提起诉讼:8月30日消息，据外媒报道，Crypto.com 向一女子误转 1050 万美元，半年后发现并提起诉讼。去年 5 月，澳大利亚墨尔本一女子在向 Crypto.com 申请 100 美元退款时，误被转入 1050 万美元，随后该资金被用于购入一处房产。7 个月后，Crypto.com 在最高法院对其提起诉讼以追回这笔资金。目前，法官下令该女子出售房产，并返还剩余款项。[2022/8/30 12:57:59]
人们的惯常认知中，强调去中心化逻辑的Web3本应拥有更强的安全性和私密性，如今却被黑客和监管双双盯上。加密世界正经历着对其未来命运影响深远的动荡时刻。
黑客打劫Solana：
一场悬而未决的「公案」
距离Solana发生黑客盗币时间已经过去半个多月，官方依然没有给出最终的调查结果。
区块链安全公司慢雾科技团队分析发现，根据Solanafoundation提供的数据显示，近60%被盗用户使用的是Phantom钱包，此外有30%左右地址使用了Slope钱包，并且iOS和Android版本的应用都有相应的受害者。
近半年发布18次可能被暂停上市公告 文化长城疑蹭“区块链”热度:文化长城集团股份有限公司(300089.SZ)于5月20日发布了《关于公司股票可能被暂停上市的风险提示公告》，这是自5月以来，文化长城第三次对外发布关于公司可能被暂停上市的公告。据统计，自2020年1月以来，文化长城共计发布18次关于公司可能被暂停上市的公告。文化长城曾因外因6项软件著作权的名称或说明中涉及区块链，被外界定义为区块链概念股，深圳交易所创业板管理部曾向其发《关注函》，要求其说明公司业务与区块链技术的关系。（财经网链上财经）[2020/5/21]
事发3天后，Slope曾在twitter上发布了一个官方钱包地址，并公开表示，一直在与执法部门和情报公司合作追踪被盗资产，如果黑客愿意归还，可以向其支付10%的赏金。「收回这些资金后，我们就不会再继续追究，也不会采取任何法律行动。」
Slope团队给黑客留了48小时的时间来归还资产，但这个赏金要约并未得到黑客的回应。
Slope钱包官方向黑客发出赏金要约。｜来源：twitter
动态 | BTC过去半年代码提交排名32位:据cryptomiso数据显示，过去半年内Github代码提交次数排名前五为：INS（提交6950次，21个贡献者）、ZRX（3829，45）、RHOC（2454，50）、ZIL（2192，34）、ZSE（2045，7）。另外BTC排名32位，过去半年提交了655次代码；ETH排名42位，过去半年提交了483次代码。[2019/1/13]
硬件钱包Keystone创始人刘力心还记得，事发当天，他被拉进了一个有100多位白帽黑客的「warroom」，安全专家们讨论了事件可能的经过。
「最初的猜测是某个NFT项目被集体攻击。」刘力心回忆，从被黑的钱包地址数量来看，八九千个的量级通常是某个NFT项目发行的常见数量，最初的猜测是某个NFT项目方作恶，例如进行了恶意授权。
但这个猜测很快被否定。安全技术人员发现，有几笔被盗交易的发生是由于用私钥做签名，而不是错误授权导致资产转移。接下来，关于事故原因的猜测还有供应链攻击、黑客撞取随机数、采取不恰当的签名方式等等，随后也都被一一推翻。
当天下午，一位海外研究人员发现，Solana链上的Slope钱包私有化部署了第三方应用监控服务Sentry，会收集用户的私钥或助记词等信息，然后上传到中心化的服务器。
动态 | 2018年上半年美国区块链投资额已超过2017全年总额:据cointelegraph消息， 毕马威会计师事务所(KPMG) 7月31日发布了两年一度的《金融科技脉搏》(the Pulse of Fintech)报告。该报告显示， 2018年上半年美国区块链投资已经超过了2017年的投资总额。报告得出的其他关键结论包括，新的区块链联盟继续“涌现”，特别是那些专注于开发区块链驱动的供应链管理解决方案的联盟。对于发行Token，毕马威指出，尽管一些国家高调禁止这种融资模式，但该行业仍在蓬勃发展。[2018/8/1]
Sentry是一个应用监测平台，可以实时监控应用在运行状态时出现的异常或错误日志信息。如果Sentry发现了系统bug，会通过邮件等方式通知应用方的技术人员。
在加密世界，Sentry服务被广泛应用，Slope钱包就是其一。但使用Sentry时需要注意一个问题，如果出现了配置错误，Sentry可能会收集到额外的数据，如私钥或助记词等私密信息。
安全专家们推测，在Solana盗币事件中，用户创建钱包时，Slope将助记词和私钥等敏感数据错误发送给了Sentry。这给黑客提供了可乘之机，黑客窃取了存储在Sentry中心化服务器上的私钥。
经过调查后，Slope发布声明称，虽然上述安全漏洞确实存在，但被攻击的Slope地址的数量只是这次被盗钱包地址总数的一小部分。目前也暂无证据表明Sentry官方遭到了入侵和攻击，因为Slope钱包使用的Sentry服务部署在私有服务器。
此外，具体数据来看，服务器上的私钥和助记词派生出来的地址中，与受害者地址有交集的，只有5个以太坊地址和1388个Solana地址。也就是说，Slope此次被黑的超过2700个钱包中只有一半存在Sentry漏洞，这无法解释其余用户钱包是如何被黑的。
就已经掌握的调查结果来看，已知的攻击者地址有4个，被盗资产在Solana链上尚未出现进一步转移，但在ETH链上，一些资金已经被转移到疑似OTC个人钱包地址，剩余部分被兑换为ETH后，转移到了TornadoCash。
Web3「危机四伏」
在这次Solana被袭同期，跨链桥NomadBridge也受到攻击。值得注意的是，参与攻击NomadBridge的黑客有上百位，甚至包含了「白帽子」，损失近2亿美元。
慢雾科技首席信息安全官张连锋告诉极客公园，目前对Web3的攻击类型主要有两种：
一是链上攻击，例如假充值、重入攻击、重放攻击、重排攻击等。这类攻击往往更加隐秘，需要通过专业的代码安全审计、完备的链上分析监测预警等方法来识别。
二是链下攻击，如高级长期威胁、网络钓鱼、供应链攻击等。这类都是传统Web2常见的安全问题，但是目前却对Web3生态安全产生了很大影响。
今年4月，周杰伦丢失价值超300万人民币的无聊猿编号3738的NFT，就是因为无意中点击了钓鱼链接。
周杰伦被盗的无聊猿NFT。｜图片源自网络
Web3自带金融属性，金钱的诱惑下，更容易被黑客盯上。随着Web3玩家的体量不断扩大，加密货币犯罪也呈现快速上涨趋势。
根据慢雾区块链被黑事件档案库统计，2022年上半年，Web3领域的资产损失接近20亿美元，已经超过2021年全年因黑客攻击漏洞造成的总损失。
2022年因此被称作「Web3兴起以来损失最惨重的一年」。其中，以去中心化程度低、流动资金量大的跨链桥受损最为严重。
截至6月30日，今年共发生7起跨链桥安全事件，损失超过10亿美元，占上半年总资产损失的半数以上。在上半年损失金额达到上亿美元的4起事件中，有3起波及跨链桥。
比较有代表性的是区块链游戏AxieInfinity的侧链RoninNetwork被袭，造成6.24亿美元的损失，以及Solana的跨链桥项目Wormhole被攻击，损失3.26亿美元。
除了跨链桥，区块链钱包也是安全事件发生的「重灾区」。
钱包是用户管理加密资产的工具，也是用户进入各类Web3应用的账户入口，加密世界的交互和交易通过钱包来进行。
钱包包含着基于公钥和私钥生成的地址，表面上看是一组有字母、数字构成的符号串。其中的私钥可以对照理解为Web2支付工具的密码，掌握这个「密码」的人才是加密资产的真正主人。
所以，私钥一般是黑客攻击窃取的关键信息。通常来说，大部分钱包都会与网络连接，私钥泄露的风险系数较高。
加密货币被黑客盗取后，主要流向就是场景，以混币器为代表性「帮凶」。
从隐私保护出发的混币器，本来的设想是消除用户的链上交易痕迹，却被黑客用作转移被盗资产后的工具。不久前被制裁的TornadoCash自2019年创建以来，已经「清洗」了价值超过70亿美元的虚拟货币。
今年5月份的时候，美国曾经制裁了中心化混币平台Blender，理由是Blender涉嫌帮助朝鲜知名黑客组织LazarusGroup清洗从AxieInfinity盗取的部分资产。
LazarusGroup是一个来自朝鲜的网络黑客集团，在2021年共窃取了价值超4亿美元的加密货币。｜来源：bleepingcomputer.com
以美国政府为代表的监管势力盯上混币器，黑客们的如意算盘未来或许打得不那么响。制裁犯罪固然重要，但另一个关键的问题是，加密世界亟需更优化的安全方案，在财产、隐私保护与犯罪监管之间寻求平衡。
无论对浅试Web3的个体玩家还是Allin的建设者来说，在通向一个美丽新世界之前，先要走过一片遍布安全陷阱的暗黑森林。
BendDAO是一个NFT借贷协议。?上周末,对坏账的担忧让BendDAO陷入链上挤兑风险之中,其储备一度从约18,000WETH降至不到15WETH.
原作者：DavidHoffman,来源：Bankless上周,JordiAlexander在Bankless上发表一篇题为《合并是否被过度炒作?》的文章.
创作者应该根据收藏品的市值来获得激励,而不是收藏品的交易量。 撰文：foobar 版税为艺术家和创作者提供了可观的收入,如果你能靠版税赚钱,那相当好,但它是不能强制执行的,也不适合区块链.
以太坊合并是什么,合并接下来又会是什么？以太坊的联合创始人VitalikButerin于2022年7月在巴黎举行的“以太坊社区大会”上分享了他对以太坊在合并后的长期愿景和期望.
金色周刊是金色财经推出的一档每周区块链行业总结栏目,内容涵盖一周重点新闻、行情与合约数据、矿业信息、项目动态、技术进展等行业动态。本文是项目周刊,带您一览本周主流项目以及明星项目的进展.
如今,有50亿人使用互联网；但了解它的,不超过1%。今天,就给你捋一捋互联网的发展历史。撰文：MishadaVinci,FutureoftheWorld创始人? 编译：元宇宙特攻队 互联网始于2.
链资讯