2022年對於整個數字資產行業來說是艱難的一年。在市場低迷的大環境下，65%的數字資產市值化為烏有，而數量空前的黑客攻擊、詐騙事件和機構崩盤，讓本就損失慘重的投資者們雪上加霜。
從今年3月Ronin Bridge被盜6.24億美元事件到11月FTX幾乎一夜崩塌，2022年的損失規模創下了歷史之最。今年的資產損失約為37.7億美元，遠遠超過2021年的13億美元記錄。
本報告將深入探究導致Celsius、BlockFi以及FTX等中心化交易所潰敗的各種因素。作為這些迅速重蹈行業覆轍的中心化機構的替代品，Web3.0和基於開源區塊鏈的去中心化金融應用將會發揮重要作用，但僅憑這一點就期望Web3.0走向大規模應用還不太現實。雖然與今年中心化領域的破產規模相比，去中心化世界的損失相對較小，但其總額也有數十億美元之多。整個Web3.0行業都需要對過去一年進行深刻反思，努力從這段艱難時期中尋求一線生機。
雖然不安全的協議仍在不斷造成損失，但這並不能否定Web3.0所具有的真正價值。如今，各類資產的估值普遍下降，人們的狂熱情緒也逐漸平息。由此我們可以退一步審視現狀，並在一個更加堅實的基礎上建設這個行業。
除了回顧今年發生的主要黑客攻擊和漏洞事件外，本報告也將展示CertiK公開的獨家安全研究，以履行其守護Web3.0世界的使命。
2022年行業安全概要
① 2022年，黑客從Web3.0協議中盜取了價值約37.7億美元的資產。
② 這個數字比2021年的13億美元損失增加了189%。
③ 2022年發生了316起退出騙局，共盜取了約2.1億美元，102起閃電貸與預言機操縱事件共造成了約3.6億美元的損失。
④ 僅僅9個跨鏈橋漏洞就佔了所有損失價值的三分之一以上，黑客從跨鏈橋攻擊中總共盜取了約13.5億美元。
⑤ 儘管經歷了一年熊市，CertiK審計的項目數量依然在持續增長。迄今為止，CertiK共完成了5046個Web3.0項目的審計。相比去年年底的總審計數目增加了73%。
⑥ 本文涵蓋了這一年的主要安全事件、Web3.0發展趨勢以及整個行業在一年動盪後的狀況分析。
中心化平台或成為難以調和的矛盾
今年以來，許多知名數字資產企業的消亡給整個行業都蒙上了陰影。雖然這些企業全都從事數字資產買賣、借貸和交易業務，但當我們為其貼上相同標籤之前，應該考慮一下，這些已然倒閉的企業是否真正可以被歸類為數字資產公司。
可以肯定的是，導致這些企業失敗的原因更多是源於他們的商業運營模式，而不是他們所管理的資產。中心化數字資產企業（也被稱為CeFi，意為“中心化金融”，與“去中心化金融”DeFi相反）的致命缺陷就隱含在其名稱中：它們在具有單點控制的中心化系統上運行，而這恰恰引發了今年我們所目睹的單點潰敗。
接下來的故事多少有些悲劇性的諷刺色彩。在今年2月份的超級碗比賽期間（Super Bowl，美國國家橄欖球聯盟年度冠軍賽），FTX曾向數百萬的觀眾推銷數字資產的概念，聲稱數字資產是 “下一個大事件”，並暗示不參與其中的人就像廣告中所扮演的傻瓜那樣會錯失一切。
然而，FTX背地裡卻將用戶的存款發送至該公司所謂的“非內部”但實際為內部的交易部門——Alameda，該部門很快就在投資上損失了數十億美元，這也嚴重違反了該交易所的服務條款。
關於FTX非流動性資產負債狀況的驚人消息很快不脛而走，典型的銀行擠兌事件也隨即爆發。如果一家交易所按1:1的比例保留存款資金，且不在未經許可的情況下進行重新抵押或出借，那麼它或許就能經受住這次考驗。但FTX的情況並非如此。
FTX前首席執行官Sam Bankman-Fried曾策劃了一連串極其奢華的收購、贊助和救助活動，因此也令FTX的垮台也更加令人難以置信。比如另一家現已倒閉的CeFi公司Voyager Digital在申請破產後就宣布FTX成功收購了其資產，然而在FTX閃電式崩盤後只能再次申請破產，這些突如其來的事件全部發生在了2022年下半年。
FTX和Three Arrows Capital等公司的倒閉確實打擊了許多大型投資機構，但受傷最嚴重的還是大量的普通散戶。鋪天蓋地的營銷、公眾人物代言和個人崇拜使他們將信心投放在了錯誤的平台，並為此付出了慘痛代價。
之所以說受傷散戶的比例很高，是因為在Voyager平台上，97%的用戶資產都不到1萬美元。其中許多誤認為CeFi平台更加安全的用戶，其資產現已蕩然無存。他們認為把資產存入CeFi平台更加放心，收益也更高，同時避免了去中心化平台的智能合約所帶來的高入門門檻以及各種風險。
關於FTX更多細節，請查看《FTX事件始末，黑客攻擊總結：2022 第四季度Web3.0行業安全報告》了解詳情。
雖然這些教訓讓人們非常痛苦，但其實也是必不可少的一課。數字資產的核心原則是自我監管和自主權（Self-Custody and Self-Sovereignty），所以將用戶的資產控制權交給中心化平台也就違背了以上原則。
這些平台完全有可能不遵守其服務條款，而你也無從得知你的資產正被平台如何利用。此外，你無法驗證平台的財務健康狀況，也不能追踪資產的流向來了解字面上的收益來源，以及所要承擔的風險，一切都只是建立在用戶的盲目信任和信念之上，而今年所發生的事件也證明了其後果：看似安然無恙的開端，最終卻墜入了滿目瘡痍的結局。
Terra崩盤事件
今年影響最大的事件之一是Terra的崩盤，其450億美元的市值在幾天內化為泡影。
與Tether、USDC和BUSD等穩定幣不同，算法穩定幣並非依靠與美元1:1的錨定比率來維持穩定，而是通過其內部機制來維持貨幣錨定。具體來說，算法穩定幣通過智能合約設定的鑄幣及銷毀功能來維持其基本價值。
以Terra的UST穩定幣為例，UST與另一項獨立的數字資產Luna掛鉤，UST的持有者隨時可以把他們的資產兌換成等值的LUNA。在5月初，LUNA的交易價格為85美元，此時一個UST穩定幣可以交易0.0118枚LUNA。
假如UST的交易價格跌破其設定的1美元門檻，做市商們隨即會把大量UST兌換為LUNA以縮小二者間的價值缺口。其原理是在降低UST供應量的同時，提升對LUNA的需求，也就是通過提高支持該穩定幣儲備資產的價格，來維持貨幣錨定的穩定。
5月7日，鏈上分析顯示UST被大量拋售，8500萬的UST被兌換成了8450萬USDC，這直接導致了UST首次脫鉤美元。受此影響，5月8日UST的價格跌至0.985美元的低點。
為了讓UST重新錨定美元，Luna Foundation Guard（LFG）部署了價值7.5億美元的比特幣，以協助做市商們維持UST價格的穩定。在市場環境恢復正常後，LFG又回購了價值7.5億美元的比特幣。
然而令人意想不到的是，5月9日UST的價格竟然跌至0.65美元的更低點。 UST的再次脫鉤隨之引發了LUNA的價格震動，其價格驟跌至35美元，跌幅超過44%，而這又使得LUNA與UST之間的市值脫鉤，從而危及其作為穩定儲備資產的功能。因為此時的LUNA生態系統已經沒有足夠的價值來抵押所有正在流通的UST了。
從這時開始，LUNA和UST之間的微妙平衡開始瓦解。然而禍不單行，Terra創建者Terraform Labs的首席執行官Do Kwon被曝是此前失敗的算法穩定幣Basis Cash背後的匿名聯合創始人之一。有指控稱，在經歷了價值脫鉤和數十億美元的損失後，Do Kwon挪用了價值約6700萬美元的比特幣，卻並未將其用於維護貨幣錨定。韓國檢察官已對Do Kwon’s發出逮捕令，但其目前仍然在逃。
Terra/LUNA的這次歷史性的崩盤讓整個區塊鏈生態系統措手不及，從業者們和用戶不得不停下來思考此次事件對Web 3.0的未來產生的深刻影響。
危機持續蔓延
Celsius是一個支持用戶存入資產以賺取收益的中心化平台，其曾在Terra生態系統中持有超過5億美元的資金。在Celsius倒閉前，其聲稱已經撤回了所有資產。但一個月過後，該公司就宣布暫停存款業務，併申請破產。
Celsius的用戶永遠無法得知他們所賺取的收益來源，他們也對自己所承擔的風險一無所知。
Celsius還利用去中心化平台償還了許多債務，以努力挽回其所剩無幾的流動性資金，這也從側面證明了DeFi的力量：所有鏈上活動都是公開可見的，這就與Celsius對投資者和債權人各種隱瞞的負債形成了鮮明對比。
雪上加霜的是，為了證明偽匿名去中心化金融平台的隱私優勢，Celsius後來在一份法庭文件中公開披露了其數千名用戶的姓名、餘額和交易歷史記錄。這是極其不負責任的而且危險的行為。
而Aave等DeFi平台的持續成功，為去中心化商業模式提供了正面的素材支持。用戶可以實時驗證Aave的償還支付能力，了解儲戶賺取的收益來自哪裡。而該平台的清算過程，根本不允許出現最終導致Celsius倒閉的風險。
與中心化金融平台相比，DeFi明顯具有多方面的優勢。不過為Web 3.0提供動力的智能合約在某種程度上也不是無懈可擊的：DeFi協議也有屬於自己的一系列風險，比如智能合約的編寫不規範會引入一系列的漏洞，而黑客們已經發現並利用了這些漏洞，在2022年竊取了高達30多億美元的資金。
在詳細了解Web 3.0的優勢以及行業趨勢後，本報告將重點分析今年的一些重大安全事件。
Web 3.0解決方案
或許這就是Web 3.0世界的意義：建立在開源區塊鏈上的去中心化應用，為不透明的中心化機構世界提供了強有力的替代，同樣也為具有眾所周知缺陷的金融運作方式提供了真正的替代。
使用過Aave的用戶可能知道，該平台是無法違背其服務條款的，因為這些條款被寫入了管理其運作的智能合約，就如同一個準則被寫入了DNA一樣；在Pancake Swap平台上交易的用戶也不需要擔心他們的資產控制權有可能被轉移給平台，因為所有交易都在區塊鏈上被公開透明地執行；雖然各種高收益率的Yield產品可能會使用戶承擔相當大的風險，但這也取決於Yield產品的特性和策略。無論如何用戶可以隨時看到他們資產的去向以及收益率的獲得方式，一切將公開透明。
雖然以上所述確實給用戶帶來了更多的盡職調查負擔，但Web 3.0模式相較中心化平台還是有著不可比擬的優勢，許多中心化金融（CeFi）的崩潰故事在去中心化的環境中根本不可能發生。
然而，Web 3.0在實現其全部潛力和被認為是CeFi的真正替代之前，還有一段路要走。
值得思考的是：為什麼數以百萬計的用戶願意將數十億美元“託付”給這些中心化組織？
或許是因為中心化組織提供了一個流程簡化的服務，並且消除了自我保管的風險。除此之外，他們也提供更大的流動性和更豐富的金融產品，並提供支持與服務平台以便及時幫助用戶解決遇到的問題。最後，別忘了黑客僅2022年就利用去中心化協議的漏洞獲得了數十億美元的收益，這也是為什麼更多人選擇相信中心化的平台。
如果想要走的更遠，Web 3.0需要在兩個主要方面進行改進：可用性和安全性。
可用性：要了解如何使用某DeFi平台，有時候甚至需要花上數小時去研究，而這僅僅還是資金投入之前。想要研究透徹多個平台，甚至可能會花上幾天。
安全性：雖然DeFi在2022年的損失可能比CeFi少，但從Web 3.0中流失的價值仍然有數十億美元。通過對2022年主要事件的總結，我們希望能夠喚起人們對Web 3.0仍需改進的領域特別是安全方面的關注。只有重新致力於基本理想和回歸初心，我們才能建立一個完整的替代性產品，為每個人提供真正自由和公平的金融系統。
跨鏈橋攻擊事件
2022年，針對跨鏈橋的攻擊事件共導致了13億美元的損失，這個數字佔據了過去12個月總損失金額的36%。僅其中三起事件就佔據了整個跨鏈橋資產損失的87%，這也突顯了跨鏈橋攻擊會帶來的巨大風險。
跨鏈應用大多具有極其複雜的技術結構，同時也包含了各種攻擊載體。其複雜性能夠為其提供更廣泛的功能，但代價是會暴露更多的攻擊面。
?Ronin損失6.25億美元
Ronin Bridge事件可以說是DeFi領域有史以來最大的攻擊事件/漏洞。 3月23日，為Web 3.0遊戲Axie Infinity建立的側鏈被黑客攻擊，超過173,600枚ETH和2,550萬USDC（總價值6.25億美元）受到損失。
Nomad的報告顯示，黑客設法獲得了保護網絡的五個驗證節點私鑰，並且有證據表明攻擊者是朝鮮的黑客組織Lazarus Group。該組織利用先進的魚叉式網絡釣魚攻擊來獲取私鑰，在榨乾資產後，攻擊者通過Tornado Cash和中心化交易所（包括FTX和Huobi）將贓款洗白。
?Wormhole損失3.26億美元
2月2日，Wormhole Bridge被黑客攻擊，損失了價值3.26億美元的資產。攻擊者通過注入假的sysvar賬戶來繞過驗證檢查，讓他們可以藉此輸出惡意信息，並被Bridge接受。攻擊者通過調用帶有惡意信息的complete_wrapped函數，成功鑄造了12萬枚WETH。鑄幣兩分鐘後，攻擊者將1萬枚ETH橋接到以太坊區塊鏈上。大約20分鐘後，以太坊區塊鏈上又進行了8萬枚ETH的交易。截至2022年底，這些被盜資金仍存放在攻擊者的錢包。
?Nomad 損失1.9億美元
8月1日，Nomad Bridge被利用，損失價值約1.9億美元。攻擊者利用了初始化過程中的一個漏洞——即部署合約時將合約參數committedRoot初始化為零。這個漏洞可以使攻擊者繞過消息驗證，從而耗盡橋接合約中持有的token。攻擊者只要在一條鏈上存入ETH（比如0.1甚至0.0001枚ETH），就可在另一條鏈上收到任意數量的ETH。
而值得注意的是，由於攻擊流程很快就被公開了，而資金還在Bridge中，因此至少有41個錢包複製了這一攻擊流程。結果導致Nomad Bridge幾乎全軍覆沒，其總鎖倉價值（TVL）在幾分鐘內從1.9億美元驟降至1.2萬美元。
Profanity漏洞與私鑰洩漏事件
私鑰洩露引發的攻擊或成為了2022年最具破壞性的事件之一：通過私鑰洩露被盜的金額在2022年超過了10億美元，佔比近全年損失的三分之一。這一數字與2021年相比有所增長——2021年因私鑰洩露造成的損失為8.92億美元。 Ronin事件就是因私鑰洩露導致被惡意利用的一個典型例子。
一旦惡意行為者獲得了錢包的私鑰，他們就可以完全控制錢包中的所有資產。私鑰洩露可能是密鑰本身沒有被安全管理的結果。然而，去年最大的安全事件是由Profanity工俱生成的Vanity 地址中的一個特定漏洞造成的。
什麼是Profanity？
大多數以太坊地址會是以0x開頭並且看起來像是一串隨機的十六進製字符。這樣的好處是提供了一定程度的隱私性，但這並不能滿足那些想要一個獨特地址的用戶。而Vanity地址就如同車牌或者QQ靚號，它可幫助用戶為包含指定單詞或字符串的地址生成密鑰。
除此之外，Profanity還可以被用來創建錢包地址，以優化手續費，這也是Wintermute團隊創建0x00000000AE347……b92280f9e75地址的初衷，但卻最終導致了錢包被黑。開頭那串冗長的0簡化了地址，減少了以太坊網絡的算力需求，從而在一定程度上降低了交易手續費——這些節省下來的手續費看似微小，卻會在成千上萬的交易中積少成多。
2022年1月，用戶k06a曾在Profanity的GitHub（已被開發者放棄三年以上）：https://github.com/johguse/profanity/issues/61，提出了一個關於私鑰生成方式的問題：Profanity使用一個隨機的32位種子數來生成256位私鑰，並呼籲關注私鑰的生成方式。然而這個意見似乎沒有得到解決。
暴力攻擊密碼或私鑰就是類似於使用硬件來不斷嘗試每一個可能的組合。如果你有1000把鑰匙和一把鎖，你只需嘗試每一把鑰匙，直到找到合適的那一把。
僅過兩天，該漏洞就在眾目睽睽之下遭到黑客利用：0x6…b93錢包賬戶抽空了多個Vanity錢包，包括來自0x0Babe…B05的500枚ETH、0x888888888…597的100枚ETH、0x000000…422的104.4枚ETH，以及更多其他錢包的資產，總價值為330萬美元。
“一組1000個GPU理論上可以在50天內對使用Profanity生成的每個7字Vanity 地址的私鑰進行暴力破解。我們使用16GB內存的Macbook M1，在不到10個小時內預計算出一個數據集——這個數據集只需要計算一次就可以利用不同的地址。實際的過程（不算預計算），對於一個前面有七個零的地址來說，大約需要40分鐘。我們做到了，並在不到48小時內破解了0x0000000…99b的私鑰。”
—— Amber Group
在技術發展瞬息萬變的Web 3.0世界，只需要兩天就能藉助這一漏洞攻破一個Wintermute的DeFi交易錢包，其損失的1.62億美元也是今年因私鑰洩露而造成的第二大資金損失，僅次於Ronin。
目前問題尚未得到解決：所有基於Profanity創建的錢包都存在風險。所有使用Profanity生成錢包的用戶都應盡快將資產轉移到可離線生成密鑰的錢包中。
“私鑰管理安全是Web 3.0領域的一個基本要求。正如Profanity漏洞和其他多個私鑰洩露事件所顯示的那樣，密鑰生成或管理方面的任何弱點都會給Web 3.0用戶和應用程序帶來災難性的後果。”
—— 李康教授，CertiK首席安全官
黑客組織Lazarus Group
Lazarus Group一直是數字資產領域最持久、最有效的威脅者之一。除了讓他們淨賺5億多美元的Ronin Bridge漏洞外，這個由朝鮮國家支持的黑客組織在2022年還進行了多次有利可圖的攻擊。最值得關注的是Operation In(ter)ception，Gate.io漏洞，和Harmony Horizon Bridge攻擊。 In(ter)ception行動是一個由Lazarus Group實施的求職欺詐廣告計劃，Lazarus在LinkedIn等網站上發布工作機會，要求申請者下載一個部署有可執行文件的PDF文件，然後這個惡意軟件使Lazarus的操作人員能夠針對受害者係統中的漏洞，竊取業內員工的敏感信息。
Lazarus Group的活動並不局限於數字資產領域：2014年他們就曾是黑過索尼影業和早期針對韓國和美國DDoS的幕後黑手。不過自從將注意力轉向Web 3.0以來，該集團的惡勢力影響力便增加了。由該團伙“操刀”的2017年WannaCry勒索軟件攻擊是同類攻擊中規模最大的一次，影響了150個國家的30多萬台電腦，並要求以比特幣支付贖金。針對個人用戶的魚叉式釣魚攻擊和對韓國交易所的利用，為Lazarus Group帶來了數百萬美元的收入。
Lazarus Group的活動反面襯託了Web 3.0界中構建和運營時安全的重要性。而DeFi平台想要足夠安全，不僅要能抵禦來自無良Solidity開發者的攻擊，同時還能抵禦來自世界上最有效的黑客的攻擊。否則，持有數億美元用戶資金的智能合約將繼續成為攻擊目標。
揭開黑市KYC演員
產業鏈面紗
KYC, 即了解你的客戶，也可以被稱為項目背景調查。項目開發者可以選擇接受KYC驗證，以便向他們的社區表明他們願意公開身份，並將身份和聲譽與他們提供的服務聯繫起來以增加項目可信度。
然而，KYC演員行業顛覆了身份驗證的正當性。 CertiK於不久前發布了一份關於KYC演員黑市買賣的採訪和調查報告。在黑市上，不到50人民幣的價格就可以購買讓專業KYC演員代替你進行驗證的服務。因此不將這種潛在的演員替代風險考慮在內的KYC是毫無意義的。
CertiK的KYC項目背景調查服務是一個深入調查的過程，由CertiK聘請的專家，利用他們的專業調查背景來提供最高水平的身份驗證，因此不必擔心KYC有造假，風險也將從社群回歸到持有數百萬或數十億美元用戶資金的項目開發者身上。
而真正的去中心化協議，就是其開發者已經明確地放棄了對平台的任何所有權。因此那些對用戶資金有著集中控制權的項目被社區要求進行KYC，以增加透明度和信任度，是合乎情理的。
“今年，我們在CertiK端到端安全服務中增加了定制的KYC項目背景調查服務。由於匿名創始人可能會有犯罪前科等問題，團隊也可能使用質量參差不齊甚至是偽造的KYC認證，許多用戶對Web 3.0團隊缺乏信任，從而產生了實際問題。我們將利用我們特定領域的知識和專長來進行項目團隊審查，給團員們進行精準和深入的身份審計。當然，我們與社區分享該風險評估的的結果同時會絕對保護團隊的隱私。”
—— Hugh Brooks，CertiK安全運營總監
網絡釣魚攻擊
網絡釣魚攻擊仍是Web 3.0領域的持續威脅，而且欺詐者們的騙術也隨著道高一尺魔高一丈而變得越來越高超精湛。目前已有數百萬美元價值的資產因為網絡釣魚而被盜。不僅是社群，個人用戶也成為了惡意軟件和惡意者的目標。新型網絡釣魚方式層出不窮，而他們的詐騙行為均是利用了區塊鏈的不可逆性以及用戶的經驗缺乏。
比如最近新出的一種網絡釣魚方式，被稱為Ice Phishing騙局，通俗一點理解就是空手套白狼。它與傳統網絡釣魚攻擊不同，是Web 3.0獨有的攻擊類型。傳統網絡釣魚通常會通過一些手段獲得如私鑰或密碼等個人信息，而Ice Phishing則更多是為了欺騙用戶簽署權限，並授予惡意者任意花費其資產，但又無需獲取用戶的私鑰。 Ice Phishing對Web 3.0的投資者來說是相當大的威脅，因為與DeFi協議的互動需要用戶授予某些權限，而簽名到底授予了哪些權限人們並不總是百分之百清楚。
法律法規
各個國家（地區）的法律法規條款詳情，請下載PDF版本進行查看。
2022年度回顧
2022年，數字貨幣的市值損失了數万億美元，數百億美元被封鎖在中心化機構已破產的程序中，而去中心化的協議損失了30多億美元，因此2022年的美好景像已很難描繪而出。
由於形勢的極端動盪，許多Web 3.0頭部大型參與者已經消逝在歷史中，這包括了那些我們曾經以為無懈可擊的項目或平台。不過倖存的大多數Web 3.0應用程序和平台仍在危機中緩緩前進，目前來看一切尚還維持著常態。
過去的12個月對整個行業都是一個重大的壓力測試，並不是所有的人都挺過來了。但是“殺不死你的會讓你變得更強大”，倖存者將吸取往日的教訓，搏出更具潛力的前景。
開源、去中心化的系統為用戶提供了真正的好處，可以使互聯網成為一個更自由、更公平的地方，這是在建設數字未來時要牢記的願景。但是，當你的資產可能在頃刻之間被盜時，公平和自由就毫無意義可言了。這就是為什麼安全是至關重要的因素。而CertiK端到端的安全解決方案，為用戶和建設者提供了他們需要的工具，使得用戶可以安全地瀏覽新興的Web 3.0世界。
安全是一種選擇，為了將Web 3.0的優勢帶給最廣泛的用戶群體，我們無疑需要做出這種選擇。
2022年是艱難的一年，但艱難的時刻已經過去。現在正是時候以全新且樂觀的態度展望行業的未來。
