大事件层出不穷 熊市数据表现如何？23年将何去何从？

2022年对于整个数字资产行业来说是艰难的一年。在市场低迷的大环境下，65%的数字资产市值化为乌有，而数量空前的黑客攻击、诈骗事件和机构崩盘，让本就损失惨重的投资者们雪上加霜。

从今年3月Ronin Bridge被盗6.24亿美元事件到11月FTX几乎一夜崩塌，2022年的损失规模创下了历史之最。今年的资产损失约为37.7亿美元，远远超过2021年的13亿美元记录。

本报告将深入探究导致Celsius、BlockFi以及FTX等中心化交易所溃败的各种因素。作为这些迅速重蹈行业覆辙的中心化机构的替代品，Web3.0和基于开源区块链的去中心化金融应用将会发挥重要作用，但仅凭这一点就期望Web3.0走向大规模应用还不太现实。虽然与今年中心化领域的破产规模相比，去中心化世界的损失相对较小，但其总额也有数十亿美元之多。整个Web3.0行业都需要对过去一年进行深刻反思，努力从这段艰难时期中寻求一线生机。

虽然不安全的协议仍在不断造成损失，但这并不能否定Web3.0所具有的真正价值。如今，各类资产的估值普遍下降，人们的狂热情绪也逐渐平息。由此我们可以退一步审视现状，并在一个更加坚实的基础上建设这个行业。

除了回顾今年发生的主要黑客攻击和漏洞事件外，本报告也将展示CertiK公开的独家安全研究，以履行其守护Web3.0世界的使命。

2022年行业安全概要

① 2022年，黑客从Web3.0协议中盗取了价值约37.7亿美元的资产。

② 这个数字比2021年的13亿美元损失增加了189%。

③ 2022年发生了316起退出骗局，共盗取了约2.1亿美元，102起闪电贷与预言机操纵事件共造成了约3.6亿美元的损失。

④ 仅仅9个跨链桥漏洞就占了所有损失价值的三分之一以上，黑客从跨链桥攻击中总共盗取了约13.5亿美元。

⑤ 尽管经历了一年熊市，CertiK审计的项目数量依然在持续增长。迄今为止，CertiK共完成了5046个Web3.0项目的审计。相比去年年底的总审计数目增加了73%。

⑥ 本文涵盖了这一年的主要安全事件、Web3.0发展趋势以及整个行业在一年动荡后的状况分析。

中心化平台或成为难以调和的矛盾

今年以来，许多知名数字资产企业的消亡给整个行业都蒙上了阴影。虽然这些企业全都从事数字资产买卖、借贷和交易业务，但当我们为其贴上相同标签之前，应该考虑一下，这些已然倒闭的企业是否真正可以被归类为数字资产公司。

可以肯定的是，导致这些企业失败的原因更多是源于他们的商业运营模式，而不是他们所管理的资产。中心化数字资产企业（也被称为CeFi，意为“中心化金融”，与“去中心化金融”DeFi相反）的致命缺陷就隐含在其名称中：它们在具有单点控制的中心化系统上运行，而这恰恰引发了今年我们所目睹的单点溃败。

接下来的故事多少有些悲剧性的讽刺色彩。在今年2月份的超级碗比赛期间（Super Bowl，美国国家橄榄球联盟年度冠军赛），FTX曾向数百万的观众推销数字资产的概念，声称数字资产是 “下一个大事件”，并暗示不参与其中的人就像广告中所扮演的傻瓜那样会错失一切。

然而，FTX背地里却将用户的存款发送至该公司所谓的“非内部”但实际为内部的交易部门——Alameda，该部门很快就在投资上损失了数十亿美元，这也严重违反了该交易所的服务条款。

关于FTX非流动性资产负债状况的惊人消息很快不胫而走，典型的银行挤兑事件也随即爆发。如果一家交易所按1:1的比例保留存款资金，且不在未经许可的情况下进行重新抵押或出借，那么它或许就能经受住这次考验。但FTX的情况并非如此。

FTX前首席执行官Sam Bankman-Fried曾策划了一连串极其奢华的收购、赞助和救助活动，因此也令FTX的垮台也更加令人难以置信。比如另一家现已倒闭的CeFi公司Voyager Digital在申请破产后就宣布FTX成功收购了其资产，然而在FTX闪电式崩盘后只能再次申请破产，这些突如其来的事件全部发生在了2022年下半年。

FTX和Three Arrows Capital等公司的倒闭确实打击了许多大型投资机构，但受伤最严重的还是大量的普通散户。铺天盖地的营销、公众人物代言和个人崇拜使他们将信心投放在了错误的平台，并为此付出了惨痛代价。

之所以说受伤散户的比例很高，是因为在Voyager平台上，97%的用户资产都不到1万美元。其中许多误认为CeFi平台更加安全的用户，其资产现已荡然无存。他们认为把资产存入CeFi平台更加放心，收益也更高，同时避免了去中心化平台的智能合约所带来的高入门门槛以及各种风险。

关于FTX更多细节，请查看《FTX事件始末，黑客攻击总结：2022 第四季度Web3.0行业安全报告》了解详情。

虽然这些教训让人们非常痛苦，但其实也是必不可少的一课。数字资产的核心原则是自我监管和自主权（Self-Custody and Self-Sovereignty），所以将用户的资产控制权交给中心化平台也就违背了以上原则。

这些平台完全有可能不遵守其服务条款，而你也无从得知你的资产正被平台如何利用。此外，你无法验证平台的财务健康状况，也不能追踪资产的流向来了解字面上的收益来源，以及所要承担的风险，一切都只是建立在用户的盲目信任和信念之上，而今年所发生的事件也证明了其后果：看似安然无恙的开端，最终却坠入了满目疮痍的结局。

Terra崩盘事件  

今年影响最大的事件之一是Terra的崩盘，其450亿美元的市值在几天内化为泡影。

与Tether、USDC和BUSD等稳定币不同，算法稳定币并非依靠与美元1:1的锚定比率来维持稳定，而是通过其内部机制来维持货币锚定。具体来说，算法稳定币通过智能合约设定的铸币及销毁功能来维持其基本价值。

以Terra的UST稳定币为例，UST与另一项独立的数字资产Luna挂钩，UST的持有者随时可以把他们的资产兑换成等值的LUNA。在5月初，LUNA的交易价格为85美元，此时一个UST稳定币可以交易0.0118枚LUNA。

假如UST的交易价格跌破其设定的1美元门槛，做市商们随即会把大量UST兑换为LUNA以缩小二者间的价值缺口。其原理是在降低UST供应量的同时，提升对LUNA的需求，也就是通过提高支持该稳定币储备资产的价格，来维持货币锚定的稳定。

5月7日，链上分析显示UST被大量抛售，8500万的UST被兑换成了8450万USDC，这直接导致了UST首次脱钩美元。受此影响，5月8日UST的价格跌至0.985美元的低点。

为了让UST重新锚定美元，Luna Foundation Guard（LFG）部署了价值7.5亿美元的比特币，以协助做市商们维持UST价格的稳定。在市场环境恢复正常后，LFG又回购了价值7.5亿美元的比特币。

然而令人意想不到的是，5月9日UST的价格竟然跌至0.65美元的更低点。UST的再次脱钩随之引发了LUNA的价格震动，其价格骤跌至35美元，跌幅超过44%，而这又使得LUNA与UST之间的市值脱钩，从而危及其作为稳定储备资产的功能。因为此时的LUNA生态系统已经没有足够的价值来抵押所有正在流通的UST了。

从这时开始，LUNA和UST之间的微妙平衡开始瓦解。然而祸不单行，Terra创建者Terraform Labs的首席执行官Do Kwon被曝是此前失败的算法稳定币Basis Cash背后的匿名联合创始人之一。有指控称，在经历了价值脱钩和数十亿美元的损失后，Do Kwon挪用了价值约6700万美元的比特币，却并未将其用于维护货币锚定。韩国检察官已对Do Kwon's发出逮捕令，但其目前仍然在逃。

Terra/LUNA的这次历史性的崩盘让整个区块链生态系统措手不及，从业者们和用户不得不停下来思考此次事件对Web 3.0的未来产生的深刻影响。

危机持续蔓延

Celsius是一个支持用户存入资产以赚取收益的中心化平台，其曾在Terra生态系统中持有超过5亿美元的资金。在Celsius倒闭前，其声称已经撤回了所有资产。但一个月过后，该公司就宣布暂停存款业务，并申请破产。

Celsius的用户永远无法得知他们所赚取的收益来源，他们也对自己所承担的风险一无所知。

Celsius还利用去中心化平台偿还了许多债务，以努力挽回其所剩无几的流动性资金，这也从侧面证明了DeFi的力量：所有链上活动都是公开可见的，这就与Celsius对投资者和债权人各种隐瞒的负债形成了鲜明对比。

雪上加霜的是，为了证明伪匿名去中心化金融平台的隐私优势，Celsius后来在一份法庭文件中公开披露了其数千名用户的姓名、余额和交易历史记录。这是极其不负责任的而且危险的行为。 

而Aave等DeFi平台的持续成功，为去中心化商业模式提供了正面的素材支持。用户可以实时验证Aave的偿还支付能力，了解储户赚取的收益来自哪里。而该平台的清算过程，根本不允许出现最终导致Celsius倒闭的风险。

与中心化金融平台相比，DeFi明显具有多方面的优势。不过为Web 3.0提供动力的智能合约在某种程度上也不是无懈可击的：DeFi协议也有属于自己的一系列风险，比如智能合约的编写不规范会引入一系列的漏洞，而黑客们已经发现并利用了这些漏洞，在2022年窃取了高达30多亿美元的资金。

在详细了解Web 3.0的优势以及行业趋势后，本报告将重点分析今年的一些重大安全事件。

Web 3.0解决方案 

或许这就是Web 3.0世界的意义：建立在开源区块链上的去中心化应用，为不透明的中心化机构世界提供了强有力的替代，同样也为具有众所周知缺陷的金融运作方式提供了真正的替代。

使用过Aave的用户可能知道，该平台是无法违背其服务条款的，因为这些条款被写入了管理其运作的智能合约，就如同一个准则被写入了DNA一样；在 Pancake Swap平台上交易的用户也不需要担心他们的资产控制权有可能被转移给平台，因为所有交易都在区块链上被公开透明地执行；虽然各种高收益率的Yield产品可能会使用户承担相当大的风险，但这也取决于Yield产品的特性和策略。无论如何用户可以随时看到他们资产的去向以及收益率的获得方式，一切将公开透明。

虽然以上所述确实给用户带来了更多的尽职调查负担，但Web 3.0模式相较中心化平台还是有着不可比拟的优势，许多中心化金融（CeFi）的崩溃故事在去中心化的环境中根本不可能发生。

然而，Web 3.0在实现其全部潜力和被认为是CeFi的真正替代之前，还有一段路要走。

值得思考的是：为什么数以百万计的用户愿意将数十亿美元“托付”给这些中心化组织？

或许是因为中心化组织提供了一个流程简化的服务，并且消除了自我保管的风险。除此之外，他们也提供更大的流动性和更丰富的金融产品，并提供支持与服务平台以便及时帮助用户解决遇到的问题。最后，别忘了黑客仅2022年就利用去中心化协议的漏洞获得了数十亿美元的收益，这也是为什么更多人选择相信中心化的平台。

如果想要走的更远，Web 3.0需要在两个主要方面进行改进：可用性和安全性。

可用性：要了解如何使用某DeFi平台，有时候甚至需要花上数小时去研究，而这仅仅还是资金投入之前。想要研究透彻多个平台，甚至可能会花上几天。

安全性：虽然DeFi在2022年的损失可能比CeFi少，但从Web 3.0中流失的价值仍然有数十亿美元。通过对2022年主要事件的总结，我们希望能够唤起人们对Web 3.0仍需改进的领域特别是安全方面的关注。只有重新致力于基本理想和回归初心，我们才能建立一个完整的替代性产品，为每个人提供真正自由和公平的金融系统。

跨链桥攻击事件

2022年，针对跨链桥的攻击事件共导致了13亿美元的损失，这个数字占据了过去12个月总损失金额的36%。仅其中三起事件就占据了整个跨链桥资产损失的87%，这也突显了跨链桥攻击会带来的巨大风险。

跨链应用大多具有极其复杂的技术结构，同时也包含了各种攻击载体。其复杂性能够为其提供更广泛的功能，但代价是会暴露更多的攻击面。

?Ronin损失6.25亿美元

Ronin Bridge事件可以说是DeFi领域有史以来最大的攻击事件/漏洞。3月23日，为Web 3.0游戏Axie Infinity建立的侧链被黑客攻击，超过173,600枚ETH和2,550万USDC（总价值6.25亿美元）受到损失。

Nomad的报告显示，黑客设法获得了保护网络的五个验证节点私钥，并且有证据表明攻击者是朝鲜的黑客组织Lazarus Group。该组织利用先进的鱼叉式网络钓鱼攻击来获取私钥，在榨干资产后，攻击者通过Tornado Cash和中心化交易所（包括FTX和Huobi）将赃款洗白。

?Wormhole损失3.26亿美元

2月2日，Wormhole Bridge被黑客攻击，损失了价值3.26亿美元的资产。攻击者通过注入假的sysvar账户来绕过验证检查，让他们可以借此输出恶意信息，并被Bridge接受。攻击者通过调用带有恶意信息的complete_wrapped函数，成功铸造了12万枚WETH。铸币两分钟后，攻击者将1万枚ETH桥接到以太坊区块链上。大约20分钟后，以太坊区块链上又进行了8万枚ETH的交易。截至2022年底，这些被盗资金仍存放在攻击者的钱包。

?Nomad 损失1.9亿美元

8月1日，Nomad Bridge被利用，损失价值约1.9亿美元。攻击者利用了初始化过程中的一个漏洞 ——即部署合约时将合约参数committedRoot初始化为零。这个漏洞可以使攻击者绕过消息验证，从而耗尽桥接合约中持有的token。攻击者只要在一条链上存入ETH（比如0.1甚至0.0001枚ETH），就可在另一条链上收到任意数量的ETH。

而值得注意的是，由于攻击流程很快就被公开了，而资金还在Bridge中，因此至少有41个钱包复制了这一攻击流程。结果导致Nomad Bridge几乎全军覆没，其总锁仓价值（TVL）在几分钟内从1.9亿美元骤降至1.2万美元。

Profanity漏洞与私钥泄漏事件

私钥泄露引发的攻击或成为了2022年最具破坏性的事件之一：通过私钥泄露被盗的金额在2022年超过了10亿美元，占比近全年损失的三分之一。这一数字与2021年相比有所增长——2021年因私钥泄露造成的损失为8.92亿美元。Ronin事件就是因私钥泄露导致被恶意利用的一个典型例子。

一旦恶意行为者获得了钱包的私钥，他们就可以完全控制钱包中的所有资产。私钥泄露可能是密钥本身没有被安全管理的结果。然而，去年最大的安全事件是由Profanity工具生成的 Vanity 地址中的一个特定漏洞造成的。

什么是Profanity？

大多数以太坊地址会是以0x开头并且看起来像是一串随机的十六进制字符。这样的好处是提供了一定程度的隐私性，但这并不能满足那些想要一个独特地址的用户。而Vanity地址就如同车牌或者QQ靓号，它可帮助用户为包含指定单词或字符串的地址生成密钥。

除此之外，Profanity还可以被用来创建钱包地址，以优化手续费，这也是Wintermute团队创建0x00000000AE347......b92280f9e75地址的初衷，但却最终导致了钱包被黑。开头那串冗长的0简化了地址，减少了以太坊网络的算力需求，从而在一定程度上降低了交易手续费——这些节省下来的手续费看似微小，却会在成千上万的交易中积少成多。

2022年1月，用户k06a曾在Profanity的GitHub（已被开发者放弃三年以上）：https://github.com/johguse/profanity/issues/61，提出了一个关于私钥生成方式的问题：Profanity使用一个随机的32位种子数来生成256位私钥，并呼吁关注私钥的生成方式。然而这个意见似乎没有得到解决。

暴力攻击密码或私钥就是类似于使用硬件来不断尝试每一个可能的组合。如果你有1000把钥匙和一把锁，你只需尝试每一把钥匙，直到找到合适的那一把。

仅过两天，该漏洞就在众目睽睽之下遭到黑客利用：0x6...b93钱包账户抽空了多个Vanity钱包，包括来自0x0Babe...B05的500枚ETH、0x888888888...597的100枚ETH、0x000000...422的104.4枚ETH，以及更多其他钱包的资产，总价值为330万美元。

“一组1000个GPU理论上可以在50天内对使用Profanity生成的每个7字 Vanity 地址的私钥进行暴力破解。我们使用16GB内存的Macbook M1，在不到10个小时内预计算出一个数据集——这个数据集只需要计算一次就可以利用不同的地址。实际的过程（不算预计算），对于一个前面有七个零的地址来说，大约需要40分钟。我们做到了，并在不到48小时内破解了0x0000000...99b的私钥。”

—— Amber Group

在技术发展瞬息万变的Web 3.0世界，只需要两天就能借助这一漏洞攻破一个Wintermute的DeFi交易钱包，其损失的1.62亿美元也是今年因私钥泄露而造成的第二大资金损失，仅次于Ronin。

目前问题尚未得到解决：所有基于Profanity创建的钱包都存在风险。所有使用Profanity生成钱包的用户都应尽快将资产转移到可离线生成密钥的钱包中。 

“私钥管理安全是Web 3.0领域的一个基本要求。正如Profanity漏洞和其他多个私钥泄露事件所显示的那样，密钥生成或管理方面的任何弱点都会给Web 3.0用户和应用程序带来灾难性的后果。”

—— 李康教授，CertiK首席安全官

黑客组织Lazarus Group

Lazarus Group一直是数字资产领域最持久、最有效的威胁者之一。除了让他们净赚5亿多美元的Ronin Bridge漏洞外，这个由朝鲜国家支持的黑客组织在2022年还进行了多次有利可图的攻击。最值得关注的是Operation In(ter)ception，Gate.io漏洞，和Harmony Horizon Bridge攻击。In(ter)ception行动是一个由Lazarus Group实施的求职欺诈广告计划，Lazarus在LinkedIn等网站上发布工作机会，要求申请者下载一个部署有可执行文件的PDF文件，然后这个恶意软件使Lazarus的操作人员能够针对受害者系统中的漏洞，窃取业内员工的敏感信息。

Lazarus Group的活动并不局限于数字资产领域：2014年他们就曾是黑过索尼影业和早期针对韩国和美国DDoS的幕后黑手。不过自从将注意力转向Web 3.0以来，该集团的恶势力影响力便增加了。由该团伙“操刀”的2017年WannaCry勒索软件攻击是同类攻击中规模最大的一次，影响了150个国家的30多万台电脑，并要求以比特币支付赎金。针对个人用户的鱼叉式钓鱼攻击和对韩国交易所的利用，为Lazarus Group带来了数百万美元的收入。

Lazarus Group的活动反面衬托了Web 3.0界中构建和运营时安全的重要性。而DeFi平台想要足够安全，不仅要能抵御来自无良Solidity开发者的攻击，同时还能抵御来自世界上最有效的黑客的攻击。否则，持有数亿美元用户资金的智能合约将继续成为攻击目标。

揭开黑市KYC演员

产业链面纱 

KYC, 即了解你的客户，也可以被称为项目背景调查。项目开发者可以选择接受KYC验证，以便向他们的社区表明他们愿意公开身份，并将身份和声誉与他们提供的服务联系起来以增加项目可信度。

然而，KYC演员行业颠覆了身份验证的正当性。CertiK于不久前发布了一份关于KYC演员黑市买卖的采访和调查报告。在黑市上，不到50人民币的价格就可以购买让专业KYC演员代替你进行验证的服务。因此不将这种潜在的演员替代风险考虑在内的KYC是毫无意义的。

CertiK的KYC项目背景调查服务是一个深入调查的过程，由CertiK聘请的专家，利用他们的专业调查背景来提供最高水平的身份验证，因此不必担心KYC有造假，风险也将从社群回归到持有数百万或数十亿美元用户资金的项目开发者身上。

而真正的去中心化协议，就是其开发者已经明确地放弃了对平台的任何所有权。因此那些对用户资金有着集中控制权的项目被社区要求进行KYC，以增加透明度和信任度，是合乎情理的。

“今年，我们在CertiK端到端安全服务中增加了定制的KYC项目背景调查服务。由于匿名创始人可能会有犯罪前科等问题，团队也可能使用质量参差不齐甚至是伪造的KYC认证，许多用户对Web 3.0团队缺乏信任，从而产生了实际问题。我们将利用我们特定领域的知识和专长来进行项目团队审查，给团员们进行精准和深入的身份审计。当然，我们与社区分享该风险评估的的结果同时会绝对保护团队的隐私。”

—— Hugh Brooks，CertiK安全运营总监

网络钓鱼攻击

网络钓鱼攻击仍是Web 3.0领域的持续威胁，而且欺诈者们的骗术也随着道高一尺魔高一丈而变得越来越高超精湛。目前已有数百万美元价值的资产因为网络钓鱼而被盗。不仅是社群，个人用户也成为了恶意软件和恶意者的目标。新型网络钓鱼方式层出不穷，而他们的诈骗行为均是利用了区块链的不可逆性以及用户的经验缺乏。

比如最近新出的一种网络钓鱼方式，被称为Ice Phishing骗局，通俗一点理解就是空手套白狼。它与传统网络钓鱼攻击不同，是Web 3.0独有的攻击类型。传统网络钓鱼通常会通过一些手段获得如私钥或密码等个人信息，而Ice Phishing则更多是为了欺骗用户签署权限，并授予恶意者任意花费其资产，但又无需获取用户的私钥。Ice Phishing对Web 3.0的投资者来说是相当大的威胁，因为与DeFi协议的互动需要用户授予某些权限，而签名到底授予了哪些权限人们并不总是百分之百清楚。

法律法规

各个国家（地区）的法律法规条款详情，请下载PDF版本进行查看。

2022年度回顾

2022年，数字货币的市值损失了数万亿美元，数百亿美元被封锁在中心化机构已破产的程序中，而去中心化的协议损失了30多亿美元，因此2022年的美好景象已很难描绘而出。

由于形势的极端动荡，许多Web 3.0头部大型参与者已经消逝在历史中，这包括了那些我们曾经以为无懈可击的项目或平台。不过幸存的大多数Web 3.0应用程序和平台仍在危机中缓缓前进，目前来看一切尚还维持着常态。

过去的12个月对整个行业都是一个重大的压力测试，并不是所有的人都挺过来了。但是“杀不死你的会让你变得更强大”，幸存者将吸取往日的教训，搏出更具潜力的前景。

开源、去中心化的系统为用户提供了真正的好处，可以使互联网成为一个更自由、更公平的地方，这是在建设数字未来时要牢记的愿景。但是，当你的资产可能在顷刻之间被盗时，公平和自由就毫无意义可言了。这就是为什么安全是至关重要的因素。而CertiK端到端的安全解决方案，为用户和建设者提供了他们需要的工具，使得用户可以安全地浏览新兴的Web 3.0世界。

安全是一种选择，为了将Web 3.0的优势带给最广泛的用户群体，我们无疑需要做出这种选择。

2022年是艰难的一年，但艰难的时刻已经过去。现在正是时候以全新且乐观的态度展望行业的未来。