深度解析 | Web3.0面临的网络安全风险和挑战

互联网发展的下一篇章是高度去中心化的架构，但除了Web2.0的常见风险外，Web3.0也带来了许多新的挑战和威胁。因此，在广泛需求的推动下，就要求Web开发人员和用户必须在上下文中考虑Web 3.0，包括其安全功能和风险。

什么是Web3.0?

Web 2.0解锁了用户生成内容的革命，从博客到社交媒体，从视频到移动APP。当所有人将自主生产的内容及购物、财务等个人信息委托给网络后，各大科技公司就逐渐积累了大量的集中数据、控制权和财富。这种集中化的情况造成了用户和平台间的权力不对称，同时也使企业和个人面临网络安全、欺诈和数据隐私风险。

Web3.0是一个技术转折点，它的出现改变了原有的基础架构，将网络的主权转给用户。Web3.0将分散的数据库和分类账部署在任何人都可以使用的节点上，以此来抵消敏感信息垄断和集中“蜜罐”的风险。同时，可信信息将在多个节点上可用并同时更新，从而减少被盗、欺诈或删除的可能性。此外，底层区块链技术允许任何事件（无论是交易、交互还是识别）被唯一代表，从而实现标记化。

Web3.0的安全功能

• 身份和标记化，

唯一的哈希允许对资产进行身份验证和用户控制，智能合约根据与数字身份相关的信誉指标确定权限。

• 分布式账本技术，其去中心化的特性提高了透明度并降低了篡改和欺诈的可能性。

• 零信任，数据在去中心化应用中通过点到点的流动，而不通过用户信任的中介。

Web3.0的安全风险

Web3.0早期开发阶段是评估其风险的关键时期，可能有以下类别风险：

01、社会工程和新形式攻击

1、智能合约逻辑漏洞

主要针对区块链服务中编码的逻辑。黑客开发广泛的功能和服务，如互操作性、加密贷款服务、项目治理和加密货币钱包功能。同时，也存在法律问题，如智能合约通常不受法律保护，或者分散在各个司法管辖区。

2、闪电贷攻击

在这种攻击中，被设计用来支持提供闪电贷的智能合约被攻击并吸走资产。黑客通过操纵智能合约的各种输入来利用无抵押贷款。

3、加密劫持

当威胁行为者在受害者的计算机和网络上偷偷安装加密挖掘软件时，就会发生加密劫持。

4、“拉地毯”（Rug pulls）骗局

攻击者主要是内部人员，如加密开发人员、犯罪集团、付费影响者等，围绕项目大肆炒作后，卷款跑路。

5、“冰钓”（Ice phishing）骗局

攻击者诱使用户签署交易，将用户令牌的批准委托给攻击者。

当新手段与传统社工威胁并存时，就需要用户提高自我防护意识，而不过度依赖集中的守门人。事实上，Web3.0界面的复杂性通常涉及多个个人管理的钱包和无法恢复的密码，这也是社工攻击的漏洞所在。

02、数据安全和可靠

广泛的网络拓扑结构（包括参与者、数据存储和接口），扩大了安全风险的范围。虽然区块链交易是加密的，数据和服务的分散化也降低了单点攻击和审查风险，但也让数据面临更多风险：

1、数据可用性

由于最终用户节点拥有更大的控制权，因此，一旦数据不可用，流程或应用程序可能会受到影响。

2、数据真实性

权力下放使审查变得更加困难，同时信息质量和准确性问题也依然存在，导致了大量的错误信息、虚假信息和安全问题。目前尚不清楚零信任、身份和把关中断如何影响数据质量，那么获取数据的人工智能模型也更不能保证数据真实。

3、数据操作

在Web3.0生态系统下的数据操纵风险包括但不限于以下内容：

• 恶意脚本注入或跨Web3.0中涉及的各种编程语言以执行应用程序命令；

• 窃听或拦截通过网络传输的未加密数据;

• 钱包克隆，攻击者在访问用户密码时进行克隆，从而有效接管其内容；

• 经授权访问数据，除了冒充最终用户节点外，黑客均能接触到上述所有内容。

4、集中监督减少

Web3.0的安全问题还包括端点攻击、流量过载和其他服务可用性漏洞，都可能导致更少的IT监督。而且安全问题也跨越了更广泛的网络，例如在分布式和匿名参与者之间或在元宇宙中监管网络犯罪分子。

03、身份和匿名

用户控制的钱包、ID可移植性和数据最小化等Web3.0的功能通过提供对数据的更大代理和控制，来减轻Web2.0产生的数据机密和隐私风险。然而，自我主权身份（SSI），化名和匿名是有缺点的。

同时，由于公共区块链的透明性，使得每个人都可以获得交易记录，在权衡安全与隐私，并在没有中间人的情况下建立信任，随之就产生有关的身份风险：

1、使用者经验

大多数SSI和加密钱包需要繁琐的登录流程，关于私钥与互操作性很差的多个版本的使用，都是需要用户熟练掌握的。

2、隐私

链上和链下存储了哪些信息？谁需要知道何时以及如何验证交易？谁根据什么参数决定？

3、合规

使用假名为监管机构制造了数据缺口，并为洗钱和恐怖融资打开了大门。去中心化ID使GDPR等现有法规复杂化，且难以将个人身份信息 （PII）、数据控制者（负责确保隐私和安全的实体）与PII数据处理者（根据控制者的指示处理PII数据的实体）区分开来。

4、匿名

匿名引发问责、责任、法律追索权和消费者保护等问题。

随着Web3.0应用程序的发展，企业还须考虑来自相邻技术、政治和社会力量的风险：

• 生物识别技术如何影响Web3.0中的身份，无论是用于用户或员工身份验证，医疗保健还是其他方面？

• 当汽车或太阳能电池板等基础设施成为经济参与者时，物联网设备身份如何在Web3.0环境中进行交互？

• 机构抵制、政治滥用和国家集中的区块链会如何改变不可变身份数据和所有权的含义？

04、经济激励与社会风险

微观经济、货币和其他金融资产已嵌入了早期的Web 3.0应用程序和数字社区，并产生了新的激励和抑制因素，从而改变了风险计算。以网络安全为例，与传统的云或IT部署相比，Web 3.0的嵌入式经济架构为黑客提供了明显诱惑——重要的价值数据往往已经编码在区块链中。

随着个人所有权、金融参与和去中心化互操作性的概念嵌入到Web中，企业还需评估Web3.0的消费者和相关法律、环境和社会风险：

• 企业如何支持可访问并避免剥夺数字和金融权利？

• 当用户体验被资本化、互动被代币化、人造稀缺或声誉驱动时，企业如何支持社会和环境改善？

• 传统企业如何与Web3.0原生去中心化自治企业进行交易，且法律“包装”又是什么？

• 企业如何在Web 3.0环境中培养个人和企业的信任？

新机遇意味着新风险

下一代网络不仅是通过分布式治理（技术、社会和经济）赋予人们权力，同时还涉及到在此过程中更好地保护生态系统。分布式网络提供安全优势，但它们远不能免受软件攻击、人为错误和其他漏洞的影响。

Web3.0虽然解决了Web2.0在权力不对称，控制，审查，欺诈，隐私和数据丢失风险方面的关键问题，但并不能排除在数据安全、身份、经济激励和社会工程方面出现新风险。