簡析Aave團隊打造的web3社交協議 LensProtocol_SPO

BlockBeats 注：Aave打造的 LensProtocol 社交協議并非一個社交產品，而是協議服務層，幫助開發者在其上構建各類社交產品。目前Web3社交產品雖然給予了用戶數據所有權，但仍沒有解決用戶數據在不同 web3 社交產品中互通性的問題。對此，BuidlerDAO 創始人 Jason Chen 在推特對 LensProtocol 社交協議進行簡要分析，  BlockBeats 整理如下：

淺研了一下 LensProtocol, 由 Aave 團隊打造的 web3 社交協議，它本身不是一個前端的社交產品，而是一個中后端的協議服務層，開發者基于其提供的 API 可以在上面低成本構建出社交產品，這應該也就是為什么 lens 的 logo-qobx 是一束花的原因吧，它希望自己成為這片社交花園里的根和土壤，開發者們可以在其之上種出鮮花 。

相信大多數人對于 web3 的主要敘事都在于痛斥 web2 的 facebook、twitter 等公司壟斷用戶數據權，制造數據孤島，用戶擁有自己的社交數據和關系鏈也是 web3 原生的重要敘事，于是也冒出了很多號稱 web3 twitter 的產品，但到現在為止 web3 的社交產品依然沒有出現殺手級應用。

LendHub被黑簡析：系LendHub中存在新舊兩市場:金色財經報道，據慢霧安全區情報，2023 年 1 月 13 日，HECO 生態跨鏈借貸平臺 LendHub 被攻擊損失近 600 萬美金。慢霧安全團隊以簡訊的形式分享如下：

此次攻擊原因系 LendHub 中存在兩個 lBSV cToken，其一已在 2021 年 4 月被廢棄但并未從市場中移除，這導致了新舊兩個 lBSV 都存在市場中。且新舊兩個 lBSV 所對應的 Comptroller 并不相同但卻都在市場中有價格，這造成新舊市場負債計算割裂。攻擊者利用此問題在舊的市場進行抵押贖回，在新的市場進行借貸操作，惡意套取了新市場中的協議資金。

目前主要黑客獲利地址為 0x9d01..ab03，黑客攻擊手續費來源為 1 月 12 日從 Tornado.Cash 接收的 100 ETH。截至此時，黑客已分 11 筆共轉 1,100 ETH 到 Tornado.Cash。通過威脅情報網絡，已經得到黑客的部分痕跡，慢霧安全團隊將持續跟進分析。[2023/1/13 11:11:00]

Web3 社交殺手級應用還未出現，我覺得拋開行業成熟度原因主要在于兩點 ：

安全團隊：LPC項目遭受閃電貸攻擊簡析，攻擊者共獲利約45,715美元:7月25日，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，LPC項目遭受閃電貸攻擊。成都鏈安安全團隊簡析如下：攻擊者先利用閃電貸從Pancake借入1,353,900個LPC，隨后攻擊者調用LPC合約中的transfer函數向自己轉賬，由于 _transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。隨后攻擊者歸還閃電貸并將獲得的LPC兌換為BUSD，最后兌換為BNB獲利離場。本次攻擊項目方損失845,631,823個 LPC，攻擊者共獲利178 BNB，價值約45,715美元，目前獲利資金仍然存放于攻擊者地址上（0xd9936EA91a461aA4B727a7e3661bcD6cD257481c），成都鏈安“鏈必追”平臺將對此地址進行監控和追蹤。[2022/7/25 2:36:51]

第一，在此之前多數 web3 社交產品依然在走制造數據孤島的老路。怎么理解呢？基于區塊鏈的社交產品確實可以讓用戶成為他數據的 owner，但產品數據的邊界依然是合約，如果用戶使用了 10 個產品，則用戶的數據會散落在 10 個獨立合約中，且每個產品合約的數據格式和標準都不一樣，雖然透明了，但孤島依然存在。

安全團隊：Audius項目惡意提案攻擊簡析，攻擊者總共獲利約108W美元:7月24日消息，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，Audius項目遭受惡意提案攻擊。成都鏈安安全團隊簡析如下：攻擊者先部署惡意合約并在Audius: Community Treasury 合約中調用initialize將自己設置為治理合約的監護地址，隨后攻擊者調用ProposalSubmitted 提交惡意85號提案并被通過，該提案允許向攻擊合約轉賬1,856w個AudiusToken，隨后攻擊者將獲得的AudiusToken兌換為ETH，總共獲利約108W美元，目前獲利資金仍然存放于攻擊者地址上（0xa0c7BD318D69424603CBf91e9969870F21B8ab4c）。[2022/7/24 2:34:31]

從而導致用戶的社交數據依然無法打通，用戶在各個產品中產生的數據雖然屬于其自己，因為獨立的合約和不一致的數據格式，依然無法「帶走」，假設一個產品掛了，那在此之前所產生的社交數據也很難被利用起來，除非其他的產品專門投入資源去做數據同步，所以目前 web3 社交產品只解決了擁有的問題，而非連接。

安全公司：Starstream Finance被黑簡析:4月8日消息，據Agora DeFi消息，受 Starstream 的 distributor treasury 合約漏洞影響，Agora DeFi 中的價值約 820 萬美金的資產被借出。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1. 在 Starstream 的 StarstreamTreasury 合約中存在 withdrawTokens 函數，此函數只能由 owner 調用以取出合約中儲備的資金。而在 April-07-2022 11:58:24 PM +8UTC 時，StarstreamTreasury 合約的 owner 被轉移至新的 DistributorTreasury 合約(0x6f...25)。

2. 新的 DistributorTreasury 合約中存在 execute 函數，而任意用戶都可以通過此函數進行外部調用，因此攻擊者直接通過此函數調用 StarstreamTreasury 合約中的 withdrawTokens 函數取出合約中儲備的 532,571,155.859 個 STARS。

3. 攻擊者將 STARS 抵押至 Agora DeFi 中，并借出大量資金。一部分借出的資金被用于拉高市場上 STARS 的價格以便借出更多資金。[2022/4/8 14:12:38]

第二，開發一個社交產品的成本也很高。其實這個成本主要還是在中后端，但是中后端的功能確可以被窮舉且標準化，不外乎就是點贊、關注、發帖、收藏等功能，而前端業務層看似紛繁復雜也不過就是基于中后端標準功能的組合拼裝 。

慢霧：Avalanche鏈上Zabu Finance被黑簡析:據慢霧區情報，9月12日，Avalanche上Zabu Finance項目遭受閃電貸攻擊，慢霧安全團隊進行分析后以簡訊的形式分享給大家參考：

1.攻擊者首先創建兩個攻擊合約，隨后通過攻擊合約1在Pangolin將WAVAX兌換成SPORE代幣，并將獲得的SPORE代幣抵押至ZABUFarm合約中，為后續獲取ZABU代幣獎勵做準備。

2.攻擊者通過攻擊合約2從Pangolin閃電貸借出SPORE代幣，隨后開始不斷的使用SPORE代幣在ZABUFarm合約中進行`抵押/提現`操作。由于SPORE代幣在轉賬過程中需要收取一定的手續費(SPORE合約收取)，而ZABUFarm合約實際接收到的SPORE代幣數量是小于攻擊者傳入的抵押數量的。分析中我們注意到ZABUFarm合約在用戶抵押時會直接記錄用戶傳入的抵押數量，而不是記錄合約實際收到的代幣數量，但ZABUFarm合約在用戶提現時允許用戶全部提取用戶抵押時合約記錄的抵押數量。這就導致了攻擊者在抵押時ZABUFarm合約實際接收到的SPORE代幣數量小于攻擊者在提現時ZABUFarm合約轉出給攻擊者的代幣數量。

3.攻擊者正是利用了ZABUFarm合約與SPORE代幣兼容性問題導致的記賬缺陷，從而不斷通過`抵押/提現`操作將ZABUFarm合約中的SPORE資金消耗至一個極低的數值。而ZABUFarm合約的抵押獎勵正是通過累積的區塊獎勵除合約中抵押的SPORE代幣總量參與計算的，因此當ZABUFarm合約中的SPORE代幣總量降低到一個極低的數值時無疑會計算出一個極大的獎勵數值。

4.攻擊者通過先前已在ZABUFarm中有進行抵押的攻擊合約1獲取了大量的ZABU代幣獎勵，隨后便對ZABU代幣進行了拋售。

此次攻擊是由于ZabuFinance的抵押模型與SPORE代幣不兼容導致的，此類問題導致的攻擊已經發生的多起，慢霧安全團隊建議：項目抵押模型在對接通縮型代幣時應記錄用戶在轉賬前后合約實際的代幣變化，而不是依賴于用戶傳入的抵押代幣數量。[2021/9/12 23:19:21]

所以我認為 lens 也是基于這兩點認為如果他們再做一個社交產品，也不過就是市面上的 10 個產品變成了 11 個，繼續增加孤島，所以他們把自己向下藏了一層，首先制定了標準，將什么樣的行為需要鑄造為 NFT，發布的內容需要用什么樣的數據格式等問題都標準化，能夠保證基于其標準所開發出的產品是不存在孤島問題。

其次通過閱讀其開發者文檔會發現 lens 的模塊化設計非常充分，將能力拆分的顆粒度很細，盡可能做了解耦，從而便于開發者在上面去靈活的拓展業務邏輯。 

如下圖所示，這是 lens 的主合約，可以看到其上面已經產生了 540 萬條社交數據，包含了發布、收藏、關注等動作，所以 lens 打造了一個大陸，而不是一個孤島。 

關于標準，分為接口標準和數據標準，首先說一下接口標準，如下圖 1 所示這是 lens 提供的所有一級 API，基本上社交關系的主要能力都包括了，圖 2 是單關注這一個能力所拆分出來的二級 API，可見其顆粒度是做的很細的，開發者可以基于這些 API 自由拼裝組合。

數據標準則又細分為 NFT 和非 NFT 兩類，lens 的核心數據圍繞 NFT 展開，首先每個用戶需要一個.lens 域名才能擁有個人主頁，其他的數據都是掛在這個域名下的，這個域名本身是一個 721 類型的 NFT，從這個角度也算是 DID 的范疇。

除了域名外用戶的關注、收藏等動作也會被鑄造為 NFT，如圖 1 當用戶進行關注時，觸發了合約的 follow 函數，從所產生的鏈上數據可以看到 mint 了一個 NFT，如圖 2 當取關的話則會將該 NFT 銷毀掉 。

社交數據其實是索引關系非常復雜的，lens 的接口對于開發者也非常方便，將鏈上數據包了一層不需要開發者自己去分析數據，而是如下圖為例，如果需要查詢某個人的關注者，通過接口可以直接以很清晰的以拉清單的形式將數據獲取到并層層下鉆。

另外對于 post 內容發布，首先它不是作為 NFT 呈現的，我在此之前還以為用戶發的內容都會鑄造成 NFT，如圖 1 所示就是正常的鏈上數據寫入的過程，這里我還沒有理解清楚為什么 lens 不把他們做成 NFT。如圖 2 這是 post 的寫入數據，包含的數據有掛載在誰身上，掛載的內容是什么，發布內容用 contentURI 一個外鏈來索引 。

具體內容則是存儲在鏈下的，contentURI 會指向一個存儲地址，但是 lens 對于數據的存儲格式也是有一套標準規范的，這樣就可以達到上文中提到的各產品基于 lens 構建后可以互通的效果，如圖 1 為解析出來的一個數據格式，包括名稱、內容、類型等。圖 2 為枚舉的數據格式，圖文音視頻等都包括，從而結構化內容數據。

以上就是對于 lens 的淺研，不愧是 Aave 出來的，確實對 web3 的原生很透徹，基于 lens 誕生出來 web3 原生 twitter 的可能性還是很大的，也許是研究還不夠深，也存一些疑惑，比如個人主頁是一個.lens 的 nft 域名，而所有的數據和關系鏈都掛在上面，但是該 nft 又是可以買賣的，社交關系可以買賣我覺得還是挺奇怪的。    

區塊律動BlockBeats

媒體專欄

閱讀更多

金色財經

CertiK中文社區

虎嗅科技

web3中文

深潮TechFlow

念青

DeFi之道

CT中文

Tags：ENSABUWEBSPORecovery Right TokensShiba ShabuCoinwebUSD Sports

狗狗幣價格