CertiK：2022第四季度Web3.0行業安全報告（附PDF下載鏈接）_WEB

2022年第四季度的主要事件想必無人不知，而這也是能夠被載入Web3.0史冊的事件：FTX的急轉直下，近乎于一夜之間崩塌。雖然該事件在導火索被點燃前已有了明顯的傾塌征兆，但因其畢竟是行業內的第二大中心化交易所，FTX的倒臺無疑還是震驚了許多人。

我們在此也會為大家簡單剖析一下這次事件造成的原因，以及使這種欺詐行為得以發生的非Web3.0商業模式的獨特特征。

FTX事件讓數十萬，甚至數百萬的用戶的數十億美元資產無法提取從而變成永久性損失。隨著人們的注意力從Web3.0平臺遭受的持續損失上轉移開，DeFi在相比之下出現了一段“緩和期”。中心化交易所和服務永遠無法如去中心化的應用程序一般成為Web3.0持續運轉的關鍵。

因此如果Web3.0要發揮其真正的潛力，就需要百分百執行安全審計。本報告將分析過去三個月里Web3.0世界中最主要的幾起安全事件。

若想要回顧2022全年的情況，請持續關注CertiK官方公眾號，我們隨后將發布《2022年度Web3.0行業安全報告》。

第四季度行業安全概要

①2022年第四季度，惡意攻擊者從Web3.0領域中盜取了約9.5億美元的資產。

②這一數字相比今年第一季度損失的13億美元峰值有所下降，但較于第三季度損失的5.04億美元增加了88%。

③僅11月的資產損失就占據了第四季度總損失的50%以上，主要資產損失來自于FTX錢包在該交易所崩潰期間損失的約5億美元。

④第四季度發生了78起退出騙局，共盜取了約5268萬美元，37起閃電貸與預言機操縱的漏洞共造成了約1439萬美元的損失。

⑤整個2022年Web3.0領域的安全形態仍為大規模攻擊占據主要資產損失，僅三個獨立的跨鏈橋漏洞就造成了約1.1億美元的損失。

GoldenTree贖回質押的590萬枚SUSHI，并將251萬枚SUSHI轉入幣安:金色財經報道，據推特加密KOL余燼監測，半小時前，資管公司GoldenTree贖回了質押的590萬枚SUSHI，并將251萬枚SUSHI轉入了幣安。

GoldenTree的SUSHI是在去年9-10月買入：當時他們在SUSHI論壇表示看好SUSHI并購買了590萬枚SUSHI，買入成本約1.2美元。[2023/3/23 13:21:26]

⑥第四季度CertiK審計的Web3.0項目數量仍在持續上升，目前審計的項目總數已達到了5046個。

FTX頃刻崩塌

FTX，作為曾經的第二大中心化加密貨幣交易所，日落后已燃盡余輝。曾幾何時，SamBankman-Fried的面孔還出現在世界各地的廣告上。在過去的這段時間，有無數記者們以Sam為主題撰寫了文章。邁阿密熱火的主場場館甚至也已被FTX冠名，冠名合約有效期至2040年。直到今年11月初，FTX還在高歌猛進，

然而這一切都在一周之內轟然倒塌，化為泡影。目前，Sam繳納了2.5億美元的高額保釋金后保釋出獄，兩名Alameda公司的高級管理人員承認檢方指控犯罪事實，并同意配合對其前老板的起訴。

FTX總部設立于巴哈馬，雖然沒有人知道美國法院將如何對其采取行動，但是我們可以在此先將該事件的始末進行初步梳理??：

11月2日：CoinDesk發布了一篇文章，表達了對AlamedaResearch資產中由FTT組成比例的擔憂。

11月6日：Binance首席執行官趙長鵬“CZ”表示，他將出售Binance總額為5.8億美元的FTT持股，這些持股來自他對FTX的早期投資。

AlamedaResearch首席執行官CarolineEllison現在已經承認了兩項電信欺詐罪和五項共謀罪，涉及電信、證券和商品欺詐以及洗錢：為CZ提供了一個場外交易。

Arbitrum穩定幣協議Vesta提案討論將ARB作為抵押品:3月21日消息，Arbitrum 上穩定幣協議 Vesta 的核心團隊提議添加 ARB 作為抵押品，清算比率 150%，債務上限初始設置為 50 萬枚，清算罰款比例為 15%。

據悉，目前對應提案已上線，將進行持續三天的討論和民意調查，于 2023 年 3 月 24 日 12:00 結束，之后將開始在 Snapshot 進行官方治理投票。[2023/3/21 13:17:31]

原文大致翻譯如下：@cz_binance如果你想盡量減少市場對你銷售FTT的影響，今天Alameda會很愿意以22美元的價格向你購買所有FTT!??

CZ顯然拒絕了這一提議，然而當FTT最終突破22美元大關后，其價格驟然暴跌。

來源:CoinMarketCap

11月7日：FTX用戶的恐慌情緒蔓延開來，大量用戶試圖從平臺上撤回他們的資金，但是僅有極少部分用戶成功。

11月8日：在對圍繞其交易所償付能力的傳言保持了長時間的沉默后，SamBankman-Fried終于宣布將FTX出售給Binance。

原文大致翻譯如下：大家好：我有幾個消息要宣布。事情已經圓滿結束，http://FTX.com的第一個，也是最后一個投資者是相同的：我們已與Binance就FTX.com戰略交易達成協議(等待盡職調查結果)。

11月9日：Binance退出了交易。

馬斯克：推特將于下周開源算法:金色財經報道，當地時間周二，Twitter CEO埃隆·馬斯克表示，該公司將于下周對Twitter算法進行開源。有用戶說，如果Twitter能夠開源算法，他們將會“真心折服”。

?于是，馬斯克回應道：“當我們下周開源算法時，一開始請做好失望的準備，但之后將會快速改善。”馬斯克曾經自稱是“言論自由的絕對主義者”，并且曾經通過對用戶進行調查來制定Twitter的重大決策。（環球網）[2023/2/23 12:23:58]

原文大致翻譯如下：根據企業盡職調查的結果，以及關于客戶資金處理不當和涉嫌美國機構調查的最新新聞報道，我們決定不再對http://FTX.com進行潛在收購。

與此同時，美國證券交易委員會和司法部對FTX展開調查。

11月10日：巴哈馬證券委員會凍結了FTX并任命了清算人。

11月11日：FTX按照美國破產法第11章申請破產。SamBankman-Fried辭去首席執行官一職，由曾管理Enron公司破產程序的JohnJ.RayIII接任。

11月12日：《華爾街日報》報道，FTX將客戶的存款交給AlamedaResearch，以幫助其履行債務償還責任。而Alameda的高管知道這一協議其實違反了FTX的服務條款。

大約有5億美元的FTX資產被從平臺轉出。有傳言說巴哈馬政府曾指示撤出資產，但隨后該政府否認了這一說法。

11月14日：紐約的聯邦檢察官對欺詐指控展開調查。

11月16日：美國立法者要求SamBankman-Fried以及Alameda和Binance的高管在12月的國會山聽證會上作證。

11月17日：即將上任的FTX首席執行官JohnJ.RayIII在一份法庭文件中說：“在他的職業生涯中，包括在Enron丑聞期間，他從未見過失敗的如此透徹的公司管理控制。”這包括“系統的完整性受到損害，國外監管存在缺陷，以及控制權集中在極少數沒有經驗、不成熟和不良信譽的個人手中。”

ENS將于7天之內在測試網上線Name Wrapper:9月16日消息，以太坊域名服務ENS創始人兼核心開發人員Nick Johnson表示，ENS將在7天之內在測試網推出域名封裝器Name Wrapper。ENS Name Wrapper允許將ENS域名包裝為ERC-1155NFT，一個父域名能夠為其子域設置更多的權限。[2022/9/16 7:00:46]

12月12日：在紐約聯邦檢察官提出刑事指控后，Sam在巴哈馬被捕。

12月13日：美國證券交易委員會指控SamBankman-Fried詐騙投資者。

12月20日：在被拘留8天后，SamBankman-Fried同意被引渡到美國。

12月27日：據彭博社報道，美國司法部已對11月FTX價值數億美元資產遭到提取一事展開調查。

目前，CarolineEllison和GaryWang已經承認了聯邦指控，其欺詐行為已被證實。

如果想通過收聽方式了解更多FTX事件始末及細節，請復制以下鏈接至瀏覽器https://m.ximalaya.com/sound/590419909?from=pc

播放CertiK首席運營官曹亞昕博士關于《FTX極速墜落》的專訪節目。

以去中心化為榮的Web3.0世界，為何會出現如此問題？

其實，FTX并不是一家Web3.0貨幣公司。它是一個允許進行數字資產交易的中心化平臺。它依賴于用戶對平臺遵守其服務條款的信任，而高管層則惡意利用了這種信任。

那么有更好的解決方案嗎？

當然。與FTX這樣的中心化交易所相對應的則是Web3.0行業中的去中心化交易所。而FTX管理層的欺詐行為在DEX中可以說是幾乎不可能實現的。因為資金流動公開透明，用戶的存款不可能被秘密轉移到某些交易公司。

因此，開放的Web3.0協議可作為FTX事件的解決方案，而其也不該被抹上與欺詐性中心化交易所相同的污點。

NEXTYPE與巴西最大的游戲公會DUX建立合作關系:金色財經消息，據官方推特，區塊鏈游戲發行平臺NEXTYPE正式宣布與巴西最大的游戲公會DUX建立合作關系，以提供進入Web3和元宇宙領域的可能性。[2022/7/14 2:12:58]

不過，目前Web3.0解決方案尚未進入黃金時代。如上文所述，僅2022年第四季度，就有約10億美元的資產從生態系統中不翼而飛。在Web3.0世界能夠實現其安全、自由和公平的生態系統供所有人使用的承諾之前，安全標準需要不斷提高。

下面就讓我們來看一下第四季度最大的漏洞事件之一：MangoMarkets事件。該事件凸顯了在構建Web3.0協議時平臺需謹慎設計的重要性。

MangoMarkets遭攻擊

損失1.16億美元

在Solana上運行的MangoMarkets平臺，于2022年10月初遭到攻擊，損失了約1.16億美元。MangoMarkets利用Serum進行現貨保證金交易，而永久期貨則在MangoMarkets自己的訂單簿上進行交易。MangoMarkets由MNGO持有人通過MangoDAO管理。

而這一攻擊事件即是利用了該協議的組成部分。

推特用戶AvrahamEisenberg公開聲稱自己參與了MangoMarkets的漏洞攻擊，并暗示了還有其他未知人士同他一起操作。這些人利用了大量資金來操縱MangoMarkets協議。

2022年10月11日，攻擊者們在MangoMarkets上夸大了他們的抵押品價值，并針對這些資金進行了大量貸款。

攻擊者們用500萬美元的USDC為錢包CQvKSNn提供資金，然后在訂單簿上鑄造了4.83億份的MNGO永續合約。

隨后，攻擊者們向第二個錢包4ND8FVPj提供資金，并用它以每單位0.0382美元的價格購買4.83億單位的MNGO。因此，攻擊者能夠將MNGO的價格提高到0.91美元，也因此能夠讓賬戶B借到更多資金。賬號B以MNGO作為抵押品，借出了1.16億美元的貸款，此時Mango的流動性被耗盡：賬戶A有大約有11,537,729.05美元的債務無法收回，賬戶B有大約1.15億美元的借貸token。

Eisenberg聲稱他的團隊執行了一個“高利潤的交易策略”，使MangoMarkets陷入破產，但他也指出，他有興趣歸還一部分用戶資金。MangoMarkets團隊最終與攻擊者進行了談判，攻擊者在10月20日DAO治理投票后歸還了6700萬美元。剩下的被盜資金被轉移到錢包Hy4ZsZk，隨后被進一步轉移。目前該錢包仍持有約274萬美元資產。

原文大致翻譯如下：開發團隊部分忽略了以這種方式設置參數的后果和風險。但我相信我們所有的行為都是合法的公開市場行為，也是按照設計使用協議。

遭遇攻擊耗盡其流動性的項目很少有機會翻身，MangoMarkets是否會恢復猶未可知。MangoMarkets網站稱，他們將部署第四個版本的平臺，其中包括已更新的安全和風險緩釋策略，不過相關細節還沒有被公布。

目前，MangoMarkets的Discord仍具有活躍度，每隔幾天就會有用戶要求提供關于第四版部署的信息，其管理員也處于活躍在線狀態。不過目前這個階段，該團隊似乎沒有通報發布日期或與他們計劃有關的其他信息。

在MangoMarkets事故的后期，AvrahamEisenberg在波多黎各被捕，并于12月27日被司法部指控商品欺詐和商品操縱。此案的結果將成為美國DeFi監管的一個里程碑事件。

全新的開始

FTX如過山車一般的故事正是Web3.0試圖要避免的：信任本不應該輕信的機構、缺乏透明度、公然欺詐……

而2022年對投身于Web3.0市場的人來說，或許是比較煎熬的一年。除了FTX的崩塌以及其造成的連鎖反應使行業中的一些大企業倒閉之外，整個Web3.0市場的行情和整體價格都相對低迷。

但2023年或許是一個新的機會。讓我們回到初心，專注于真正重要的事情：建立安全、透明、開源的應用程序，將權力交還給用戶。Web3.0也需要從寫進區塊鏈永久歷史的教訓中學習，通過安全協議設計、部署前代碼審計和部署后監控來提高整個行業的安全水準。

無論何時，安全對于用戶、開發者和整個行業的未來都是至關重要的。

CertiK端到端安全解決方案

在致力于保護Web3.0的道路上，CertiK開發了許多幫助項目采取端到端安全解決方案的工具。

CertiK安全排行榜讓Web3.0用戶能夠利用CertiK的審計和安全團隊的專業知識，對投資項目的安全風險有更深入的了解并做出更明智的決策，這些用戶將整個生態系統推向了新的高度。

目前CertiK安全排行榜已全面升級為安全排行榜360，為數以千計的榜上項目提供完整而即時的安全狀況“全景圖”。由于整個系統進行了全面的更新，用戶訪問和分析這些安全數據將前所未有的便捷。此外，我們還利用量化工具為個人投資者提供合理的決策建議。歡迎訪問certik.com了解詳情。

Skynet天網動態掃描系統可結合鏈上交易監測與鏈下數據，對數百個Web3.0平臺進行實時、全面的安全監測和分析。Skynet天網動態掃描系統高級版SkynetPremium由CertiK于2021年正式推出，其威脅檢測模型會通過機器學習與不斷變化的智能合約風險環境同步進化。這也意味著，隨著威脅情報庫和智能合約漏洞庫的不斷積累，這一平臺也會變得愈發先進，從而適應變化無常的智能合約風險環境。目前Skynet天網動態掃描系統已全面升級，添加了更多維度的Skynet天網信任評分及專屬于項目的項目亮點和預警等全新功能。

SkyTrace則是一種智能、直觀的追蹤工具，可幫助分析和可視化以太坊和BSC錢包的交易數據。該工具為識別和追蹤進出自己的個人錢包或項目團隊錢包的可疑流量提供了深入的分析。

CertiKKYC項目背景調查服務可為項目團隊提供身份驗證，包括使用基于AI的檢測系統進行ID真實性檢查，以確保個人身份真實并與ID相匹配。除了在身份驗證過程中進行實時有效性檢查外，CertiK還將與每個項目團隊成員進行實時視頻溝通，以驗證他們的身份和其他必要參數。由于團隊的匿名性越來越高，項目的風險行為也越來越具有可能。除此之外，CertiK安全排行榜賦予通過KYC調查的項目團隊以青銅、白銀、黃金等級的KYC徽章，最大程度上使項目團隊去匿名化，建立更完善的問責制，從而增強項目的可信度。

CertiK于近期推出的漏洞賞金計劃招募并遴選了一批世界頂級的白帽黑客，收集情報以在惡意行為者利用漏洞之前將其及時發現。CertiK的安全專家團隊將負責篩查和鑒定所有提交材料，并協助客戶進行正確的修復。我們的0%費用模式降低了項目團隊的支付負擔，白帽黑客可因此獲取全額賞金。

CertiK支持的生態系統

CertiK的審計及端到端解決方案已覆蓋目前市面上大部分生態系統，并支持幾乎所有主流編程語言，就區塊鏈平臺、Web3.0資產交易平臺、智能合約的安全性等領域為各個生態鏈提供安全技術支持。目前與我們合作的生態系統包括：

CertiK致力于守護Web3.0世界，將以安全數據為重心，持續分析Web3.0的安全未來及發展。助力用戶遠離“土狗”以及人為踏空，以科技賦予科技價值和載舟之路。

PDF可存儲版本下載

該報告PDF版本已收錄并生成鏈接，歡迎下載查閱。

下載方式??

?復制鏈接至瀏覽器即刻下載：

https://certik-2.hubspotpagebuilder.com/2022-q4-web3-0

Tags：FTXWEBWEB3WEB3.0MEEB Vault (NFTX)web3.0幣種在中國合法嗎web3游戲項目價值排名web3.0幣圈

DYDX