! r0 K Q7 M, ]) V ]: }/ K治理攻击：选举窃取者$ k( d' [# p9 p- V+ T
/ g$ D7 f6 s1 ~4 Q* Q
这是第一个上榜的特定于加密货币的问题。web3 中的许多项目都包含治理方面，代币持有者可以在其中提出改变网络的提案并对其进行投票。虽然这为持续发展和改进提供了机会，但它也为引入恶意提案打开了后门，如果实施这些提案可能会破坏网络。 8 r* A6 g% x' q F! H$ L) V* c+ \/ o+ ?: f/ `- a |3 h! a, E
攻击者设计了新的方法来规避控制、征用领导权和掠夺国库。曾经是一个理论上的问题，现在已经证明了治理攻击。攻击者可以拿出大量的“闪电贷”来摇摆选票，就像最近发生在去中心化金融项目 Beanstalk 上一样。导致提案自动执行的治理投票更容易被攻击者利用；然而，如果提案的制定存在时间延迟或需要多方手动签署（例如，通过多重签名钱包），则可能更难实现。) \. g& N* ], _5 F, ]
- D' z" Q0 J7 g/ X, K. @1 v. J
举例：算法稳定币Beanstalk Farms遭遇黑客攻击事件 0 C- M; x9 c c! d : l* ^* u+ I, w8 L4 h2 E5 r( ?简要概括： % O! h& i$ X: [0 m4 m' T" ` / S0 E* b c5 F" g( }( X8 ]: `1 F谁：从有组织的团体 (APT) 到任何人。# n }) o9 g, z
4 |$ Y$ c2 ^0 ^- g8 r& n
复杂性：从低到高，取决于协议。（许多项目都有活跃的论坛、Twitter 和 Discord 上的社区，以及可以轻松暴露更多业余尝试的委派仪表板。） 3 U+ E0 i. A' [4 q 5 F* S% K. {7 ?; Y$ ]可自动化性：从低到高，取决于协议。 : A" g& n0 t0 @( }/ T2 ~
7 n; ]; F# l7 M& B对未来的期望：这些攻击高度依赖于治理工具和标准，特别是因为它们与监控和提案制定过程有关。 1 S) m5 Q. N2 U$ A- E' [8 K) X& K9 ~3 t: E8 }
定价预言机攻击：市场操纵者 $ e. u" {2 g6 |3 s/ w6 i' y8 A% _* g$ S p4 o: Z
准确地为资产定价是困难的。在传统交易领域，通过市场操纵人为抬高或降低资产价格是非法的，这些人可能会因此受到罚款或逮捕。 DeFi 给随机的人提供了“闪电贷”数亿或数十亿美元的可能行，从而导致价格突然波动，在这一领域，问题就凸显出来了。; K6 @% l% @- b [+ ?5 N
( I2 j& ~$ w4 e# d( ~许多 web3 项目依赖于“预言机”——提供实时数据的系统，并且是链上无法找到的信息来源。例如，预言机通常用于确定两种资产之间的交换定价。但是攻击者已经找到了欺骗这些假定真相的来源的方法。 # @5 k# D( ]9 _% M( K ; d( A" `$ p$ r- z% \$ m) S随着预言机标准化的进展，链下和链上世界之间将会有更安全的桥梁，我们可以期待市场对操纵尝试变得更有弹性。运气好的话，有朝一日这类攻击可能会几乎完全消失。 ( e- S/ b2 F! o % Z: G* T9 P% h举例：DeFi 协议Cream Finance闪电贷攻击8 W) b) [ Z( l# C4 ~7 o
2 [$ c- F/ H* t& p
简要概括：( K3 ?! ^- Q) J. A
) X) `+ E- W! q. l$ A
谁：有组织的团体 (APT)、个人和内部人士。 9 C) q9 _5 S _) R+ K( \- ]3 j# X; s' p4 o- f8 x7 C
复杂程度：中等（需要技术知识）。 $ W" S( X' B( Q) r$ O9 ]: @% Y2 F* T! v& `
自动化程度：高（大多数攻击可能涉及自动化检测可利用问题）。 - n* G/ Q( C! @3 }$ Q7 d% g9 p3 P! m' x( f0 C4 ]- F
对未来的期望：随着准确定价方法变得更加标准，可能会降低。 - Y8 q& h$ g1 d/ A5 j3 [) G' ? % j3 U' u& p/ L" i, ]# O. `新漏洞：不知之不知 1 w1 t" i( N# ^4 }+ Z5 q - i0 z0 V/ h L9 Y: `零日漏洞（Zero - day ），是指被发现后立即被恶意利用的安全漏洞。之所以如此命名，是因为它们在出现时就已为人所知——是信息安全领域的热点问题，在 web3 安全领域也不例外。因为它们来得突然，所以它们是最难防御的攻击。) n9 v! n3 f. ]# V
0 c2 }* g" S) K& K' i* j如果有什么不同的话，web3 让这些昂贵的劳动密集型攻击变得更容易货币化，因为人们一旦被盗就很难追回加密资金。攻击者可以花费大量时间仔细研究运行链上应用程序的代码，以找到一个错误以证明他们的努力。同时，一些曾经新颖的漏洞继续困扰着毫无戒心的项目：著名的重入漏洞TheDAO是早期的以太坊企业，今天继续在其他地方重新浮出水面。5 y. F X6 z" U2 `6 V" [
9 L) k4 ?" r2 f) g2 y3 _0 K$ E目前尚不清楚该行业将能够多快或轻松地适应对这些类型的漏洞进行分类，但对审计、监控和工具等安全防御的持续投资将增加攻击者试图利用这些漏洞的成本。 $ L) }: ]$ v; l' l1 D9 c9 v" E# t2 G7 R1 D9 w- i$ H' q
举例：+ D2 P+ j, ?. T2 {9 v
% q* ?( N- W8 m! U- i: |4 k
Poly的跨链交易漏洞. P H g2 }' I# t5 U