零时科技联合创始人黄鱼先生受邀对话《Web3 应用创新与生态安全》

2022 年 9 月 23 日 20:00，区块链安全攻防专家、零时科技联合创始人&黄鱼先生受 UNIBFF NEWS 特邀，与知名公链 FOIL Network 创始人 Evgeniy Kuzin、数字投行市场团队 Ann，共话《Web3 应用创新与生态安全》。

黄鱼先生对直播中提到Web3 生态安全事件问题进行了分享，以下为直播实录（略有删减），一起看过来吧！

问题一

Web3 未来发展前景如何？

今年，Web3 市场备受关注，关于 Web3 未来发展前景，零时科技联合创始人黄鱼先生表示，今年全世界掀起的 Web3 浪潮吸引了很多大公司，比如腾讯、微博、Meta、Line 和 Twitter 这种拥有超数十亿用户的社交巨头纷纷入局，并将 NFT 嵌入到自己的现象级产品中。

为什么这些巨头会被吸引到 Web3 生态中？这和数据的价值不可分割。数据是 21 世纪的金矿，互联网公司通过对数据的挖掘、分析、使用，从而实现数据的间接变现，而 Web3 公司想要实现数据与资产、法币（如美元）、加密货币（如比特币）等直接挂钩。这种以 NFT 为代表的新的数据使用方式，我认为是他们入局的关键原因。

数据如今被定义为生产要素，但在生产关系里却不被用户（生产者）自己所有，实际上我们可以看到，目前实际上是归互联网公司所有，而 NFT 通过技术实现了数据=资产和金钱，实现了数据归“生产者”自己拥有。

但是目前 NFT 的困境在于，对平台和创作者天然利好，可以解决他们的收益问题，但对用户除投资外没有足够的其他价值。实用性上，目前推特也仅仅是允许头像显示 NFT，更多的是一种身份象征。如何吸引更多用户，为他们创造价值，如何把几十亿人一起带进 Web3，实现商业闭环还有待考究。

黄鱼先生认为，目前 Web3 还有很长的路要走，每个国家需要有自己的 web3 定义，构建属于自己的 web3 基础设施，吸引更多的人才加入，推出比 web2 巨头们更有吸引力的 web3 应用，才能真正引爆下一代互联网革命。

监管严格的美国和中国来说，情况尤其如此。

问题二

最近 NFT 赛道备受追捧，目前市场上主流的 NFT 合约协议有什么优点和缺点？

零时科技联合创始人黄鱼先生表示 NFT 协议有很多，包含 ERC721、ERC1155、ERC998、NFT 租赁协议、EIP2981 以及流动性协议和跨链协议。目前应用最为广泛的是 ERC721 协议和 ERC1155 协议。部分 NFT 底层公链已着手开发 NFT 链上协议，例如 DNFT，是一个支持跨链的去中心化 NFT 协议。

ERC721 是第一个正式和广泛采用的 NFT 标准，它定义了一套代码规则，用于在以太坊区块链上记录 NFT 的相关信息。虽然 ERC-721 不是强制性的，但它被广泛接受为 NFT 项目的标准。

ERC721 的缺点，与 ERC20 不兼容，只适用于以太坊。部分 ERC721 的延伸协议也存在安全问题，比如 ERC721R 是为了 ERC721 和 ERC1155 标准打造的退款功能。在 NFT 智能合约中增加了去信任的退款协议设计，允许铸造在给定的期限内退还按成本铸造的 NFT，并且收获相应的退款。经过零时科技安全团队分析 ERC721R 可能存在的安全风险点：

风险一：用户退款至管理员，管理员可获取合约中所有 ERC20 资金。

风险二：管理员铸造 NFT，利用该 NFT 获取合约中所有 ERC20 资金。

ERC1155 是由 ERC721 扩展而来的多代币标准，支持从同一个智能合约中发行许多代币，这使得创建和转让的效率更高。

ERC1155 的优点，转移和交换的效率，与跨链兼容，在铸造新的代币时节省 Gas。

ERC1155 的缺点，难以追踪所有权。

除了标准的 NFT 协议之外，还有跨链类 NFT 协议，流动性衍生品类的 NFT 协议，随着 web3 和 NFT 场景需求的快步发展，相关此类的 NFT 协议也将变得越来越丰富，将不断地成为用户和资本方关注重点，零时科技安全团队也会及时跟进并分析新的 NFT 协议，确保其安全性。

问题三

a16z 设计了新型 NFT 许可证书，将不能作恶原则用于 NFT，您觉得它可行吗？

零时科技联合创始人黄鱼先生表示，许多人购买 NFT 后其实并不确定他们得到的是什么。比如，很多人买 NFT 是想要一个头像或者艺术品。而现在你买一个 NFT，其实是购买了一个存在区块链上的 tokenID 以及元数据，很多买家对 NFT 的权利认知是模糊的。

a16z 团队在文章中曾说，如果没有 NFT 创作者的版权许可或转让，买方就不能行使版权下的任何权利（如复制、改编和公开展示）。

实际上，大多数项目在启动时并没有许可证，或使用定制的许可证，所有权方面是模糊的。而标准化的 NFT 专用许可证在区块链上进行跟踪和执行，可以为用户提供更多的确定性。a16z 推出了一个免费、公开、名为“不能作恶”的许可证，其目的是让 NFT 领域的知识产权界定更加明晰。他们还设置了 6 种协议选项，来规定不同条件下 NFT 所有者的权利。

根据我们看到的消息，在实操层面上，a16z 已经将不能作恶许可证部署到 Arweave（确保它们以公开、永久和不可变的方式存储），并且开源在了 Github 上，然后将它们中的每一个都合并到任何新的 NFT 项目都可以继承的智能合约中。NFT 项目在编写代码时，就可以通过简单的引用 a16z 的许可证智能合约，在代码意义上申明自己所适用的许可协议。

但是当下，大家也知道，协议其实直接影响着 NFT 产业链上的 IP 及其他相关方，NFT 也逐渐走进大众视野，相比起其落地使用，它的许可证标准协议的制定需要我们更加关注。

问题四

作为行业从业者，您认为针对目前 Web3 生态安全事件有哪些解决方案？

零时科技联合创始人黄鱼先生认为，web3 领域目前需要做的有两个地方，第一是针对 web3 合约，或者说是项目方的安全审计和检测；第二是针对 web3 的使用者，也就是用户做的安全服务和安全意识的提升培训。

针对项目方首先需要对项目方的背景和团队进行审计，这些审计结果可以帮助用户来判断一个项目是否是可以进一步了解的，如果一个项目的介绍，团队都比较粗糙，那么这个项目的可信程度可能就会打一个折扣。

接着，需要专业的安全团队对项目的智能合约进行安全审计，发现合约中的漏洞，协助研发团队进行修复，保证项目的稳定，维护项目方和用户的利益。接下来需要安全团队对运营中的项目进行一个持续监控，持续监控有助于提前发现项目方的欺诈行为或者是提前发现黑客的攻击行为，可以对这些恶意行为进行预警，保障用户和项目方的利益。

接下来是对用户方面的安全服务，web3 和 web2 有所不同，在 web2 领域，发生安全事件后可能只会发生一些类似于盗号或者欺诈等行为，但是在 web3 领域，就会发生真实的资金损失。

所以，针对用户的安全主要分为两个方向，第一，由第三方安全团队提供资产的托管或者资产的安全解决方案；第二，提供给用户一些提升网络安全意识的培训，提升用户的安全意识，防止被黑客进行网络钓鱼或者被植入木马盗取用户的私钥。

问题五

您如何看待目前 Web3 投融资现状？

零时科技联合创始人黄鱼先生表示，虎嗅曾发过一篇文章，说，如今，不仅是互联网行业社交巨头，更多行业巨头的加入，正把越来越多的人拉进 Web3。比如摩根大通、摩根士丹利等金融巨头；华尔街日报、纽约时报等传媒巨头；耐克、阿迪、彪马等服装类巨头，星巴克、LV、耐克、阿迪达斯、保时捷、雪佛兰等等，都进入 web3 领域找机会，但是不是每一个进入 web3 的巨头都能抢到一杯羹，比如雪佛兰打造的 NFT 竞拍，意想不到的是拍卖居然流拍了。

这其实说明一个问题，进军 Web3 业务企业未必都会取得最终的成功，背后实际上有一定的风险。

黄鱼先生认为，Web3 需要大量应用和时间，尤其现象级应用。当然，应用需要基础设施的完善，以下几个赛道是未来需要重点考虑的：

1）DID，分布式数字身份，这是 web3 设计中用户的身份证；

2）隐私计算，用户自己掌管了数据后，不能像区块链那样把所有的数据都公开透明化；

3）数据管理，管理用户的 DID 和各种数据；

4）web3 安全，安全也是 web3 的重要基础设施之一，用户身份、数据、资产安全都是重中之重。

在安全方面，零时科技也一直在这个方向深耕和研究，为 web3 的快速安全发展保驾护航。

零时科技是专业的区块链安全解决方案提供商，公司团队专注于区块链生态基础设施安全研究，包括安全审计、资产安全、以及 Web3.0 安全攻防技术研究；

零时科技官网：https://noneage.com/

零时