當奈飛的NFT忘記了Web2的業務安全_PRO

奈飛Netflix是市值達800億美金的視頻類娛樂服務公司，在190多個國家/地區擁有2.22億付費會員如此巨頭又怎會放過web3的風口呢？

因此在近期X2earn的火熱下，他也創意獨裁出了個WatchtoEran

官方入口：https://lovedeathandart.com/

大概是會員在閱讀影片的過程中，會隨機出現一個二維碼，結合用戶的以太坊地址后，官方會簽名信息，用戶將可以得到一個signature數值，而有了這個值，即可在netflix官方發布的NFT合約中，鑄造一枚nft，如圖美觀度上十分不錯結合上穩定的經濟模型，或許又是一個跑鞋般的頂流項目！

數據：8月以太坊銷毀逾7萬枚ETH，鏈上NFT交易額不足4億美元:金色財經報道，據The Block Pro數據顯示，8月以太坊網絡共銷毀了72,117枚ETH，價值相當于1.265億美元。數據顯示，以太坊自2023年1月之后一直處于通縮狀態，自2021年8月上旬實施EIP-1559以來，以太坊總計銷毀了約358萬枚ETH，價值約合101.7億美元。8月以太坊鏈上NFT市場交易額繼續下跌，減少至約3.91億美元，跌幅約8%，其中新晉NFT市場Blur在月交易額等指標上已連續第7個月超越OpenSea。[2023/9/2 13:13:29]

所以一開始，大家還想沖一波會員，來慢慢watch2eran

不丹王國投資部門與Bitdeer合作計劃設立5億美元加密貨幣挖礦基金:金色財經報道，不丹王國的投資部門 Drug Holding & Investments 與 Bitdeer Technologies Group（比特小鹿）合作計劃設立 5 億美元加密貨幣挖礦基金，以發展綠色加密貨幣挖礦業務。目前，爽坊政委該基金尋求投資者，籌資活動將于 5 月底開始，目標是利用不丹豐富的水力發電建立無碳數字挖礦。Drug Holding & Investments 首席執行官 Ujjwal Deep Dahal 表示，挖礦是不丹利用加密貨幣機會風險最小的方式，目前該國將專注于比特幣。

此前報道，5 月 2 日，據福布斯援引消息人士報道，不丹王國多年來一直使用其可再生能源來運營比特幣挖礦業務。[2023/5/3 14:40:15]

然而，萬萬沒想到，這個得到官方進行簽名的過程，他竟然毫無防護！

HashKeyPRO將于Q2正式上線，提供法幣出入金支持:金色財經報道，虛擬資產集團HashKey Group宣布，旗下全新的合規交易平臺HashKey PRO在第二季度正式上線。HashKey PRO旨在為投資者提供一個堅實平臺，讓投資者可以安全地交易虛擬資產。?

HashKey PRO致力于在合規、資金保障、平臺安全方面為虛擬資產交易所定義新標桿，已獲得香港證券及期貨事務監察委員會（證監會）的批準，持有第 1 類（證券交易）和第 7 類（提供自動化交易服務）牌照，運營虛擬資產交易平臺。?

HashKey PRO將客戶資產存放在獨立賬戶中，與平臺運營保持區隔，保證客戶資金不被用于其他目的，可以隨時提取。此外，客戶資金已全面投保，包括錢包系統（冷錢包和熱錢包），有效保障客戶資產。?

目前，HashKey PRO已獲得ISO 27001（信息安全）和ISO 27701（數據隱私）管理體系認證。在嚴格的管理認證下，HashKey PRO將持續提供高安全標準，確保可靠的交易體驗。[2023/4/14 14:04:02]

活動開始，當web3科學家們滿懷激動的心，顫抖的手來抓包想等到收到二維碼的時候，赫然發現，原來掃碼簽名無需同web2賬號進行鑒權，也無風控邏輯？？？

Web3應用程序開發平臺Bunzz完成450萬美元種子輪融資，gjmp等參投:1月25日消息，Web3去中心化應用程序開發平臺Bunzz宣布完成450萬美元種子輪融資，gjmp、DGDaiwa Ventures、Coincheck和Ceres參投。

據悉，Bunzz平臺利用模塊化節點封裝和開發環境已經吸引了超過8000名開發人員推出超過3000個上鏈dApp項目，該公司透露將利用新資金構建一個智能合約中心以提高Web3關鍵基礎設施服務。[2023/1/25 11:29:53]

只需要構建以下的請求，將自己的以太坊地址和目標中的系列號寫入

mac系統可以直接在命令行發出，window系統可以用postman等請求包構建工具，即可發出此請求。返回的信息里會有一個signature。

然后去官方合約地址

https://etherscan.io/address/0xfd43d1da000558473822302e1d44d81da2e4cc0d#writeContract

寫入，隨意編寫個data值，以及對應的系列號，即可進行mint。

而且幾小時后，就有同學制作一鍵式腳本，進一步降低操作難度。

由于此nft獲取的代價太低，基本平均在當前20wei的gas成本下，截止5.20-9點已經有5W次交易，大多數是mint的操作。當然出了bug后，基本后續此nft的價格不會太高，大家也就相當于參與體驗玩玩

但是對于Netflix而言，一個可能媲美stepn的創意就在最基礎的web2業務流程中被爆破了。

雖然某種意義上，這個bug的傳播效果似乎完全超出了活動本身的策劃。。

安全的角度解讀

1：屬于標準設計模式，結合eip1271的驗簽方式來確定白名單資格，1271是為合約進行簽名所設計的，其指定的isValidSignature可以設定任意驗簽邏輯，如支持單簽、多簽、門限簽名等。

如果不做這樣的簽名驗證，則在此活動中，如何管控mint白名單就是個高成本的問題了。

因為活動本身在于激勵用戶持續觀看，

如果積累一段時間的白名單merkle樹根到鏈上，則用戶受到激勵反饋會比較長

而如果每得到一個用戶，就上白名單一次，就會造成活動方的高成本

2：其次合約還會再將此錢包地址系列號，納入hasMinted中，防止重放，并且實現的方式是先修改權限再操作mint，也很到位。

web2

但是從web2的角度看，他獲取官方簽名的環節，其攻破成本幾乎為0。這點可以類比傳統web2上營銷發行優惠券，一直都是企業的大挑戰。

筆者本身從業web2業務安全風控5年，出于職業習慣，也補充下web2好用的安全防護對抗方案。

其核心是依賴于賬號安全體系健全，黑灰產黑名單數據庫的全面性，實時對抗策略的體系。

一個要健全的web2上營銷反作弊場景保護，其需要4大環節：

1：業務風險評估=產品邏輯數據埋點埋點處理動態埋點對抗

2：離線策略建模=策略研發驗證上線評估

3：現網持續對抗=策略灰度策略監控策略迭代動態攻防客訴反饋黑產情報

4：決策處置對抗=行為及時阻斷人機驗證身份核驗

其中高度依賴黑數據質量，這是成本對抗的基礎，核心有設備指紋庫，IP畫像庫，手機畫像庫，賬號畫像庫等等

最后是持續性的算法加強策略檢測，比如異常檢測，團伙發現，行為檢測等。

總之

web2的基礎不丟才有跑鞋的輝煌，web3是營銷利器但也不是獨立生態，長期看會與web2諸多基建共存。

Tags：WEBHASHKEYPROweb3游戲項目價值排名Hashmasksmonkeys幣合約地址Rebellion Protocol

萊特幣