投研早报丨CertiK「对垒」Kraken：白帽黑客的尺度到底怎样才合适？/ 如何实现 Web3 生态系统向以账户为中心转变？/ 速览加密市场 7 大新兴趋势：重新包装、积分游戏化......
ChainFeeds Newsletter 每日精选 Web3 深度投研「简报」+ AI 驱动的热点新闻榜单，帮你做出聪明决策
📢 ChainBuzz 热点新闻 ｜2024.6.21
🔥 Fantom 基金会成立 Sonic Labs 创新者基金，将投入最高 2 亿枚 FTM
🔥 Taiko 计划于 7 月 1 日将 Taiko BCR 主网协议升级至 1.7.0 版本
🔥 ENS 公布 ENSv2 项目计划，将在 L2 上分 5 个阶段进行
🔥 Particle Network 完成 1500 万美元 A 轮融资，Spartan Group 和 Gumi Cryptos Capital 共同领投
🔥 LayerZero 基金会推出「捐赠证明」空投认领机制，每认领 1 枚 ZRO 需捐赠 0.1 美元
🔥 AI 超级智能联盟：ASI 代币合并计划将于 7 月 1 日起实施
👨💻 ChainFeeds 投研简报 ｜2024.6.20
1️⃣ 研究｜如何实现 Web3 生态系统向以账户为中心转变？
2️⃣ 项目进展｜解读 Solana 二层网络 Sonic：有何特点？
3️⃣ 研究｜2 个月「攫取」3000 万美元，Solana 最大的三明治攻击者日赚 57 万美元引众怒
4️⃣ 研究｜Movement Labs 简介：有哪些优势及机会？
5️⃣ 研究｜stETH 思考：主导地位下有哪些深层优势？
6️⃣ 隐私｜ vFHE（可验证全同态加密）探索之旅：有哪些心得？
7️⃣ 研究｜什么是零信任协议（ZTP）？为什么说它很重要？
8️⃣ 安全｜CertiK「对垒」Kraken：白帽黑客的尺度，到底怎样才合适？
9️⃣ 市场｜速览加密市场 7 大新兴趋势：重新包装、积分游戏化......
每日精选的加密信息由 ChainFeeds 团队与 AI 共同编写，我们已将内部的信息流工具优化并开放给所有读者及 Web3 行业者使用，测试链接 👇
🌞 Web3 行研早报来自：Web3 行业必读深度资讯「简报」平台｜chainfeeds.xyz
🤖️ Web3 热点榜单来自：AI 驱动的 Web3 热点新闻自动聚合工具｜chainbuzz.xyz
1️⃣ 如何实现 Web3 生态系统向以账户为中心转变？
导读：OneBalance 是一个用于创建和管理跨链账户的框架，通过构建一个以账户为中心的生态系统实现链抽象。
0xNatalie: OneBalance 是一个框架，用于创建和管理所谓的「可信账户」来整合用户在多链环境中的操作和资产。这些账户在可信承诺机上运行，通过资源锁定管理状态并可靠地请求状态转换，从而提供一个更安全、更高效的跨链交互方式。OneBalance 的目标是改变目区块链上的任何操作，都要依赖用户用私钥签名来发起的现状。
OneBalance 本身其实是不能保证完全的执行原子性，但它可以通过锁定机制来激励原子性。用户可以为锁定机制允许设置触发条件：一是必须满足的特定条件才会触发锁定；二是在完成特定交易之后才能解锁，也就是锁定的履行取决于一系列外部事件的发生。如果链间的部分操作未能如预期执行，执行这些操作的代理将无法从中获得经济利益，这样可以经济上保障操作的原子性。
相比现有的两种主要账户类型（EOA 及 SCA），OneBalance 通过资源锁定和可信承诺机提高了交易的安全性和不可抵消性，同时保持了交易的速度和成本效率。通过在可信计算环境中内部实现资源锁，无需消耗大量 Gas 或等待链上最终性，实现了成本和效率的平衡，同时 OneBalance 支持使用现代的身份验证方法，如会话密钥和多因素认证（MFA），提供与智能合约账户类似的用户体验改进。此外，OneBalance 可以兼容 EIP-4337 实现的账户系统，可以在需要时利用 EIP-4337 实现的智能合约逻辑来增强其跨链账户管理功能。但 OneBalance 不局限于使用账户抽象和 4337 的链，它是一个通用框架，应用范围更广。OneBalance 可以视为在 EIP-4337 的基础上，扩展了其理念并增加了跨链功能。（ 来源 ）
2️⃣ 【长推】 解读 Solana 二层网络 Sonic：有何特点？
导读：Solana 原子化 SVM Layer2 Sonic 宣布完成 1200 万美元 A 轮融资，Bitkraft 领投。加密研究员陈剑 Jason 撰文对 Sonic 的愿景及特性进行了分析解读。
陈剑Jason: Sonic 拿到了由 Solana 支持的 1200 万美金融资，其中对于原子化的定义即 L2 与 Solana 主网之间可以快速同步，开发者无需重复部署合约就可以即时得到主网的状态和数据，比如游戏项目方可以将资产发行到 Solana 主网，但只把游戏逻辑运行在 Sonic L2 中，从而同时享受主网的安全和 L2 的性能。Sonic 的母公司是 Mirror World，在 Solana 生态做 Web3 游戏开发引擎平台，已经做了 3 年时间了，所以 Sonic 本身是一条基于 Solana 发行的游戏链 L2，然后将其自身的能力用堆栈的方式封装打包给第三方去实现 Solana 的一键发链，所以 Sonic 算是卡住了 Solana 生态的「OP Stack」位置，这一轮比较火的 Lumiterra 等几款游戏也已经选择基于 Sonic 之上构建，所以属于是自带干粮冷启动的那种，而不是现在很多 Infra 先筑巢再等着引凤。
SVM 是 Solana 网络处理交易和执行智能合约的环境，对标以太坊的 EVM 最大的不同在于两点，SVM 是多线程的，以及可以为每个智能合约分配单独的 Gas 费（以太坊则是不论你做什么事情都跟随全网的 Gas 费走），所以这两点产生的高性能和低费用已经足够满足项目方需求，但对于头部项目则完全不够，对于拥有大量用户和流量的项目完全可以自理门口构建一条自己的链去吃 Gas，如果直接 fork 代码则和 Solana 完全没关系，这也是 Solana 所担心的，而项目也不想完全脱离自己成长的体系，所以做一条 Layer2 是双方都可以接受各取所需的方案。其次头部项目也需要更高的可定制性、更高的 TPS，当然也有发链抬估值的需求，目前 Solana 生态的 getCode、Grass、Zeta、Sphere 这些项目都正在或者已经通过各种方式来构建 Solana 的侧链或 L2，所以站到这几个需求和现状 Solana 也不得不拥抱 Layer2，所以 Sonic 也将扩展 Solana 作为自己的使命，但值得注意的是 Sonic 同样也支持 EVM。（ 来源 ）
3️⃣ 2 个月「攫取」3000 万美元，Solana 最大的三明治攻击者日赚 57 万美元引众怒
导读：一个地址开头为 arsc 的三明治攻击机器人在 2 个月的时间内狂赚超过 3000 万美元。PANews 对这一 MEV 机器人的行为和操作进行深入分析，以透析这个 MEV 机器人是如何实现数千万的财富收入的。
PANews: PANews 统计了 arsc 最后的 100 笔交易发现，arsc 平均每次投入的资金约为 6990 美元，单次的平均收益约为 38 美元，单笔平均回报率约为 3.44%。小到一笔 43 美元的订单，大到 16 万美元的订单都能成为其攻击的对象。而往往价值越高的订单，单笔收入也就越高。一笔针对 16 万美元的订单，单笔带来的盈利就达到了 1200 美元。可谓是无差别攻击。随着 arsc 的本金越来越多，其盈利的速度也在稳步提升。4 月 22 日，这一天半小时内的 492 次攻击当中，盈利金额达到了 63 SOL，单日盈利金额水平提升至 3000 SOL 左右，较前一日 2 倍左右。
从根源上来看，Solana 上的 MEV 算是一个新生意。在 MEV 奖励协议 Jito 发行之前，Solana 上的 MEV 数据几乎可以忽略不计。在 Jito 推出 MEV 奖励的方案后，目前已有超过 66% 的验证者运行了 Jito-Solana 客户端。这一客户端的特点在于允许用户向验证者支付额外的消费（Tip）来让验证者优先运行捆绑的交易包。此外，Jito 还运行了一个 mempool，这个内存池可以被用于三明治攻击者监听用户发起的交易内容。3 月份 Jito 宣布暂时关闭 mempool 以减少三明治攻击，但 MEV 机器人仍可以通过运行一个 RPC 节点来监听交易。从本质来看，MEV 并非是一无是处的设计。通过优先费用等方式可以避免大量的垃圾邮件攻击，对维护区块链网络健康有着一定的作用。只是 Solana 上目前仍可以监听用户交易和由小费支付者可以打包交易的模式仍让「三明治攻击」有漏洞可钻。
进行三明治攻击真是无风险套利吗？答案是否定的，已有案例表明，这样的攫取行为或有法律风险。今年 5 月，美国司法部宣布 Anton Pepaire-Bueno 和 James Pepaire-Bueno 两兄弟因涉嫌通过以太坊上复杂的套利机器人漏洞窃取 2500 万美元的加密货币而被捕。或许也是考虑到司法风险的问题，目前 arsc 这一地址似乎已经暂停了三明治攻击，并试图通过利用上千笔小额交易来刷新 Solana 浏览器记录的方式隐藏此前攻击的罪证。但该地址的相关资产仍放在链上，还没有向任何中心化交易所进行转移。（ 来源 ）
4️⃣ 【英文长推】Movement Labs 简介：有哪些优势及机会？
导读：研究员 @ModestusOkoye 撰文书写了 Movement Labs 的价值和前景，认为通过解决区块链的可扩展性和互操作性问题，Movement Labs 有望在未来成为区块链行业的重要力量。
DeFi Scholar: Movement Labs 价值 1）创新性编程语言：Movement Labs 采用的 MOVE 编程语言，源自 Facebook 开发的 Diem 区块链，专注于安全性和高性能应用，区别于以太坊的 Solidity 语言。这使其在构建安全且高效的区块链应用方面具备独特优势。 2）统一生态系统：Movement Labs 旨在创建一个框架，将 Move 编程语言扩展到各种区块链，统一所有基于 Move 的区块链，并使其与 EVM 兼容链互操作。这种统一性能够提升不同区块链之间的互操作性，促进更广泛的生态系统融合。 3）高可扩展性：通过采用模块化基础设施和先进的并行化技术（如 Block-STM），Movement Labs 实现了理论上超过 100K 的 TPS，解决了区块链的可扩展性问题，能够支持高频交易和复杂应用。 4）去中心化和安全性：Movement Labs 是首个将去中心化排序器和验证者集成的区块链项目，这不仅增强了交易验证者的经济激励，还提高了网络的安全性和抗攻击能力，确保交易的快速和低成本。
Movement Labs 前景 1）广泛的投资支持：Movement Labs 已经从 25 家投资者（包括 Polychain Capital、Binance、OKX 等）筹集了 4800 万美元的资金，显示了强大的市场信心和经济支持，为项目的长期发展提供了坚实基础。 2）快速增长的生态系统：项目目前拥有超过 100 个 dApps 的生态系统，展示了其在开发者和用户中的受欢迎程度和潜力，预示着未来可能会有更多的应用和用户加入。 3）高 TPS 表现：在开发网络中实现了 160k 的最高区块链 TPS，显示了其技术能力和性能，未来在实际应用中也有望保持高效和稳定的表现。 4）未来发展机遇：Movement Testnet 和 Battle of Olympus 等活动，为开发者和用户提供了参与和贡献的机会，进一步推动生态系统的活跃度和多样性。【原文为英文】（ 来源 ）
5️⃣ 【英文】stETH 思考：主导地位下有哪些深层优势？
导读：随着 ETH ETF 的出现，stETH 的主导地位可能会继续存在。BlockWorkd 研究员 magicdhz 撰文对 stETH 的效用、其对去中心化的重要性及风险进行了分析解读。
magic: ETH ETF 可能是 TradFi 投资者目前获取 ETH 风险敞口最方便的选择，但这些产品无法捕捉以太坊的发行或加密经济活动。随着越来越多的 TradFi 场所开始使用代币，持有 Lido 的流动性质押代币 stETH 可以说是接触 ETH 和以太坊质押奖励的最佳产品，因为它在现有市场结构中具有关键作用： stETH 是去中心化交易所（DEX）中流动性最强、交易量最大的 ETH 质押资产；stETH 是 DeFi 中最广泛采用的质押形式；stETH 是 CEX 中最具流动性的原生 L1 资产。
从哲学上讲，我们认为 LST 是保持足够去中心化、安全和高性能验证程序集的最佳方式。虽然将 Lido 视为一个实体会导致更高的 HHI（即网络的去中心化程度较低），但我们认为对 Lido 的这种描述并不能准确反映 Lido 在市场中的存在，因为该协议并非由一个组织或实体管理或控制，而且验证器集是由各种不同的独立实体组成的。虽然大型 LSP 存在风险，但实施适当的管理机制和协议监督（如双重管理）应可降低风险的严重性。此外，DVT 的加入有望进一步分散操作者集。因此，只要 Lido 保持足够的去中心化，stETH 和 DAO 就是保持以太坊一致性的重要组成部分，更广泛地说，是因为 DAO 管理 stETH 的授权，并进而对网络的性能、安全性和去中心化产生有意义的影响。
风险：1）波动性和流动性： 当 ETH 波动激增时，投资者更愿意在公开市场上卖出 stETH，而不是排队等待提现； 2）循环风险： 一种流行的赚取奖励的方法是，用户采取杠杆仓位，借出 stETH、借入 ETH、买入 stETH、借出额外的 stETH，重复循环，直到他们的杠杆达到最大容量； 3）协议与治理： LSP 占有大量市场份额会带来风险。stETH 委托协议由 DAO 管理。虽然 DAO 正在采取措施实现双重治理，这将降低这些风险，但如果 stETH 占据了大部分 ETH 股权，那么就有理由担心 ETH 股权集中到 LDO 治理； 4）智能合约：Lido 协议由一组智能合约执行。这包括存款、取款、委托权益、Slah 和密钥管理。这些系统中存在与智能合约相关的不可预见的错误或恶意升级。 5）监管： 虽然现货 ETH ETF 的批准可能会让质押提供商平均而言更加安全，但质押 ETH 仍会受到监管审查。（ 来源 ）
6️⃣ 【英文】 vFHE（可验证全同态加密）探索之旅：有哪些心得？
导读：加密研究员 Moyed 撰文概述了自己关于 vFHE（可验证的全同态加密）的研究反思，包括 vFHE 概念、优势及挑战等内容。
Moyed: vFHE 结合了 FHE 和 ZKP 技术。在机器学习模型的训练、分发和推理过程中，有几种技术可以保护数据，统称为隐私保护机器学习（PPML）。每种 PPML 都有自己的优缺点，最合适的 PPML 取决于场景设置。总之，FHE 是保护数据隐私的最佳选择，而 ZKP 则是验证特定计算正确性的最佳选择。vFHE 通过 ZKP 验证计算的正确性，从而增强了传统的 FHE。
vFHE 的最大挑战在于其效率和实用性，因为它结合了 FHE 和 ZKP 这两种本已复杂且耗时的技术。因此，近期关于 vFHE 的研究重点是通过 FHE 和 ZKP 方法的各种组合以及优化技巧来提高其实用性。【原文为英文】（ 来源 ）
7️⃣ 【英文】什么是零信任协议（ZTP）？为什么说它很重要？
导读：零信任架构是一种安全模式，要求对每项操作进行持续验证，消除固有信任。由 dWallets 支持的零信任协议（ZTP）通过要求用户和 dWallet 网络进行持续验证，并利用加密方法来维持零信任环境，从而在所有 Web3 中实现安全的本地交互。
dWallet Network: ZTP 是指在零信任架构下运行的 Web3 协议。它们要求对每项操作进行持续验证。Uniswap 是以太坊上流行的去中心化交易所，也是 ZTP 的一个例子。当用户想要交换两个以太坊原生资产（如 UNI 和 ETH）时，Uniswap 作为零信任协议运行。该协议继承了以太坊的零信任架构，确保每笔交易都可以被所有用户验证。但当用户想要交换 ETH 和 wBTC 时，情况发生了变化。在这种情况下，Uniswap 失去了其零信任的特性，因为 wBTC 的安全性依赖于 BitGo 架构，这要求用户信任 BitGo，而不是独立验证交易。
为了创建不局限于所部署网络的 ZTP，dWallet Network 的 2PC-MPC 加密协议使 ZTP 能够在各种区块链生态系统中运行，而不会损害其零信任原则。通过加密技术要求用户参与，dWallet 可确保每项操作都是可验证的，都是可信的。2PC-MPC 是一种加密方案，允许双方共同生成对任何网络的签名，并涉及数百到数千个去中心化节点，使其成为一个无共谋的大规模去中心化系统。用户的参与可确保零信任，而 dWallet 网络的参与则可通过协议执行逻辑，从而为 ZTP 创建基础设施。
2PC-MPC 零信任架构工作原理：1）用户和网络参与： 要验证任何交易或操作，用户和 dWallet 网络都必须参与。用户的参与对于生成必要的加密签名至关重要；2）分散验证： dWallet 网络由大量节点组成，它们共同验证用户的输入和交易细节。这种去中心化的验证过程可确保任何单一实体都无法控制或操纵交易；3）跨链互动： ZTP 允许在不同的区块链网络之间进行安全交互。例如，用户可以与以太坊和比特币上的资产进行交互，而不会影响零信任模式。dWallet 网络可确保所有操作都在这些网络中得到验证和认证。【原文为英文】（ 来源 ）
8️⃣ CertiK「对垒」Kraken：白帽黑客的尺度，到底怎样才合适？
导读：美国当地时间 6 月 19 日，加密货币交易所 Kraken 和区块链安全公司 CertiK 在社交媒体上就一系列严重的安全漏洞问题发生了公开对峙。事件源于 Kraken 上一个被 CertiK 发现的漏洞，CertiK 称其为对 Kraken 交易所的一次安全测试，而 Kraken 认为 CertiK 在中间利用漏洞获利。
Odaily: 以下是 Kraken 首席安全官在 X 平台上发布的事件过程：2024 年 6 月 9 日，我们收到了一位安全研究员通过漏洞赏金计划发来的警报。起初没有具体信息，但他们声称发现了一个 “极其严重” 的漏洞，可以让他们在我们的平台上人为地增加余额。我们对此事非常重视，并迅速组建了一个跨职能团队来调查这一问题。几分钟内，我们发现了一个孤立的漏洞。在特定情况下，这个漏洞允许恶意攻击者在未完全完成存款的情况下，发起存款操作并在其账户中收到资金。需要明确的是，客户的资产从未面临风险。然而，恶意攻击者可以在一段时间内有效地在他们的 Kraken 账户中生成资产。我们将这一漏洞评估为「关键（Critical）」，并在一小时内（确切地说是 47 分钟）由我们的专家团队缓解了这个问题。几小时内，该问题被完全修复，并且将不会再次发生。在修补风险后，我们进行了彻底调查，迅速发现有三个账户在几天内利用了这一漏洞。深入调查后，我们注意到其中一个账户通过身份认证（KYC）关联到一位自称为安全研究员的个人。该个人在我们的资金系统中发现了这个漏洞，并利用它将其账户余额增加了 4 美元。这足以证明漏洞的存在，向我们的团队提交漏洞赏金报告，并根据我们的计划条款获得相当可观的奖励。然而，这位安全研究员将这个漏洞透露给了与他合作的另外两个人，他们利用这个漏洞欺诈性地生成了更大金额的资金。他们最终从他们的 Kraken 账户中提取了近 300 万美元。这些资金来自 Kraken 的金库，而非其他客户的资产。
以下是 CertiK 官方 X 平台发布的回应：CertiK 最近在 Kraken 交易所中发现了一系列严重漏洞，这些漏洞可能导致数亿美元的损失。根据我们的测试结果表明 Kraken 的深度防御系统在多个方面被破坏。数百万美元可以被存入任何 Kraken 账户。超过 100 万美元的伪造加密货币可以从账户中提取并转换为有效加密货币。更糟糕的是，在多天的测试期间，没有触发任何警报。Kraken 在我们正式报告事件后才响应并锁定了测试账户。发现后，我们通知了 Kraken。在最初成功识别和修复漏洞后，Kraken 的安全运营团队威胁个别 CertiK 员工在不合理的时间内偿还不匹配数量的加密货币，甚至没有提供偿还地址。本着透明的精神以及我们对 Web3 社区的承诺，我们公开这些信息以保护所有用户的安全。我们敦促 Kraken 停止对白帽黑客的任何威胁。（ 来源 ）
alexzuo: DeFi 项目方被安全公司勒索更不在少数，安全公司觉得只有先转走了钱，「BD」才好来谈酬劳，只是这次惹美国合规最强的机构，还用一样方法，实属想钱想疯了。但话说回来，认识的很多大交易所在处理安全问题上极其小气，而且官僚主义下会层层掩盖不了了之，安全公司大多时候也是白干活（我司在去年 11 月帮最近某风口浪尖交易所提出了其 AA 钱包部署的严重漏洞，对方开了个会偷偷修改完代码，连口头感谢都没有，好像什么都没发生）。做好事坏事确实是一线之隔。（ 来源 ）
Colin Wu: 这次 Certik 对 Kraken 的漏洞利用究竟是白帽还是黑帽还有很多谜团，除了山哥这几点质疑无法理解以外，更重要的是英文社区在质疑为什么要用龙卷风混币等完全没必要的操作，让人怀疑是不是有 C 员工发现 K 的漏洞后自己在盗币。不过更可能还是管理混乱。白帽黑帽常常真的一线之隔。（ 来源 ）
9️⃣ 【英文】速览加密市场 7 大新兴趋势：重新包装、积分游戏化......
导读：虽然市场价格在下跌，但新叙述和新趋势仍在不断涌现，并随着其影响力的增强影响市场。加密研究员 Ignas 撰文概述了 7 个可能会对市场产生影响的新兴趋势。
Ignas | DeFi Research: 1）重新包装：改变品牌名称并创建新代币，例如 Fantom 通过 Sonic 升级成为全新 L1。类似的，还有 Connext 更名为 Everclear。
2）支持加密监管：特朗普口头上支持加密货币，迫使民主党改变其反加密策略。拜登接受了加密货币捐款。现在 SEC 撤销了对 Consensys 的诉讼，实际上承认 ETH 是一种商品。
3）BTC 套利交易：现货比特币 ETF 连续 19 天资金流入，流通中的 BTC 中有 5.2% 由 ETF 持有。而 BTC 价格没有上涨的原因是对冲基金正在通过 CME 期货做空比特币。
4）积分：我注意到了一种积分游戏化的趋势，增加了额外元素。例如 Sanctum 引入了 Wonderland，可以在其中收集宠物并获得经验值（EXP）以升级它们。
5）低流通量及高 FDV 发行的反趋势：币安最近上市的 31 个代币中有 26 个处于红色。这将是朝正确方向迈出的一步。VC 现在被加密社区视为抽取价值。
6）麦肯锡进入 DeFi：DeFi 协议正在适应，允许 DeFi 的麦肯锡管理用户资产或 / 和外部风险管理。
7）类似 Web2 的 DeFi 入门： Friend.tech 已经成功普及了 Privy ，从而可以使用 Web2 帐户创建和管理钱包。此外，由 Synthetix 开发的 Infinex 允许使用密钥创建钱包，用户只需为钱包使用密码管理器即可。Coinbase 推出了智能钱包，可以代表用户支付 Gas 费，支持批量交易，并允许使用 Web2 工具创建钱包。【原文为英文】（ 来源 ）
