對話Go+創始人Mike：探索Web3的安全新范式_WEB

近日，7UpDAO開發者公會邀請GoPlusSecurity的創始人&CEOMike，做了“探索Web3去中心化場景下的安全服務新范式”的主題分享，對Web3的用戶入口、下一代Web3應用形態的探索、Web3需要什么樣的安全服務和如何整合碎片化安全服務做了解讀。

本期活動由7UpDAOCo-founder26x14主持，以下為本次嘉賓分享的內容提煉：

一、到底是什么促使用戶從web2進入web3？

1.每次技術革新都有明確指向

第一代互聯網解決的是信息傳輸效率問題；第二代移動互聯網解決的是場景的擴展，什么叫場景的擴展呢？比如說在第一代互聯網只有PC的時候，你的主要場景可能就是家和公司，或者網吧，場景是比較單一的，你能在這里面處理的問題也是比較單一的，而且這些場景沒有區分，很多需求只能放在一個場景里面去實現。

但是到了移動端也就是有手機之后，手機拓展出了無限的場景，最核心的價值就是在整個用戶的用戶價值層面，拓展出來的場景使整個互聯網服務形式上產生了很大的變化。

其中又有更具象的內容，第一是場景變得細分，再有是有些場景從低頻變成高頻，通過這種方式使場景聚合成了市場。但在web2移動端里面場景的細分，以及場景聚合形成了有效的市場，這些有效市場又推動新的服務范式能夠成立，所以這個是移動互聯網主要解決的問題，通過隨身移動的方式去拓展場景，然后形成一個新的市場有效市場。

到了區塊鏈之后，我認為區塊鏈解決的目標也非常的明確，就是降低信任成本，以前很多的交易需要建立信任，比如我們原來需要基于大的品牌，足夠的規模，才可能建立信任的場景，現在其實可以基于技術層面，去相對低成本的去建立信任。

我們現在看到，比如說區塊鏈、web3相關的應用，它本身的開放性透明性，使我們對一個應用建立信任的成本變得越來越低了。其實最終導致的是在這些場景里面提高了交易的效率。

之前在web2移動端的時候，由于聚合變成了有效的市場，但這些市場里面的角色仍然是固定的，比如你交易的對象。場景也可能是一些封閉的場景。但在web3里面這個場景被打開了，在這里面會容納更多的角色，就像現在我們在應用里面不單純只是說用戶和項目方或者說跟團隊、運營商之間的關系，在這里面其實出現了很多的角色，用戶的角色在不斷的細分，包括提供服務的人的角色也在不斷的細分。

所以我認為從web2到web3，很大一個改變其實是供需雙方提供服務的方式，從一個買賣雙方點對點的結構變成了網狀結構。

在網狀結構里面供需雙方都變得更復雜，但是這種變化它是一個漸進的過程，不是涇渭分明地說一定在web2中就是點對點。web2里面的用戶細分也會有很多商業模式，只是它的效率不一定足夠高。但是到了web3里面，大家會看到網狀結構很有可能會變成一種相對主流的結構，可以容納不同的角色，角色甚至可以互換，角色跟角色的之間的關系也變得更復雜。

首爾檢察官認為Do Kwon仍然擁有瑞士銀行賬戶中的1億美元:金色財經報道，在最近針對 Terraform Labs 的十名員工（其中包括聯合創始人 Shin Hyun-seong，許多人稱為 Daniel Shin）提起法律訴訟之后，首爾的檢察官似乎確信 Terraform Labs 和聯合創始人 Do Kwon仍然持有大量資金，特別是在瑞士銀行賬戶中的 1300 億韓元（1 億美元）。

韓國檢察官聲稱 Do Kwon 和 Terraform Labs 的一個瑞士銀行賬戶中仍有 1 億美元，美國證券交易委員會的訴訟支持該說法。

此前報道，Do Kwon和Terraform?Labs在瑞士Sygnum銀行的賬戶上仍存有數十億韓元。[2023/4/28 14:31:51]

web3中交易層面也發生結構化改變，大家合作或獲取收益的方式變得非常的不一樣，在我看來是web3它本身改變了很多東西，但是最終的價值是在于通過降低信任成本，提高交易效率，使整個交易結構發生了非常大的變化。

2.目前用戶進入web3的路徑和動機是什么？

2.1DeFi符合用戶使用路徑

首先來看上一個周期內進入到web3的用戶，他們的路徑和動機是什么樣的？這里面不可否認，大量的用戶是交易用戶，是有強烈金融屬性的用戶，而且目前仍然是市場上的主流。他們進入到web3的方式，第一是出于投資目的而持有數字資產，然后進入中心化交易所去交易，當中心化交易出現問題或者為了獲得更多的投資機會時，進入到整個web3，然后web3里面對于他們來說比較主要的應用是DeFi，由DeFi的投資需求再去看其他各種Fi，這里面其實用戶的主線和主要動機仍然是投資獲得收益，這是上一波到目前為止web3用戶進來的一個主流路徑。所以我認為在下一波應用網再次爆發的時候，DeFi依然會是一個主要的應用，因為DeFi符合這些用戶的核心需求和主要路徑。

下一步是不是由DeFi去轉移到各種Fi中，我覺得這個路徑不一定是行得通的。這些用戶不一定會變成各種類型應用的主要用戶。對于一些應用來說，這些有明確交易屬性的用戶甚至對于項目方本身來說是有危害的。所以DeFi的業務邏輯其實清晰合理的，DeFi往上走的路徑和方向也非常明確。

至于其他Fi的路徑并沒有那么清晰的原因，對這些投資為主要目的的用戶來說，一個GameFi應用我考慮的核心就是能不能在里面賺到錢，Fi是大家都在意的，但對于Game本身是不是好玩，是不是真的能吸引到核心的游戲人群，在上一個周期內有一些應用就做出了好的嘗試，比如Axie、stepN。但是大多數GameFi還是通過投資的邏輯去吸引足夠多的用戶，然后通過拉人的方式讓用戶進來，或讓項目方獲得收益，最后銷售NFT或者數字資產。

Compound III計劃于本周上線Polygon:2月14日，Compound III團隊成員Jared F在項目Discord社群中表示，Compound III計劃于本周內上線Polygon，但可能存在小幅延期。[2023/2/14 12:06:40]

2.2最核心的問題是解決激勵

我跟keep團隊有一次討論，他們會認為下一輪不管是web2還是web3的方式，在從體育核心人群來看的話，想要進入到下一個階段，激勵其實是一個非常有效的方式，可以讓那些有運動傾向，或者說讓偶爾有運動習慣的人形成明確的運動習慣，并且能夠真正進入到keep里面來，讓keep的日活有可能從一個千萬的量級到一個幾千萬甚至過億的量級。他們認為在中國甚至在全球范圍內體育愛好者潛在用戶的量是足夠大的，但是目前沒有一種有效的方式可以激活這些潛在的用戶。所以當他們看到StepN的時候，他們會認為web2應用想進一步提升用戶量級，也可以采用激勵的方式去激活那些潛在用戶。對于web3來說，最核心解決的還是激勵的問題，但不是光給激勵就能解決激勵問題，里面更核心的一個問題還在于激勵的用戶能夠了解他自己進入web3的主要原因是什么。

在StepN之前，很大一部分項目的成功在于它早期的空投，或者說它的整個激勵對象是非常準確的。這些早期用戶希望得到激勵，而并不是說投機賺錢為核心目的。他們的希望就是每天可能做一些運動，同時得到有效激勵，激勵對于他們來說是很強的動力，但是并不是那種進來之后唯一的目標就是為了擼代幣然后去售賣獲得收益。這就導致早期鞋的銷售量在核心運動人群里面傳播很快，大家買完鞋得到獎勵之后，用于升級自己的鞋獲得更好的體驗，得到更多的收益。但并不是急于把這些獎勵第一時間提出來直接賣掉。

在整個激勵模型里面，因為激勵的目標比較準確，整個模型調整得也很好，就形成了一個正循環，激勵的對象對這個東西的價值是認同的，得到獎勵后又沉淀在整個應用里面去，就變得正向，但到后來上了交易所，或者火起來之后，大量的原來以交易為轉化目標的投機用戶進入到應用，導致用戶的結構產生了很大的變化，整個用戶量的上限就變得非常明顯了。

所以在這里面會認為整個DeFi應用不管web3還是web2，產品的運營邏輯其實是相通的，你的核心用戶在初期占比越大，他們對你的貢獻越多，你在后期產品的上限才能越高，才可以獲得更多的用戶。所以我理解在整個web3里面，我的激勵是用戶進入到web3應用的一個很主要的原因。它面臨的難點在于你激勵的對象和激勵的方式，能不能讓你的整個用戶結構能夠控制住或變得很好，以至于能容納更大量的用戶進來。所以這個路徑相對來說是符合邏輯的。

3.新增用戶從何而來？

Blur空投將于明日凌晨1:00開箱:2月14日，NFT市場Blur表示，Care Packages將于美國東部時間2月14日12:00（北京時間2月15日1:00）開箱，即BLUR Token空投。Blur提醒用戶關注Blur官方公告并檢查URL鏈接。[2023/2/14 12:05:19]

3.1基礎設施

StepN在做整個應用的過程花了大量的研發精力，去做一些跟它主要的應用不相關的業務，比如反作弊，比如安全，比如自己要做marketplace，要去做很多為了讓用戶形成好的體驗的事情，它必須得形成一個有效的閉環。

在一個APP里面能把所有的這些內容都裝進去，對于一個項目方來說，它的開發成本是非常高的，我指的就是基礎服務的完善在于這些日后都有共性的需求，比如ERC-4337，比如AA錢包，更類似于一種模塊化的方式能夠嵌到每個APP里面去。同時比如安全，變成一個更類似于API或者協議的方式，可能還會有反作弊，硬件的信息識別，收集識別，用戶價值識別的這些服務能夠變成一種標準化的服務，能夠讓每個web3的應用都接入的時候，真正做應用的人才真正能解放出來。

如果做應用之前，你要做錢包，你要做反作弊，你要做安全，你要解決很多問題才能過渡到應用這一層，對于應用開發者來說要求太高了，這就導致他們做應用的效率不會太高。

對于用戶來說，降低用戶的使用門檻我認為是有必要的。它首先應該讓用戶更無門檻地從web2進到web3里面來，所以大家現在為什么能看到4337里面，比如有代付gasfee，你不需要一定持有以太坊。再有比如說可以采用很多的方式去保管私鑰，比如MPC或者社交恢復的方式，這些都在基礎設施層非常有效地降低了用戶進入的門檻，讓用戶能夠更容易的以自己習慣的方式進入到web3。

3.2用戶價值識別

進入到web3之后，對于項目方來說，很核心的方式就是如何去識別這些用戶的價值，比如說你是不是能把擼羊毛、女巫攻擊的這些用戶識別出來？你是否識別的方式足夠精準？你在這里面整個的識別方式，包括識別的方式是否是一個可動態調節的狀態？再有比如用戶中可能有安全的需求，能不能滿足他們？

這些其實就是怎么能讓用戶首先方便地進來，其次就是留下，留下之后還能得到很明確的價值確認和正確的激勵。

3.3激勵模型

現有的激勵模型面臨這四個問題

第一是準確識別激勵的目標

第二個是需要動態調整方式

第三個是及時評估激勵結果

第四是去中心化的治理。

以太坊L2網絡總鎖倉量為47.1億美元:金色財經報道，L2BEAT數據顯示，以太坊Layer2上總鎖倉量為47.1億美元。近7日跌0.47%，其中鎖倉量最高的為擴容方案Arbitrum，約23.9億美元，占比50.7%。其次是Optimism，鎖倉量14.4億美元，占比30.69%。dYdX占據第三，鎖倉量3.83億美元，占比8.12%。[2022/10/10 12:51:31]

大家都知道在做激勵模型的時候，其實成本很高，也是很麻煩的一個事，而且一旦上線，再調整就很麻煩，也包括可能很難有什么工具能夠幫你去評估一個應用激勵用戶的效果，以及評估我激勵最終的用戶的價值到底是什么。同時需要去調整，包括如何調整。我認為這里需要的是不斷評估自己激勵的效果，然后同時可以動態地快速調整激勵的方式。目前為止，大家都普遍采用一種中心化的方式去調節，比如DAO每次激勵的調整，都需要通過DAO去決策，DAO人員的構成其實又代表他的利益，那么他的利益選擇的偏重到底在哪？所以整個經濟模型的調整，第一是有工具能夠動態去測量，再有更好的機制能夠去中心化決策，能讓項目更符合最開始設定的目標去推進。

以上的方式如果都解決的話，才能為其他的應用奠定必要的基礎，但如果沒有這個基礎，我認為其他各種Fi爆發，或者從web2把用戶導入web3里面，就是不成立的。

二、下一代web3應用的形態

1.???APP

單應用、單APP的方式，我認為會是下一個周期里主流應用的方式，這種應用的方式也更貼近于web2。

在整個web3的交互層面或者使用層面，用戶使用習慣會更趨近于web2的方式，因為真正的區塊鏈技術改變并不是在用戶的交互層，而是服務的供給和需求方式，這層的改變可能是更大的。

同時在APP里實現用戶的閉環，用戶不再像現在一樣，依賴于錢包里的安全服務或者反作弊服務，而是依賴于以應用為主要的載體去要解決的這些問題，這些問題可能是變成協議的方式，在各個web3的應用里面都會接入，方便幫用戶解決問題。這樣的話其實整個web3應用的技術框架和服務框架才是可成立的。

我們現在看到有一些公司已經在從自己web2的用戶池里面引導用戶到web3里面來了，他們其實推廣的方式就是推自己的APP，然后用戶下載APP進來，不會讓用戶有很高成本意識到錢包，認識到虛擬資產，但當用戶使用的時候自然就沉淀了各種形式的數字資產。

2.?錢包將會怎樣？

整個PC端錢包相對比較穩定，我認為在PC端的使用邏輯是比較符合用戶的。移動錢包可能會受到比較大的挑戰，比如APPstore，甚至steam，都有可能會因為應用端爆發的改變而面臨挑戰，給更多的web3應用留下機會。

美股開盤漲跌不一:5月26日消息，美股開盤漲跌不一，道指漲0.45%，納指跌0.22%，標普500指數漲0.22%。[2022/5/26 3:43:59]

我認為移動端應用形式的改變，會導致用戶的使用習慣，以及相關服務都產生連鎖的改變，現在的一些方式會被推翻，web2里面有一些新的機會會成立，同時web2里很多應用也會受到挑戰，會為更多的web3創業者創造機會。

三、web3與web2安全相比，面臨的問題

相對于web2的安全來說，web3現在的安全其實還是非常的初級，可用性其實是非常差的。

1.安全服務是支撐用戶實現目標的系統

用戶不會為了安全而安全，一定是在過程中需要安全，它其實是一個支撐系統。

拿FTX來說，整個中心化交易所那段時間從交易所轉到鏈上的用戶比例非常大，主要的交易所用戶量都在下降，資金也在流出。DEX的交易量達到了近半年新高，用戶增長達到近半年新高，因為安全的事件導致大量的用戶從中心化交易所進入到了去中心化里面來。

很多人會持一種樂觀心態，認為從長遠來說是對用戶和行業有好處的，因為有大量用戶進來。但從我的觀點分析，用戶短期內確實在增加，但從更長遠的時間線來看，比如說三個月甚至半年的時間，如果現在安全的問題不能被解決，真正能留下來用戶比例可能不足10%甚至5%。現在大家是為了逃避中心化服務安全的問題，進入到了一個他覺得安全的地方，但是這些用戶核心的需求是交易，一旦發生交易，在web3里面去使用他的資產時就會發現所面臨的安全問題一點沒有變少，要解決安全問題所付出的成本只多不少。

在web3里面，如果用戶建立不了自己的安全策略，有朝一日可能一夜歸零。針對這些風險，要付出大量的學習成本才能解決問題。最終這些用戶其實是不會留在web3里面的，直到之后中心化服務或者中心化交易所做出一些好的改善或者有一些安全策略的時候，用戶又會回到中心化交易所里面了。

安全本身是一個支撐系統，它不是用戶的主線，如果說支撐系統都妨礙主線任務達成的時候，用戶會義無反顧的掉頭而去。

同時還需要低成本的獲取，低成本指的是實際付出的錢。現在整個技術底層變化速度非常快，安全本身相對來說是滯后的，因為你一定是先有應用，有技術框架，然后才會有誠信的安全服務。在現在整個技術不斷變化迭代的過程當中，形成一個穩定成熟的安全框架的其實是很難的。所以就導致大家會直觀感覺，審計公司很貴，他們一定很掙錢。對于個人用戶想去獲取安全服務的時候，成本也非常高，并且不容易獲得，包括用戶的使用層面，這些都是實際的支出成本，給用戶造成了非常大的麻煩。

只有安全服務能力本身地不斷提升，才能讓用戶真正解決安全問題。比如現在我們做toc安全，在面對風險樣本的時候，怎么能提高檢出率，怎么能獲得準確度，其實需要在整個引擎層做不斷地深入，才能跟用戶去建立可信度。

2.??需要解決的問題

用戶從web2進入到web3，在安全層面要解決的問題，我覺得是有共識的。

第一是安全服務能力的持續優化，能不能通過自動化的方式，比如說情況驗證，包括自動化檢測，不同的自動化檢測的框架，其實都是在提高服務效率本身去做加強的。如果未來下一個階段出現千萬級用戶量的一個應用，整個安全服務是否已經做好準備是很重要的。

第二是成本足夠低，第三是足夠可信，所以在這里面其實安全服務本身的持續優化，自動化可能性，實現的成本，是不斷優化的一個明確方向。

安全資源永遠是不夠用的，web2的安全公司大家都在造輪子，比如各種安全服務的類別里面，每個公司是高度重合的，都在做同一個業務。安全資源的使用效率也是比較低的。想在web3里面做得更好，其實是需要在整個市場需求匹配這一層有更好的解決方式，一方面是供需的有效匹配，另一方面是安全服務本身的組織效率問題，也就是供給側能不能改變。像原來web2一樣，大家就會變得很卷，大家不停地重復造輪子，然后把一個可以做得很好的市場變成一個市場結構非常差的市場，在這里面可能有人活得還不錯，但是大量的人其實活得都不好，導致整個安全市場的供給低效。

四、Web3安全服務的形態

1.生態主導，而不是公司壟斷

原來壟斷公司這種方式效率瓶頸非常明顯，C端公司利用自己決策權壟斷流量和用戶價值；B端利用客戶資源橫向拓展，把自己的業務范圍越做越大，就變成了一個可能頭部公司壟斷的情況。

但是我們看web3不是壟斷公司主導而生態主導，因為這里面有一種更有效率的生態。在web3生態的發展效率是要比web2高的，甚至會超過壟斷公司。首先web3不是中心化進行安全決策，不會出現對合作伙伴和最終用戶服務質量不一致的情況，也不會有因為壟斷導致的不充分競爭造成技術迭代失去重要性。

2.建立底層合作框架

通過生態的方式建立底層的合作框架，這里面每個從業者能找到自己合適的位置，在一個框架里面能夠根據他的輸入就能夠得到有效的激勵，其實也是把web3本身最有價值最有效率點發揮出來。如果我們能準確地評估所有人在安全服務的結構里面貢獻值多少，并且進行準確的激勵，就能促使更多的人在一個大框架內或者在一個生態內去貢獻自己的擅長，而不是說有一個公司把所有客戶都吃死就能夠把所有不同的安全服務的錢都賺一點。

web3最終的服務形態，可能是由安全生態去主導的。如果在未來生態的效率超過壟斷公司，他們需要的就是底層明確的合作框架，評估大家貢獻值的激勵，如何明確與市場需求的對接。能為每個安全服務找到它目標的有效市場，能夠創造營收，我覺得這個是更主要的。

Q&A:

Question：：這樣的形態和一些4337合約錢包SDK的形態相比，會不會在安全地獲取數據場景上面有一個競爭關系？

Answer：我認為之后錢包的形態一定會有比較大的變化。對于現在的安全服務來說，我們安全檢測的對象其實沒有變，仍然還是合約或者授權信息或者鏈上的行為數據，實現的攻擊方式也不會受現在比如4337或者AA錢包或者賬戶抽象的影響。所以從目前看，提供安全服務的場景其實沒有受到影響，但可能有一個影響，就是錢包都分散了，日后每個應用里面都會自帶錢包，用戶不再通過一些主流的錢包平臺管理自己資產的時候，這對于我們來說就是挑戰。在下一步解決的問題是首先讓更多人持有數字資產，再有就是數字資產的總量和形式，類別更多元化。在這里用戶一定是有一個明確的需求，對于資產需要有統一的管理，并且尋找一些對用戶資產更有效升值的方式。之后錢包肯定是有市場和需求的，也是有可能沉淀大量用戶的，但是他們的形態包括整個產品設計的邏輯可能會產生比較大的變化，應該是一個產品定位上的調整。只要根據用戶的需求不斷去變化，然后進入到新的場景里面，我們現有的服務模式和商業模式其實是不受影響的。

Question：在安全去中心化模式下，在效率和解決問題的程度上怎么做到一個平衡，尤其針對一些defi項目的業務漏洞攻擊情況，安全去中心化場景下解決問題能解決到什么程度？或者說它真的是一個效率最高或者說解決問題最好的方法嗎？

Answer：安全一定是一個攻防的過程，不存在完全安全的情況。我覺得現在的整個安全的發展方向很明確，去中心化應用從技術層面能夠變得更安全，但是最終還是不太可能完全解決應用的安全問題，有兩個原因，一方面是攻擊者可以通過合約的實現進行攻擊或者很多其他方式把錢盜走，另一方面是開發者自身的經驗不足，或者安全的新的攻擊方式的發生，導致受損。我認為的方式是在去中心化的基礎上建立更好的安全機制，現在還沒有到web3的安全極限，比如安全規范，安全環節的處理，公司內部的安全培訓，安全的運營流程，我們現在甚至沒有意識去做這些事，所以本身安全的提升還有很大的空間。當這些都完成后，就能把攻擊事件控制在一個比較小的范圍，因為現在大量的攻擊仍然還是第一技術水平的攻擊方式。剩下還有些新的漏洞，還是要設置合理的緩沖帶和治理機制。中心化和去中心化，是一個長期共存的狀態，也還會有更優的處理機制出現。

Question：web3的產品同質化也很嚴重，這種web2的情況還是出現了，是否是因為目前web3的公司大部分也是web2的人來做的，把傳統的思維帶進來從而大家還是在幾個小的場景中去卷，還沒有實現突破？

Answer：對，是這樣的，現在很多web3公司的安全人員都是從web2過來的，主要來自安全公司，大廠和國內外院校。所以更多的還是拿web2做安全的思維做web3。但是我們并不應該認為因為web3是去中心化的，所以去中化就贏了，我們怎么認為和最后誰勝出其實并沒有邏輯關系。web3的生態效率會超過現有web2的提供安全服務的方式，最終效率會讓更多安全行業內的人進入到web3或者采用去中化這種方式進行合作。要找到有效的方式聚合，最終toc服務里面是會有一兩個生態在主導的，大家越往后走就越發現生態的效率越來越高。

Question：在熊市環境下，你們的用戶規模和服務的用戶量是不是也會面臨著大規模下降的情況？甚至它的下降程度比DEX或者DeFi項目方更加嚴峻？

Answer：從實際數據來看我們的用戶肯定受市場影響，但下降的比例遠低于DeFi或者GameFi的應用。從用戶行為數據上來看，對安全敏感的用戶基本都是Web3里面的核心用戶，所以對于web3資產的管理意識已經超過了90%的用戶，遠遠低于其他應用。

責任編輯：Kate

Tags：WEBWEB3EFIDEFweb3游戲開發ALFweb3ProjectDEFI價格Scarcity DeFi

Polygon