DeFi security Summit 2023 - Session 9: Focused Talks 1 - Andrew Beal
三句話摘要
Web3 威脅情報的定義、分類、收集方式與實際應用。 Web3 威脅情報從集中式執法工具演進為去中心化、多層次、面向所有參與者的安全基礎設施，通過 Forta 等開放平台實現了威脅檢測和情報共享的民主化。 威脅情報的三層分類體系：操作性情報關注單次攻擊的具體要素（攻擊者地址、惡意 URL、時間戳），戰術性情報抽象出重複的攻擊模式（如代幣空投騙局、流動性注入造假），戰略性情報則為管理層提供趨勢決策依據，這種分層設計讓不同角色能各取所需。
重點整理
重點- 1
威脅情報的三層分類體系：操作性情報關注單次攻擊的具體要素（攻擊者地址、惡意 URL、時間戳），戰術性情報抽象出重複的攻擊模式（如代幣空投騙局、流動性注入造假），戰略性情報則為管理層提供趨勢決策依據，這種分層設計讓不同角色能各取所需。
- 2
鏈和生態差異決定攻擊目標：以太坊的高價值 NFT 流通促使攻擊者以竊取現有資產為主，而 BNB 鏈因交易費用低廉，使詐騙代幣的設置成本更低，攻擊者更傾向誘導用戶購買詐騙代幣，這反映了攻擊成本和收益在不同鏈上的權衡。
- 3
Forta 網絡的去中心化檢測架構：不同於傳統集中式安全監控，Forta 允許 1100+ 獨立開發者部署檢測機器人，每個機器人監控特定威脅模式，形成透明的、社區驅動的安全生態，降低單點故障風險。
- 4
多層次檢測技術的組合應用：從簡單的基於規則的啟發式方法，到機器學習的模式識別，再到關聯推斷和相似性分析，這些技術互補使用能捕獲已知攻擊和新變種，實現從反應式到預測式的升級。
實用技巧與重點
乾貨- 威脅情報類型：操作性、戰術性、戰略性
- 具體操作性情報示例（網路釣魚攻擊）：詐騙者 EOA 地址、鏈 ID、惡意 URL、攻擊技術（冰釣/代幣授權挖礦）、時間戳
- 戰術性威脅情報示例：垃圾代幣空投、Sleep Dropping 騙局、向流動性池注入數百萬美元造假、利用已驗證代理合約偽造合法性
- 鏈特性差異：以太坊重點竊取 NFT 等現有資產，BNB 鏈重點誘導購買詐騙代幣（因交易費用低）
- Forta 網絡規模：1100+ 個機器人/檢測代理
- 檢測技術：
- 啟發式方法（基於規則）
- 機器學習檢測（模式識別）
- 關聯性推斷（基於已知攻擊者關聯新實體）
- 相似性分析（識別代碼相似的詐騙合約）
- 使用者群體：執法機構、中央交易所、錢包、DApp、協議團隊、最終用戶
- 實際應用：錢包交易簽署警告彈窗、社交媒體釣魚情報提示
結論
結論“Web3 威脅情報從集中式執法工具演進為去中心化、多層次、面向所有參與者的安全基礎設施，通過 Forta 等開放平台實現了威脅檢測和情報共享的民主化。”
完整解析
詳細Andy Bill 分享了 Web3 威脅情報領域的最新進展。他開場強調這是威脅情報發展的激動時期，因為數十家公司正在進行檢測工作生成威脅情報，而佛羅里達大學採取了獨特的開放策略，將威脅情報公開供社區使用。
威脅情報的本質是收集和分析數據，但其終極目的有二：一是阻止攻擊發生，二是深入理解攻擊者的身份、技術、戰術和行為模式。為此，講者將威脅情報分為三個層級。操作性威脅情報關注最具體的攻擊細節，如網路釣魚攻擊中的詐騙者地址、惡意 URL、攻擊時間戳和具體技術手段；戰術性威脅情報（TTP）則抽象出攻擊者重複使用的方法論，例如通過空投垃圾代幣、向 AMM 流動性池注入巨資製造合法假象、或冒用已驗證合約代碼等策略；戰略性威脅情報最為高層，提供整體威脅趨勢，幫助公司董事會做出產品和投資決策。
在鏈上數據分析層面，講者觀察到一個關鍵現象：不同公鏈的攻擊模式存在顯著差異。以太坊上因 NFT 等高價值資產大量流通，攻擊者的首要目標是直接竊取用戶已持有的資產。而在 BNB 鏈上，由於交易費用更低、詐騙代幣的部署和基礎設施成本更廉價，攻擊者反而更傾向於利用社交工程誘導用戶購買和投資詐騙代幣。這種成本-收益的差異直接影響了攻擊者的戰略選擇。
威脅情報的收集主要通過 Forta 網絡實現，這是一個基於 Web3 的大型分布式安全監控系統。Forta 本質上是 Web3 生態中的「巨型安全攝像頭和警報系統」，俯瞰所有鏈上活動，尋找漏洞、詐騙和異常模式。該網絡目前運行著約 1100 個機器人或檢測代理，部分由佛羅里達基金會開發，部分由開發者社區構建，任何開發者都可以部署專屬檢測工具監控特定威脅。在檢測技術層面，Forta 社區採用多種互補方式：基於規則的啟發式方法（如「看到 A 和 B，就標記為詐騙」）適合處理已知模式；機器學習檢測則可識別相似但新變種的攻擊；關聯性推斷能自動標記與已識別攻擊者相關聯的新合約；相似性分析則通過對比智能合約代碼結構，標記看起來像詐騙的新部署。
威脅情報的應用場景正在擴展。傳統上，執法機構、FBI、中央交易所和反洗錢合規平台主要使用威脅情報。但近一兩年來，這些情報已開始向 Web3 原生應用滲透。使用者現在會在錢包中看到交易簽署前的警告彈窗，告知即將交互的合約是否涉及已知惡意實體。協議團隊若及時獲得威脅情報，可快速響應潛在攻擊。最終用戶也可藉由監控推特、Discord 等社交媒體上的威脅情報發佈，避免成為社交工程詐騙的受害者。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
