DSS Webinar | Trillion Dollar Security
三句話摘要
以太坊基金會推出「萬億美元安全計畫」，透過系統化方法解決Web 3生態系統的安全問題，使大規模採用成為可能。 萬億美元安全計畫將安全從單純的技術防禦轉向系統性、協調性的生態建設——透過標準化、人才培育與應急機制，使Web 3成為能夠承載制度級資產與十億用戶的文明基礎設施。 安全威脅已轉移——從智能合約層轉向用戶層
重點整理
重點- 1
安全威脅已轉移——從智能合約層轉向用戶層
- 2
過去十年以太坊智能合約安全已大幅改善，但攻擊者改變策略，現在透過盜取用戶私鑰、竊取開發者認證、前端攻擊等社會工程方式獲得訪問權限，這是比協議層漏洞更難解決的問題。
- 3
錢包安全是最大瓶頸——設計給進階用戶而非大眾
- 4
現有錢包針對技術高超的早期採用者設計，但欠缺讓普通用戶（不懂助記詞、公鑰、交易簽署原理）安全使用的體驗。需要開發「初學者友善錢包」與「機構級錢包」兩種解決方案。
- 5
盲簽問題無法被單一技術解決——需多方協調與標準化
- 6
用戶簽署交易時無法讀懂調用數據，即使是技術高手也難以完全理解將執行的狀態變化。解決方案需要準確的函數簽名數據庫、行業標準、工具支持與多方協作，而非只靠技術創新。
- 7
事件應對能力嚴重不足——防守不如應變重要
- 8
大多數項目有監控系統但缺乏事件應急手冊，當漏洞利用發生時手忙腳亂。需加強應急協調、建立作戰室機制、白帽安全港與保險機制。
實用技巧與重點
乾貨- 計畫資訊：
- 名稱：萬億美元安全計畫（Trillion Dollar Security Initiative）
- 啟動單位：以太坊基金會協議安全團隊
- 發布會：2021年11月22日於阿根廷Dev Connect大會
- 聯絡方式：tilline.dollar.security.org（用email聯繫）
- 招聘職位：協調員/項目經理
- 調查數據：
- 訪談數：150人
- 回覆數：300份
- 目標受眾：數十億用戶（每人$1,000存儲）+ 機構（$1萬億規模）
- Lighthouse市場佔有率：以太坊L1約40%區塊由其負責
- 六大優先領域：
- 用戶體驗安全（UX Security）- 盲簽、前端安全、可驗證前端
- 錢包安全（Wallet Security）- 硬體攻擊、供應鏈攻擊
- 智能合約安全（Smart Contract Security）
- 基礎設施安全（Infrastructure Security）- 云安全
- 共識和協議安全（Consensus & Protocol Security）- 服務風險
- 互聯網基礎設施安全（Internet Infrastructure）- DNS/ISP風險
- 具體行動與合作：
- WalletBeat合作：制定錢包安全標準（已獲EF資助）
- OWASP合作：開發智能合約安全十大策略
- 建立漏洞數據庫：匯整審計公司的安全漏洞
- LLM應用：使用大語言模型生成屬性測試與測試用例
- SEAL 911：應急響應機制，由Sam與Pascal領導
- 戰爭遊戲計畫：協議團隊與安全專家進行桌面演練
- 三階段執行方法：
- 映射（Mapping）- 辨識系統中的問題類型
- 執行（Execution）- 推進各領域解決方案
- 溝通（Communication）- 分享安全最佳實踐
結論
結論“萬億美元安全計畫將安全從單純的技術防禦轉向系統性、協調性的生態建設——透過標準化、人才培育與應急機制，使Web 3成為能夠承載制度級資產與十億用戶的文明基礎設施。”
完整解析
詳細這場研討會揭示了Web 3安全的本質轉變。以太坊在過去十年內實現零宕機紀錄，協議層安全已成為行業典範，但社區領導者意識到真正的瓶頸不在代碼，而在人。以太坊基金會因此啟動了萬億美元安全計畫——這是一個跨越整個生態系統、涵蓋六大安全領域的協調性倡議。
計畫的起點是深入調查。Frederick所帶領的團隊採訪了150位生態系統參與者，包括終端用戶、項目開發者、機構客戶，收集了300份詳細回覆。經過分析，最緊迫的問題不是新興的技術挑戰，而是使用體驗障礙。用戶在簽署交易時感到恐懼，因為他們無法確切知道自己簽的是什麼；許多項目團隊則因為供應鏈攻擊而損失資金；機構客戶對安全保障的要求遠高於個人用戶，卻缺乏相應的工具與流程。
計畫採取務實的三階段方法。映射階段已基本完成，識別出錢包安全、盲簽、智能合約漏洞、基礎設施風險等具體問題。執行階段現已展開，例如與WalletBeat合作制定錢包安全標準、與OWASP合作開發智能合約安全十大策略、建立審計漏洞的共享數據庫以訓練更好的LLM檢測工具。溝通階段則透過本研討會等渠道，讓生態系統內所有利益相關者了解進展並參與協作。
Medi特別強調了一個重要現象：攻擊者的優先順序已經轉移。十年前，他們主要攻擊智能合約尋找代碼漏洞；如今，隨著合約安全性提升，他們轉向社會工程——竊取用戶的私鑰、API金鑰或開發者認證。這類攻擊比協議層漏洞更難防禦，因為它不依賴特定的技術方案，而是源於人的脆弱性。因此，防守策略必須從技術轉向人因設計與流程優化。
錢包安全成為最大突破口。現有的錢包系統針對技術高超的早期採用者設計——要求用戶理解公鑰、私鑰、助記詞、交易簽署等複雜概念。但要使十億普通用戶安心上鏈，錢包體驗必須如Apple Pay一樣簡單直觀。同時，機構客戶需要另一種極端的方案——整合現有企業流程、支援交易模擬、驗證調用數據的機構級錢包。計畫因此提出開發兩種新錢包的建議，一款面向初學者、一款面向高階機構用戶。
監控與應急機制也是關鍵。調查發現，雖然許多項目部署了監控系統，但大多數缺乏完整的事件應急手冊。當漏洞利用發生時，項目團隊往往手忙腳亂。計畫正透過SEAL 911（由Sam與Pascal領導的應急反應團隊）、戰爭遊戲與桌面演練等方式，讓協議專家提前預演各類威脅場景，建立協調應變能力。此外，建立白帽安全港、漏洞賞金計畫、保險機制等，都是強化生態系統韌性的必要步驟。
計畫也承認新興項目的支持不足。許多開發者在技術興趣驅動下構建創新應用，但對安全考量可能不夠重視，甚至缺乏相關經驗。計畫因此致力於為這類新興項目提供早期安全指導與資源，使其從起始階段就建立安全意識，避免日後的大規模損失。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
