遅い霧との対話：Web3スタートアップチームのための落とし穴回避ガイド

今回は、世界的に有名なブロックチェーンセキュリティ企業であるスローミストの運営責任者であるリサ氏をお招きします。style="text-align: "left;">ウェブ3のセキュリティに深くコミットする現実的な専門家として、リサはオンチェーン追跡分析、セキュリティインシデントの緊急対応などを指揮してきました。彼女はまた、「ブロックチェーン暗号資産追跡ハンドブック」を執筆し、ウェブ3の攻撃戦術やスタートアップチームのセキュリティ保護について深い見識を持っています。本日は、「Web3セキュリティの焦点：攻撃手法、ピット回避ガイドライン、業界のチャンス」というトピックに焦点を当て、リサと一緒に高頻度のセキュリティリスクを解体し、スタートアップ・プロジェクトのための「セキュリティ防御」の構築方法についてお話しします。

(音声書き起こし原稿はAI処理されているため、脱落や誤りが含まれている可能性があります。)

スローミストのセキュリティ運用責任者であるリサは、長年Web3のセキュリティに取り組んでおり、セキュリティの成果だけでなく、スローミストの社内外の調整も担当している。社内では、セキュリティインシデントへの緊急対応（製品、ビジネス、トラッキングチームの連携など）を調整し、社外では、セキュリティの成果の普及とブランディングを主導している。また、チェーン分析やトラッキング分析にも深く関わっており、『ブロックチェーン。同時に、オンチェーンの追跡と分析にも深く関わっており、「ブロックチェーン暗号資産追跡ハンドブック」を執筆し、世界的なWeb3の大規模なセキュリティインシデントへの緊急対応（資産追跡、クロスプラットフォームの連携による損失阻止など）にも参加している。

スローミストは、2018年に設立されたブロックチェーンセキュリティ企業として、自らを「ブロックチェーンの暗い森の中の安全地帯」と位置づけ、「事前セキュリティ監査、事前リアルタイム監視、事後セキュリティ監査」を網羅する全プロセスセキュリティシステムを構築した。事前のセキュリティ監査、事前のリアルタイム監視、事後の緊急対応」をカバーする全工程セキュリティサービス体制を構築し、ホワイトハットコミュニティ「スローフォグゾーン」は20万人以上の規模を誇り、業界内でも影響力の高いセキュリティサービス組織となっている。

Q1：世界的に有名なブロックチェーンセキュリティ企業として、スローミストが注力している主な事業の方向性は何ですか？

王磊： スローミストはWeb3セキュリティの分野で幅広い影響力を持っていますが、スローミストが現在取り組んでいる方向性を教えてください。

Lisa: スローミストは2018年の創業以来、Web3セキュリティ分野に注力しています。"Threat Discovery - Threat Defence "を軸に、サービスを提供するプロセス全体がサービスの一点突破"スローミスト" "スローミスト "の名前の由来は、"三体 "の "スローミストエリア" - ブロックチェーン業界は "暗い森 "のようなものです。ブロックチェーン業界は "暗い森 "のようなもので、攻撃は頻繁にあり、Slow Mistは業界の "安全地帯 "になりたいと考え、ホワイトハットコミュニティ "Slow Mist Zone"（20万人以上）を構築し、"Three Bodies "のコンセプトとも統合しています。

具体的な事業は3つのセグメントに分けられます：

• 事前脅威発見：。セキュリティ監査サービス（スマートコントラクト、プロジェクトアーキテクチャ監査）、セキュリティトレーニング（チーム向けセキュリティ啓発・運用トレーニング）、レッドチームテスト（ハッキング攻撃を想定した侵入テスト）など、リスクを事前に回避することが中核となる。

• 中リアルタイム監視：

• 緊急対応：緊急対応の中核となるのは、損害の停止と資産の回復です。盗まれた資産の流れを迅速に追跡し、取引所/ウォレットと連携して資金を凍結し、プロジェクト関係者が現場でフォレンジックやイベントレビューを行うのを支援すると同時に、「暗闇の森の自助ハンドブック」や「暗号資産追跡ハンドブック」などの研究成果をアウトプットし、業界のセキュリティ意識を高めるなど、中核となるのは損失阻止と資産回収です。

私たちのサービススタイルは  "tailored to the local context"で、プロジェクトの特性を見極め、プログラムをカスタマイズします！-- その本質は、プロジェクトの「防衛」を助けるだけでなく、リスクが発生したときに「消火」し、最終的に業界全体のセキュリティ意識を促進することです。

Q2：近年、Web3のセキュリティインシデントが頻発していますが、一般的な攻撃手法は何でしょうか？核心的なリスクポイントは何ですか？

王磊：Web3業界は急速に変化していますが、セキュリティは不変のテーマです。近年よく見られる攻撃手法は何ですか？核心的なリスクポイントは何でしょうか？

リサ：近年、さまざまな攻撃テクニックがあり、急速に繰り返されていますが、高い頻度で発生する典型的なテクニックは4種類あり、核となるリスクポイントには、技術的な抜け穴とセキュリティ意識の欠如の両方が含まれます：

• 契約の抜け穴攻撃：オンライン上のスマートコントラクトは改ざんされておらず、よりオープンソースであるため、ハッカーはしばしば大手メーカーやクロスチェーンブリッジ（損失の規模が大きく、数億に及ぶことが多い）に焦点を当てます。フラッシュローン攻撃」（脆弱性の影響を増幅するためにフラッシュローンメカニズムを使用）、「過剰な特権」（管理者権限の不均衡、ハッカーは直接資産を操作することができます）などの一般的な脆弱性は、このタイプの攻撃の核心は、「技術的な脆弱性は、高度ではありません

• 秘密鍵の漏洩：個人側とプロジェクト側の2つに分けられます。プロジェクト側の管理者の秘密鍵の漏えいは、ほとんどがコンピュータがフィッシング、トロイの木馬（秘密鍵の盗難につながるマルウェアをダウンロード）に起因する;個人的な秘密鍵の漏えいは、多くの場合、 "不適切なストレージ方法"（WeChatのコレクション、クラウド文書、アドレス帳のストレージなど）、または "偽の財布 "をダウンロードすることが原因です（以前）。

• ソーシャルエンジニアリング攻撃：隠蔽が強く、ハッカーはしばしば成熟した人々、有名人、またはジャーナリストを偽装し、「信頼カモフラージュ」を通じて、情報を取得します。「情報を得る。例えば、偽ジャーナリストが大物Vにインタビューし、悪意のあるスクリプトを含む「インタビューリンク」を送信してクリックを誘い、アカウントや資産を盗み出す。「

• サプライチェーン攻撃：近年、ハッカーが開発ツールやサードパーティの依存ライブラリ、コードフローに悪意のあるコードを埋め込むケースが急増しています。ハッカーは開発ツールやサードパーティの依存ライブラリ、コードフローに悪意のあるコードを埋め込み、開発者のデバイスやプロジェクトのコードを汚染します。たとえば、ある有名な開発者は、偽のアカウントからトロイの木馬をダウンロードし、彼が管理していた「10億ダウンロード+ウォレット」に問題を引き起こし、機密情報を破壊するだけでなく、資産も盗み出しました。

コアリスクの概要：技術的な脆弱性は監査によって回避することができますが、 「不十分なセキュリティ意識」（たとえば、自分のコンピュータのセキュリティを認識していない人を信用すること。（だまされやすい見知らぬ人、秘密鍵の乱雑なストレージなど、未知のリンクをクリックして）問題を解決することはより困難であり、最新の攻撃戦術を学び続ける必要がある（遅い霧は、一般に公開され、特定の期間をプッシュします）。

Q3：スローフォグが深く関わってきた典型的なセキュリティ事例を2つ教えてください。

王磊：ライブストリームに参加している友人たちが刺激を受けるように、スローフォグが深く関わったセキュリティ事例を2つ紹介してもらえますか？

Lisa: プロセスの異なる段階にある2つのケースを選びますが、どちらもスローフォグが関与したもので、セキュリティ・インシデントの処理方法の中核となるロジックを例証するものです：

1つ目は、2022年のソーシャル・エンジニアリングです。1つ目は、2022年のソーシャルエンジニアリング攻撃による復旧事例です。 ハッカーがジャーナリストを装ってWeb3のVにインタビューし、悪意のあるスクリプトを含む「インタビューリンク」を送信したところ、Vがそのアカウントをクリックし、資産が盗まれました。「スローフォグ私たちはまず連鎖分析を行い、盗まれた資産がスローミストの「脅威インテリジェンスネットワーク」のパートナーである取引所に流れ込んでいることを突き止めました。 クロスプラットフォームの連携により、取引所は24時間以内に不審な資金を凍結し、続いてVが台湾で訴訟を起こすのを支援し、最終的に3日以内にすべての資産を回収しました。

このケースの特別な意義は、明確な容疑者がいない中、連鎖追跡だけで資産の返還が達成された台湾の司法史上初のケースであるという事実にある。警告は、「事情聴取」、「協力」などの必要性に直面した場合、必ず相手の身元を確認し、安易に知らないリンクをクリックせず、盗難後、真っ先に保安機関（遅霧など）に連絡することであり、その対応の速さが資産を取り戻せるかどうかに直結する。

2つ目は、2023年にプラットフォームがハッキングされ、800万ドルの損失を被ったケースです： Web3プラットフォームがハッキングされ、800万ドル以上の損失を被りました。私たちの第一段階は、チェーン分析を行い、ハッカーの痕跡（攻撃方法、資金の流れ、共通プラットフォーム）を整理することです。第二段階は、グローバルな取引所/ウォレットと連携し、ハッカーの関連口座を凍結し、資金が混合通貨プラットフォームに流入するのを防ぐことです（いったん混合通貨プラットフォームに流入すると、回収の難易度が急上昇します）。第三段階は、プロジェクト側を支援し、ハッカーとの「チェーン交渉」を行い、何度もやり取りを行います。第三段階は、プロジェクト側とハッカー側との「オンチェーン交渉」を支援することであり、数回のやり取りを経て、800万ドルすべてが3日以内に回収された。

このケースの警告は、盗まれた資産のほとんどは回収が難しいが、「クロスプラットフォームの協力」と「迅速な対応」が鍵になる、ということだ。プロジェクトの当事者やセキュリティ機関だけでは、盗まれた資産を回収することはできない。- プロジェクト側やセキュリティ機関だけに頼るのでは不十分で、取引所、ウォレット、司法の複数の連携が必要であり、同じ問題で二度落とし穴に足を踏み入れないように事件後に状況を見直すことが重要である（脆弱性の修正、監視の強化など）。

2つのケースの共通点は、「セキュリティインシデントは自分には起こらない」と思わないでください。事前に監査を行い、秘密鍵を保管し、盗難後に迅速に対応することが、核心的な保護ロジックであることを警告しています。

Q4：セキュリティインシデントが発生した場合、Slow Fogチームは通常どのように緊急対応サービスに入りますか？

王磊：セキュリティ事件が発生したとき、スローフォグチームは通常どのように介入し、具体的に何を提供するのでしょうか？

Lisa: スローフォグは「セキュリティ緊急対応サービス」を通じて介入します。「

• ステップ1：緊急損失停止（最も重要）：まずオンチェーン追跡を行い、盗まれた資産を明確にします。

• 最初のステップは、オンチェーン追跡を行い、盗まれた資産の方向を特定することです。そして、取引所、ウォレット、クロスチェーンプラットフォームに最初に連絡し、疑わしい資金を凍結/ウィンドウコントロールします。left;">第二段階：現場での保護：ハッカーがサーバーやPCから侵入した場合、私たちはプロジェクト側を支援して「現場でのフォレンジック」を行い、さらにはプロジェクト側にチームを派遣して現場で分析を行い、証拠の連鎖が完全であることを確認し（例えば、侵入の痕跡を削除しない、悪意のあるコードのログを保持する）、その根拠を提供します。

• 第3段階：オンチェーン+オフチェーンの共同分析：オンチェーン分析では「資金の流れ、ハッカーのプロファイル、攻撃手法」（ハッカーが使用する一般的な取引所、ウォレットの種類、資金源など）に焦点を当て、オフチェーン分析では「アイデンティティのトレーサビリティ」（取引所からKYC情報を取得する、ハッカーのTwitter / GitHubアカウントを追跡する、関連するTwitter / GitHubアカウントを追跡する、関連するTwitter / GitHubアカウントを追跡する、関連するTwitter / GitHubアカウントを追跡する、関連するTwitter / GitHubアカウントを追跡する、関連するTwitter / GitHubアカウントを追跡する）に焦点を当てます。

• ステップ4： 完全な分析レポートを出力する：プロジェクト側に「何が起こったのか、資産はどこに行ったのか、なぜハッキングされたのか」をプロジェクト側に知らせるだけでなく、同様のインシデントの再発を避けるための「フォローアップ保護ソリューション」（脆弱性の修正、監視のアップグレード、秘密鍵管理の強化など）を提供する。

全プロセスの核心は、  「プロジェクト側とスローミストの間の高いレベルの信頼と相乗効果」です。プロジェクト側が情報を隠したり、証拠を隠滅したりすれば、損失がストップし、回収できる確率が大幅に下がります。

Q5：スタートアップのチームはセキュリティを後回しにしがちですが、開発のさまざまな段階（スタートアップ／資金調達／ローンチ）で最も見過ごされるセキュリティ問題は何でしょうか？

王磊：多くの新興企業は、プレッシャーからセキュリティを後回しにします。開発のさまざまな段階（スタートアップ／資金調達／ローンチ）で、彼らが見落としがちなセキュリティ上の問題にはどのようなものがありますか？

リサ：安全性の盲点はステージによって異なりますが、以下のように「1つのインシデントにゼロイン」してしまう可能性があります：

Lisa: 安全性の盲点はステージによって異なりますが、以下のように「1つのインシデントにゼロイン」してしまう可能性があります。align: left;">1.立ち上げ段階：「秘密鍵の管理」と「認証」の中核がおろそかになっている。

2.2.資金調達段階：コアは「コード監査の完全性」と「コンプライアンスリスク」を無視する。例えば、融資の進捗状況を把握するために、「不完全な監査」や「抜け穴の存在」のコードが直接オンラインになり、リスクを伴うプロジェクトを実行します。「

3.オンラインステージ：コアは無視された"

3.オンラインステージ：コアが無視された "リアルタイム監視 "と "アカウントのセキュリティ"。例えば、オンチェーンモニタリングを行わないと、攻撃を受けてから数時間後にしか気がつかない（損失を食い止める最適なタイミングを逃してしまう）、TwitterやDiscordなどのコミュニティアカウントのセキュリティに注意を払わない（パスワードが弱い、二次認証をオンにしないなど）、アカウントが盗まれ、フィッシングリンクを貼られ、ユーザーの資産を失う--こうした種類の問題は、ユーザーの信頼を直接的に破壊する。プロジェクト自体の損失よりも致命的です。

要するに、スタートアップチームのセキュリティの盲点は、すべて 「認知バイアス」から生じている。

「認知バイアス」：「セキュリティは投資ではなくコストである」と考えるが、Web3業界は「透明なマネーチェーン」であり、セキュリティ事故の損失は、セキュリティへの初期投資のコストよりもはるかに大きい。

Q6：予算が限られているスタートアップチームは、セキュリティへの投資の優先順位を決めるべきでしょうか？

Wang Lei:新興企業チームの予算が限られている場合、セキュリティに優先的に投資すべき最も費用対効果の高いものは何でしょうか？

Lisa: 予算が限られている場合、「核となるリスクをカバーする」インプットに優先順位をつけ、費用対効果の高い3つのアクションを推奨します。align: left;">1.完全なセキュリティ監査を行う：スマートコントラクトとコアビジネスアーキテクチャの監査を優先する。これは落とし穴を事前に回避する鍵であり、技術的脆弱性の90％以上（特権の穴、システムの脆弱性など）を事前に修正することができる。

2.マルチシグネチャ・ウォレットで資金を管理する：一人に秘密鍵を管理させず、マルチシグネチャ・ウォレット（資金移動を承認するために2～3人を必要とする）を使ってリスクを分散させ、たとえ一人の秘密鍵が漏洩したとしても、資産の損失にはつながりません。マルチシグネチャ・ウォレットは低コストですが、「秘密鍵の一人預かり」という核心的なリスクに対処しています。

3.基本的なリアルタイム監視を構築する：マルチシグネチャ・ウォレットは低コストですが、「秘密鍵の一人預かり」という核心的なリスクに対処しています。3.基本的なリアルタイム監視を構築する： 複雑な監視システムを購入する必要はなく、コミュニティのオープンソースツール（Slow Fogのオープンソースオンチェーン監視スクリプトなど）を利用したり、「異常取引警告」（大口送金や見慣れないアドレスへの送金に対するアラートのトリガーなど）を設定することで、リスクを最初に確実に検知することができる。-- 基本的なモニタリングへの投資は極めて低額ですが、「イベント発生時の対応スピード」を大幅に向上させることができます。

これら3つのアクションは、  "before - during" 中核となるリスクをカバーし、わずかな投資で「致命的な損失」を回避します。「予算が限られているチームにとって最適な選択です。

Q7：新興企業チームが最も足を踏み入れやすく、最もコストがかかるセキュリティの穴はどこでしょうか？

Wang Lei:新興企業が陥りやすいセキュリティ上の穴で、最もコストがかかるものは何でしょうか？1-2例を挙げていただけますか？

Lisa: 「踏むと致命的」であり、新興企業が高い頻度で踏む2つの穴があります:

1. 秘密鍵、シングルユーザーとマルチユーザー。strong>1.秘密鍵の単一保管＋ランダム保管：これは最も基本的で致命的な落とし穴です。例えば、スタートアップのチームがプロジェクトウォレットの秘密鍵が創業者のWeChatコレクションに存在し、創業者の携帯電話がフィッシングされ、秘密鍵が流出し、一晩で200万ドルの資産が盗まれた--この種の損失はほとんど修復不可能である。一度秘密鍵が流出すると、資産は直接移転の権利に属し、ブロックチェーン取引は不可逆的であるため、

1.=text-align:left;">2.ライン上の直接未監査コード：多くのチームは、進捗状況を把握するために、ライン上の契約の "未完成監査 "になります、例えば、DeFiプロジェクトのライン上のチームは、契約は "再入力 "脆弱性がある修復されていない、3年間の行に、契約は "再入力 "になります。たとえば、あるチームがDeFiプロジェクトを立ち上げたとき、契約に「再エントリー」の脆弱性があり、修復されていなかった。プロジェクトを立ち上げて3時間以内に、ハッカーが脆弱性を利用して150万ドルを盗み、融資資金はそのままゼロになった--この種の問題は監査によって回避できたはずだが、チームは「立ち上げを急いでいた」ため無視し、最終的な価格はプロジェクトは停止された。

これら2つのポットホールに共通するのは、「小さな操作に見えるが、壊滅的である」ということです。秘密鍵管理とコード監査はどちらも「基本的な行動」ですが、多くのチームが「面倒」または「不要」だと感じており、ちょっとしたことで大損をしてしまうのです。

Q8：煙霧の観点から、現在のWeb3セキュリティ業界における最大の課題と機会は何でしょうか？

王磊：業界のセキュリティ組織として、スローフォグは現在のWeb3セキュリティ業界における最大の課題と機会を何だと考えていますか？

Lisa 課題と機会は密接に関係しています。

1.攻撃の専門化と多国籍化：ハッカーはもはや「一騎打ち」ではなく、「専門化したギャング」を形成しています（例：北朝鮮のハッキング組織「ラッサ・ロード」）。

2分断されたセキュリティ要件 プロジェクト関係者のセキュリティ意識と技術レベルにはばらつきがあります。

3. 規制方針の違い：国や地域によって、Web3に対する規制要件が異なる。セキュリティに関する規制要件が異なるため（例：香港のステーブルコイン条例、EUのアンチマネーロンダリング規則）、現地のポリシーを理解していないプロジェクトオーナーは、「ハッキングはされないが、コンプライアンスの問題で規制に引っかかる」可能性があります。

コアとなる機会

• 人材と意識改革：ますます増えています。若者（大学生を含む）がWeb3のセキュリティに注目し、スローミストも大学や専門学校と協力してセキュリティ教育を実施しているため、業界のセキュリティ人材は徐々に十分になってきています。「

• Cross-platform Collaboration Normalisation:重大なセキュリティインシデントが発生すると、業界はますます緊密に連携するようになります。
  
  
  クロスプラットフォームコラボレーション：
  クロスプラットフォームコラボレーションは常態化しています。例えば、取引所がハッキングされた後、CoinSafe、TIDE、その他の組織が率先してチェーン上で風力制御を行い、資金凍結を支援します。また、Slow Fogの「脅威インテリジェンスネットワーク」は世界中の50以上の取引所とウォレットを統合し、国境を越えたセキュリティインシデントに迅速に対応することができます。"industry collaboration" can significantly improve the efficiency of stop-loss;

• New Possibilities for Technology Integration:AIやビッグデータなどのテクノロジーは、Web3セキュリティに新たなツールをもたらしています（例：異常な取引の特定、AI異常なトランザクションの特定、チェーン内のリスクを分析するビッグデータなど）、ハッカーに悪用されるリスクもありますが（フィッシング動画を生成するAIなど）、セキュリティ保護の全体的な効率と精度を向上させることができます。

このチャンスの中心にあるのは、「業界のコンセンサス強化」である。セキュリティ・インシデントの増加に伴い、より多くの組織が「自分だけでは身を守れない」ことに気づいている！「そして、「セキュリティ機関＋プロジェクト関係者＋規制機関＋ユーザー」が共同で保護システムを構築する必要性を認識しており、これはスローフォグの将来的な強さの核心方向でもあります。

Q9：国内のスタートアップチームが海外に進出し、国境を越えたコンプライアンスやセキュリティに関わる場合、特に注意が必要なポイントは何でしょうか？

王磊：多くの国内スタートアップが海に出て、国境を越えたコンプライアンスやセキュリティに関与していますが、特に注意が必要な点は何でしょうか？

リサ： 海外進出のセキュリティは「技術的セキュリティ」よりも「コンプライアンス・セキュリティ」にもっと注意を払うべきです。

1 現地のコンプライアンス要件の研究を優先させる:規制の焦点は地域によって異なります。例えば、香港は「自己資本比率、アンチマネーロンダリング」ルールを満たすことをステーブルコイン発行者に要求し、EUは「データプライバシー（GDPR）」に焦点を当て、米国は「クロスボーダー資産の流れ」に厳しい規制を設けている。

2.適応する。現地のKYCおよびマネーロンダリング防止規則: 海外のプロジェクトは、複数の地域のユーザーにサービスを提供することが多く、現地の要件に従ってKYCを行う必要があります(たとえば、香港では実名認証が必要であり、一部の地域では住所確認が必要です)。また、マネーロンダリング防止監視システムを構築する必要があります(国境を越えたダーティマネーの流れを特定するため)。

3.技術的なセキュリティは、地域のエコシステムに適合させる必要がある：例えば、特定のウォレットや取引所は、一部の地域で一般的に使用されており、プロジェクトは、ウォレットや取引所を「失う」リスクを回避するために、これらのプラットフォームのセキュリティレベルを事前に評価する必要がある。パートナーであるプラットフォームの脆弱性によって攻撃されるリスクを回避し、現地のユーザーの習慣に従って秘密鍵管理ソリューションを最適化するために、これらのプラットフォームのセキュリティレベルを事前に評価する必要がある（例えば、一部の地域のユーザーはハードウェアウォレットに依存しており、関連するインターフェースに適合させる必要がある）。

主なアドバイス：「コンプライアンスとセキュリティ」を海外に行くための「チケット」として扱い、6～12ヶ月前にターゲットを調査すること。その地域の規制政策、現地のセキュリティや法律組織（例えば、スローフォグは香港デジタル資産アンチマネーロンダリング協議会と連携しています）と手を組むことで、「コンプライアンスの落とし穴を踏む」ことを避けることができます。技術的なセキュリティは修復可能ですが、コンプライアンス上の汚点がプロジェクトに与える長期的な影響を排除することはより困難です。

Q10：AI、ビッグデータ、Web3セキュリティの組み合わせの可能性と、Web3エージェントツールのセキュリティリスクについて教えてください。

Wang Lei:AI、ビッグデータ、Web3セキュリティの組み合わせの可能性は？また、パートナーから「Web3エージェントツールのセキュリティリスクは？

リサ：まず、AI、ビッグデータ、Web3セキュリティの組み合わせについてお話ししましょう。left;">Positive Possibilities

1.保護効率の向上：AIはチェーン上の異常な取引パターン（例えば、一括した少額送金、見慣れないアドレスとの高頻度のやりとり）を素早く特定することができ、これは手作業による監視の10倍以上の速さである。ビッグデータはチェーン上の膨大なデータを分析し、精緻化することができる。AIは膨大な量のチェーンデータを分析し、ハッカー攻撃のパターン（一般的な手口やターゲットとなるプラットフォームなど）を絞り込み、脅威インテリジェンスの精度を向上させることができます。

2.セキュリティの閾値を下げる： AIは「セキュリティ監査レポートのサマリー」を自動生成することができます。ビッグデータは「業界セキュリティトレンドレポート」を出力することができ、スタートアップチームは高頻度のリスクポイントを迅速に把握することができます。

潜在的なリスク

AIはハッカーにも悪用される可能性があります。「また、AIを使ってフィッシングスクリプトをバッチ生成し、攻撃の効率を劇的に高めるハッカーもいます。

話を戻して、Web3エージェントツールのセキュリティリスクについて（これは近年話題になっているもので、通常のWeb3ツールのリスクと似ていますが、独自の特殊性があります）：

1.過剰な権限付与：エージェントツールはさまざまな目的で使用できます。/strong>エージェントツールは、ユーザーがウォレットや契約操作権限を承認する必要があり、権限が大きく設定されすぎると（例えば「無制限の転送権限」）、ツール自体がハッキングされてユーザーの資産を直接転送することができます -- そして多くのユーザーは、そのため

2.サプライチェーン攻撃のリスク：エージェントツールはAPIやAIモデルに依存しています。"

3.データ漏えいリスク：エージェントツールは、ユーザーのオンチェーンでの行動データ（取引記録、ウォレットアドレスなど）を収集する可能性があり、データが暗号化されていない場合、漏えいしたり悪用されたりする可能性があり、その結果、ユーザーのプライバシーや資産の安全性が脅かされることになります。

エージェントツールを使用する際には、「必要な許可」（例えば、「無制限の許可」ではなく「単一の転送許可」）のみを承認し、オープンなツールを選択することをお勧めします。「また、ツールの依存ライブラリが安全であることを定期的にチェックしてください。

Q11：Web3を始めたばかりの起業家に向けて、最も重要なセキュリティに関するアドバイスを一文またはアイデアで教えてください。

Rae Wang:市場に参入したばかりのWeb3起業家にとって、最も重要なセキュリティアドバイスを一文またはアイデアで教えてください。

Lisa: スローミストのコアバリューを2つお借りしたいと思います。チェーンの上と外のすべての技術的な力の恐怖、攻撃の危険性--「小さなプロジェクトがハッカーに狙われることはないだろう」と考えてはいけない、Web3業界は「資金調達の透明性」。

2.守りと驚き：「守」とは、基本的なセキュリティ（監査、マルチシグネチャウォレット、リアルタイム監視など）をしっかり行うことであり、防衛ラインの中核となるものです；サプライズ」とは、最新の攻撃手法に注意を払い、保護戦略を柔軟に調整することである（例：AIフィッシング、サプライチェーン攻撃への対応）。

要するに、Web3セキュリティに「一度きりの」解決策はなく、「継続的な畏怖と継続的な学習」によってのみ、私たちは暗い森で生き残ることができるのです。

結論

王磊：リサの辛口のシェアに感謝します！攻撃手法の解体から事例の検証、スタートアップチームの落とし穴回避の手引きから業界のビジネスチャンスの分析まで、Web3のセキュリティは「ケーキの上のアイシング」ではなく、「基礎の基礎」であることがよくわかりました。- セキュリティインシデントはプロジェクトをゼロにする可能性があり、事前にセキュリティに投資するコストは、事後的に元に戻すコストよりもはるかに少ないのです。