区块链安全赛道 Mapping| 北拓研究

WEB3 安全大致涵盖测试、审计和监测三大类：如果我们把链上智能合约从开发>>部署至区块链网络>>运行看成是一个完整生命周期的话，针对智能合约的安全分析分为：针对合约部署前（在区块链网络正式上线运行前）的分析、合约部署后的分析，这大致涵盖了：测试、审计、监测三大类目，每个类目下面又有各种类型的分析方式和相应的工具。

PS：智能合约的审计覆盖面会从合约部署前到部署后（合约升级审计）

▪审计前合约测试 (Testing)：测试是最简单容易去排除一些低级的错误的方式，测试覆盖率高可以大大减少低级错误进入审计阶段的数量，从而提高审计效率。

▪智能合约审计 (Auditing)：对智能合约程序的全面分析，用以纠正设计问题、代码错误或安全漏洞。

▪智能合约监测 (Monitoring)：监测属于智能合约部署后，对即将和用户钱包进行交互的智能合约、地址、域名、Token 进行实时检测以找出异常状态信息。

1.2 市场：web3 安全市场规模

▪纯代码审计：每个月全市场 5000 万美金审计的收入，每年在 6 亿美金左右。其它产品类型，由于都处于初期阶段，产生收入有限且无法得知准确数字。

行业需求 / 痛点：

i.Web3 的独特属性使其容易受到攻击

Web3 其独特属性包括去中心化、匿名性、可编程性等。这些属性使得 Web3 系统与传统的 Web2 系统有很大的不同，同时也给 Web3 带来了一些安全挑战，可能使其容易受到黑客攻击。

ii.安全工具并没有在软件开发生命周期中得到充分使用，大多是事前一次审计

Web3 系统相对于传统 Web2 系统更加复杂，其安全审计的成本相对较高。特别是智能合约代码的审计需要深入了解 Solidity 语言及其相关技术，需要进行手工审计以及安全自动化测试等复杂过程。

iii.Web3 安全审计服务的渗透率依然很低

1.在排名前 200 个 Web3 项目中，只有 19% 使用了安全审计服务。排名前 17000 中仅有 5% 的安全审计服务渗透率。

2.Web3 系统具有很高的匿名性和去中心化特性，同时由于涉及到数字资产的存储和交易，存在着法律风险。因此，对于一些安全审计公司而言，可能存在着承担法律责任的风险。

iv.Web3 的开发者大多数缺少安全相关的知识

1.Web3 技术尚处于早期发展阶段，应用不如传统互联网普及，攻击者可能会利用这个机会来攻击缺乏安全意识的用户和开发者。

2.由于 Web3 技术相对较新，市场上缺乏经验丰富的专业人才，尤其是具备区块链安全审计经验和技能的专业人才更加稀缺。

1.3 现状：

▪整体市场：

1.2022 年是加密货币行业史上黑客攻击规模最大的一年，该领域共有 38 亿美元被盗。其中大约 53% 的攻击是利用合约漏洞，大约 26.6% 的攻击涉及闪电贷。

2.Web3 六大主要赛道：公链、跨链桥、钱包、交易所、NFT、DeFi 共发生安全事件 136 起，造成损失超 40.21 亿美元。此外，新兴领域如 GameFi、DAO 成为黑客频扰的对象。

1.4 趋势判断：

▪随着 Web3 市场预测规模将扩大到 6 万亿美元，网络犯罪会随着 Web3 的增长而扩大。到 2028 年，网络安全市场将增长到 460 亿美元，年增长率超过 23%。

▪从市场份额来看，区块链安全服务和传统互联网安全最终格局类似，依然是几家区域性的头部厂商来领导整个市场。这里将有巨大的投资机会。

▪越来越多项目方在人工审计的同时寻求自动化审计；

▪痛点上寻找机会：一是推出要更标准化、更自动化产品来降低边际成本，打破发展瓶颈；二是覆盖更多的细分场景或者特定环节，吃到更多的安全预算；

▪从 Web2 的发展经验来看，安全商业本身存在一个大量兼并机会，包括横向并购与纵向并购，未来安全公司也可能突破安全的边界，向非安全的其它数据业务方向做拓展（第二词条属性）。