于圈外人，Web3是什么？这是一个什么样的赛道？会跑出怎样的独角兽？又会出现如何颠覆性的创新和应用，除了概念的热炒外，似乎一切还未见分晓。

全球知名投资机构a16z合伙人 Chris Dixon曾表示， Web3是基于区块链去中心化、不可篡改、可追溯的特性而构建出来的去中心化可信计算网络，Web3是由建设者和用户拥有的价值互联网，区块链、Crypto 和 Web3 将成为下一个经济周期的中心。

福布斯中国谈Web3，认为它基于区块链技术和理念的全新互联网模式，其中区块链是Web3的底层技术或核心构架。

区块链市场情报机构 Blockdata 发布的对全球市值前 100 上市公司的区块链投资活动的研究报告显示， 在2021年9月至2022年6月期间，有 40 家公司投资了区块链/加密领域的公司，共计约60亿美元，这些区块链或者加密公司活跃在 20 多个行业，国内外的传统互联网企业也都纷纷布局Web3生态。

不管Web3到底是什么，可以确定的是，这是一个离钱最近的网络新世界，区块链是个主角。

2022年，似乎是黑客大展肌肉的一年，频发的安全事件背后，影响到的人群规模、生态系统、损失价值相比过往扩大十倍百倍。Web3虽还是雏婴，却已经需要拥有成年人的防御能力。

作为Web3基础设施中不可或缺的一环，区块链安全企业，为这个行业充当了“安全保姆”“警察”和“侦探”的角色，白帽“黑客”，正在为Web3的健康有序发展筑起一道道安全围墙。

区块链安全企业是一个什么样的行业？白帽“黑客”拥有什么样的技能？他们到底做了哪些事？又是怎样的一个人群？他们如何在诱惑和挑战中坚定方向？

我们特别邀请到业内资深区块链安全专家、零时科技创始人邓永凯，做了一期关于区块链安全的访谈，共同探索Web3生态安全背后的故事。

邓永凯，区块链安全技术领域的资深专家，知名网络安全白帽黑客，零时科技创始人，前上市公司绿盟科技高级网络安全攻防研究员，政企及高校特聘区块链安全专家讲师，参与并审核多项国家与地区区块链安全服务技术标准，著有区块链安全畅销书籍《区块链安全入门与实战》。

以下为采访实录：

#Q1UNIBFF News：对于非技术人员来说，区块链安全话题很大，也很遥远。请您结合自己的经历说说，区块链安全行业到底是一个什么行业，它都做哪些事？和普通人有什么相干？

邓永凯：这要从我遇到第一个区块链安全“事故”说起。

之前我在国内的一家知名的网络安全上市公司绿盟科技做安全攻防研究，代码审计，漏洞挖掘的工作。当时有人找我做智能合约代码审计，初次接触，没特别上心，但也开始去关注这个领域。

直到后来，2018年4月，业内发生了一个安全事件，美链BEC智能合约因为一个溢出漏洞，导致项目一夜归零，“一行代码值一个亿”，刷爆了朋友圈。那时候，我第一次意识到智能合约安全问题威力如此大，后果如此严重。

当我开始研究智能合约安全、区块链安全的时候，发现这是一个黑暗、混乱、荒蛮的领域，它跟传统安全问题不一样，安全问题多、研究人员少、安全问题报道少、研究成果少。当时区块链生态应用，例如智能合约应用和交易平台发展正盛，更多未知的安全问题正等着这个生态的参与者去面对。

当时，我觉得区块链安全这个领域很有趣，也很有挑战，同时也是为了打破自己在传统安全攻防研究的瓶颈，就决定投身到区块链安全这个未知的新赛道。

深入研究后发现每天都会发生的安全事件，都是真金白银的损失，很多用户和投资者血本无归，甚至有人因为资产损失，放弃生命的想法都有。所以那个时候更坚定了专注区块链生态安全这个领域的决心，保护用户生命及资产安全，减少损失，只能从源头开始，也就是帮助应用及平台先于黑客发现问题，解决问题，筑起安全防火墙，于是2018年底创立了零时科技。

区块链安全生态面临的安全挑战其实一直在变化，由于区块链新概念，新技术，高回报的特征，导致很多人被恶意区块链应用引诱，上当受骗，血本无归。

一方面是对区块链生态应用的恶意攻击，智能合约安全漏洞，交易平台的黑客攻击，安全漏洞，黑客盗币等。另一方面是利用区块链概念作恶，比如虚拟币恶意挖矿，虚拟币勒索，虚拟币洗钱，暗网交易，资金盘，博彩，诈骗等。

区块链生态发展到现在，生态应用越来越丰富，面临的安全问题和挑战也越来越大，这是一个永不休止真枪实弹的战场。

#Q2 UNIBFF News：您的团队审计过上千个项目，能说说这些项目里面最大的共性安全问题是什么吗？您觉得为什么会造成这样的问题？

邓永凯：无论是什么样的区块链项目，所有的安全问题最终都是处在人身上，如果具体描述如下：

第一，业务逻辑的实现上存在安全漏洞（源代码安全漏洞，智能合约安全漏洞，平台功能安全漏洞）。

第二，安全运营管理上存在的严重缺陷（管理权限泄漏，私钥泄漏，无安全意识）。

造成安全问题的原因，基本都一样，技术人员安全意识的薄弱、项目管理层对安全的认知不够、安全建设及防御的投入少、行业用户的安全意识不够，抵御攻击能力不足。

#Q3 UNIBFF News：如果您是黑客的话，会觉得哪些平台或者设施是你首选的攻击目标呢？

邓永凯：黑客攻击一般都是有目的性的，比如政治目的、经济目的、商业目的，又或是炫技，出于不同的目的，黑客会选择不同的攻击目标，所有的项目，要么是已经被攻击成功，要么是正在被攻击。当然，中心化平台或者资金量大的项目，是黑客首选。

#Q4 UNIBFF News：相比传统安全公司，您认为区块链安全公司特点是什么？

邓永凯：从整个安全赛道来看，区块链安全的部分攻防技术是类似于传统安全的，区块链安全也有其独特的地方。

传统安全公司在安全攻防这块发展研究了多年，从业人员多，知识体系和安全标准比较成熟。区块链安全赛道发展快，每个阶段生态应用都在更新，安全问题也是随着应用的变化而变化，面对的挑战较多。而且现在它还处于发展初期，是一片蓝海市场，挑战背后也伴随着很多机遇。

还有一点就是，区块链行业离金钱更近，区块链安全攻防都是真枪实弹地干，所有人需要坚守白帽黑客的正义感和对市场的敬畏感。

#Q5 UNIBFF News：你认为当下，区块链安全公司最核心的竞争力是什么？零时科技与行业竞争对手相比，竞争力是什么？

邓永凯：区块链安全也是属于整个网络安全体系的赛道之一，我认为它的核心竞争力是在链上链下黑客攻防技术和经验的积累，其中最重要的是行业客户对它的信任感。

为什么这么说？当你的客户出现安全问题找你处理的时候，你难免都会直接接触到客户的核心代码以及数字资产，如果没有丰富的经验和足够的客户信任感，很难说服客户你能胜任这件事。

对于零时科技的优势，我认为主要有三点，第一，团队多年的安全攻防实战经验，面对不一样的攻击目标和手法，过往的经验都可借鉴。第二，是团队在区块链安全生态的专注度。第三，是团队强烈的责任感和正义感，这是获取客户信任的基石。

#Q6UNIBFF News：区块链安全产品的迭代，您是如何考虑的？

邓永凯：我们对外开放过很多区块链安全工具，包括区块链安全情报，加密资产监控，智能合约安全自动化审计，还有正在开发的链上安全攻击预警。

开发这些工具一方面，是给行业用户提供更多的途径了解区块链安全情报事件，了解区块链安全背景，区块链应用的安全状态，提高行业用户的安全意识，减少被恶意攻击和诈骗，更好地保护好自身资产安全，防患于未然。这也符合我们零时科技保护用户的生命及资产安全的使命。

另一方面，商业化的安全产品，需要根据市场的需求，不断迭代。让客户可以在每个阶段，我们都能提供安全解决方案，为客户建立安全防御，获得更大的价值。

#Q7 UNIBFF News：您自己过去来自大厂，您认为区块链安全公司可以规模化发展吗？它的优势有哪些？它的局限性有哪些？

邓永凯：由于目前区块链生态还在发展初期，区块链安全市场还不够成熟和规模化，对于大厂而言，他们可能不会在这个领域有更多的资金投入和专注度。

这反倒给了我们这种创新团队很多发展空间，我认为目前区块链安全市场还是早期，看好这个领域，就要投身去做储备，等风来的时候你就可以起飞。

目前区块链生态应用越来越多，区块链、NFT、数藏、Web3，都逐渐成为大家的共识，我个人非常看好这个领域，随着时间的推移，它的规模会迎来爆发，区块链公司也会随之规模化发展起来。

对于局限因素，我认为第一个是监管和扶持政策不明朗，国内目前还没有明确的标准，目前的应用比如数藏等，如何在监管和合规的情况下快速复制，大家都是摸着石头过河。

第二个是行业处于早期，很多人接触少，不理解，在观望，更有搅局和投机者。

第三个是行业发展除了技术、应用、监管，还需要各方面的团队和供应链生态去支持，目前投入到Web3的人还比较少，技术和经验积累还不够，需要更多的极客和从业者加入，共同发展。

#Q8 UNIBFF News：您如何看待区块链安全公司的海外布局？

邓永凯：首先整个区块链生态是非常国际化的一个行业，应用也都是面向全球开放的。如果你的业务仅限于国内，业务规模太小，天花板太低，相比国内，海外的区块链生态会更大更丰富，安全市场也更大。布局海外，对于区块链公司来说是必经之路。零时科技也已经在着手布局海外的区块链安全市场和品牌。

#Q9 UNIBFF News：在对公司的融资和扩张上面，您有哪些原则？

邓永凯：我们始终坚持一个原则：不为了拿钱而拿钱，不打无准备的仗。

我认为融资除了钱本身外，最重要的是能够给我们业务发展提供更好的资源，带来可以互补我们团队的东西。

对公司扩张方面，因为安全无小事，如果你自己都没有准备好，就去开始做这个业务，那不就是欺骗客户吗？所以，我们一直在做研究和储备，为客户提供更好的区块链安全产品和服务，当你自己准备好的时候，自然会带来客户和市场。

#Q10 UNIBFF News：区块链行业发展十多年，实际上也是一个生态不断改变的过程。有时候理论和实践并不同步，难免产生很多的摩擦和矛盾。甚至于有些事情昙花一现，其实您也是一个亲历者，您是如何防止被各种摩擦和矛盾所淘汰的呢？

邓永凯：其实区块链安全公司是整个区块链生态的一个重要角色，也是一个基础设施。和所有区块链应用一样，面临着各种摩擦、被淘汰以及各种挑战。业内很多项目昙花一现，零时科技快四年了，我们目前还是非常有信心，团队能稳定生存下来，发展越来越好。

我认为这和团队的价值观、使命和初心有一定关系。

你是想让团队长期专注于一件事情研究下去，做下去，发挥更大价值？还是做一个投机者？

不管行业如何发展，安全团队始终是属于一个基础设施，我们去做我们应该做的事情。

首先，实事求是，不忘初心，守正出奇，不能因为某些利益或诱惑，就改变了你的初心和前进的脚步，做你安全团队应该做的事情，如果安全团队不可信，那这个行业还有谁是可信的呢？

#Q11 UNIBFF News：做安全行业，不仅要和黑客斗智斗勇，还要受到一些环境和技术的影响，在面对失败时，你怎么看？如何应对？

邓永凯：很多时候，在项目上或者技术研究上，面对各种问题和质疑，短时间无法解决，一筹莫展。这些事情在我们的工作中一直存在，但是不能着急，静下心去思考解决办法，慢就是快。

创业路上，带领团队战斗，失败和打击，以及挫败感那就是家常便饭，只有不停努力前进，和团队一起并肩作战，克服困难，才能改变这个状况，才能成长。

#Q12 UNIBFF News：您认为区块链安全行业未来会怎么发展？

邓永凯：区块链作为一种新兴技术，哪些场景能够利用区块链技术解决具体的问题，它都会出现相对应的应用场景，目前市场上还没有出现现象级产品应用。

行业中的公链、联盟链、跨链、智能合约、钱包及交易平台等，都属于区块链的基础设施，基础设施上开发的DeFi、GameFi、NFT等一些应用，都存在本身的安全问题。Web3的安全不仅有传统安全问题，还有区块链安全问题，还有资产安全问题。

整体来说，Web3在快速发展，在发展和创新的过程中，安全问题不仅不会消失，还会越来越多，越来越复杂，因此安全就会伴随着去提供相应的解决方案。未来的Web3和区块链生态，安全审计和资产安全是重中之重。

总结：Web3的安全问题，也许永远不会停止。不过结果也许正如a16z分析Web3安全性那样，更多的关注会吸引更多的白帽，并使发现新漏洞的“进入门槛”更高。同时，随着 web3 应用的增加，黑帽黑客寻找新漏洞的动机也在增加。就像在许多其他安全领域一样，这很可能仍然是一场猫捉老鼠的游戏。