是技術創新還是披著羊皮的狼？NFT市場火爆背后的安全隱憂_NFT:ESCX Token

2021年對于幣圈來講注定是一個值得被載入史冊的一年，后疫情時代各國政府為應對經濟衰退而出臺的一系列宏觀調控政策使得數字經濟突飛猛進，在貨幣寬松政策下大量的資金涌入幣圈，從比特幣到以太坊到寵物幣，從DeFi到NFT到metaverse，一個個新的IP被點燃，市場熱情高漲，信心爆棚。區塊鏈的發展站上了嶄新的高度，群星薈萃之間，NFT當屬那顆最閃亮的星。科技賦能業務，技術賦能藝術。Uniswap一雙襪子賣16萬美元，推特創始人五個單詞拍出250萬美元，加密藝術家Beeple在佳士得的NFT拍賣作品獲得975萬美元出價……一夜之間，NFT火爆全網。NFT，這個脫胎于區塊鏈的技術，因其所具有的非同質化特點可以廣泛地應用在通證經濟之中，在新的歷史起點下，將推動知識產權保護，加速資產流通性，重塑資產數字化，重新構建數字藝術體系。“萬物皆可NFT”的時代仿佛已經到來。

但是，新事物的產生和發展不是一帆風順的，而是前進性和曲折性的辯證統一。NFT也是如此，從標準的確立到走向市場，是一個充滿矛盾的過程。NFT背后的中心化安全問題一直沒有很好的解決方法：如何確定從鏈上token到鏈下資產的綁定關系，以及如何保證鏈下資產的不可篡改性等問題一直為人們所關注。在本文中，我們就來探討一下這些NFT背后的中心化安全問題。

NFT是什么

Anon-fungibletoken(NFT)isaunitofdatastoredonadigitalledger,calledablockchain,thatcertifiesadigitalassettobeuniqueandthereforenotinterchangeable.?NFTscanbeusedtorepresentitemssuchasphotos,videos,audio,andothertypesofdigitalfiles.Accesstoanycopyoftheoriginalfile,however,isnotrestrictedtothebuyeroftheNFT.Whilecopiesofthesedigitalitemsareavailableforanyonetoobtain,NFTsaretrackedonblockchainstoprovidetheownerwithaproofofownershipthatisseparatefromcopyright.

根據上述來自于維基百科的定義：NFT是一種被稱為區塊鏈上的數據單位，每個代幣可以代表一個獨特的數碼資料。由于其不能互換，非同質化代幣可以代表數位文件，如畫作、聲音、影片、游戲中的項目或其他形式的創意作品。同質化代幣，即FT，互相可以替代、可接近無限拆分的token。例如，你手里有一個比特幣與我手里的一個比特幣，本質上沒有任何區別，這就是同質化，就是同質化幣。而非同質化代幣，即NFT，則是唯一的、不可拆分的token，如加密貓、token化的數字門票等。也就相當于帶有編號的人民幣，這個世界上不會有兩張編號一樣的人民幣，不會有兩只一樣的貓，也不會有兩個完全一樣的NFT。

Ledger前CEO：Ledger產品爭議不是技術失敗而是公關失敗:5月19日消息，針對Ledger產品引發的爭議，Ledger前首席執行官éric Larchevêque表示，“ Ledger產品造成的可怕混亂局面不是技術上的失敗，而是公關上的失敗，許多人認為Ledger是一種無需信任的解決方案，但事實并非如此。要使用Ledger的產品，必須對Ledger給予一定程度的信任。Ledger的安全模型并未改變，這些設備仍然安全，沒有后門，也沒有陰謀。

此前報道，硬件錢包Ledger推出基于ID的密鑰恢復服務“Ledger Recover”，引部分用戶反對。[2023/5/19 15:13:46]

圖一、FT和NFT

關于NFT，簡單來說就是區塊鏈上資產所有權的通證化。以購買一件藝術品為例，當收藏家購買一件藝術品時，他們會簽署一份轉讓所有權的合同，然后收到一份真品證明，以證明他們擁有這件原作。NFT就是以類似的方式運作，在區塊鏈中創建一個不可復制的數字令牌(因此是“非同質化”)，并將自動跟蹤底層文件的整個所有權歷史和銷售價格。任何NFT資產的潛在買家都將確切地看到它是在什么時候創建，什么時候被購買和出售，價格多少以及由誰創建。因此，不僅產生正式所有權的整個過程是去中心化的，所有的交易歷史也是透明的，這使估值過程變得更為順暢。并且從數字商品到物理資產的債權都可以用NFT表示。在未來幾年，我們將看到NFT在一些全新的應用場景中使用，而它們都只有在區塊鏈上才能實現。

從技術角度來說，NFT是一個通證的概念，它規定了每一個token都有一個id，因此每個token都是獨一無二的，并且token信息是保存在區塊鏈上的，因此可以保證其唯一性、公開性、不可篡改性、安全性。NFT可以起"數字證書"的作用，每一個token對應一份特定資產。除此以外，每一個token還是不可分割的。NFT在通證經濟中有著廣闊的應用前景，目前來講，NFT主要被應用于游戲以及數字藝術品領域。以太坊ERC-721協議就是NFT的一種實現標準。

ERC-721協議規定了3種event和9種function用來實現token的轉移、授權等操作以及對操作的記錄。我們注意到，幾乎所有的函數中都有一個叫做_tokenId的參數，該參數即為NFTtoken中用于標識每個token唯一確定的“身份證”。

Gary Gensler：SEC是技術中立而不是政策中立:金色財經報道，美國證券交易委員會主席Gary Gensler在首支比特幣ETF上市當日接受CNBC采訪時表示：“我認為官方部門應該是技術中立，而不是政策中立，因此SEC正在努力做的是，在現有權力內盡最大努力將項目納入到投資者保護范圍之中，比特幣期貨一直由我們的兄弟機構——美國期貨交易委員會監管，并且在芝加哥商品交易所上市，現在已經受監管了四年時間，已經被包裹在我們的管轄范圍之內，所以我們有能力把它納入到投資者保護范圍，盡管比特幣仍然是一個高度投機的資產類別。”[2021/10/20 20:41:27]

注意：每個token有且僅有一個id，這也是保證NTF每個token都不一樣的唯一憑證。

不同種類的NFT有著不同的實現方式，從NFT與鏈下世界的信息交互類型可以將NFT分為無綁定型NFT和有綁定型NFT：

注：這里的”綁定“指的是鏈上的NFTtoken與鏈下資產的綁定關系。

圖二、NFT分類

首先是無綁定型NFT，如圖三所示，這一類NFT指的是token的所有信息只存在于鏈上，沒有其他的鏈下資產和鏈上的token所關聯，例如CryptoKitties，該NFT是一個基于以太坊平臺運行的、聚眾云吸貓的游戲。用戶在游戲中可以養大、買賣并繁育“電子寵物”小貓，每只小貓對應一個NTFtoken，因此每一只貓都是獨一無二的。而且每一只貓的所有信息都記載在合約中，因此不需要、也沒有鏈下額外的空間去記載貓的信息。

圖三、無綁定型NFT

最近火爆全網的Loot也是以太坊鏈上的一個無綁定型NFT，Opensea上介紹Loot說：

Loot?is?randomized?adventurer?gear?generated?and?stored?on?chain.?Stats,?images,?and?other?functionality?are?intentionally?omitted?for?others?to?interpret.?Feel?free?to?use?Loot?in?any?way?you?want.

聲音 | XT聯合創始人Weber WOO：泡沫是技術發展的先驅:1月11日，在區塊鏈研習社全國行方舟計劃武漢站暨三周年慶典上，在“區塊鏈底層技術創新與虛擬經濟”的圓桌論壇上。社交化交易平臺XT.com聯合創始人Weber WOO表示，投機不一定是好事，但投機在行業發展初期，一定是有非常大的促進作用，沒有搏擊機會的話，很多人可能不會進入這個行業。股票最初發明地荷蘭、互聯網泡沫以及區塊鏈行業的泡沫，很多泡沫都是技術發展的先驅，都為技術發展做出了貢獻。

從整個區塊鏈行業看，區塊鏈行業市值2000億美金，比特幣占到差不多70%，所以剩下的里面會有非常大的機會，而且區塊鏈是一個全球化的行業，能把業務觸達世界范圍內很多地方，這也是區塊鏈的魅力所在。[2020/1/11]

也就是說，LootNFT是隨機生成的冒險者裝備，并存儲在區塊鏈上。統計數字、圖像和其他功能被有意省略，供他人解釋。通俗一點，Loot是一種黑色背景，只包含文本的鏈上NFT，任何人都可以參與鑄造，將會隨機獲得一組奇幻冒險家裝備，當然是以文本的形式，這些裝備具有隨機分布的稀缺特征。每個Loot都包含8種裝備，因此有8行字，每一行代表著一種裝備。總體來說，Loot是一種僅包含文本信息的鏈上NFT，是的，它只是text文字！

如圖四所示，從Opensea上可以看到tokenID為2790的LootNFTtoken的售價為9ETH。

圖四、LootNFTtoken信息

其所代表的信息在etherscan上通過合約提供的以下接口可以查看到。

圖五、Loot合約接口

由于LootNFT的所有信息都放在了以太坊鏈上的Loot合約里，因此，Loot是一個無綁定型NFT，其所有的信息都放在鏈上。

其次是有綁定型NFT，這類NFT的特點是每一個token都和鏈下的某個資產有著一一對應的關系，從某種角度來講，這種token可以視為鏈下資產的”證書“。因此這類NFT多用于藝術品的交易等工作。

金色財經現場報道 ERC721 標準作者William：區塊鏈不僅是技術還是原則，不應該把它概念化:金色財經現場報道，在2018金融科技上海峰會的“塊鏈與金融科技驅動數據經濟發展新格局”互動討論上， 新型智能合約 ERC721 標準作者William Entriken談到：“我覺得區塊鏈是一種原則，一種規則，而不是單單的技術，它涉及到很多方面，我們需要考慮到規則標準以及上層的東西。我相信有了區塊鏈，一些技術人員會得到更多的啟發，能做更多有價值的事情。但是我們絕對不能以一種玩弄的心態來調侃區塊鏈，把它當成概念化的東西。我們想要把區塊鏈應用到我們自己的行業中，所以在現階段我們正在研發各種軟件硬件來支持區塊鏈的運用，我相信在將來我們能夠研發出自己的產品。”[2018/4/19]

如圖六所示，這一類的NFT和上面的NFT不同，這種NFT合約內部還存儲了和每一個token一一對應的一個外部鏈接，因此在這種NFT中，一個token的信息不僅僅保存在鏈上，還有一部分是保存在鏈下的，因此，對于這種NFT，合約中會保存token對應的外部URI信息。

圖六、有綁定型NFT

如果合約中所記載的外部鏈接中沒有再額外指向其他地方的鏈接，即一個外部鏈接中包含全部描述對應token的信息，那么這種token叫做單級綁定NFT，如圖六所示。如果合約中所記載的外部鏈接中還有指向其他地方的外部鏈接，即多個外部鏈接嵌套循環，那么對于這種token叫做多級綁定NFT。如圖七所示。如果外部鏈接的嵌套層數是n，我們就叫n級綁定NFT，區塊鏈層處于第0級。

圖七、多級綁定NFT

NFT的中心化安全問題

前文我們講過，得益于區塊鏈技術的去中心化和不可篡改等特性，NFT中每一個token的安全性是可以保證的，即合約中token本身的內容的唯一性，合法性，所屬權是不可篡改的。但是在有綁定型NFT合約中不僅僅保存了token本身的內容，如圖六所示的NFT合約，這種NFT合約中還保存了和token對應的外部URI的信息，外部URI指向的是token所對應的鏈下信息。而這種鏈上和鏈下交互的機制中就存在我們開頭所講的中心化安全問題。

IBM全球副總裁沈曉衛：人工智能和區塊鏈技術的融合是技術創新的方向:IBM全球副總裁沈曉衛指出，人工智能時代技術創新的戰略，我們看到四個大的方向：人工智能的核心技術；人工智能和區塊鏈技術的融合；構建全新的計算能力；人工智能與行業的結合。[2018/4/2]

雖然合約內部的tokenid、externalURI本身的內容是不可篡改的，但是URI所指向的外部頁面中的內容卻是可以修改的。如圖八所示，如果有人修改了外部鏈接中的內容，僅僅通過鏈上數據是無法檢測到的，在這種情況下，你的NFT資產隨時可能被別人掉包。也就是說對于上圖六、圖七所示的有綁定型NFT合約來講，是無法保證鏈上數據和鏈下資產的一致性的。這就是NFT中如何保證鏈下資產不可篡改性的中心化安全問題。

圖八、對有綁定型NFT的篡改

有綁定型NFT分為2種：弱綁定型NFT和強綁定型NFT

弱綁定型NFT即為上述所說：無法保證鏈上數據和鏈下資產一致性的NFT，例如圖六、圖七所示的即為弱綁定型NFT。

強綁定型NFT指的是可以保證鏈上數據和鏈下資產的一致性的NFT，也就是說存在某種機制，使得token所對應的鏈下資產無法被篡改，或者對篡改操作可以溯源的NFT。顯然，強綁定型NFT更加安全、可靠，也更符合區塊鏈“去中心化”的設計理念。

為了更好地了解當前的NFT生態，我們選取了截止到9月11號為止以太坊上歷史交易量最多的10個符合ERC-721標準的NFT合約來進行分析。遺憾的是，目前大部分有綁定型NFT都是弱綁定的：10個NFT合約中，除了3個無綁定型NFT，其余的7個有綁定型NFT中有6個都是弱綁定的。

案例分析：ArtBlocks

ArtBlocks在上述6個頭部弱綁定NFT中比較活躍且較具代表性，以下我們就以ArtBlocks作為案例分析的目標NFT。

ArtBlocks是一個專注于策劃可編程生成藝術作品的平臺。這些作品通常使用p5.js進行編程，p5.js是一個允許創造性編碼的JavaScript庫，腳本存儲在鏈上。當鑄造新藝術品時，會使用腳本隨機生成一個獨特的“種子”，從而生成獨特的藝術品。據Opensea顯示：截止到9月16號為止，ArtBlocks是七天之內成交量最大，歷史上成交總金額第二大的NFT。

圖九、Opensea平臺上NFT7天成交量排名

如圖十所示，從Opensea上可以看到tokenID為95000658的ArtBlocksNFTtoken的競價高達398.5ETH。

圖十、天價ArtBlocksNFTtoken

那么這個token背后所代表的是什么呢，我們在etherscan上通過合約接口去查看這個token的信息得到對應的URI為：https://api.artblocks.io/token/95000658。

圖十一、ArtBlocks合約接口

如圖十二所示，這個外部鏈接的內容為一個json格式的文件，其定義了藝術品相關的信息，在這個json文件中，給出了指向圖片藝術品的URI。我們注意到無論是鏈上保存的tokenURI還是鏈下保存的imageURI，這些URI都指向的是ArtBlocks這個項目方私有的站點，并且沒有校驗機制。簡而言之，如果項目方私下更改URI內的內容，那么用戶的NFT收藏品就會被掉包。顯而易見，作為一個多級弱綁定型NFT，ArtBlocks是存在中心化安全隱患的。

圖十二、Art?BlocksNFTtoken的鏈下信息

此外，我們之前也提到過在弱綁定的NFT中，如果有人獲得了你的token所對應的外部鏈接的控制權，那么他就可以修改這個鏈接內的內容，從而可以在神不知鬼不覺的情況下掉包你的NFTtoken。雖然弱綁定的NFT從某些方面可以省去一些成本、提高開發效率等，但是這些是以犧牲NFT的安全性為前提的。

區塊鏈的初衷之一便是去中心化加上密碼學機制所帶來的安全性和不可篡改性。如果說我們拋棄了這些特性，那么存在于區塊鏈之上的NFT又和傳統的證書方式有何異處呢？

可以做得更好

目前多數有綁定型的NFT都是弱綁定型NFT，無法有效地保證鏈上的token和鏈下的數據完全一致。而強綁定型NFT，采取了特殊的方法來保證token鏈上鏈下信息的一致性。強綁定型NFT主要有以下兩種實現方法：

第一種是通過以IPFS為代表的基于區塊鏈、分布式網絡存儲實現強綁定機制的NFT：

圖十三、IPFS強綁定型NFT

這種方式通過將文件存放在不可篡改的區塊鏈或者分布式網絡存儲系統上來保證鏈上信息和鏈下信息的一致性，例如IPFS或者是Arweave，由于其文件系統的技術特點可以保證文件一旦上傳便不可篡改，因此token信息的一致性不會被破壞。如圖十三所示即為使用IPFS的NFT：這種NFT合約中存儲了每個token對應的外部IPFSURI地址，由于IPFS文件系統是分布式、點到點、且不可篡改的文件系統，文件一旦上傳到IPFS網絡中就不可再更改，因此每個token所對應的鏈下信息也是不可更改的。RARINFT就采取了這種方式。

采用以IPFS為代表的基于區塊鏈、分布式網絡存儲實現強綁定機制的NFT合約的優點是合約中只需要記載token對應的URI信息，節省了鏈上存儲空間。缺點是區塊鏈或者分布式網絡存儲系統使用起來比較麻煩，對于普通用戶不友好，使用成本較高。

第二種是通過哈希指針實現強綁定機制的NFT：

哈希指針，英文為“HashPointers”，就是一個指向數據存儲位置，以及該存儲位置里面的數據的哈希值的指針。一個普通的指針可以告訴你數據存儲的位置，而哈希指針不但可以告訴你數據存儲的位置，還可以給你一種方式，讓你驗證數據沒有被篡改過。

圖十四、哈希指針強綁定型NFT

如圖十四所示，在使用哈希指針實現強綁定的NFT中，鏈上合約內部存儲了第一層外部鏈接的哈希指針，第一層外部鏈接內保存了第二層外部鏈接的哈希指針......每一級的存儲系統都保存了指向下一級的哈希指針，在這種機制下，如果某一層的內容被篡改了，那么一定可以被追查到被篡改的地方。

采用哈希指針方式的強綁定型NFT合約的優點是易于使用，外部文件的存儲不僅僅局限于區塊鏈或者分布式網絡存儲系統，還可以使用http、https等萬維網協議。缺點是在每一級的存儲結構中都要存儲下一級鏈接的哈希指針，較為浪費空間，尤其在寸土寸金的區塊鏈上，多存一部分的內容的開銷不容小覷。

從安全角度來講，我們建議NFT合約的設計規范應符合以下條件之一：

1.采用非綁定式NFT，即全部數據都放在鏈上

2.采用類似基于IPFS機制實現的的強綁定NFT

3.采用基于哈希指針實現的強綁定NFT

總結

本文分析了以太坊上的交易量最多的10個NFT合約，這其中大多數合約都是弱綁定型NFT合約，弱綁定合約存在不容忽視的中心化安全問題，從某種程度上講，弱綁定型合約就像是一個披著區塊鏈外皮的中心化證書系統，而中心化的權力機構擁有對NTF的絕對控制權，在這種情況下，你口袋中的NFT不是屬于你自己的，只是別人暫時賦予你它的使用權限，而且隨時可收回，這在去中心化的世界中不可不謂是一種倒行逆施。

安全工作無小事，天堂地獄一念間。在去中心化的世界中技術應該幫助建立起一個公平公正的框架，而不是那種披著去中心化外皮的傳統中心化體系。目前，NFT的發展方興未艾，一系列的標準有待確立，舊的世界需要被打破，新的秩序急需建立。我們有理由相信，一個真正的去中心化的NFT世界終會到來。

附錄

本文所分析的10個以太坊上的NFT合約

Tags：NFTTOKKENTOKEMYNFTDplatform TokenSelfdrop TokenESCX Token

XRP