Kordan Ou

很榮幸作為「信賴科技與數位資產」的專家受邀。

為 2035 科技前瞻,探討台灣 2035 遠景及社會、科研、環境、經濟、政治及戰略五大面向關鍵議題。舉辦科學技術白皮書(112~115) 經濟面議題分群會議,針對國際性議題,包括:供應鏈韌性與布局、綠色經濟(含綠色製造、綠色數據經濟)、信賴科技與數位資產三項議題探討。

關於我國未來發展的重要性議題

(一)針對新的金融科技範疇,如何對其進行監理尚無眉目

  • 監管法院與機構定位:在我國,針對虛擬通貨是否納入管理,除洗錢防制部分外 ,亦尚未有定見。
  • DeFi(去中心化金融)生態系與傳統法規係以「單一行為主體」的機構型監理,透過特許制及集中市場予以監管,兩者即產生強烈衝突。監管者無從沿用傳統法規,使「不存在之主體」課予責任。

(二)隨著個人資料保護的意識提升,如何在避免人格、隱私權受侵害的前提下,促進資料的合理利用以提升監管科技的效率。

  • 科技風險與容錯處置能力:生物辨識有可能產生不同之錯誤,如接受誤差率及拒絕誤差率,科技風險將由誰來承擔?每家銀行體質不一樣,風險承擔能力亦不同。
  • 金融交易資料的定義、範圍與存儲管理:各家金融機構或第三方服務業者蒐集客戶重大個資資料後,要放置何處?
  • 監管科技利用資訊技術,整合監理制度與法規要求,提供分析與管理的工具當中可能會接觸並運用到個人資料執行法令遵循管理。
  • 指紋紀錄、臉部辨識等等,仍存有法律及道德爭議。故主管機關須要求企業組織建立個人資料或資訊安全之管理制度、内部控制或稽核作業程序、規範,亦須針對相關法令規範,做出明確定義。

根據上述重要議題,待解決的困難與挑戰(政策缺口)

研擬虛擬通貨相關法令應兼顧金融創新與風險控管虛擬通貨所使用的區塊鏈或分散式帳本技術,將是未來金融科技發展的重要趨勢,應用面之影響恐會深遠廣泛,故深受各國重視。臺灣若要在國際金融科技競技場上領先,除應加強相關風險控管措施,如洗錢、資恐、使用者權益等,更應積極推動金融創新,建議參酌美國及日本等先進國家規範,加速制定並完善相關規範,包含規定交易平台採實名制以有效控制風險,從法律上確立虛擬通貨的合法地位,並讓交易所有更明確的標準遵循,保障交易大眾的權益 。

政府應該成立金融科技專責機關整合研議相關管理法令針對虛擬通貨的管理,在洗錢防制部分,主管機關應是法務部調查局,「虛擬通貨業」屬金融科技業,金管會為金融科技業主管機關,則有關金融科技發展部分自應由金管會負責無疑。虛擬通貨業作為新興行業之一,經濟部則應配合訂定業別和業別代碼,以利公司登記。

金管會雖是金融科技業主管機關,然而目前似無相對應的人力編制與預算編列,尤其金融科技涉及領域甚多,在研議相關管理法令時,更需要整合各主管機關規範。以虛擬通貨為例,除洗錢及資恐等方面,相關主管機關已有因應外,但在虛擬通貨的稅務申報方面,則因其屬性究竟為何尚有未明。此外,虛擬通貨是否屬於應課徵營業稅範疇的商品或勞務、價格如何決定、若涉及跨境交易,尚須考量各國家或地區的課稅規範,並注意潛在跨境衍生的功能風險配置及移轉訂價等以上總總議題 ,也有待各相關主管機關共同研議,以做為財政部研議對其課稅的依據。

未來需要法令遵循之加速器,如主題式監理沙盒進而建構相關法規,並提供監理官足夠之資源,監管科技利用資訊技術,整合監理制度與法規要求,提供分析與管理的工具當中可能會接觸並運用到個人資料執行法令遵循管理,例如:指紋紀錄、臉部辨識等等,仍存有法律及道德爭議。

故主管機關須要求企業組織建立個人資料或資訊安全之管理制度、内部控制或稽核作業程序、規範、金融交易資料的定義、範圍與存儲管理,亦須針對相關法令規範,做出明確定義。

值得台灣借鏡的作法與因應策略

針對使用者資料保護的部份,可以參考世界先行者歐盟的相關作法:

  1. 從歐盟GDPR 看全球隱私與安全保護發展趨勢
  2. Blockchain and the General Data Protection Regulation

針對虛擬通貨,可以參考已經對虛擬通貨有明確監管規範的國家學習以促進我國的法律確定性,並明確監管制度,提高基於區塊鏈的應用相關的領域的重要性。

有明確監管規範的國家,如:

  • 美國:美國 SEC 敦促國會立法,給予SEC對數位資產更多的監管權。同時,SEC還在致力於牽頭建立一個針對加密資產的廣泛監管框架,使得美國多個監管機構明確劃分出市場監管範疇進而各司其職,乃至全部數位資產納入監管。
  • 加密貨幣交易所:主要由美國金融犯罪執法網絡(FinCEN)進行監管,側重點在資金轉移和反洗錢(AML)。根據《銀行保密法》,FinCEN監管貨幣服務企業(MSB)。 2013年3月,FinCEN發布指南,確定加密貨幣交易服務提供商為MSB。在此框架下,加密貨幣交易平台須獲得FinCEN許可,實施全面的反洗錢風險評估和報告機制
  • 加密衍生品:美國商品和期貨交易委員會(CFTC)將加密貨幣視為商品,根據《商品交易法》,加密貨幣期貨、期權和其他衍生合約交易必須在CTFC監管的交易所公開交易。芝加哥期權交易所和芝加哥商品交易所提供與比特幣價格掛鉤的期貨交易• 加密投資稅收:美國國稅局將加密貨幣視為財產而進行徵稅。公民個人而言,作為資本資產持有加密貨幣超過一年、且已實現收益的,均需繳納資本利得稅;持有時間少於一年並獲得收益的,繳納普通所得稅
  • 紐約州:2015年8月率先提出針對加密市場的全面監管框架BitLicense,這也是加密行業最具影響力的牌照。 BitLicense包括關鍵的消費者保護、反洗錢合規性以及網絡安全指南,該法規對任何使用加密貨幣的居住在紐約的公司或個人進行了規定,要求涉及處理涉及虛擬貨幣業務的公司必須申請執照。紐約州還針對加密貨幣託管公司推出了信託憲章(Charter)
  • 懷俄明州:美國對加密貨幣較為友好的地區,頒布了十多項相關法案。其中最有影響力的是2018年3月通過的HB70《開放區塊鏈代幣豁免》法案,其中提出類似“實用代幣”的資產類別。根據該法案,如果發行的代幣不作為投資,僅用於消費目的,如交換、用於接收商品和服務等,則可免除受《聯邦證券法》的約束
  • 日本:2016年5月日本國會通過法案修改《資金結算法》並在17年4月正式生效,使得該法律中增加了“虛擬貨幣”一章,將虛擬貨幣明確為一種結算、支付手段,並具有財產性價值,該法案也明確推出了加密資產交易所監管機制,只有在日本金融廳/財政局註冊的企業才能在該國提供加密貨幣兌換服務;此外,截止2021年,日本在加密資產交易和管理、保證金交易、證券化代幣、加密資產交易稅、加密資產行業自主監管等方面,陸續建立了法律法規。
  • 新加坡:新加坡金融監管局(MAS)是新加坡負責監管加密市場的主要機構,MAS將代幣分為應用型代幣、支付型代幣以及證券型代幣。 2017年,MAS發布《數位代幣發行指引》,對該國數位代幣發行行為進行引導與監管,此後多次修改並在19年推出最新版,其中還提出11個具體案例。根據該指引,在涉及到發行證券性質的代幣時,發行方需要獲得資本市場服務牌照;在涉及到交易證券性質的代幣時,交易平台獲得受認證的資本市場運作者(RMO)牌照;在涉及到提供代幣相關的財務諮詢服務時,該公司需要獲得財務顧問牌照。同時,所有相關業務運營方都應遵守反洗錢和反恐怖融資相關法律的規定。 MAS還在2019年推出了監管沙盒機制,使金融機構和金融科技參與者能夠在真實環境中但在明確定義的空間和持續時間內試驗創新的金融產品或服務
  • 英國:英國負責監管加密市場監管的主要機構的英國金融行為監管局(FCA),重點監管反洗錢和反恐怖主義融資。 2020年1月,FCA獲得監管權力以監督加密資產企業如何管理洗錢和反恐融資風險,自此英國加密資產企業必須遵守《洗錢條例》(MLR) 並向FCA註冊。 FCA認為,證券型代幣是指提供某種權利的代幣,包括所有權地位、償還特定金額的款項、分享未來利潤的權利等,傳統證券所涉及的所有規則都適用於證券型代幣
  • 中國香港:中國香港證監會是中國香港加密資產的主要監管機構,2017年、2019年,其分別就首次代幣發行(ICO)及證券型代幣(STO)發表聲明,明確可代表股份、債權證及集體投資計劃等權益的加密貨幣均被視為“證券”,與證券型代幣相關的交易、諮詢、基金管理、分銷活動都會受到中國香港《證券及期貨條例》的監管。 2019年11月,中國香港SFC發布《監管虛擬資產交易平台立場書》,制定了交易平台發牌制度,並公佈具體發牌條款和條件。

其他參考資料:

--

--

智能合約本身是一種新形態的開發方式,需要仔細且勤奮的審查,才能實作安全、高效的智能合約從而降低漏洞風險。

尤其是 DeFi 在動輒影響數百萬美元的情況下,很多項目都是因為智能合約的漏洞無法持續經營,具體事件可以參考 rekt.news,記錄了過去大部份的 DeFi 資安事件

在軟體開發週期引入適當的工具就可以在監測問題後立即識別並解決問題,最大化安全度以及開發者的生產力,最大限度地降低從智能合約開發週期開始時被黑客入侵的風險。

在區塊鏈開發中,最重要的原則就是盡可能不要重造輪子,使用經歷市場多年驗證的智能合約(例如:不要自己寫一份 ERC20 合約),可以降低被攻擊的風險,預防總是勝於治療。

Ref: The Importance of a Multi-Layered Smart Contract Security Strategy | ConsenSys

第一道防護:自動化安全分析(MythX)

MythX 是一個自動化的安全分析工具,可以進行靜態分析、動態分析和符號執行(Symbolic Execution)。它會發現已知漏洞找到它們的原始碼執行並生成包含所有問題摘要的詳細報告。

MythX 是安全防護中的第一層,用於查找智能合約中的漏洞。它的進入門檻最低,因為你只需在 MythX 網站上創建一個免費帳戶即可開始使用。 就可以在開發週期中持續使用。使用像 MythX 這樣的自動化、易於訪問的工具將消除可避免的漏洞,並通過防止智能合約在後期重寫來最大限度地提高生產力。

第二道防護:插入程式碼標註測試(Scribble)

Scribble 是做 Diligence Fuzzing 的先決條件,它是一種用於編寫特定於智能合約屬性的規範語言,也是一種將 Scribble 屬性轉換為具體的 Solidity 斷言的運行時驗證工具。Scribble 允許其他工具(例如現有的測試套件、 Fuzzer 、和符號執行器)自動測試屬性。

Scribble 是 Diligence 安全策略的第二層。該產品通過插入 Solidity 斷言來檢查開發規範來發現漏洞。Scribble 可以檢測測試套件沒有 Solidity 斷言來檢測的錯誤。使用 Scribble 可以輕鬆記錄程式碼並通過額外的檢查來增強測試套件。

第三道防護:模糊測試(Fuzzing)

Diligence Fuzzing 使用戶能夠在編寫他們的第一個 Scribble 屬性後將自動或半自動生成的亂數據輸入到一個程式中,並監視合約異常,如:斷言(assertion)失敗。

Fuzzing 使用自動測試 Scribble 屬性 的灰盒模糊測試技術。 Fuzzing 顯著提高了智能合約的安全性。Fuzzer 將風險降至最低,並通過執行數百萬個智能選擇的輸入來檢查智能合約是否正在做他們應該做的事情。

第四道防護:單點抽查(Spot Check)

如果使用的是 Solidity,可以透過 Ethereum 基金會提供的開發者建議檢查的安全清單,將過去發生過的常見錯誤,逐項的來抽查合約內容,目標是找出任何總體設計的不一致、以及資安有漏洞之處。

抽查是資安防護的倒數第二層,以準備進行全面的手動安全審計,抽查有助於識別設計不一致以準備審計,並且是對 MythX、Scribble、Fuzzing 和全面審計的補充。

第五道防護:第三方安全審計(Auditing)

最後但並非最不重要的一點是, 全面手動安全審計 是由我們經驗豐富的智能合約安全審計團隊進行的深入代碼審查,他們將手動仔細檢查程式碼以識別漏洞。完整的手動安全審計是安全策略的最後一層。人工審核程式碼可防止啟動後潛在的災難性漏洞。

在送合約審計之前,可以使用完整的智能合約安全審查工具來為審計做準備:Blockchain Security Tools | ConsenSys Diligence ,可以為審計節省很多不必要的費用與時間開銷。

KryptoGO 的 KYABC 包含了自然人、企業法人、以及區塊鏈資金的審查:

Know Your Address:查看我們識別的交易對手區塊鏈地址,包括錢包類型、交易資訊、對應的服務或實體、與風險評分。

Know Your Business:審查交易對手 VASP 的信譽,確保這筆交易與資訊交換是安全可靠的。

Know Your Customer:審查發起人與受益人的身份,合乎反洗錢規範。

並且,通過 KryptoGO 的中繼 API,加密貨幣企業可以自動與受信任的交易對手進行交易,同時為他們提供檢測可疑活動和滿足監管要求所需的數據,在不同的 Travel Rule 協議互通轉發完成交易,幫助我們的客戶能夠大規模地符合 Travel Rule,應對所需的所有挑戰。

--

--

Photo Credit: https://unsplash.com/photos/F7DAQIDSk98

區塊鏈以及虛擬貨幣成為最新的投資熱點,但是因為技術帶來的高進入門檻讓很多詐騙有縫隙可鑽,以下分享的 10 個注意事項,幫助你保障自己的資產安全:

  1. 遇到任何問題一定要找到官方的管道:不要相信網路上任何人,網路上的論壇有可能讓你的帳號曝露風險。
  2. 永遠不要告訴 “任何人” 你的助記詞或私鑰:錢包的助記詞是完全私人的,即使是你再信任的人也是如此,因為你不知道他會不會不小心洩露的助記詞,越少人知道越好。
  3. 確保你的所有應用都是官方鏈接下載的:最好是從 Google Play 或是 App Store 下載,不要隨意安裝來路不明的軟體。即使因為 OS 版本問題需要下載 APK,也一定要從官方管道下載。
  4. 不要點擊未知的鏈接:在瀏覽網站以及在社交媒體或 Discord 上與他人互動時保持警惕。避免點擊陌生人發送的廣告、圖片或鏈接。
  5. 切勿重複使用密碼:善用密碼管理器隨機生成密碼,讓密碼洩露造成的損失是有限度的。
  6. 使用雙因子(2FA)認證登入你的帳號:使用 Google Authenticator 和 Authy 等應用啟用雙重身份驗證,如果可能,再搭配 SMS 2FA,還可以考慮升級到硬體的 2FA 設備以獲得額外的安全性。
  7. 使用冷錢包保管助記詞:可以為加密資產增加額外的安全性,並且確保助記詞完全不會連接到網際網路上面。
  8. 在批准(Approve)合約交易時查看批准限額:並且經常性的檢查是否有已經能用不到的批准。
  9. 看起來好得令人難以置信,通常就是詐騙:如果收到私訊送白單、告知中獎、或是非常低的私募價格讓你認購,請不要相信。
  10. 小心操作每一筆交易:區塊鏈的任何交易都是不可逆轉的,因此盡職調查至關重要,透過 KYABC 了解背後的資金來源、開發者、以及團隊。

KryptoGO 的 KYABC 包含了自然人、企業法人、以及區塊鏈資金的審查:

Know Your Address:查看我們識別的交易對手區塊鏈地址,包括錢包類型、交易資訊、對應的服務或實體、與風險評分。

Know Your Business:審查交易對手 VASP 的信譽,確保這筆交易與資訊交換是安全可靠的。

Know Your Customer:審查發起人與受益人的身份,合乎反洗錢規範。

並且,通過 KryptoGO 的中繼 API, 加密貨幣企業可以自動與受信任的交易對手進行交易,同時為他們提供檢測可疑活動和滿足監管要求所需的數據,在不同的 Travel Rule 協議互通轉發完成交易,幫助我們的客戶能夠大規模地符合 Travel Rule,應對所需的所有挑戰。

--

--

隨著越來越多的 NFT 項目發行方,整個產業也更多的良莠不齊,隱藏著許多土狗圈錢一波流的項目。如何辨識好的 NFT 項目是購買/鑄造前最關鍵的事情,相關的事件分析可以參考 KryptoCamp 之前的兩篇分析文章:

  1. 為什麼 EchoX NFT 專案 We are What We Eat 會偷跑與超賣?該如何避免? — KryptoCamp
  2. 如何避免 YOLO-Cat-Club NFT專案合約偷跑問題? — KryptoCamp
Photo Credit: The NFT scammers are here — The Verge

一、重中之重:智能合約程式碼的安全性與公平性

作為 NFT 最基礎也是最重要的部分,合約程式碼的安全是最根本的要求,可以檢查智能合約是否開源,使用的 Solidity 版本以及函式庫是否為業界標準,並且要避免白名單可以重複鑄造的低級錯誤,更進階的就是要防止各種機器人以及科學家。如:Azuki 為了優化 Gas 手續費提出的 ERC721A 標準 就非常值得推崇。

鑄造的公平性白名單取得機制

一般來說可以分成四種方式來作為白名單的限制

  1. 按照限額先到先得:通常配合 Gleam 等行銷工具來進行,每個人都可以參加,不過常見的熱門項目通常會因為白名單都被機器人以及專門搶白名單的人拿走而讓後續的社群失去火力。
  2. 抽籤機制:滿足一定的任務就可以進到抽籤池中,關鍵就在於抽籤機制是否足夠 “Crypto” 能取信於社群。
  3. 需要持有一定的 Token 或是滿足特定交易行為才可以鑄造:Token 包含 NFT 以及 FT,通常是根據原本的代幣或是 NFT 進一步的進行白名單空投使用的機制。執行簡單容易理解,卻不是對所有人都是公平的一種做法。
  4. 鏈下的驗證機制:通過實名認證 KYC 或是滿足社群舉辦的任何知識性活動作為篩選條件,這個的成本非常高,不過通常可以避免機器人或是一開獎就要拋售的投資客,有效凝聚社群的共識。

白名單列表的儲存方式

目前主要有三種方式來設置白名單地址列表:

  1. 以 map 資料結構儲存在合約中,鑄造的時候判斷地址是否為為白名單。優點是去中心化,前端頁面出問題可以直接在 etherscan 上直接寫入合約鑄造;缺點是白名單過多,儲存合約會消耗非常多的 Gas,鑄造的時候 Gas 也會相對較高。
  2. 儲存在項目方的中心化伺服器,通過 Signer 簽名返回簽章,鑄造的時候傳入合約中進行驗證,優點是簡潔高效,缺點是不夠去中心化。
  3. 用 Merkle Tree 資料結構儲存,並只保留 Merkle Root 於合約中,鑄造時傳入相應的 Proof 在合約中驗證,實作方式可以參考這篇文章

圖檔的去中心化程度

區塊鏈的公平、透明是讓這個行業發展壯大的基礎,然而 NFT 項目開圖的公平性卻很少人真的重視。絕大多數的圖片都存儲在自己架設的中心化服務器上,帶來的風險就是項目方可以隨意修改開圖結果,甚至直接將服務器下線跑路。

出道即巔峰的 Mekaverse 就是因為合約潛在的中心化操控,讓社群完全對於項目失去信心,另一個例子是 Ali NFT 直接洩露了 Metadata(NFT 屬性)開圖的 API

這方面做得不錯的是 Doodles,他們在鑄造之前就先將特徵散落生成 Metadata 檔案並且將檔案的雜湊值寫入智能合約中,開盲盒之後任何人都可以這份檔案和合約中的雜湊值驗證對比;另一種比較去中心化的做法是利用 Chainlink VRF 來提供鏈上隨機數,並且確認每次使用不同的隨機數。

二、鑄造活動網站的穩定性

許多熱門 NFT 項目在鑄造或是開盲盒的時候會因為巨大的流量或者駭客惡意DDOS,直接將後端服務打掛,活動上線前對 QPS 的預估,伺服器資源的配置、災難備源、備用降級方案都需要有周全的考慮。

然而多數的項目背後可能根本就沒有技術團隊,甚至前端頁面都有低級錯誤,例如:在前端弄錯 ABI 大小寫導致鑄造失敗以及錯字,呈現急急忙忙圈錢的樣子,這些都是可以作為投資考量的因素。

Azuki 因為這方面完全的展現 Ex-Googler 以及 Ex-Facebooker 的技術實力 ,又是實名團隊,讓社群對他們充滿信心,直至今日還是交易量前三大的 NFT 項目。

三、項目是否有對應路線圖的金庫多簽錢包,避免捲款而逃

NFT 太多捲款而逃(Rug Pull)的例子了,社群共識透過路線圖來凝聚,但實際上是否按照路線圖走,或者像是 ICO 白皮書寫完,資金到手之後就鳥獸散,好幾顆 ETH 最後只換來一張圖片。

MePunk 將所有的財務支出以及團隊金庫公開出來就是一個最好的示範,區塊鏈需要更多的公開透明才可以獲得社群的信任。如果要進一步要求,可以檢查路線圖裡面承諾的資金使用比例是否有照實實作到智能合約中,這些都可以透過 DAO 的社群治理投票以及智能合約來解鎖指定比例的資金

結語:基於執行團隊與社群選擇投資標的

再多的技術背後都是人寫的,不可能 100% 的去中心化,投資最重要的還是基於團隊的信任,相信他們不會作弊、不會跑路、並且出問題會勇於承擔解決問題,市場上各種濫竽充數的 NFT 項目,投資前最好花點時間到社群中感受氛圍才是最準確的。

--

--

Kordan Ou

Kordan Ou

Founder of KryptoGO. Crypto investor and enthusiast. More:https://kordan.me