Pourquoi le phishing est-il si facile à réussir dans Web3 ?
ce n'est pas parce que les utilisateurs sont trop stupides, ni parce que les hackers sont si puissants.
Mais ce système, dès le départ, a laissé la « compréhension du coût de la sécurité » aux utilisateurs.
Il y a quelques jours, un vieux frère du groupe a eu un problème.
J'ai cliqué sur une nouvelle autorisation de protocole, ça avait l'air normal, l'interface utilisateur était assez bien faite.
Résultat, en moins de dix secondes, les actifs du portefeuille ont été vidés.
Ce genre de chose est très courant dans Web3, à part faire très attention, nous n'avons pas d'autre moyen.
Mais pour être honnête, maintenant ces contrats d'agents, les transferts d'autorisation, et les appels obscurs,
Ne parlons même pas des petits investisseurs, même les développeurs normaux doivent y passer un moment.
La question est en fait très simple :
Pourquoi un système doit-il obliger les utilisateurs à comprendre le code pour garantir la sécurité ?
La logique de Web3 est maintenant la suivante :
Ta signature = autorisation
Contenu de l'autorisation = entièrement public
Coût de compréhension = à la charge de l'utilisateur
Ça a l'air très "décentralisé", mais ça veut aussi dire que le risque est décentralisé.
Je regardais récemment le livre blanc de @MidnightNetwork et j'ai découvert qu'il essayait en fait de modifier cette logique de base.
Sa technologie de base n'est pas seulement le ZK (preuve à connaissance nulle),
Mais c'est une combinaison de trois choses :
Divulgation sélective + Protection des données programmable + Modèle de ressources à double couche.
1. Divulgation sélective (Selective Disclosure).
Sur les chaînes traditionnelles, toutes les données sont par défaut publiques. Et la logique de Midnight est inversée :
Par défaut, c'est privé, seules les parties que tu déclares seront publiques.
Cela repose sur des preuves à connaissance nulle (ZK). En termes simples : tu peux prouver que "tu as raison", mais sans dire aux autres "ce que tu as fait concrètement".
Par exemple, pour l'authentification : sur une chaîne classique, tu dois soumettre toutes les informations ; sur $NIGHT , tu n'as qu'à prouver "je réponds aux critères". Ce n'est pas seulement une question de confidentialité, mais aussi de sécurité.
2. c'est la protection des données programmable (Programmable Data Protection).
C'est un point très important, il résout le problème de "l'opacité des permissions".
Le problème actuel des contrats est :
tu signes, mais tu ne sais pas comment tes permissions seront utilisées.
Et la conception de Midnight est :
Les développeurs doivent clairement indiquer :
quelles données seront utilisées, lesquelles seront publiques. En d'autres termes, les permissions ne sont plus "implicites", mais doivent être "déclarées explicitement".
Le changement apporté est :
Les attaquants ont du mal à "cacher les chemins de permissions" avec une logique complexe, car le système lui-même n'autorise pas ce type d'espace flou.
3. c'est son modèle économique : NIGHT + DUST.
Sur les chaînes traditionnelles, chaque transaction te coûte des frais de Gas, et le Gas est public. Cela signifie que : ton chemin d'action, le temps, le montant, tout peut être tracé.
Midnight a décomposé cette question :
NIGHT : jetons publics (gouvernance, récompenses
DUST : ressources de confidentialité (utilisées pour les transactions)
DUST a quelques caractéristiques clés : non transférable, se dégrade, utilisé uniquement pour exécuter des opérations.
ce qui signifie que les transactions n'exposent plus directement les comportements financiers. Les autres ne peuvent pas déduire ta logique d'action à partir des frais et des chemins.
Techniquement, ces trois points forment en fait un cercle fermé :
Les données sont par défaut cachées (ZK)
Les permissions doivent être déclarées (protection programmable)
Trajectoire comportementale atténuée (mécanisme DUST)
Si un jour, il y a moins de cas de "vider son portefeuille d'un clic", ce n'est probablement pas que les utilisateurs deviennent plus malins, mais que le système commence enfin à assumer une partie de la responsabilité pour les utilisateurs.