本文 Hash (SHA1): bd9ca749e77416b81d65fff2457626ecfdaf59e2

編號: 鏈源 Security Knowledge No.022 

近期國產遊戲3A大作《黑神話：悟空》可謂引發全球遊戲玩家的熱捧，成功吸引了大量國內外玩家關注，同時也引發了大家對區塊鏈遊戲（GameFi）發展的思考。在Web3遊戲的持續發展中，安全性和創新模式始終是關鍵問題。以 EVM 兼容的遊戲專用鏈 Ronin Network 爲例，在 2022 年 3 月，Ronin Network 經歷了一次嚴重的安全事件。黑客盜取了 5 個驗證器的私鑰，並僞造提款，導致超過 6 億美元的損失。這起事件不僅是加密貨幣歷史上最大的黑客攻擊之一，也成爲鏈遊領域最嚴重的安全事件之一。通過仔細審視這樣的安全風險，Web3遊戲需要不斷提高技術防護手段，以確保玩家的資產安全和整體遊戲生態的穩定。

黑悟空引發的 GameFi 發展反思  

  • 提升遊戲體驗的整體質量 

《黑神話：悟空》的成功不僅在於其文化背景，還因爲它擁有出色的視覺效果和流暢的遊戲體驗。GameFi 項目要想取得類似的成功，必須確保遊戲充滿趣味性和吸引力，這要求開發者深入挖掘遊戲性，而不僅僅是炒作技術。在去中心化環境中提供同等質感的高質量體驗是鏈遊面臨的核心挑戰之一。通過優化智能合約、提高區塊鏈的處理能力、減少交易成本等手段，可以確保玩家不被技術限制所影響，從而提升遊戲體驗。    

  • 打造可持續的經濟系統

儘管 GameFi 通常依賴“賺取即玩”（Play-to-Earn）模式，但過度依賴這種策略可能導致經濟體系的不可持續性。《黑神話：悟空》的設計理念爲鏈遊提供了啓示——可以採用複雜多樣的經濟模型，基於玩家貢獻引入獎勵體系，確保經濟參數的穩固。Token 不應作爲遊戲的根本動力，而應視爲增值服務之一。過度依賴 Token 的價值會使遊戲陷入惡性循環。       

  • 加強社區和用戶參與

《黑神話：悟空》背後有一個充滿熱情的玩家社區，這種社區力量是遊戲成功的重要因素之一，這同樣是鏈遊成功的關鍵因素。鏈遊開發者應重視社區建設，通過 DAO 等形式賦權於玩家，提高用戶粘性。然而，這一切的基礎在於遊戲質量足夠吸引，值得玩家的長期投入。許多團隊只追求短期收益，缺乏長週期投資的勇氣，因此難以實現如傳奇般的成功。

  • 增強玩家的歸屬感和創造力 

在《黑神話：悟空》中，遊戲角色與故事由開發者掌控；而在鏈遊中，玩家可以通過 NFT 和智能合約真正擁有遊戲內資產。這樣的設定能提高玩家的歸屬感和創造力，打造更具吸引力的生態系統。          

  • 鏈遊的內在價值與挑戰

鏈遊的主要問題在於過度依賴 TOKEN 化，忽視了遊戲性。開發團隊應學會在風險與收益之間找到平衡。作爲消遣活動，遊戲應將娛樂置於首位而非經濟收益。雖然鏈遊通過上鍊解決了傳統遊戲中的一些弊端，如資產所有權、變現能力和資產互通等，並提升了透明性和公平性，但許多鏈遊只是簡單地在傳統遊戲中植入代幣經濟。黑悟空的案例提醒了我們，要深度結合遊戲設計與區塊鏈技術，才能創造新的黑神話，推動行業不斷髮展前進，滿足市場對高質量內容日益增長的需求。例如，可探索基於區塊鏈的跨遊戲資產互通、去中心化的遊戲世界生成，以及玩家自主的經濟系統等創新。            

GameFi 新模型：ServerFi

今年 8 月 12 日，一篇據說由“耶魯大學教授”發表的論文首次提出了“ServerFi”的概念，指出它“強調通過資產合成實現私有化，並專注於爲高留存玩家提供持續獎勵的模型”。研究表明，ServerFi 在保持玩家參與度和確保遊戲生態系統長期可行性方面效果顯著。ServerFi 的核心主要集中在以下三個方面：  

1. 遊戲人數:是 ServerFi 成立的前提。玩家數量不足會限制玩家之間的互動和資產的創造，這是 ServerFi 和傳統 GameFi 都面臨的主要挑戰之一。

2. 服務器價值:是 ServerFi 運轉的核心。通過遊戲內經濟系統的完善，服務器積累可量化價值，與法幣體系聯動。這種價值形成和貨幣化是 ServerFi 模型持續動力的關鍵。        

3. 貢獻回報比:作爲可調參數，改變了傳統遊戲中的固定收益設定。ServerFi 則將玩家、服務器和項目方構建爲一個利益共同體，從而激勵各參與方的投入和維護。          

GameFi 鏈上鍊下安全問題  

遊戲的本質是消遣，娛樂，傳統的web2遊戲與web3遊戲有很大的不同，，因爲 GameFi 將不僅爲玩家提供了代幣激勵，還賦予了玩家對於遊戲資產的所有權，以加密經濟和去中心化爲特點打造遊戲項目。然而目前的鏈遊市場魚龍混雜，真假難辨，花樣層出不窮，坑點很多，GameFi 的發展中面臨着許多安全漏洞與黑客的攻擊，這些威脅不僅對用戶的資產安全構成了嚴重威脅，也對整個 GameFi 生態的健康發展帶來了嚴重的負面影響。            

鏈上安全挑戰有：

  • 代幣合約漏洞

GameFi 項目通常使用一種或多種代幣進行遊戲內的購買和獎勵。代幣合約負責管理代幣的鑄造、交易和銷燬，若存在漏洞可能嚴重影響遊戲經濟體系。代幣合約常面臨中心化風險，合約所有者或管理員權限過高，可能修改交易費用、限制交易、增發代幣或調整賬戶餘額。         

  • 業務合約漏洞

GameFi 項目中的業務合約負責實現遊戲玩法和獎勵發放。開發者通常設計爲可升級合約。鏈源安全團隊對可升級合約的安全建議包括：          

初始化合約和依賴項：在部署時忘記初始化可能導致嚴重漏洞。

注意存儲衝突：合約升級時，修改存儲或會引發衝突，導致數據錯誤或資金損失。

權限控制：對合約升級權限進行限制，以防攻擊者通過私鑰竊取或治理攻擊獲取升級權限。

  • NFT 漏洞

NFT 在 GameFi 中用於代表玩家資產，其價值由數量和稀有度保證。不當實現可能帶來安全風險，尤其是隨機性生成。GameFi 項目應例如盲盒和隨機獎勵活動中使用可靠的信息源，以減少預測和操控風險。此外，項目方應安全存儲 NFT 的元數據，與 IPFS 哈希值，以防元數據提前泄漏。運營方需要謹慎區分 ERC-1155 和 ERC-721 代幣的區別。ERC-1155 支持批量轉移，ERC-721 則需要多次劃轉。之前，Arbitrum 鏈上的 TreasureDAO 就因未區分這兩種代幣而遭到攻擊。    

  • 跨鏈橋漏洞

跨鏈橋用於在不同區塊鏈網絡間同步遊戲資產，是提升 GameFi 項目流動性的重要組件。危險在於合約漏洞可能導致資產在連接的鏈上不同步。跨鏈橋驗證節點也是潛在風險，建議增加驗證節點並安全存儲私鑰。

鏈下安全挑戰有：

大多數 GameFi 項目依賴鏈下中心化服務器來處理部分後端邏輯和接口，這些服務器存儲着關鍵信息，包括遊戲邏輯和玩家賬戶數據，容易受到惡意攻擊。如：

  • 篡改 NFT 數據

遊戲 NFT 的元數據關鍵，但很多 GameFi 項目傾向於將其存於中心化服務器，而非像 Arweave 這樣的去中心化設施，這增加了內部或外部攻擊者篡改數據的風險，影響玩家資產的所有權和利益。

  • 釣魚攻擊

攻擊者通過釣魚獲取項目方敏感信息，如遊戲金庫的私鑰或 GitHub 賬號，可能引發供應鏈攻擊、擴大攻擊規模並造成更多損失。              

結語

塑造未來Web3遊戲的道路充滿了機遇與挑戰。通過一些新的技術發展，我們看到了在維護遊戲公平、安全和創新方面的新希望，同時也從《黑神話：悟空》這樣的成功案例中汲取了寶貴經驗：高質量的內容和優秀的遊戲體驗仍然是吸引玩家的核心。然而，遊戲開發者須警惕潛在的安全威脅，尤其是在鏈上和鏈下的技術實施中。通過加強技術防護，提高經濟模型的可持續性，並促進行業內更廣泛的社區參與，Web3遊戲有望在未來實現更強的增長和更深的玩家連接，最終推動整個 GameFi 行業的積極發展。

鏈源科技是一家專注於區塊鏈安全的公司。我們的核心工作包括區塊鏈安全研究、鏈上數據分析，以及資產和合約漏洞救援，已成功爲個人和機構追回多起被盜數字資產。同時，我們致力於爲行業機構提供項目安全分析報告、鏈上溯源和技術諮詢/支撐服務。   

感謝各位的閱讀，我們會持續專注和分享區塊鏈安全內容。