USD:簡析 IPFS 監管風險：內容風險或由礦工承擔

內容風險是存儲系統的主要法律風險，但短期內無需過度擔心。

原文標題：《數據合規||IPFS，一場平臺到礦工的風險轉移？》來源：火小律

IPFS/Filecoin測試如火如荼的進行，越來越多的人開始擔心IPFS合規性問題，去中心化存儲會不會和國內網絡監管、數據安全政策沖突而腰斬？

火小律的觀點是，短期內無需過度擔心。項目太年輕，未來發展不確定性較多，需要時間發酵。監管不會過早出手。比特幣2008年問世，2013年監管第一次重視，威震業界的94文件更是2017年才發布，前后相差近10年。

關于去中心化分布式存儲，想要長久持續規模化發展，有些問題還需盡早考慮。本文僅根據現有官方消息及相關測試等情況，主要從礦工角度就法律合規問題做適當探討。

安全團隊：Defrost Finance被攻擊事件簡析:金色財經報道，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，Defrost Finance預言機被惡意修改，并且添加了假的抵押token清算當前用戶，損失超1300萬美元。攻擊者通過setOracleAddress函數修改了預言機的地址，隨后使用joinAndMint函數鑄造了100,000,000個H20代幣給0x6f31地址，最后調用liquidate函數通過虛假的價格預言機獲取了大量的USDT。后續攻擊者通過跨鏈的方式將被盜資金轉移到了以太坊的0x4e22上，目前有490萬美元的DAI在0x4e22地址上，有500萬美元的DAI在0xfe71地址上，剩余300萬美元的ETH被轉移到了0x3517地址上。[2022/12/25 22:06:35]

傳統云存儲服務商的常見風險

Beosin：SEAMAN合約遭受漏洞攻擊簡析:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin EagleEye 安全風險監控、預警與阻斷平臺監測顯示，2022年11月29日，SEAMAN合約遭受漏洞攻擊。Beosin分析發現是由于SEAMAN合約在每次transfer函數時，都會將SEAMAN代幣兌換為憑證代幣GVC，而SEAMAN代幣和GVC代幣分別處于兩個交易對，導致攻擊者可以利用該函數影響其中一個代幣的價格。

攻擊者首先通過50萬BUSD兌換為GVC代幣，接下來攻擊者調用SEAMAN合約的transfer函數并轉入最小單位的SEAMAN代幣，此時會觸發合約將能使用的SEAMAN代幣兌換為GVC，兌換過程是合約在BUSD-SEAMAN交易對中將SEAMAN代幣兌換為BUSD，接下來在BUSD-GVC交易對中將BUSD兌換為GVC，攻擊者通過多次調用transfer函數觸發_splitlpToken()函數，并且會將GVC分發給lpUser，會消耗BUSD-GVC交易對中GVC的數量，從而抬高了該交易對中GVC的價格。最后攻擊者通過之前兌換的GVC兌換了50.7萬的BUSD，獲利7781 BUSD。Beosin Trace追蹤發現被盜金額仍在攻擊者賬戶（0x49fac69c51a303b4597d09c18bc5e7bf38ecf89c），將持續關注資金走向。[2022/11/29 21:10:04]

討論IPFS法律合規風險，不得不先了解傳統云存儲的法律風險。

Beosin：sDAO項目遭受攻擊事件簡析:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin?EagleEye 安全風險監控、預警與阻斷平臺監測顯示，BNB鏈上的sDAO項目遭受漏洞攻擊，Beosin分析發現由于sDAO合約的業務邏輯錯誤導致，getReward函數是根據合約擁有的LP代幣和用戶添加的LP代幣作為參數來計算的，計算的獎勵與用戶添加LP代幣數量正相關，與合約擁有總LP代幣數量負相關，但合約提供了一個withdrawTeam的方法，可以將合約擁有的BNB以及指定代幣全部發送給合約指定地址，該函數任何人都可調用。而本次攻擊者向其中添加了LP代幣之后，調用withdrawTeam函數將LP代幣全部發送給了指定地址，并立刻又向合約轉了一個極小數量的LP代幣，導致攻擊者在隨后調用getReward獲取獎勵的時候，使用的合約擁有總LP代幣數量是一個極小的值，使得獎勵異常放大。最終攻擊者通過該漏洞獲得的獎勵兌換為13662枚BUSD離場。Beosin Trace追蹤發現被盜金額仍在攻擊者賬戶，將持續關注資金走向。[2022/11/21 7:53:09]

傳統的云存儲，也就是中心化云存儲，風險一般由云存儲服務商，即平臺承擔。

慢霧：DEUS Finance 二次被黑簡析:據慢霧區情報，DEUS Finance DAO在4月28日遭受閃電貸攻擊，慢霧安全團隊以簡訊的形式將攻擊原理分享如下:

1.攻擊者在攻擊之前先往DeiLenderSolidex抵押了SolidexsAMM-USDC/DEI的LP。

2.在幾個小時后攻擊者先從多個池子閃電貸借出143200000USDC。

3.隨后攻擊者使用借來的USDC在BaseV1Pair進行了swap操作，兌換出了9547716.9個的DEI，由于DeiLenderSolidex中的getOnChainPrice函數是直接獲取DEI-USDC交易對的代幣余額進行LP價格計算。因此在此次Swap操作中將拉高getOnChainPrice函數獲取的LP價格。

4.在進行Swap操作后，攻擊者在DeiLenderSolidex合約中通過borrow函數進行借貸，由于borrow函數中用isSolvent進行借貸檢查，而在isSolvent是使用了getOnChainPrice函數參與檢查。但在步驟3中getOnChainPrice的結果已經被拉高了。導致攻擊者超額借出更多的DEI。

5.最后著攻擊者在把用借貸出來DEI兌換成USDC歸還從幾個池子借出來的USDC，獲利離場。

針對該事件，慢霧安全團隊給出以下防范建議：本次攻擊的原因主要在于使用了不安全的預言機來計算LP價格，慢霧安全團隊建議可以參考Alpha Finance關于獲取公平LP價格的方法。[2022/4/28 2:37:18]

除卻常規的許可證申請等必備程序事項，最常見的2項風險，一項是數據合規風險，一項是侵權風險。

數據合規風險，目前更多的還是針對個人信息的保護，涉及數據收集、使用、存儲、流動、刪除、跨境等多個環節的合規要求。核心是避免不必要的采集和防止泄露，而數據出境，即數據的跨國流動則需滿足更高的要求。

侵權風險，主要指存儲內容涉嫌侵犯他人知識產權時，平臺應采取哪些合理措施以免責。一般情況遵循「通知-刪除」規則，即當平臺接到用戶侵權通知后，需及時采取刪除、屏蔽、斷開鏈接等必要措施，若失職導致損害擴大，需對擴大部分承擔連帶責任。但針對阿里云等Iaas服務商，并不適用上述規則。主要還是根據服務商具體的服務性質、服務內容以及是否存在衍生性技術服務等綜合判定，法律上較為復雜，這里就不展開了。

一場平臺到礦工的風險轉移？

縱觀IPFS白皮書，剖開所有的修飾詞和特征，核心還是云存儲，只是采用分布式的方式，即提供具體存儲服務的從平臺換成了個人。

由此產生2個問題。

第一，信息自由存儲是否意味著無需滿足監管要求？

顯然不是。一切只有在合規的要求下才能長久有序的發展，這個道理大家都明白，無需多說。

既然需在監管框架下運行，為何開篇又說暫時無需擔心可能的監管沖突？這是個「短期」vs「長期」的問題。現實的說，實務中監管無法滲透到方方面面，即便是已然成熟的行業，也難免有缺失和滯后，更何況是短期內未成氣候的。

第二，分布式存儲是否意味著平臺責任轉移至個人？

某種程度上是的。根據現有信息及測試網運行情況，無論存儲或是檢索，礦工均是有償服務。而這一過程中平臺并不撮合交易，一切由用戶和礦工自行溝通。既然是收費服務，又不受平臺過多干涉，具備較強的自主性，那么享有利益的同時自然也承擔一定的責任。

礦工可能面對的主要風險

鑒于項目存有變數，目前仍處于測試期間，只能籠統分析基礎風險。

對絕大多數礦工而言，擔心的應該是，會不會挖到一半，整個項目被政府叫停，自己的投資和付出打了水漂。這方面短期內無需過多擔心。技術是中立的，可以將整個項目理解為有償存儲業務，FIL幣視為類似游戲代幣，供存儲檢索消耗使用。單純的內循環模式運作，只要不被大量用作違法犯罪事項，不涉及人民幣虛擬貨幣兌換事項，被突然叫停的可能性并不大。

回歸法律風險，對于一個存儲系統，最關鍵的還是「內容風險」。

存儲普通合法內容，自然什么問題沒有。若是違法內容或者敏感內容，則風險系數直線上升。

敏感內容主要集中在2類，個人信息商業秘密；違法內容，涉及2層，第1層是非法內容，例如涉黃涉暴危恐等法律明文禁止的內容；第2層是潛在的違法內容，例如侵犯他人著作權等相關知識產權的內容。

無論是官宣的碎片式加密存儲，或是測試網的整份存儲，礦工的風險基本都集中在存儲、傳播、保管三件事上。

例如，存儲時，是否知道或者有合理依據判斷屬于非法內容等？又如，明知涉隱私內容或不良內容，是否存在主動傳播的行為等？再如，保存過程中是否未盡合理義務導致數據丟失或外泄等？這些都是可能的風險，不同的情況觸發不同的責任，還需結合業務環境具體分析。

IPFS將走向何方？

一直困擾火小律這個圈外人的疑問。

IPFS作為一個存儲系統，最終落地場景是哪些領域？單純依靠「去中心化」的信仰，是否可以吸引足夠的現實的存儲用戶？用戶舍棄已有的云存儲品牌服務商，選擇IPFS的核心原因是什么？

如果不能切實接地氣的回答以上問題，談監管談合規化，真心為時尚早。

官方的太空競賽2主要針對存儲用戶和開發人員，基本的用戶身份審核后，期望用戶攜帶真實、有價值和可用的數據進場，包括但不限于應用程序數據或數據集合。只有匯集更多優質、有價值的數據，才能盤活項目，提升項目含金量。

試想，比特幣誕生后，作為虛擬貨幣的一種，只要不威脅到主權貨幣的地位，合規未必會成為難題。Libra2.0的妥協便是很好的例證。為什么發展至今，幣價居高不下，炒幣客已然遍布全國，仍不受監管待見？答案恐怕只能是幾乎所有人心照不宣的「洗錢」問題。

當一個項目，即使是像IPFS這樣當年的金牌項目，如果充斥著大量垃圾無效違規內容，被頻繁用于違法犯罪活動，想不被叫停也難了。互金便是例證，只剩黯淡退出的結局。

IPFS將走向何方？只有項目本身和參與者才能給出最終的答案。

Tags：USDEOSSINGVCgusd幣暴漲NeosCoinMARSINUDGVC

OKB