ENS:簡析Aave團隊打造的web3社交協議 LensProtocol

BlockBeats 注：Aave打造的 LensProtocol 社交協議并非一個社交產品，而是協議服務層，幫助開發者在其上構建各類社交產品。目前Web3社交產品雖然給予了用戶數據所有權，但仍沒有解決用戶數據在不同 web3 社交產品中互通性的問題。對此，BuidlerDAO 創始人 Jason Chen 在推特對 LensProtocol 社交協議進行簡要分析，  BlockBeats 整理如下：

淺研了一下 LensProtocol, 由 Aave 團隊打造的 web3 社交協議，它本身不是一個前端的社交產品，而是一個中后端的協議服務層，開發者基于其提供的 API 可以在上面低成本構建出社交產品，這應該也就是為什么 lens 的 logo-hujt 是一束花的原因吧，它希望自己成為這片社交花園里的根和土壤，開發者們可以在其之上種出鮮花 。

相信大多數人對于 web3 的主要敘事都在于痛斥 web2 的 facebook、twitter 等公司壟斷用戶數據權，制造數據孤島，用戶擁有自己的社交數據和關系鏈也是 web3 原生的重要敘事，于是也冒出了很多號稱 web3 twitter 的產品，但到現在為止 web3 的社交產品依然沒有出現殺手級應用。

安全團隊：Rubic被攻擊事件簡析:金色財經報道，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，Rubic項目被攻擊，Beosin安全團隊分析發現RubicProxy合約的routerCallNative函數由于缺乏參數校驗，_params可以指定任意的參數，攻擊者可以使用特定的integrator來讓RubicProxy合約可以幾乎零成本的調用自己傳入的函數data。攻擊者通過調用routerCallNative函數，把所有授權給RubicProxy合約的USDC全部通過transferFrom轉入了0x001B地址，被盜資金近1100個以太坊，通過Beosin Trace追蹤發現被盜資金已經全部轉入了Tornado cash。[2022/12/25 22:06:32]

Web3 社交殺手級應用還未出現，我覺得拋開行業成熟度原因主要在于兩點 ：

第一，在此之前多數 web3 社交產品依然在走制造數據孤島的老路。怎么理解呢？基于區塊鏈的社交產品確實可以讓用戶成為他數據的 owner，但產品數據的邊界依然是合約，如果用戶使用了 10 個產品，則用戶的數據會散落在 10 個獨立合約中，且每個產品合約的數據格式和標準都不一樣，雖然透明了，但孤島依然存在。

Beosin：sDAO項目遭受攻擊事件簡析:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin?EagleEye 安全風險監控、預警與阻斷平臺監測顯示，BNB鏈上的sDAO項目遭受漏洞攻擊，Beosin分析發現由于sDAO合約的業務邏輯錯誤導致，getReward函數是根據合約擁有的LP代幣和用戶添加的LP代幣作為參數來計算的，計算的獎勵與用戶添加LP代幣數量正相關，與合約擁有總LP代幣數量負相關，但合約提供了一個withdrawTeam的方法，可以將合約擁有的BNB以及指定代幣全部發送給合約指定地址，該函數任何人都可調用。而本次攻擊者向其中添加了LP代幣之后，調用withdrawTeam函數將LP代幣全部發送給了指定地址，并立刻又向合約轉了一個極小數量的LP代幣，導致攻擊者在隨后調用getReward獲取獎勵的時候，使用的合約擁有總LP代幣數量是一個極小的值，使得獎勵異常放大。最終攻擊者通過該漏洞獲得的獎勵兌換為13662枚BUSD離場。Beosin Trace追蹤發現被盜金額仍在攻擊者賬戶，將持續關注資金走向。[2022/11/21 7:53:09]

從而導致用戶的社交數據依然無法打通，用戶在各個產品中產生的數據雖然屬于其自己，因為獨立的合約和不一致的數據格式，依然無法「帶走」，假設一個產品掛了，那在此之前所產生的社交數據也很難被利用起來，除非其他的產品專門投入資源去做數據同步，所以目前 web3 社交產品只解決了擁有的問題，而非連接。

Beosin：UVT項目被黑客攻擊事件簡析，被盜資金已全部轉入Tornado Cash:金色財經報道，據Beosin EagleEye 安全預警與監控平臺檢測顯示，UVT項目被黑客攻擊，涉及金額為150萬美元。攻擊交易為0x54121ed538f27ffee2dbb232f9d9be33e39fdaf34adf993e5e019c00f6afd499

經Beosin安全團隊分析，發現攻擊者首先利用開發者部署的另一個合約的具有Controller權限的0xc81daf6e方法，該方法會調用被攻擊合約的0x7e39d2f8方法，因為合約具有Controller權限，所以通過驗證直接轉走了被攻擊合約的所有UVT代幣，Beosin安全團隊通過Beosin Trace進行追蹤，發現被盜資金已全部轉入Tornado Cash。[2022/10/27 11:48:46]

第二，開發一個社交產品的成本也很高。其實這個成本主要還是在中后端，但是中后端的功能確可以被窮舉且標準化，不外乎就是點贊、關注、發帖、收藏等功能，而前端業務層看似紛繁復雜也不過就是基于中后端標準功能的組合拼裝 。

安全團隊：LPC項目遭受閃電貸攻擊簡析，攻擊者共獲利約45,715美元:7月25日，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，LPC項目遭受閃電貸攻擊。成都鏈安安全團隊簡析如下：攻擊者先利用閃電貸從Pancake借入1,353,900個LPC，隨后攻擊者調用LPC合約中的transfer函數向自己轉賬，由于 _transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。隨后攻擊者歸還閃電貸并將獲得的LPC兌換為BUSD，最后兌換為BNB獲利離場。本次攻擊項目方損失845,631,823個 LPC，攻擊者共獲利178 BNB，價值約45,715美元，目前獲利資金仍然存放于攻擊者地址上（0xd9936EA91a461aA4B727a7e3661bcD6cD257481c），成都鏈安“鏈必追”平臺將對此地址進行監控和追蹤。[2022/7/25 2:36:51]

所以我認為 lens 也是基于這兩點認為如果他們再做一個社交產品，也不過就是市面上的 10 個產品變成了 11 個，繼續增加孤島，所以他們把自己向下藏了一層，首先制定了標準，將什么樣的行為需要鑄造為 NFT，發布的內容需要用什么樣的數據格式等問題都標準化，能夠保證基于其標準所開發出的產品是不存在孤島問題。

慢霧：Spartan Protocol被黑簡析:據慢霧區情報，幣安智能鏈項目 Spartan Protocol 被黑，損失金額約 3000 萬美元，慢霧安全團隊第一時間介入分析，并以簡訊的形式分享給大家參考：

1. 攻擊者通過閃電貸先從 PancakeSwap 中借出 WBNB；

2. 在 WBNB-SPT1 的池子中，先使用借來的一部分 WBNB 不斷的通過 swap 兌換成 SPT1，導致兌換池中產生巨大滑點；

3. 攻擊者將持有的 WBNB 與 SPT1 向 WBNB-SPT1 池子添加流動性獲得 LP 憑證，但是在添加流動性的時候存在一個滑點修正機制，在添加流動性時將對池的滑點進行修正，但沒有限制最高可修正的滑點大小，此時添加流動性，由于滑點修正機制，獲得的 LP 數量并不是一個正常的值；

4. 隨后繼續進行 swap 操作將 WBNB 兌換成 SPT1，此時池子中的 WBNB 增多 SPT1 減少；

5. swap 之后攻擊者將持有的 WBNB 和 SPT1 都轉移給 WBNB-SPT1 池子，然后進行移除流動性操作；

6. 在移除流動性時會通過池子中實時的代幣數量來計算用戶的 LP 可獲得多少對應的代幣，由于步驟 5，此時會獲得比添加流動性時更多的代幣；

7. 在移除流動性之后會更新池子中的 baseAmount 與 tokenAmount，由于移除流動性時沒有和添加流動性一樣存在滑點修正機制，移除流動性后兩種代幣的數量和合約記錄的代幣數量會存在一定的差值；

8. 因此在與實際有差值的情況下還能再次添加流動性獲得 LP，此后攻擊者只要再次移除流動性就能再次獲得對應的兩種代幣；

9. 之后攻擊者只需再將 SPT1 代幣兌換成 WBNB，最后即可獲得更多的 WBNB。詳情見原文鏈接。[2021/5/2 21:17:59]

其次通過閱讀其開發者文檔會發現 lens 的模塊化設計非常充分，將能力拆分的顆粒度很細，盡可能做了解耦，從而便于開發者在上面去靈活的拓展業務邏輯。 

如下圖所示，這是 lens 的主合約，可以看到其上面已經產生了 540 萬條社交數據，包含了發布、收藏、關注等動作，所以 lens 打造了一個大陸，而不是一個孤島。 

關于標準，分為接口標準和數據標準，首先說一下接口標準，如下圖 1 所示這是 lens 提供的所有一級 API，基本上社交關系的主要能力都包括了，圖 2 是單關注這一個能力所拆分出來的二級 API，可見其顆粒度是做的很細的，開發者可以基于這些 API 自由拼裝組合。

數據標準則又細分為 NFT 和非 NFT 兩類，lens 的核心數據圍繞 NFT 展開，首先每個用戶需要一個.lens 域名才能擁有個人主頁，其他的數據都是掛在這個域名下的，這個域名本身是一個 721 類型的 NFT，從這個角度也算是 DID 的范疇。

除了域名外用戶的關注、收藏等動作也會被鑄造為 NFT，如圖 1 當用戶進行關注時，觸發了合約的 follow 函數，從所產生的鏈上數據可以看到 mint 了一個 NFT，如圖 2 當取關的話則會將該 NFT 銷毀掉 。

社交數據其實是索引關系非常復雜的，lens 的接口對于開發者也非常方便，將鏈上數據包了一層不需要開發者自己去分析數據，而是如下圖為例，如果需要查詢某個人的關注者，通過接口可以直接以很清晰的以拉清單的形式將數據獲取到并層層下鉆。

另外對于 post 內容發布，首先它不是作為 NFT 呈現的，我在此之前還以為用戶發的內容都會鑄造成 NFT，如圖 1 所示就是正常的鏈上數據寫入的過程，這里我還沒有理解清楚為什么 lens 不把他們做成 NFT。如圖 2 這是 post 的寫入數據，包含的數據有掛載在誰身上，掛載的內容是什么，發布內容用 contentURI 一個外鏈來索引 。

具體內容則是存儲在鏈下的，contentURI 會指向一個存儲地址，但是 lens 對于數據的存儲格式也是有一套標準規范的，這樣就可以達到上文中提到的各產品基于 lens 構建后可以互通的效果，如圖 1 為解析出來的一個數據格式，包括名稱、內容、類型等。圖 2 為枚舉的數據格式，圖文音視頻等都包括，從而結構化內容數據。

以上就是對于 lens 的淺研，不愧是 Aave 出來的，確實對 web3 的原生很透徹，基于 lens 誕生出來 web3 原生 twitter 的可能性還是很大的，也許是研究還不夠深，也存一些疑惑，比如個人主頁是一個.lens 的 nft 域名，而所有的數據和關系鏈都掛在上面，但是該 nft 又是可以買賣的，社交關系可以買賣我覺得還是挺奇怪的。    

區塊律動BlockBeats

媒體專欄

閱讀更多

金色財經

CertiK中文社區

虎嗅科技

web3中文

深潮TechFlow

念青

DeFi之道

CT中文

Tags：ENSBNBEOSWEBTensetPEPEBNBEOSDACWEBN價格

Gate.io