本文 Hash ( SHA1 ): bd9ca749e77416b81d65fff2457626ecfdaf59e2
編號: 鏈源 Security Knowledge No.022
近期國產遊戲3A大作《黑神話：悟空》可謂引發全球遊戲玩家的熱捧，成功吸引了大量國內外玩家關注，同時也引發了大家對區塊鏈遊戲（GameFi）發展的思考。在Web3遊戲的持續發展中，安全性和創新模式始終是關鍵問題。以 EVM 相容的遊戲專用鏈 Ronin Network 為例，在 2022 年 3 月，Ronin Network 經歷了一次嚴重的安全事件。駭客竊取了 5 個驗證器的私鑰，並偽造提款，導致超過 6 億美元的損失。這起事件不僅是加密貨幣史上最大的駭客攻擊之一，也成為鏈遊領域最嚴重的安全事件之一。透過仔細檢視這樣的安全風險，Web3遊戲需要持續提陞技術防護手段，以確保玩家的資產安全和整體遊戲生態的穩定性。
黑悟空引發的 GameFi 發展反思
提升遊戲體驗的整體品質
《黑神話：悟空》的成功不僅在於其文化背景，還因為它擁有出色的視覺效果和流暢的遊戲體驗。 GameFi 專案要取得類似的成功，必須確保遊戲充滿趣味性和吸引力，這要求開發者深入挖掘遊戲性，而不僅僅是炒作技術。在去中心化環境中提供同等質感的高品質體驗是鏈遊面臨的核心挑戰之一。透過優化智慧合約、提高區塊鏈的處理能力、減少交易成本等手段，可以確保玩家不會被技術限制所影響，進而提升遊戲體驗。
打造永續的經濟系統
儘管 GameFi 通常依賴「賺取即玩」（Play-to-Earn）模式，但過度依賴此策略可能導致經濟體系的不可持續性。 《黑神話：悟空》的設計概念為鏈遊提供了啟示－可以採用複雜多樣的經濟模型，基於玩家貢獻引入獎勵體系，確保經濟參數的穩固。 Token 不應作為遊戲的根本動力，而應視為增值服務之一。過度依賴 Token 的價值會使遊戲陷入惡性循環。
加強社群和使用者參與
《黑神話：悟空》背後有一個充滿熱情的玩家社區，而這個社區力量是遊戲成功的重要因素之一，這也是鏈遊成功的關鍵因素。鏈遊開發者應重視社群建設，透過 DAO 等形式賦權於玩家，提高使用者黏性。然而，這一切的基礎在於遊戲品質足夠吸引，值得玩家的長期投入。許多團隊只追求短期收益，缺乏長週期投資的勇氣，因此難以實現如傳奇般的成功。
增強玩家的歸屬感與創造力
在《黑神話：悟空》中，遊戲角色與故事由開發者掌控；而在鏈遊中，玩家可以透過 NFT 和智能合約真正擁有遊戲內資產。這樣的設定能提升玩家的歸屬感和創造力，打造更具吸引力的生態系統。
鏈遊的內在價值與挑戰
鏈遊的主要問題在於過度依賴 TOKEN 化，忽略了遊戲性。開發團隊應學習在風險與效益之間找到平衡。作為消遣活動，遊戲應將娛樂置於首位而非經濟效益。雖然鏈遊透過上鍊解決了傳統遊戲中的一些弊端，如資產所有權、變現能力和資產互通等，並提升了透明性和公平性，但許多鏈遊只是簡單地在傳統遊戲中植入代幣經濟。黑悟空的案例提醒了我們，要深度結合遊戲設計與區塊鏈技術，才能創造新的黑神話，推動產業不斷發展前進，滿足市場對高品質內容日益增長的需求。例如，可探索基於區塊鏈的跨遊戲資產互通、去中心化的遊戲世界生成，以及玩家自主的經濟系統等創新。
GameFi 新款：ServerFi
今年8 月12 日，一篇據說由「耶魯大學教授」發表的論文首次提出了「ServerFi」的概念，指出它「強調透過資產合成實現私有化，並專注於為高留存玩家提供持續獎勵的模型」。研究表明，ServerFi 在維持玩家參與度和確保遊戲生態系統長期可行性方面效果顯著。 ServerFi 的核心主要集中在以下三個方面：
1. 遊戲人數:是 ServerFi 成立的前提。玩家數量不足會限制玩家之間的互動和資產的創造，這是 ServerFi 和傳統 GameFi 都面臨的主要挑戰之一。
2. 伺服器價值:是 ServerFi 運作的核心。透過遊戲內經濟系統的完善，伺服器累積可量化價值，與法幣體系連結。這種價值形成和貨幣化是 ServerFi 模型持續動力的關鍵。
3. 貢獻回報比:作為可調參數，改變了傳統遊戲中的固定收益設定。 ServerFi 則將玩家、伺服器和專案方建構成一個利益共同體，激勵各參與者的投入和維護。
GameFi 鏈上鏈下安全問題
遊戲的本質是消遣，娛樂，傳統的web2遊戲與web3遊戲有很大的不同，因為GameFi 將不僅為玩家提供了代幣激勵，還賦予了玩家對於遊戲資產的所有權，以加密經濟和去中心化為特色打造遊戲項目。然而目前的鏈遊市場魚龍混雜，真假難辨，花樣層出不窮，坑點很多，GameFi 的發展中面臨著許多安全漏洞與駭客的攻擊，這些威脅不僅對用戶的資產安全構成了嚴重威脅，也對整個GameFi 生態的健康發展帶來了嚴重的負面影響。
鏈上安全挑戰有：
代幣合約漏洞
GameFi 專案通常使用一種或多種代幣進行遊戲內的購買和獎勵。代幣合約負責管理代幣的鑄造、交易和銷毀，若有漏洞可能嚴重影響遊戲經濟體系。代幣合約常面臨中心化風險，合約所有者或管理員權限過高，可能修改交易費用、限制交易、增發代幣或調整帳戶餘額。
業務合約漏洞
GameFi 專案中的業務合約負責實現遊戲玩法和獎勵發放。開發者通常設計為可升級合約。鏈源安全團隊對可升級合約的安全建議包括：
初始化合約和依賴項：在部署時忘記初始化可能導致嚴重漏洞。
注意儲存衝突：合約升級時，修改儲存或會引發衝突，導致資料錯誤或資金損失。
權限控制：對合約升級權限進行限制，以防攻擊者透過私鑰竊取或治理攻擊取得升級權限。
NFT 漏洞
NFT 在 GameFi 中用於代表玩家資產，其價值由數量和稀有度保證。不當實現可能帶來安全風險，尤其是隨機性生成。 GameFi 專案應例如盲盒和隨機獎勵活動中使用可靠的資訊來源，以減少預測和操控風險。此外，專案方應安全儲存NFT 的元數據，與IPFS 雜湊值，以防元資料提前洩漏。營運方需要謹慎區分ERC-1155 和ERC-721 代幣的差異。 ERC-1155 支援批次轉移，ERC-721 則需要多次劃轉。之前，Arbitrum 鏈上的TreasureDAO 就因為未區分這兩種代幣而遭到攻擊。
跨鏈橋漏洞
跨鏈橋用於在不同區塊鏈網路間同步遊戲資產，是提升GameFi 專案流動性的重要元件。危險在於合約漏洞可能導致資產在連接的鏈上不同步。跨鏈橋驗證節點也是潛在風險，建議增加驗證節點並安全地儲存私鑰。
鏈下安全挑戰有：
大多數GameFi 專案依賴鏈下中心化伺服器來處理部分後端邏輯和接口，這些伺服器儲存關鍵訊息，包括遊戲邏輯和玩家帳戶數據，容易受到惡意攻擊。如：
竄改NFT 數據
遊戲NFT 的元資料關鍵，但許多GameFi 專案傾向於將其存於中心化伺服器，而非像Arweave 這樣的去中心化設施，這增加了內部或外部攻擊者篡改資料的風險，影響玩家資產的所有權和利益。
釣魚攻擊
攻擊者透過釣魚獲取項目方敏感訊息，如遊戲金庫的私鑰或 GitHub 帳號，可能引發供應鏈攻擊、擴大攻擊規模並造成更多損失。
結語
塑造未來Web3遊戲的道路充滿了機會與挑戰。透過一些新的技術發展，我們看到了在維護遊戲公平、安全和創新方面的新希望，同時也從《黑神話：悟空》這樣的成功案例中汲取了寶貴經驗：高品質的內容和優秀的遊戲體驗仍然是吸引玩家的核心。然而，遊戲開發者須警惕潛在的安全威脅，尤其是在鏈上和鏈下的技術實施中。透過加強技術防護，提高經濟模型的可持續性，並促進行業內更廣泛的社區參與，Web3遊戲有望在未來實現更強的成長和更深的玩家連接，最終推動整個 GameFi 行業的積極發展。
鏈源科技是一家專注於區塊鏈安全的公司。我們的核心工作包括區塊鏈安全研究、鏈上資料分析，以及資產和合約漏洞救援，已成功為個人和機構追回多起被盜數位資產。同時，我們致力於為產業機構提供專案安全分析報告、鏈上溯源和技術諮詢/支援服務。
感謝各位的閱讀，我們將持續專注分享區塊鏈安全內容。
