和推广落地方面已暴露了一些隐患。比如在东南亚、非洲等地，已经出现Orb数据买卖的问题，比如账户黑市，只需 30 美金左右的价格就可以买到一个虹膜验证；村民扫描虹膜帮助完成World App注册之后，就可领取 20 美金的奖励。在 Worldcoin正式推出之后，就虹膜数据是否涉及隐私安全问题，相继受到部分国家相关监管部门的调查。现阶段Worldcoin采用的虹膜扫描生物识别硬件Orb是由Worldcoin基金会负责运营，硬件缺乏完全的去中心化，因此，即使软件层完美且完全去中心化，Worldcoin 基金会仍然有能力在系统中插入后门，创建任意多个虚假的人类身份。Orb在数据安全和隐私保护方面还需要进一步验证。 1.2.3 World App安全性（Android版本） 对如下版本World App的安全测试，我们发现如下安全风险。 APP名称：World App 版本号：V2.2.0.6 包名：com.worldcoin SHA256: fe8c50821cf4b8dc434221532c1847ba4af63f4a99926a9487c6d0378dbf386d （1）恶意代码注入漏洞 将APK注入恶意代码，重新编译成盗版APP发布到网上，用于钓鱼攻击。测试中注入了获取通讯录的代码，可以将通讯录上传到私服。同时也可以上传手机相册、文件、账号密码等等各种信息到私服，导致隐私泄露，账号资产被盗等。 （2）源代码泄露风险 虽然对一些包名做了混淆处理，但是class中代码清晰可见，有破解和漏洞利用风险。 （3）资源文件泄露风险 APP中的assets目录和res目录下的主要资源没有做保护，可以随意修改和利用。 （4）本地数据泄露风险 APP开发中将账号密码、key等重要数据存储在本地，没有加密存储，容易被一些恶意程序拿到文件以及关键信息，例如开发中用到的shared-preference、数据库等。 （5）Hook调试风险 使用Hook框架，攻击者可以绕过系统限制、修改别人发布的代码、模拟调用隐藏API、获取进程中的数据信息、插入恶意代码等。 总的来说，World App客户端做为具有金融属性的应用，没有做有效的安全策略，风险系数比较高。 1.3 WLD代币经济学 1.3.1 WLD的效用 Worldcoin（WLD）是ERC-20 代币，用户可以通过Orb确认自己是人类且具备唯一性，在World App上获得World ID，并且可以在 Optimism 主网上获得WLD资助。Worldcoin表示，用户未来将可以在World APP或者其他钱包应用中使用WLD来进行付款，汇款，转账，支付服务费，买卖商品等服务。除此之外，WLD还具有社区治理属性，World ID的一人一票，结合一代币一票，这两种机制组合成新的治理方式。Worldcoin基金会将在项目启动后，向社区征求意见，并且一起讨论如何将World ID和WLD在新的治理模式下交互运行。 虽然WLD同时具备支付和治理场景，但也存在安全隐患，前期WLD的分配非常集中，前6个地址持币量占比超过90%。 1.3.2 WLD总量&分配 Worldcoin代币在启动后的15年内，供应总量为100亿枚，15 年后，如果用户通过治理开启通胀模式，每年最大通胀率为 1.5%。初始启动时的最大流通供应量为 1.43 亿枚 WLD，其中1 亿枚借给在美国境外运营的做市商（贷款周期为 3 个月），4300 万枚分配给在项目 Pre-Launch 阶段使用 Orb 验证的用户。未来，75%的代币将分配给Worldcoin社区，剩下25%分配给TFH（Tools for Humanity，World App开发团队）和初始团队。其中，开发团队占比9.8%，投资者占比13.5%，另外预留了1.7% WLD代币为未来TFH发展做储备（具体分配情况如下图2）。 图2：Worldcoin代币初始分配占比 在 Worldcoin 实现去中心化和自给自足之前，Worldcoin 基金会将支持 Worldcoin 生态系统，将75%的代币通过社区分配给三个群体：首先是用户赠款，目标占比在60%及以上，包括1枚欢迎补助金和阶段常规性补助金（也被称为创世纪赠款），第一阶段（一般是启动一周内）是25枚WLD，而后的每一阶段的创世纪赠款随时间的推移预计会减少。 Worldcoin设计了一个理想的代币分配模型（如图3），但目前还存在很多不确定因素，如每周新用户认证数量、Worldcoin用户使用量、商家数量等。 图3：代币分配模型 1.3.3 WLD解锁&释放 关于 WLD 释放模型，有两个特点：用户赠款不被锁定，而团队和投资者代币会被锁定。图5显示了未来 15 年的 WLD 解锁计划。这15年内，Worldcoin社区的WLD代币的释放速度将由治理分配，主要影响因素是Worldcoin用户数量的增长速度。图4呈现了代币解锁的最早时间，并且100亿代币中，75亿分配给社区，25亿分配给TFH和初始团队。这其中社区WLD的释放模型会根据不同的时间段做区分，具体如表2所示。 图4：WLD代币释放模型 时间段期间WLD 释放数量（十亿）截至时间 WLD释放总数（十亿）正式启动0.5000.500启动 - 第3年末3.5004.000第4年初 - 第6年末1.7505.750第7年初 - 第9年末0.8756.625第10年初 - 第15年末0.8757.500 表2：Worldcoin社区在未来15年内每个时间段WLD释放模型 每个时间段内，释放速度相同，不同时间段释放速度不同，前几年释放速度较快，第10年之后趋于平缓。根据ChainAegis数据分析，截至8月2日，WLD总释放量达到5.29亿。 1.3.4 Worldcoin智能合约安全 Worldcoin智能合约虽然经过了审计，但合约中在权限和中心化方面仍然存在一些风险项。 在World ID合约中，WorldIDIdentityManagerImplV1合约继承了openzeppelin中的Ownable2StepUpgradeable合约。其中定义了中心化账户_owner账户以及限制只能_owner账户调用函数的onlyOwner修改器。 在WorldIDIdentityManagerImplV1合约中，多处使用到了onlyOwner修改器，尤其是涉及到一些状态变量的设置和修改函数。比如跟stateBridge相关的函数，在满足其他条件时，只能由_owner来调用函数才能有效。 还有其他的一些跟合约状态相关的设置、修改等函数。这些函数必须由_owner账户来调用，而且这些状态跟合约的运行状态、资产安全等有着密切的联系。一旦_owner账户的私钥被恶意的攻击者窃取，这将会对整个合约甚至项目带来巨大的经济损失，甚至是毁灭性打击。因此，妥善保存类似_owner的高权限中心化账户的私钥是项目方必须考虑的问题。 另外，也可以采用其他技术手段来缓解审计彻底解决这种中心化风险。包括但不限于： （1）使用m-n多重签名。在n个账户中，只有其中的m个账户批准交易，交易才可以执行。 （2）在执行交易前，加入时间锁，只有通过一定的时间后，交易才能执行。这方便其他账户审核交易是否存在风险。只有安全的交易才能够顺利执行。 （3）使用DAO机制，再加上时间锁定等机制，可以彻底解决合约中的中心化风险。但也要预防DAO中存在的一些漏洞，如针对DAO的闪电贷攻击、治理攻击等。 2. 运营数据 2.1注册情况 从2021年5月到2023年7月，超过200万人在30多个国家通过Orb设备验证了他们的World ID。具体分布如下方图5所示。很显然，认证的用户大多来自发展中国家，亚洲和非洲占比最高，均超过30%。7月25日消息，Worldcoin发推称，今年夏天和秋天将在全球超过35个城市扩展至1500个可用Orbs。 图5：全球Orb认证用户分布（由TFH提供） 据ChainAegis数据显示，截至8月5日Optimism链上持有WLD代币的Optimism钱包数量为408,721个，环比7月25号提升148%。最大的地址占比超一半，占据57%的供应量，并且前100持有者总共拥有95.08%的WLD。 2.2交易情况 2.2.1 币价、流通量、市值 7月24日 Worldcoin开盘之后币价随即大幅度拉升，最高涨至3.58美元，但在发布后的24小时之内持续性下跌，最低跌到1.66美元，在经历两天较大波动之后，币价稳定在2.3美元左右，且呈现较轻微地上升趋势（图6）。WLD的交易量在发布后24小时之内达到峰值6.47亿，随着Worldcoin话题热度降温，以及各国政府的监管政策实施，以及其相关负面新闻的播报影响，用户对WLD保持较理性的态度，交易量逐日下滑，于8月2日跌至1.14亿。 图6：WLD日交易流通数据 图7：WLD日流动性指标（该指标 = 交易量/市值） 为了分析交易量与市值的关系，这里引入流动性指标的概念。显然，WLD的流通性显著下滑，在7月底跌到0.5以下后在8月2日有小幅提升。综合来看，WLD因为上线时间短，流通性较其他加主流密货币低，且价格也较不稳定。 2.2.2 WLD交易情况 ExchangePrice+2% Depth-2% DepthVolume (24h)Binance$2.26$606,381$943,085$19,967,686Topcredit Int* $2.2648$612,931$983,221** $19,962,230BIKA* $2.2658$320,639$482,037** $8,769,475OKX$2.26$711,296$972,697$6,284,371Huobi$2.26$519,439$571,740$5,239,872Bitget$2.27$373,904$806,713$4,954,172Bibox$2.27$179,053$183,768$4,606,109Pionex$2.27$402,034$779,562$3,174,091Bybit$2.27$533,278$558,871$2,882,775Hotcoin Global* $2.2657$373,925$525,709** $2,631,019 表3：WLD TOP10交易对均为WLD/USDT，具体8月3日当天近24小时的交易价格，交易量以及深度数据 表3为WLD于8月3日当天近24小时交易量排名TOP榜单，均为WLD/USDT交易对。最高的是WLD/USDT在币安交易所，交易量达到1,997万美元。 为了对WLD进行长周期观测，这里选取中心化交易所币安和去中心化交易所Uniswap分别来看每天的交易情况。币安交易所交易体量大，特别是WLD/USDT交易对，日交易量排名第一，并且第一天飙升至4,400万，随后逐天下滑，跌至500万以下，在八月初有小幅提升，但增势不强（见图8）；而WLD/BTC交易量远小于WLD/USDT，交易走势相似。Uniswap V3在发布日爆发虽不及中心化交易所，但是在发布稳定后三天开始有较明显的提升，并且OP链交易量呈上升趋势（见图10、11）。 图8：WLD/USDT在币安交易所交易情况 图9：WLD/BTC在币安交易所交易情况 图10：WLD/USD在Uniswap V3交易情况 图11：WLD/USD在Uniswap V3交易情况 3.全球监管 Worldcoin正式推出以来，各国监管机构对这个项目进行了调查，具体的事件轴和调查机构分布如图12。 （1）英国在Worldcoin发布的第二天宣布对Worldcoin进行审查。 （2）法国隐私机构CNIL对Worldcoin生物识别数据收集和存储合法性保持怀疑态度，宣布展开调查。 （3）考虑到数据处理的数据是生物虹膜，数据较为敏感，且未来会大规模覆盖，德国数据监管机构在7月底宣布对其进行调查。 （4）肯尼亚是Worldcoin项目开启的核心地区，在发行后，当地财产、安全和数据保护服务机构在8月2号展开对其调查，并且肯尼亚内政部在Facebook页面发布暂停Worldcoin的运营。 （5）德国的右翼政党成员表示对Worldcoin采用的生物识别设备跟医疗无关，而是用于对全球监控，并且这种监控是永久地，涉及到扫描者生活方方面面，例如日常行为轨迹和购物习惯等。 图12：各国监管机构对Worldcoin项目调查时间轴 4.总结 Worldcoin作为去中心化的项目，有着广阔的愿景和野心，希望通过人格认证和公平空投席卷Web 3世界和数字经济时代。其技术背景Orb和POP机制相对历史的身份认证机制在抗欺诈和可扩展性方面具有一定优势，但是仍然存在隐私安全和合规风险，也受到各国监管部门的审查，需不断优化和改善。目前项目还在初期阶段，未来将会受诸多因素的影响，例如大规模硬件设备的制作，用户对新生物技术的接受度以及各地政府监管政策可行性。 在未来，加密技术、大数据和AI技术需要相互结合，提供更高效地技术支持和安全隐私保障，才能真正承载更多的用户和更丰富的使用场景，才能实现将全球数十亿人带入 Web 3 领域和数字经济时代的愿景。 关于我们 SharkTeam的愿景是全面保护Web3世界的安全。团队由来自世界各地的经验丰富的安全专业人士和高级研究人员组成，精通区块链和智能合约的底层理论，提供包括智能合约审计、链上分析、应急响应等服务。已与区块链生态系统各个领域的关键参与者,如Polkadot、Moonbeam、polygon、OKC、Huobi Global、imToken、ChainIDE等建立长期合作关系。 官网：https://www.sharkteam.org Twitter：https://twitter.com/sharkteamorg Discord：https://discord.gg/jGH9xXCjDZ Telegram：https://t.me/sharkteamorg 来源：金色财经lg...
北美站
