如何提高女巫攻击的成本和攻击失败的风险，在一定程度上有效防止女巫攻击？
原文：《PartyBid 众筹存在「女巫攻击」风险，NFT 碎片化协议应当如何应对？》
作者：Crypto Ming、Huige、Ivan，DeBox 研究院
摘要：
利用 PartyBid 众筹购买 NFT 的底层协议是 NFT 碎片化，即将一个完整的 NFT 分割为任意数量的等份，持有这些等份就等于持有该 NFT 的一部分。目前 NFT 碎片化市场的龙头是 Tessera（原名 Fractional），PartyBid 和 Tessera 也分别获得了 A16z 和 Paradigm 领投的大额融资。
从 Dune 的链上数据来看，PartyBid 和 Tessera 的活跃度呈较强的正相关，当 NFT 市场热度下降时，PartyBid 和 Tessera 的活跃度反而呈上升趋势，说明熊市 NFT 的流动性可能主要由一些底层协议提供，类似 NFT 碎片化的模式正在被用户认可。
PartyBid 众筹买入 NFT 和 Tessera 竞拍卖出 NFT 可以很好的实现 NFT 的流动，这个过程是通过 DAO 实现的。但是其过程容易受到「女巫攻击」，女巫可以通过持有总数量达到 50% 以上 NFT 碎片化 Token，以获取优势投票权，然后操纵 NFT 拍卖，而参与众筹的成员只能赎回部分参与众筹的资金。
尽管目前没有成熟可用的 DID 系统帮助识别用户身份，但是具体到 PartyBid 和 Tessera 项目上，可用通过一些链上标签的方式（链上数据看板）和绑定社交媒体（Twitter 等）的方式帮助用户去识别可能存在的女巫攻击风险。
一、NFT 碎片化-众筹购买 NFT 的底层协议
你想拥有 BAYC，Doodles，Azuki 这些蓝筹 NFT 吗？不要 80ETH，也不要 10ETH，只需要在 PartyBid 上花 0.01ETH 参与众筹就能让你成为蓝筹 NFT 的 Holders 之一，听起来是不是很 Cool？这得益于 NFT 碎片化-NFT 主流的流动性协议之一。
我们都知道 NFT 的非同质化特性会导致其流动性很差，你只能以整个 NFT 为单位进行买卖交易，而且你要想卖出去，必须要有人买入或者出 Offer 才行，否则只能一直挂单，无法卖出。NFT 市场也在逐步探索如果提升 NFT 的流动性，目前常见有 NFT 租赁，NFT 借贷，NFT 碎片化，NFT-Fi 等多种流动性协议。
表 1 NFT 流动性协议项目概览
在众多 NFT 流动性协议中，能否让 NFT 像 FT（同质化Token）那样，只交易一部分，而且可以随时买卖呢？特别是对于地板价超高的蓝筹 NFT，动辄几十上百个 ETH 的地板价，你可以购买 0.1 个 BTC，但是你如何购买 0.1 个 Cryptopunks 呢？NFT 碎片化协议给出了答案。
图 1 NFT 碎片化概念图
从表面上看，NFT 碎片化就是将一个完整的 NFT 分割为任意数量的等份，持有这些等份就等于持有这个 NFT 的一部分。
从合技术上来看，NFT 碎片化实际是将 NFT 转入到一个新建的保险库合约中，同时创建任意数量的 ERC20-Token，这些 Token 可以被分发到任意地址，也可以用来做市（AMM），而 Token 持有者就拥有对保险库合约中的资产活动进行投票执行的权利，Token 持有数量越大，则投票权重越高。
目前，NFT 市场主流的 NFT 碎片化协议应用有 Tessera、Unicly、NFT20、ShardingDAO、PartyBid。其中 Tessera（原名 Fractional）是 NFT 碎片化协议的龙头，狗狗币（Doge Coin）的原版柴犬 The Doge NFT 就是在 Tessera 进行碎片化的，该 NFT 被碎片化成了 16，969,696,969 个 DOG Token, 目前共有 9451 个持有者或者说是 The Doge NFT 的拥有者。Tessera 已获得 Paradigm 领投的 2000 万美元的融资。
图 2 The Doge NFT
PartyBid 是由 PartyDAO 推出的一款通过用户众筹资金，形成 DAO 的方式去竞拍 NFT 的产品。PartyDAO 是真正 DAO 驱动的社区，成员包括 Paradigm 的研究合伙人 Dave White，Mirror 的创始人 Denis Nazarov 等 Web3.0 行业顶级大佬；目前，PartyDAO 公布了他们拿到 A16z 领投的 1640 万美金融资，估值两亿美金，这是迄今为止社区驱动类 DAO 的最高估值。
图 3 PartyDAO 的成立
二、Tessera 和 PartyBid 的数据关联性
本文主要讨论 Tessera 和 PartyBid 这两个项目，我们可以通过 Dune 的数据看板来了解一下 PartyBid 和 Tessera 的活跃度。
图 4 Opensea，PartyBid，Tessera（Fractional）活跃数据看板
Opensea 是 NFT 的主要交易市场，Opensea 的交易量也代表对应时期的 NFT 市场热度。从链上数据来看，PartyBid 和 Tessera 的活跃度与 Opensea 反应的市场热度呈现负相关的关系，当 2022 年 6 月至今，NFT 市场热度严重下降，而 PartyBid 和 Tessera 的活跃度反而呈上升趋势，说明熊市 NFT 的流动性可能主要由一些 NFT 流动性协议提供，类似 NFT 碎片化的模式正在被用户认可，当然，也可能和项目融资有关系，PartyBid 在 6 月份公布的融资，Tessera 在 8 月份公布的融资。另外 PartyBid 和 Tessera 的活跃度也呈明显的正相关，也说明两个项目在链上活动联系密切，比如 PartyBid 众筹买入 NFT 后，可以通过 Tessera 竞拍卖出 NFT。
三、如何实现 NFT 流动？PartyBid 众筹买入 NFT 和 Tessera 竞拍卖出 NFT
在 Tessera 进行 NFT 碎片化，可以理解为你想将你持有的蓝筹 NFT 一点一点的卖出去，然而大部分人是没有 BAYC 或者 PUNK 这些蓝筹 NFT 的，普通用户仅仅去碎片化一些低价值 NFT 是没有意义的，因为你无法将你的碎片化 token 发送或者卖出去，除非你拥有 The Doge NFT。那么普通用户如何拥有一个蓝筹 NFT 呢？
PartyBid 平台可以让散户发起和参与众筹买入 NFT，成功后合约进行 NFT 碎片化，参与者此时就持有蓝筹 NFT 的一部分。持有者可以通过建立流动性的方式对持有的 NFT 碎片化 Token 进行买卖，当然也可以号召成员以 DAO 竞拍方式卖出该 NFT。
在上面的描述中，我们可以看到一个广泛应用的实例，在 PartyBid 众筹买入 NFT，然后在 Tessera 卖出该 NFT，这样实现了 DAO 在执行 NFT 市场买卖活动的全过程应用实例，完美实现了 NFT 的流动。因此，可以说 PartyBid 和 Tessera 是相辅相成的。
图 5 PartyBid 众筹和 Tessera 竞拍全流程一览图
四、女巫攻击 DAO 实例
目前推特上很多 KOL 都在通过 PartyBid 发起众筹，尝试购买一些蓝筹 NFT，例如 Doodles，Azuki 等，玩法也是 PartyBid 众筹加 Tessera 竞拍的模式，那么这种模式对于参与众筹的成员来说，有没有可能被薅羊毛或者欺诈危险呢？
这边说一种比较常见的方式，女巫攻击。女巫攻击又叫 Sybil 攻击，名字来源于电影《女巫》（Sybil)，讲的是一个有 16 种人格的女人心理治疗的故事。而在区块链中的女巫攻击呢，指的是一个恶意的节点非法地对外呈现多个身份。再具体到 DAO 的应用实例上，Web3.0 的 DAO 通过共同的目标将志同道合的人聚集在一起，并用智能合约运行投票，进而用自下而上的方式推动社区发展。在 DAO 中，有单个用户可以拥有多个钱包并囤积 Token 以达到 51% 的投票权，然后操纵决策。
Lido DAO 向 Dragonfly Capital 出售 1000 万枚 LDO 的Token提案中就出现了女巫攻击，Dragonfly Capital 通过旗下 Dragonfly Liquid 部门持有 150 万枚 LDO Token的地址在提案中对自己有利的方案投出了赞成票，曾一度占到整个投票权重的 99.35%，险些通过，虽然最后被社区成员根据链上信息揭露这一事实，导致该提案最终被社区否决，但是这种类似的女巫攻击在 DAO 投票和治理过程中防不胜防。
图 6 Lido DAO 被女巫攻击实例
可见，在 DAO 治理投票过程中，女巫攻击是一种常见的情况。回到 PartyBid 和 Tessera 的 NFT 众筹和竞拍过程中，参与众筹购买 NFT 成功的用户在 Claim 到碎片化 Token 的时候，就成为了这个 NFT 众筹 DAO 的成员，后续在 Tessera 上竞拍 NFT 的过程中，也只有 DAO 成员才有资格竞拍 NFT，因此这给了女巫很好的攻击机会。
女巫攻击模式一 ：当 NFT 众筹金额高于该类 NFT 地板价，发起者将用众筹金额以高于地板价的价格购买自己的 NFT，此类攻击要求发起者的钱包地址存在至少一个价位较高的 NFT。
女巫攻击模式二 ：攻击者可以使用多个钱包参与众筹，持有碎片化总数量达到 50% 以上，以获取优势投票权，然后操纵 NFT 拍卖。按照 Tessera 的拍卖规则，女巫可以控制竞拍底价，同时也可以控制选择竞拍的时间，最终以远低于该类 NFT 地板价的价格得到该 NFT，而参与众筹的成员只能赎回少量参与众筹的资金。
举个例子，小明是个 KOL，他在 PartyBid 发起众筹想购买一个 10ETH 的 Azuki，当众筹金额满足 Azuki 地板的 49% 时，小明通过自己的 20 个钱包地址快速将剩余 51% 的众筹金额补上，购买成功后，小明就持有 50% 以上的碎片化 Azuki。此时，虽然其他成员在 Tessera 上设置了 NFT 竞拍底价，但是由于他们总共持有 49% 的 Azuki 碎片，没有超过 50% 的限制，因此只要小明不参与设置竞拍低价，就无法进行下一步出价，这个 Azuki 将暂时锁在合约中（保险库）。
等了 3 个月，Azuki 的地板价突然涨回到购买时的 2 倍，小明此时觉得可以将这个 Azuki 卖出去了，于是用自己持有碎片化 Azuki 地址将竞拍底价设置很低（持有数量越多，设置竞拍底价的权重越大），而且由于竞拍出价过程只有 3 天，竞拍开始也不会通知成员，最终 NFT 以竞拍底价 3ETH 成交，小明获得了这个 Azuki，然后以 20ETH 的价格在 NFT 市场进行抛售。此时众筹成员的 DAO 资金库只有 3ETH，其中还有 1.5ETH 是小明持有 Token 对应比例的。其他众筹参与者相比其开始支付的金额 10ETH 缩水了 66.7%，而相比小明抛售的 NFT 实际成交价 20ETH 缩水了 85%，最终小明完成了这次女巫攻击。
在这个案例中，女巫攻击者可以不是众筹发起者，只需要满足 50% 以上的 NFT 碎片化 Token 持仓就能进行攻击，因此女巫可以通过建立 NFT 碎片化 Token 的流动池去收集筹码。
五、PartyBid 和 Tessera 如何应对女巫攻击？
前段时间，V 神提出了一种名为 Soulbound Token（灵魂绑定）的不可转让 Token，该 Token 将用于打造 Web3 的用户身份系统。在 SBT 的概念提出后，DID 赛道开始成为大众的关注热点之一，DID（Decentralized Identifier）就是一个用户的去中心化身份。
DID 系统将会利用多个维度的信息，例如链上活动数据，社交媒体活动等，来形成 Web3 用户的综合形象。DID 可以通过区分真实的用户和潜在的机器人并降低女巫攻击的风险，如果一个账户地址缺乏多样化的真实履历，我们可以立即识别出它们就是机器人。
虽然目前没有一个成熟可用的 DID 系统供大家使用，但是具体到 PartyBid 和 Tessera 项目上，可用通过一些链上标签和绑定社交媒体的方式帮助用户去识别可能存在的女巫攻击风险。
例如，PartyBid 对参与众筹的地址进行分类，同时做一个数据看板，其信息包括地址参与过几次众筹，除众筹外，是否曾经参与过 Uniswap 或 Opensea 的交互，这些地址占总众筹比例的多少？这些地址相互是否有频繁的转账交易？
让参与者绑定自己的社交媒体账户（如 Twitter 等）等，甚至如果有用户发现众筹活动被女巫攻击，可以通过举报的方式给这次 NFT 众筹或者某些可疑地址加上标签，让参与者明白这一事实。
Tessera 的竞拍过程也可以使用这些方法防御女巫。
通过上述手段，可以极大提高女巫攻击的成本和攻击失败的风险，可以在一定程度上有效防止女巫攻击。
本文来自投稿，不代表 BlockBeats 观点。原文链接律动 BlockBeats 提醒，根据银保监会等五部门于 2018 年 8 月发布《关于防范以「虚拟货币」「区块链」名义进行非法集资的风险提示》的文件，请广大公众理性看待区块链，不要盲目相信天花乱坠的承诺，树立正确的货币观念和投资理念，切实提高风险意识；对发现的违法犯罪线索，可积极向有关部门举报反映。
