Friend.tech 的持續爆火讓市場再一次注意到了SocialFi 賽道。目前，各條鏈的Friend.tech 競技層出不窮，Linea 鏈的TOMO 和NOS 鏈的New Bitcoin City 憑藉自身創新，在短時間內其TVL均突破1百萬美元，成為SocialFi 賽道新秀。
在此類SocialFi 專案如火如荼地發展時，相關的安全風險受到了社群的廣泛關注。 8月底Friend.tech 因API存取設計導致了隱私洩漏；10月7日，Avalanche 鏈上的Stars Arena 存在重入漏洞，駭客在其合約中重入呼叫0x5632b2e4函數，導致sellShares 函數最終計算的結果異常大，協議損失約290萬美元。
在此之前，Beosin 對Friend.tech 的設計機制和潛在安全風險進行了詳細分析。今天Beosin 安全團隊為大家分析新秀專案TOMO 和New Bitcoin City，幫助大家了解其中的潛在風險。
TOMO 介紹
TOMO是Linea二層網路的Friend.tech競品，在Friend.tech的基礎上推出了「Vote」機制。 Vote是推特用戶在TOMO 註冊前的憑證，其他用戶可以直接交易未註冊用戶的Vote。在用戶註冊後，對應的Vote 會轉為Key。
Vote的引入一定程度上避免了搶跑機器人的氾濫，無需監聽推特用戶進駐並濫發交易。同時交易Vote中5%的收益會分配給Vote對應的推特用戶，該用戶只要註冊TOMO 便可領取該收益。這為推特用戶進駐TOMO 提供了經濟誘因。
TOMO 風險分析
Beosin先前完成了Linea公鏈上最大的衍生性商品交易所Tifo.trade的審計。本次我們透過Beosin VaaS工具掃描TOMO 業務合約，結合Beosin 安全審計專家的分析，發現TOMO 有以下風險：
1. 業務風險
TOMO 的業務合約已經開源，查看其合約程式碼可以發現其基礎的定價模型與Friend.tech 類似。若S為目前持有量，TOMO 的Key 價格模型為S^2/43370，而Friend.tech 的價格模型為S^2/16000。這讓TOMO 的Key 價格上漲得更緩慢，一定程度吸引更多用戶參與交易。
但實質並沒有改變，由於Key 總量越大買價和賣價都越高，可能存在早期用戶購入大量Key，後期的用戶購買的股權則可能產生虧損，參與投資需注意風險。
TOMO 的定價模型
Friend.tech 的定價模型
2. 中心化風險
與Friend.tech 風險類似， TOMO 的中心化風險不可忽視。合約的owner 可以無限制的調整手續費率，從而收取高昂的手續費，甚至可以設定100%的手續費讓用戶收不到賣出的錢，也可以設定超過100%的手續費率來暫停買入賣出功能。
source: https://lineascan.build/address/0x9e813d7661d7b56cbcd3f73e958039b208925ef8
3. 私鑰風險（ERC-4337錢包）
根據TOMO 展示的資料，TOMO 對於用戶註冊後產生的錢包為ERC-4337錢包（帳號抽象錢包）。社群對於此類錢包的資產安全性提出了質疑。
首先Friend.tech 及大部分競品如Stars Arena 均使用EOA 皮夾，即普通的外部擁有皮夾。 EOA 錢包需要對發起的每筆交易都用私鑰簽名，互動應用時相對麻煩。同時用戶難以安全地保存私鑰，此前Deribit熱錢包被盜2800萬美元，Beosin對如何保障錢包安全進行了詳細分享。
為解決以上種種問題，ERC-4337提案透過引入稱為「UserOperation」的交易物件來實現帳戶抽象，使用者可以使用同時具備智慧合約和EOA 功能的單一錢包帳戶（帳戶抽象錢包）。不同的使用者將UserOperation 物件傳送到UserOperation 記憶體池中。由Bundler 打包交易並提交到以太坊內存池。被打包的交易會經由Entry Point 合約進行驗證，然後呼叫特定的Wallet 合約執行特定操作，隨後上鍊。流程如下圖所示：
source: https://eips.ethereum.org/EIPS/eip-4337
透過ERC-4337的工作流程，我們可以知道帳戶抽象錢包有以下潛在的風險點：
合約風險
Entry Point 合約和Wallet 合約需由專案方自行實現，目前TOMO 並未開源相關合約。 Entry Point 合約負責驗證Bundler 提交的交易的合法性，並根據交易調用特定的Wallet 合約。如果Entry Point 合約和Wallet 合約存在業務邏輯漏洞，則駭客可以透過建構特定的交易進行攻擊。
私鑰相關風險
在ERC-4337方案下，如果使用者遺忘私鑰，可能有其它解決方案恢復錢包（根據專案方的方案設計）。但私鑰被盜/洩漏給他人同樣有可能造成用戶的資產損失。 10月18日，TOMO 開放了匯出錢包私鑰的功能，用戶需匯出私鑰並防止私鑰被盜。
New Bitcoin City介紹
New Bitcoin City（或稱Alpha）是基於比特幣二層網路NOS 的類似Friend.tech 的社群應用，支援網頁端和行動端。用戶可以在New Bitcoin City 中交易New Bitcoin City 和Friend.tech 的Key。在此之前，New Bitcoin City 團隊也推出GameFi 專案Mega Whales 和DeFi 專案New Bitcoin DEX。
link: https://pro.newbitcoincity.com/
New Bitcoin City風險分析
1. 業務風險
New Bitcoin City 也同樣採用了與Friend.tech 類似的定價模型，程式碼中的PRICE_KEYS_DENOMINATOR為264000，NUMBER_UNIT_PER_ONE_ETHER為10。相比TOMO，價格增加得更緩慢。
source: https://explorer.l2.trustless.computer/address/0x9b5A4a3cF82F6860fB26c2626b0278071e7997a9/contracts#address-tabs
2. 網路風險
除了和TOMO 部分存在相同的中心化風險外，根據New Bitcoin City 團隊描述，NOS 使用Trustless Computer Layer2 技術以運行其合約。而Trustless Computer 也是由New Bitcoin City 團隊開發的，在執行層基於OP Stack 開發相容以太坊，在比特幣網路完成資料驗證。
source: https://docs.trustless.computer/blockchain-architecture/rollups-on-bitcoin
目前該網路上只有New Bitcoin City 的社群應用程式活躍，網路的穩定性和安全性未經檢驗。
3. 私鑰管理
New Bitcoin City 與Friend.tech 類似，用戶在第一次用推特授權給應用程式後產生一個EOA錢包。但生成錢包是在New Bitcoin City 後台完成的，其私鑰生成和保管流程依然是未知的。
總結
Friend.tech 競賽在Friend.tech 的基礎上進行了改良和創新。核心的定價模型基本上不變，在用戶互動方面進行了改進，但未能很好地解決用戶錢包私鑰的儲存問題。合約的中心化風險明顯，用戶在互動時需做好專案調查。
