friend.tech 暴露 10 万 + 地址的关联信息,社交类 DApp 隐私该如何保障？

法律界人士也提醒，Friend.tech 这类项目很容易被美国 SEC 盯上，再加上前面提到的安全和隐私隐患，同样值得认真对待。

上线才十多天，Friend.Tech 就吸引了大量用户疯狂涌入。

从 Friend.tech 开启邀请制 Beta 测试开始，这款去中心化社交应用就迅速积累了人气，甚至还吸引了不少加密货币圈的大 V、NBA 球员和 OnlyFans 的内容创作者前来体验。

这个最新的 Web3 社交应用跑在 Base 二层网络上，让用户可以跟自己喜欢的 KOL 买卖代币化的“份额”。但在热闹背后，一些安全隐患也开始浮出水面。

8 月 21 日下午，Yearn 核心开发者 banteg 发推说，超过 10 万名 Friend.tech 的用户信息遭到泄露。泄露的数据包括钱&包地址和推特账号，这事瞬间引发了大量讨论和担忧。

Beosin 第一时间对这次信息泄露事件进行了调查，同时也对 Friend.tech 项目做了详细分析，下面是我们整理的内容。

Base 链上的热门新应用：Friend Tech 到底是什么？

Friend.tech 是一个基于 Base 区块链的去中心化社交应用，用户需要绑定推特账号和钱&包地址才能使用，并从中获利。它的核心思路是把用户的影响力变成可交易的代币——你可以买入其他人的“Shares”，获得跟对方直接交流的资格。

Coinbase 的高级软件工程师 Yuga Cohler 在推文中强调，Friend Tech 是为加密圈人士打造的去中心化社交平台，它的创新点在于用“份额”作为数字资产。这些份额代表着你跟某个加密人士互动时的“所有权”，跟股票市场的逻辑类似——持有份额就相当于持有那家公司的一部分。

目前 Friend.tech 的官网还很简陋，白皮书和路线图都没有公开。已知的信息是：每个代币的持有者增加会推高价格，交易时还要额外支付 10% 的手续费，其中 5% 归协议，5% 归创作者。到目前，Friend.tech 的用户数已经超过 10 万，海外粉丝超 70 万的加密大 V Cobie 和交易员 Ansem 都入驻了，Shares 的交易量也突破了 3400 万美元（具体数据以行情平台或交易所实时页面为准）。

Friend.tech 为什么突然这么火？

1. 推特博主带流量

作为一款社交产品，Friend.tech 把影响力代币化，给了 KOL 很实在的收益。每次有人买入 Shares，对应的 KOL 就能拿到 5% 的交易手续费。所以，Friend.tech 对那些有影响力的博主来说非常有吸引力，他们可以通过平台赚粉丝经济的钱，而他们的入驻反过来又给 Friend.tech 带来了更多用户和知名度。

2. 空投预期

8 月 19 日，Friend.tech 在推特上宣布 Paradigm 参与了它的种子轮融资，并且会合作开发更先进的社交工具。

因为用户使用 Friend.tech 会获得积分，官方也明确说这些积分在 6 个月测试期结束后会有特殊用途，空投会参考用户的活动情况。所以，目前大量空投猎人涌入 Friend.tech，拼命刷数据。

Friend.tech 的隐私安全争议

8 月 21 日，Friend.tech 超过 10 万份用户数据被泄露。原因是 Friend.tech 提供的 API 可以直接查到你钱&包地址和推特信息的对应关系。可查询的 API 链接如下：

https://prod-api.kosxxxx.com/users/0xfd7232e66a69e1ae01e1e0ea8fab4776e2d325a9

（出于安全考虑，已隐去 API 的完整链接）

只要把链接中的地址（Friend.tech 创始人的地址）换成其他跟 Friend.tech 交互过的地址，就能查到相关信息。上面这个 API 链接的查询结果如下：

虽然 Friend.tech 回应说这些信息是公开 API 爬取的，并指责泄露报道不负责任，但暴露的数据同时包含了钱&包地址和推特账号，也就是链上信息与链下信息的关联。对于黑客甚至中心化机构来说，这些信息足够定位到钱&包背后的真实身份。

另外，MEV 机器人可以利用 Friend.tech API 显示的数据以及 Base 链上的信息，监控哪些有影响力的 KOL 加入了 Friend.tech。一旦发现，它们就会在第一时间买入对应的 Shares，推高价格后再卖出套利。目前 Friend.tech 上的 MEV 机器人已经泛滥成灾，对普通真实用户来说伤害不小。

更进一步，如果恶意攻击者深挖这些 API 信息以及泄露的 10 万 + 条数据，有可能获取更多用户的交易细节和身份信息，导致那些信息被泄露的用户面临社会工程学攻击。

这些问题该怎么解决？

1. 尽快明确隐私政策

Friend.tech 上线已经 12 天，但隐私政策还没出来。如果它继续提供当前的 API 访问服务，那就应该在隐私政策里明确说明：API 会公开你的钱&包地址和推特账号。如果后续修改 API 访问规则，也要在隐私政策里声明会为哪些用户提供哪些 API 服务，以及 API 调用者能拿到哪些信息。

Friend.tech 目前没有隐私政策

2. 调整 API 访问权限

虽然跟 Friend.tech 合约交互的地址是公开在区块链上的，但这不代表它应该把地址和关联的推特账号一起暴露给所有人。Beosin 建议，Friend.tech 的公开 API 不应该同时包含用户的钱&包地址和推特信息。此外，应该限制非一定数量 Shares 的持有者不能查看对应用户的钱&包地址和推特账号，这样能防止 MEV 机器人提前锁定入驻用户的身份进行抢跑。希望 Friend.tech 能制定更完善的 API 访问规则，更好地保护用户隐私，提升使用体验。

3. 账户隔离

Beosin 建议用户使用全新的钱&包地址来跟 Friend.tech 交互，这个钱&包的资金最好直接从中心化交易所提出来，避免泄露钱&包地址关联信息。对于在 8 月 21 日之前已经交互过 Friend.tech 的用户，数据已经泄露，要留意之后可能出现的针对性钓鱼攻击。

我们向各位读者朋友推荐下面这款 Beosin Alert 反钓鱼插件，可以识别 Web3 领域的大部分钓鱼网站，守护大家钱&包和资产安全。

总体来说，Friend.tech 确实很火，已经积累了数万用户，这对新兴的 Base 生态系统来说是个不错的信号。但法律专家也提醒过，Friend.tech 可能会引起 SEC 的注意，再加上前面提到的安全和隐私问题，这些风险都不能忽视。