ENS:零寬字符對ENS的影響 或比你想象的更大_WEB

昨日，一位資深的 Web2.0 域名交易者「Hero 桀」在其個人 Mirror 上發表了一篇名為《請停止注冊一切 ENS 域名，因為它一文不值》的文章。Hero 桀自稱是資深 Web2.0 域名交易者，并曾賣出 xiaomiquan、wuyinli 等多個知名域名，目前仍持有 ouyi 這一優質域名。

該文章指出了一個肉眼不可見的「ZWJ（零寬字符）」所導致的設計疏漏，正為 ENS 埋下重大安全風險。該文章在部分加密社區流傳甚廣，并引發了部分投資者對 ENS 的質疑。

這一問題允許多個肉眼所見完全相同的.eth 域名同時出現。正如 Web3.0 革新了陳舊的傳統互聯網一樣，在 Web3.0 時代，ENS 也為釣魚攻擊帶來了 Web2.0 不曾出現過的全新升級的新方法。

在現階段，「.eth」域名更多的被作為「網名」而廣泛使用，一個獨特的 eth 域名就像 Web2.0 時代的 QQ 靚號。在這種難以稱之為基礎設施的應用場景下，一些設計疏漏雖然會對用戶造成困擾，但終歸無法撼動 ENS 去中心化域名龍頭的地位。

而在 ENS 的愿景實現之后，這個疏漏仍然是可以被忽視的嗎？「Decentralised naming for wallets, websites, & more.」這是 ENS 官網上用醒目的字體所寫的宏大使命。在這個愿景中，ENS 將成為命名一切數字資源的域名系統、打開 theblockbeats.eth 就像打開 theblockbeats.info 一樣自然，而此時 ENS 的零寬字符將為整個 Web3.0 世界帶來深遠的安全隱患。

零寬字符，讓 ENS 距離成為 Web3.0 基礎設施更遠了一步。

報告：第二季度中國城市區塊鏈綜合指數前五名與上季度保持一致:金色財經報道，《2023年中國城市區塊鏈綜合指數報告（第二季度）》正式發布，本季度前五名與上季度保持不變，北京、上海、深圳、廣州、長沙的綜合發展情況依舊穩坐前五。

據悉，該報告對我國區塊鏈行業4月至6月的熱點動態進行了全面梳理，并從多個角度客觀分析了各城市在區塊鏈發展方面的現狀。具體來看，產業融合指數由區塊鏈項目數量和應用區塊鏈技術企業占比兩個三級指標構成，從產業融合分指數排名情況看，各城市產業與區塊鏈技術融合程度差距較大，北京仍然遙遙領先其他城市，獲得92.57分，為最高分；產業融合分指數排名TOP3城市分別是北京、深圳和上海。[2023/7/20 11:06:49]

當你看到「vitalik.eth」時，你會認為這個人是誰？毫無疑問，這一 ENS 域名由 V 神所有。那么，我能否注冊這一域名呢？按照 ENS 的規則，這一域名已被注冊，其他用戶自然無法在注冊同樣的域名。但值得注意的是，這里僅僅指對計算機而言完全一致的域名。那么，我有沒有辦法找到一個和 V 神域名有所不同但看上去又一致的域名呢？

當然可以，只要在任意位置插入 ZWJ 即可。

ZWJ（zero width joiner）即零寬字符，這一符號頗為特殊。對于計算機來說，ZWJ 仍然為一個字符，在 Unicode 字符集中擁有獨立的編碼，你在 Word 鍵入這一字符它仍會被計入字數統計。而這一字符的寬度卻為 0，也就是說對于肉眼而言，零寬字符完全不可見。

這也就意味著，我只要在「vitalik」這一單詞中任意位置插入零寬字符，即可注冊一個肉眼看上去和 V 神域名完全一致的 ENS 域名。

比特幣網絡NTF項目Taproot Wizards的“成功”激怒了比特幣極簡主義者:金色財經報道，Taproot Wizards NFT作為Ordinals的新鮮面孔突然出現，其雄心壯志是要超越一般的生成NFT項目。該項目的標語是“讓比特幣再次變得神奇”，該藝術品向比特幣社區的傳奇歷史致敬。Taproot Wizards一舉徹底粉碎了仍在發展中的比特幣NFT生態系統。但是，并不是每個人都高興，特別是由于區塊鏈擁塞和其他幾個原因及已經反對Ordinals的比特幣極簡主義者。

推出Taproot Wizards項目的比特幣早期支持者Wertheimer表示，極簡主義者非常不喜歡Ordinals，因為他們認為NFT是惡意的。他指出，他并不期望每個人都欣賞Ordinals，但他相信對創新的追求，并且不同意當前比特幣的完美主義精神。盡管遭到反對，但Wertheimer堅持認為大多數比特幣人不同意這些觀點，而Taproot Wizards只是Wertheimer將創新帶回比特幣的計劃的一個方面。

此前2月2日報道，Luxor挖礦產出最大的比特幣區塊，包含Taproot Wizard NFT。[2023/2/24 12:27:40]

在注冊 ENS 域名時，只要在任意位置鍵入「%E2%80%8C」或者「%E2%80%8D」，即可在單詞中插入一個零寬字符。這樣，一個 V 神同款 ENS 即可成功注冊了。如果插入零寬字符之后，依然已被人提前注冊，你甚至可以插入連續的兩個、三個、四個……多個零寬字符，直至嘗試到無人注冊為止。

ENS 不止是 Ethereum 網絡的重要基建之一，同樣也是 Web3.0 網絡的重要基建。ENS 的創始人曾公開表示，ENS 的愿景是要做「全球每一個數字資源的域名服務商」。不止是用戶的賬戶名，更是整個 Web3.0 網絡的命名系統。

Web3游戲開發工作室Tribo完成117萬美元融資，Play Ventures等參投:10月10日消息，Web3多人游戲開發工作室Tribo宣布完成117萬美元融資，Play Ventures、Sisu Game Ventures和Joakim Achrén參投。據悉，該公司正在開發一款多人參與的免費休閑游戲，并且將使用NFT數字藏品推動游戲經濟。

此外，Tribo推出NFT系列Flameys，總計發行2000枚，持有者可以獲得Tribo社區VIP權限和福利。（VentureBeat）[2022/10/11 10:30:10]

還記得早年間關于 Web3.0 最初版本的想象嗎？去中心化存儲保存文件、去中心化域名提供尋址系統、智能合約擁有鏈上計算的能力、去中心化錢包充當支付通道，在這個版本的 Web3.0 中，一切都是運行于去中心化網絡、無需許可、無審查的，這是一個真正自由的互聯網。在這個版本中，使用 Web3.0 瀏覽器訪問 theblockbeats.eth 就像你打開 theblockbeats.info 一樣自然。

遺憾的是，這一版本的 Web3.0，至今尚未實現。且主流瀏覽器至今尚未支持.eth 域名的訪問。盡管 ENS 仍在持續的建設之中，但它似乎難以成為這一版本的 Web3.0 的主流基礎設施了。倘若真的建成，也將為 Web3.0 時代的網上沖浪留下巨大的安全隱患。

仔細回想一下，你是如何打開這篇文章的？

想必你定當是在某處見到了本篇文章的鏈接，鼠標或手指的一次點擊，將你帶到了這個頁面。而絕非是在地址欄鍵入漫長的一串??https://www.theblockbeats.info/news/28611? 。毋庸置疑，幾乎所有的用戶，都在使用 URL 進行網上沖浪。一個又一個縱橫交錯的超鏈接構成了我們當今時代的互聯網，超鏈接組織起了互聯網的繁雜信息、超鏈接為搜索引擎提供了尋找信息的技術基礎、超鏈接為信息提供了開放自由的互聯通道，可以說沒有超鏈接，就沒有當今世界的互聯網。

數字藏品綜合價值周指數下跌至32.6點:金色財經報道，據同伴客數據顯示，上周（2022年8月8日-8月14日）國際周指數上漲1.92點至18.1點，國內周指數大幅下跌95.9點至54.3點，數字藏品綜合價值周指數下跌37.2點至32.6點。

備注：數字藏品綜合價值指數是對國際及國內當月市場熱度最高的數字藝術品項目市場總銷售規模的綜合反映，以2021年11月份銷售額的30分之7為基數，指數基值為100。該指數由同伴客數據與鏈境Labs聯合研發。[2022/8/15 12:26:57]

基于 ENS 域名的 Web3.0 網站是否可以做到這一切？至少當前是極為困難的。因為它為我們帶來了極大的安全風險。

在 Web2.0 時代，釣魚網站攻擊時刻都在對世界網民造成著嚴重的損失，而這還是在域名無法重名的情況下。想象一下，你在網上沖浪時看到網友分享的一個鏈接，該鏈接「肉眼可見」的是某知名平臺，域名拼寫和真實地址分毫不差，于是你便點了進去。但其實這是一個通過零寬字符偽造的釣魚網站。

當用戶只是進行點對點轉賬時，手動輸入的習慣讓零寬字符或許只是一個無關痛癢的惡作劇。而當 ENS 試圖達到它的使命、命名一切數字資源時，這一切都變了。Web2.0 的釣魚只是域名相似，而 Web3.0 的釣魚已經迭代為完全一致。這將是一個重大的安全隱患。

我們處在一個基于超鏈接編織而成的互聯網。DeFi、交易平臺、Web3.0 博客、Web3.0 社交；網站鏈接、dapp 鏈接、API 接口鏈接、一切用例的入口鏈接……若以鏈接形式存在的.eth 域名不再可信，.eth 如何拓展它在「網名」之外的用例？如何成為 Web3.0 基礎設施？ENS 域名的宏大敘事如何繼續展開？這一風險或將從根基沖擊 ENS 的估值體系。

DiTok推出去中心化短視頻SocialFi平臺:7月30日消息，DiTok推出基于區塊鏈的去中心化短視頻SocialFi平臺。用戶躺在家里刷手機、看短視頻，可以賺取代幣。目前DiTok已經正式開啟全球公測。（Asiaone）[2022/7/30 2:48:17]

而頗為諷刺的是，這一問題甚至在 Web2.0 中并不存在。

Web2.0 的解決方案簡單明了——不支持使用零寬字符和拉丁字母的混排作為域名。具體可參閱《IDN2008 規范》的「UTS46」標準。

前文我們曾提到零寬字符「%E2%80%8C」和「%E2%80%8D」這兩組神秘代碼。這是 16 進制的 UTF-8 編碼。它們的 Unicode 編號分別為「U+200C」和「U+200D」。這些字符通常被用于在阿拉伯文與印度語系等文字中，用于控制字符間是否產生連字的效果。在其他大多數語言中，你并不能打出這個字符。

而在 Web2.0 的域名注冊中，此類較為特殊的字符并不被接受。但這并不代表 Web2.0 沒有類似的攻擊手段。事實上，外形相似的域名所偽裝的釣魚網站，一直在 Web2.0 的世界里廣泛存在。

舉個例子，你能否準確的區分"e" 和"е" 、"a"和"а"、「Ο」和「O」以及「О」？這些字母包括我們頻繁使用的拉丁字母，以及較少用到的西里爾字母和希臘字母。

起初，域名注冊僅支持 ASCII 字符，即我們口語中所說的「英文字母」和阿拉伯數字。這也是在世界各地被使用最為廣泛的字符集，幾乎所有支持字符顯示的設備都支持 ASCII，但卻不一定可以正常顯示其他文字。在 IDN（國際化域名）普及之后，域名注冊新增支持了多種語言文字，將支持字符從 ASCII 字符集擴展至部分 Unicode 字符集。這讓世界各地的人民均可使用自己的母語注冊域名，以中文為例，你可以通過「http://新華網. 中國/」直接訪問新華網。

而在如此之多的文字中找到和拉丁字母相似的字符并不是什么難事。這種使用相似字符偽裝成釣魚網站進行欺詐的情況逐漸多了起來。這一欺詐被稱為同形文字（homograph）攻擊。

早在 2001 年，以色列的安全人員發表了一篇名為《同形文字攻擊》的論文，并注冊了一個包含西里爾字母的 microsoft. com 的變體。這也是可考證的第一個 homograph 欺詐域名。可以說，homograph 問題在 Web2.0 時代由來已久，但其危害性和嚴重性遠不及 Web3.0 的 ENS 域名。

我們以一組 IDN 域名為例：??.com、а??рау.com、а??рау.com。打開這些域名，你可以看到什么？

瀏覽器自動將域名轉換為了以「xn--」開頭的域名，這一編碼方式被稱為 Punycode。

在《IDNA2003》的規范中，為避免 homograph 欺詐，域名應經過二次處理，這一過程被稱為「兼容性規范化 (compatibility normalization,NFKC)」。在非 ASCII 字符域名中，所有的字符都可被通過 Punycode 轉換為更為通用的 ASCII 字符（「xn--」域名）。這一編碼方式遵循 UTR36 標準，已被主流瀏覽器使用，這從用戶端降低了 homograph 攻擊的風險。

同樣，在 IDN 域名的注冊環節，ICANN 也做出了相應的規范。各國域名注冊組織也在逐漸做出跟進，例如，俄羅斯的域名管理機構已經禁止了.ru 域名中混用西里爾字母和拉丁字母。

ENS 域名無疑支持著遠多于 DNS 域名的字符，你不僅可以像 DNS 一樣使用各種文字注冊域名，甚至還可以使用 emoji 注冊域名，以及本次被熱議的安全隱患零寬字符注冊域名。（值得一提的是，emoji 域名并不是 Web3.0 的特例，傳統域名中的「.tk」、「.ws」等根域名同樣也支持 emoji 注冊。）

而在 Web3.0 中，我們能否通過相似的手段消除這一隱患呢？

遺憾的是，ENS 開發者似乎并不打算從注冊入口上解決這一問題。

在 ENS 社區的討論中，這一問題早在 2021 年 4 月就已被用戶提出。而 ENS 開發者對此的解釋是，對零寬字符的支持是在合約層面的，因此無法移除對這些可能被用于欺詐的字符。此外，還有一個更重要的原因——零寬字符支撐著 emoji 在 ENS 中的應用。

ENS 創始人 nick.eth 針對零寬字符問題做出了這樣的回應：「我們不像 ICANN 對大部分通用頂級域名那么嚴格，像 emoji 這樣的域名就很好的運用了 ENS。」「ENS 禁止解析非 UTS-46 規范的域名并不在合約層面實現——將規范寫入合約是不切實際的——這應作為客戶端所需解決問題的一部分。」當然，他也對用戶做出了積極的表態，「我們將考慮對規范化規則作出補充，以禁止您發現的這種情況。」

emoji 表情符號數量繁雜，事實上，有大量的 emoji 均為基礎 emoji 的復合，例如，「女人」、「零寬字符」、「火箭」三個連在一起即會被計算機識別為「宇航員」。通過零寬字符，可以在精簡編碼集的基礎上納入更多的表情。而這也是 ENS 支持幾乎所有 emoji 的基礎。因此，ENS 無法屏蔽掉零寬字符的使用。

前文我們曾提到 Web2.0 的「.tk」域名，這是世界上第一個支持 emoji 的域名，傳統的 Web2.0 域名是如何解決這一問題的？在前文提到的《IDN2008 規范》的「UTS46」標準中，零寬字符在不同文字中的使用、在 emoji 中的使用，均被做出嚴格規范。

在 4 月份的討論中，nick 向社區成員解釋，零寬字符的使用是在智能合約層級的，「不過，這很好，ENS 的設計一直是這樣。」「白名單規則在這里沒用，因為域名中可以包含多個字符，而不僅僅只是 emoji。」

截至目前，我們尚未看到 ENS 團隊在合約層面有任何修復這一安全隱患的舉措。所有對于這一風險的防范均由中心化的 Web2.0 前端所作出。

在 OpenSea，包含零寬字符的 ENS 域名被標記上了黃色驚嘆號。

在 etherscan，存在同樣隱患的 ENS 域名則被標記了星號。

在 Metamask 上，雖然并不會額外給出風險提示，但 Metamask 可以識別到字符串中包含一位零寬字符，并用"?"將這一字符顯示出來。

借助于中心化的手段，ENS 域名的安全風險在一定程度上有所減少。但當我們進入一個完全開放的 Web3.0 的世界，中心化的手段又將起到多大的作用呢？如果這隱患無法消除，ENS 距離他命名一切數字資源的愿景，仍然相距甚遠。

在未來的某一天，有人發送給你一則網址為 www.binance.eth 的公告鏈接，你敢點開嗎？

Tags：ENSWEBWEB3WEB3.0KITTENS價格WEBN tokenweb3域名web3.0幣現價多少錢

以太坊