第三章 區塊鏈應用之監理
第一節 區塊鏈應用所生之風險
國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
32
第三章 區塊鏈應用之監理
區塊鏈為資訊交換的協定，是基於多項資訊科技演算法之綜合運用，其擔 保著數位環境中資訊交換的真實性和正確性，在商業應用中尤其重要，而第二 章第四節所舉的案例皆是得以區塊鏈實作的可能商業應用場景，讓雙方在看不 到彼此的情形下仍可藉由區塊鏈技術中的數位簽章確認發送資料的來源和資料 的真實、正確性，而這也正是區塊鏈技術的核心，因若無法證實雙方在虛擬的 數位環境中確有意思表示的存在或無法證實其真實性，則後續的法律行為和法 律關係皆無法開展。
此外，區塊鏈有著去中心化、不可竄改和安全性高的特色，其核心價值在 於「信任」，傳統中心化的治理模式過度信賴中心節點，這個中心節點可能是一 個資料庫、一台路由器或是一台主機等終端裝置，但背後維護管理的皆是由
「人」負責進行，人易受外界環境影響，但演算法不會，區塊鏈使用者信任的 是「演算法」，沒有感情、沒有情緒，有的只是嚴謹的規則，區塊鏈將「人」這 個不確定因素所生之影響降到最低，亦顛覆傳統中心管理模式的概念，其引領 的第四次工業革命所帶動的商業模式創新週期相較於以往的工業革命更是縮短 許多，應以何種新的監理思維和分析框架去看待區塊鏈技術所開展的法律關係 是本文所欲先建立的前提，在此前提再去分析區塊鏈與現行電子簽章法之相容 性，方得以正確的思維和態度看待該問題，以避免失焦與紊亂。
第一節 區塊鏈應用所生之風險
區塊鏈去中心化防止中心機構的腐敗所帶來的損害；資料不可竄改性確保 資料的完整性；可驗證之匿名讓電子交易安全得以安全無虞。但水能載舟亦能 覆舟，其衍生的風險亦是制定監理戰略思維時應納入考量的範圍。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
33
一、個人隱私保護
開放式區塊鏈中，一筆資料由區塊鏈全體節點共同驗證通過後，每個節點 會同步更新各自的帳本，以維持帳本的一致性，但這也表示每個節點對於交易 資料皆有訪問權，縱使上面的主要資料如交易當事人、位址皆以 Hash 值表現，
經過多次交易後，透過大數據的分析，亦能建構擁有此地址的交易當事人的行 為模式；在認許制區塊鏈中，節點的加入需經過組織認可，並須與真實身分進 行連結，因此個人於網絡上的行為足跡將清晰可見。此外，兩種類型區塊鏈維 持帳本的方式是各節點皆擁有一本完整帳本，帳本需要更新時，再以共識機制 確認同步更新的步調和標的，因此帳本資訊各個節點都能掌握，使得區塊鏈仍 有侵害個人隱私之虞45。
二、網路攻擊
區塊鏈本身的機制能確保交易的安全和資料交換的完整性，但區塊鏈的應 用非僅指底層的區塊鏈技術，還包含以此底層技術構建的應用系統和終端使用 者46。
(一)暴力攻擊法(brute force attack)
在開放式區塊鏈中多數使用 POW 共識機制，由各節點藉由本身的運算能 力競逐解題，由最先解出題目之節點將答案和交易內容廣播給其他節點進行驗 證，因此當某節點掌握 51%算力時，即能比其他人先行算出答案，並將偽造的 交易資料廣播給其他節點進行確認，而其他節點就只能依照其所廣播的偽造資 料進行再一次的比對，而無法發現原始的交易資料其實已遭竄改。
51%攻擊的主要目的是為了讓一筆錢能進行兩次花費(double-spending)，如
45 Zetzsche, Dirk A. and Buckley, Ross P. and Arner, Douglas W., supra note 21, at 14-15.
46 杜宏毅，如何建置一個實用的區塊鏈平台，財金資訊季刊，第 90 期，2017 年 10 月，頁
45，參考網址：https://www.fisc.com.tw/Upload/b0499306-1905-4531-888a-2bc4c1ddb391/TC/9006.pdf
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
34
同手中僅擁有 50 元卻可以連續至兩個商店以此 50 元購得商品，換言之，你可 以得到總價值 100 元的商品卻僅須付出一半(50 元)的成本。
而此攻擊方式是利用區塊鏈中最長鏈合併規則( longest chain rule）所達成 的。區塊鏈中並非只靜態地存在一條鏈，當有兩個礦工同時對於同筆交易解出 答案而獲得記帳權，則會產生分叉而出現兩條鏈，但為避免分叉無限產生並破 壞帳本的一致性，因此以最長鏈合併規則比較兩條鏈的長度，最長者始被認為 是合法且正確的區塊鏈帳本，也因為這個規則的採行讓攻擊者有機可乘。
攻擊者(本身也是礦工)會先發起一筆移轉所有權或給付之交易(100BTC)，
這筆交易會先進入待確認交易區，當經過其他礦工驗證後，即會寫上目前大家 已有共識的區塊鏈版本(簡稱 A 鏈)，但同時攻擊者擁有強大算力，所以總能先 解出答案而獲得記帳權以製作區塊，但因攻擊者未將答案廣播，因此其他礦工 並不知道攻擊者私自維護著一條自己的鏈(簡稱 B 鏈)，且刻意不將這筆 100BTC 交易寫上 B 鏈，當攻擊者靠著強大算力快速累積區塊於自己維護的鏈上，且長 度長於 A 鏈，則攻擊者的 B 鏈依照最長鏈規則即會成為大家主要依循的區塊鏈 版本，而此鏈上攻擊者並未將自己原本花費 100BTC 之交易上鏈，所以這筆 100BTC 看似未曾被使用過，攻擊者即能再次使用此 100BTC 進行消費47。 三、人為操作風險
(一)上鏈資料的正確性
以區塊鏈網絡保存資料，須先透過終端使用者利用 API(Application
Programming Interface，以下簡稱 API)或 AP(Access Point，以下簡稱 AP)閘道登 入區塊鏈系統，並輸入資料。
因此區塊鏈雖然能保障資料的完整並且不被竄改，但前提是輸入的資料是
47 Jimi S. ,Blockchain: how a 51% attack works (double spend attack), available at：
https://medium.com/coinmonks/what-is-a-51-attack-or-double-spend-attack-aa108db63474 (Last visited on 2019/07/01)
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
35
正確且無缺陷的，但鏈下資訊上鏈前所經由的 API 或 AP 閘道本身並無法提供 像區塊鏈技術一樣的安全性，因此容易成為駭客攻擊之目標，例如 Mt.GOX 交 易所遭受駭客攻擊而損失價值約 875 萬美元的比特幣即是交易所建構的錢包和 系統平台安全性有所缺陷，而無關區塊鏈帳本本身48。
(二)人為疏失
根據 2018 年企業資安報告，資安風險有 56%來自人為疏失49，區塊鏈由程 式開發人員建立與維護，開發人員若未盡注意義務，造成程式碼或演算法有所 缺陷，亦連帶影響區塊鏈的安全性，因此人員的專業、管理亦是維持區塊鏈安 全的重要因子之一。
此外，使用者藉著外部應用系統連結區塊鏈系統，由於區塊鏈系統本身使 用區塊鏈技術，具備高度安全性；但外部應用系統未使用區塊鏈技術，因此當 其資訊安全防護措施未能達到區塊鏈技術所能達到的標準時，而使用者又無資 訊安全的意識時50，即會成為駭客之目標，而形成區塊鏈平台架構中的弱環節 (weak link)。