又谈周杰伦NFT盗窃案：区块链交易透明与个人信息保护矛盾的调和

‍‍正文 | 张延来

一、众目睽睽之下的“卖赃”。 周杰伦的Boring Ape NFT被盗一时间成为人们关注的焦点。 在这个过程中最让人意外的似乎不是NFT本身被盗，而是盗贼后续售卖赃物的行为有目共睹。 ，就连周杰伦自己也在自媒体平台上发文说自己的BAYC#3738被盗了，同时标注了小偷的钱包地址，有点被偷的感觉，不过他也知道小偷住在哪里不过也可以抓住它。

从Opensea的链上数据可以看出，周杰伦的NFT被一个名为“E34F00”的钱包盗走。 攻击者得逞后，将被盗的 BAYC#3738 在 LooksRare 上出售，获利 130 ETH。

据了解，失窃的BAYC#3738大约三个月前由麻鸡哥捐赠给周杰伦。 区块链很“专一”地记录了这个NFT的整个流通过程，而且都是可以查询的，真正做到了“有条不紊的传承”。

2、区块链浏览器：链上数据畅通无阻 区块链作为超级账本的技术特性已经被越来越多的人所了解。 既然所有的节点都保存着完整的交易记录，既然宣称“交易透明公开”、“可追溯”，那么这些交易是否真的被记录下来，是否可以被公众查询和验证，也成为一个重要的检验维度区块链是否可靠。 于是，越来越多的区块链开发了自己的链上数据查询系统。 该系统一般以区块链浏览器的形式提供给用户。 区块链浏览器类似于搜索引擎。 与我们常见的搜索引擎相比，它专门用于查询区块链上的数据信息和相关智能合约代码等信息。 我们可以使用区块链浏览器输入一些必要的线索（token ID、哈希值、智能合约地址等），然后查询所有对应的链上交易信息。 提供DDAP或其他智能合约供用户使用，用户甚至可以通过区块链浏览器查看此智能合约的源代码，从而用户可以自行审核整个智能合约的结构、功能和真实性。 可以看出，从区块链的技术原理来看，区块链不相信“广告”，更注重“口碑”，尽可能多地向公众开放信息，接受大家的监督。 与“中心化”和“封闭式”平台相比，这是一个很大的进步。

（在区块链浏览器查看知名NFT CRYPTOPUNKS的智能合约部署和交易记录）可能有人会说，这些都是为比特币、以太坊等公链开发的。 技术上可以查询链上数据。 事实上，国内一些私有链和联盟链已经部分开放了查询功能现在国内私人比特币能交易吗，包括一些NFT平台内置了对部分链上数据的查询和公示功能。 这样做是为了获得信任和用户。 毕竟，权利和交易只有在数据上链后才能得到确认。 这比传统的后台订单记录重要得多。

3.个人信息在链上存储在哪里 无论是周杰伦的NFT被盗信息，还是市面上已有的区块链浏览器，不难发现，这些公开发布的链上数据与我国法律重点保护的个人信息。 信息存在相当程度的交集，比如“智能合约地址”，在区块链上基本相当于用户的ID。 一旦周杰伦公开了自己和小偷的“地址”，人们就可以继续追踪和了解他们。 地址下的所有交易，然后得知Jay的NFT出自麻鸡哥，被盗后又易手数次，当前持有人的地址是什么等等。 我们可以看看GB/T 35273-2020《信息安全技术个人信息安全规范》。 从其附录B.1第一行的记录来看，交易信息和交易记录（虚拟财产）信息被视为“个人敏感信息”所列。 根据《个人信息保护法》第二十八条：“个人敏感信息是指一旦泄露或者被非法使用，可能侵犯自然人人格尊严或者危及人身和财产安全的个人信息，包括生物识别信息。 、宗教信仰等、特定身份、医疗健康、财务账户、行踪等信息，以及14周岁以下未成年人的个人信息。只有在有特定目的和充分必要，并采取严格保护措施的情况下被带走，个人信息处理者可能会处理敏感的个人信息”。

有人可能会说，链上的数据是哈希值等数据，不能直接反映信息主体的身份，都是匿名化的数据，不符合个人信息的标准。 我个人对此有不同的看法。 首先，这些上行数据只能说是“去标识化”了。 信息是指以电子或者其他方式记录的与已识别或者可识别自然人有关的各种信息，不包括匿名信息。” 从规定出发，如果不能匿名化，仍可能构成个人信息。 回到周杰伦的例子，他的地址已经公开，公众可以将所有与他相关的交易与周杰伦本人联系起来。 很显然，这些都是周杰伦的个人信息。 当然，你可以说这些信息是他自己透露的。 而且已经失去了法律保护的条件，但是他不公开现在国内私人比特币能交易吗，我们是不是就不能恢复了？ 由于链上交易是可以查询的，我们可以从Boring Ape的异常交易链中“逆向分析”Jay的智能合约地址，进而识别出包括麻鸡哥地址在内的更多个人信息。 可能构成《个人信息保护法》中的“借助附加信息识别特定自然人身份的过程”。 更多的时候，我们不像周杰伦那么大方，丢了东西也不怕别人知道。 普通用户可能不希望（部分）公开他们买的东西、在哪里买的、从谁那里买的、卖给谁的，所以个人信息和区块链数据披露之间确实存在紧张关系。 我认为这个结论并不平庸。 其实我个人是不同意按照通用的个人信息保护标准来要求区块链的。 这项新技术对行业的影响是革命性的，法律应该给予足够的宽容，至少要有试错的余地。 尤其是在公链在中国几乎没有立足之地的情况下，私有链和联盟链由于各自的技术特点不同，在一定程度上受到了大众对其可靠性的质疑。 最好的办法就是“增加自信”，否则技术的先进性就难以体现。 同时，也要考虑到我国特殊的个人信息保护环境。 无论是区块链运营商还是区块链浏览器开发者，都应该结合个人信息保护要求，找到最大的合规公开范围，必要时通过用户协议、行业标准等促进授权和共识，真相本身就是法律从业者即将面临的又一个新课题。

关于作者

张延来

浙江垦丁律师事务所创始人主任律师专利代理人

“互联网法学会”、“互联网法律实务圈”创始人

中国政法大学实习导师

浙江省反垄断专家指导委员会委员

杭州仲裁委员会仲裁员

从业以来，他完全专注于互联网法律实务。 曾担任数十家领先互联网企业常年法律顾问，代理了首例群控案、首例微信小程序案、首例智能手机刷机案、首例5G云游戏案。 、人脸识别第一案等多起标杆性互联网诉讼案件，代理案件入选“最高人民法院十大知识产权典型案例”、“最高人民法院知识产权典型案例50强”、“中国最具研究价值知识产权案件、“中国十大宪法案件”等。

深入参与中国《电子商务法》、国家工商总局《网络交易管理办法》、杭州市《网络交易管理办法》的立法工作。 个人专着《法眼电子商务》、《网络法律战场笔记》已由法律出版社出版。

‍‍