灵踪安全CEO谭粤飞：DeFi投资者一定要看项目审计报告

私募比特币 金色财经现场报道，4月10日，由金色财经主办，波场TRON总冠名，HBTC、SumSwap、SubGame首席合作企业的“2021共为·立异大会”在上海举行。大会以“DeFi的立异进阶”为主题，会聚百家优异区块链企业和许多职业大咖，一起讨论Defi生态、波卡、NFT、买卖所公链、ETH 2.0、Layer2六大赛道论题。在下午的“DeFi+NFT”主题专场，灵踪安全CEO谭粤飞做了《小白用户怎样读懂DeFi合约的审计陈述》的主题讲演。谭粤飞在讲演中指出，2020年DeFi安全丢失超越2亿美金，这些安全事端大多来自对智能合约的进犯，智能合约的安全事端较多，原因有三：第一个是智能合约自身，第二是区块链技能特色，第三是社会要素。首要智能合约一旦布置，不能被撤回。其次区块链结构使项目方无法知晓进犯者的社会身份以及买卖不行逆。最终是智能合约运用的社会束缚比较缺少，例如缺少对数字财物的维护，缺少对区块链运用的束缚和标准。以下为讲演概况：谭粤飞：今日我和咱们共享的主题是怎样阅览DeFi合约的审计陈述。当咱们说到审计陈述的时分，事实上咱们谈的是DeFi的安全，咱们谈安全的时分，许多时分觉得这个概念比较笼统，所以，我给咱们展现一些数据。整个大饼是2020年整个一年一切和区块链安全事端所引起的丢失，一切的丢失，请咱们留意看，其间光DeFi左面赤色区域是DeFi丢失，2.38亿万美元，占整个区块链安全所引发的丢失40.9%，简直挨近一半。在2020年之前，DeFi安全的事端远远没有这么夸大，可是DeFi的呈现导致安全的事端如此严峻。还不是这么直观，咱们再看一些更具体的事例，咱们从底下看起，2020年12月26日资金池的资金被搬运，2020年12月21日被进犯，2021年1月份寿司被进犯，2月份WFI又被进犯，我罗列的数据不是指出这些项目自身怎样样，我是想要让咱们留意，这些项目被进犯的时刻点，咱们有没有发现从2020年10月到2021年3月，每个月都有一个比较闻名的DeFi项目遭到供应，足以阐明安全事端在DeFi范畴发生的频率和频次多么高。安全事端的频发不只仅项目方的名誉，直接影响出资者的利益，接下来，我和咱们共享一下为什么智能合约安全事端这么多，他是由特别的要素所确认，咱们灵踪安全团队以为，呈现安全事端的原因首要有三个要素，第一个智能合约自身运转的机制，第二个区块链技能的特色，第三个智能合约运用的社会束缚。咱们首要来看第一个智能合约自身运转机制，智能合约有一个十分大的特色，和咱们传统的IT运用有一个什么样大的特色，咱们运用比较传统的运用的时分，咱们运用一个游戏或许是APP，咱们运用进程傍边忽然有一天项目方告知咱们，这个APP发布一个布告，这个APP有问题，在这种情况下，项目方把APP从APP商铺里边下架，让咱们运用旧的版别，他们把有问题的版别撤下去修正完善之后运用新的APP，可是在区块链范畴，以太坊范畴，一旦智能合约了解成为是一种APP，布置到以太坊上面今后，他是没有无法被撤离，这是不能像传统的IT里边的运用被撤回，一旦智能合约开端履行的时分，这是不行逆的，或许咱们能够了解，咱们发现有问题的智能合约布置到以太坊上面，缝隙被黑客发现，黑客运用缝隙进犯它的时分咱们眼睁睁看到资金池里边的资金被盗走，咱们力不从心，咱们在传统范畴，把服务器关掉，可是在以太坊上面，这样的工作是不能发生，咱们不行能把以太坊关机。我不知道咱们留意到推广以太坊的时分，许多人不了解以太坊是什么，他用简略的一句话，以太坊是永久不停歇的国际核算机，永久不宕机，一旦运转无法停下来。第二点跟区块链技能自身相关，咱们谈到区块链技能的时分，咱们首要看看区块链技能的第一个运用便是比特币，咱们最早说比特币至今许多人比特币的时分想到第一个特色是匿名，当然假如依照纯技能的观念来讲，这是伪匿名，做到拟匿名的情况下，在某种情况下把个人实在的信息进行了躲藏，匿名是什么意思，咱们在区块链里边进行每一笔买卖的时分，咱们在一切的可揭露查询的材料里边，咱们只能看到主张这笔买卖或许是参加买卖的这些地址，可是咱们没有办法把这个地址和履行这笔买卖的持有这个地址的人在社会生活傍边的实在身份挂钩。咱们不知道这个地址背面的持有人是谁，他叫什么姓名，它的个人信息号是多少，他在哪个国家，所以由于这个原因他是匿名的，这样导致了咱们在区块链里边，在智能合约里边一旦发生安全事端，咱们知道有黑客进犯咱们仅仅看到进犯的地址，咱们不知道地址后边的持有人是谁，咱们不知道黑客实在的社会身份是什么。刚刚我讲的智能合约自身的技能特色，还有区块链技能特色，导致安全事端十分特别的特色，从技能视点考虑，还有一个视点咱们平常各个公共场合咱们说到比较少，可是在咱们团队看来恰恰也是现在最杂乱最难掌控的当地，这便是社会束缚。我在这里罗列两条，现有的法令法规缺少对数字财物的维护，当我说这个问题的时分有朋友说，在咱们国家重视到最近一两年重视数字钱银法令的信息会说，咱们国家在民法典出台具体的办法，维护数字财物，可是请咱们留意，这样的一些条款和民法典里边，不管是咱们国家的法令以及国际各国的法令，对传统财物的维护力度和广度跟他们比较是无法比较的，所以现在全国际各国对数字财物的维护，在法令上面都是不标准，不完善，不齐备。第二点现有的法令缺少对区块链的运用和监管。现有的法令对一切的传统运用，互联网运用也好，他有一个束缚性，有一个标准，可是这样的法令对智能合约的标准，现在在全国际任何一个国家简直一个都没有，最近在美国，美国的某些州现已成人智能合约的某些法令效应，可是这是吃螃蟹罢了，仅仅测验罢了，真正在具体落地或许是未来完成进程傍边存在什么问题会发生新的问题或许是新的方法，咱们现在都不得而知，在这方面也是一片空白。所以，智能合约自身的问题，区块链技能自身的问题，以及智能合约运用缺少的社会约会导致智能合约的安全有十分特别的当地，所以，形成的事端这么频频，形成的损害这么大。刚刚我跟咱们共享的是安全的一些特别性，下面我和咱们共享一下咱们团队现在对一切在智能合约安全范畴发生的事端咱们一般分红三类，第一类是已知危险，第二类是潜在危险，第三类是人为危险。什么是已知危险，已知危险咱们现在在技能范畴技能团队或许是业界依据以往一切发生的安全事端所总结出来的一些安全的特色，一些事端的特色，总结出来的一些规则，咱们知道了这些规则，知道了这些事端的特色和特性咱们很简略判别，所以咱们称之为是已知的危险。潜在的危险是什么，这些危险从来没有呈现过，或许在咱们运转的智能合约里边，可是咱们不知道，或许说这些危险暂时由于条件不成熟，还没有被触发，这是潜在危险。第三个是人为危险。我罗列了11个危险，实际上，并不是说在智能合约范畴只有这11个危险，我罗列这11个危险，这是现在呈现比较频频的危险，而且咱们见到比较多的危险，具体到每个危险，在业界有许多的剖析和解说，在这里我不好咱们细说。咱们举一些更具体的比如讲讲已知危险和潜在危险和人为危险。咱们看看这个危险，在座的朋友们有没有在2018年4月份之前上一轮进入币圈（有），那一轮的牛市张狂，张狂到什么境地，不只许多小白用户进来，而且传统的IT界的大佬在这个范畴，美链跟某一位传统的IT公司有十分深的联系，他做了什么工作，他发布一个智能合约呈现一个严重的安全缝隙，什么缝隙？在一行代码核算进程傍边没有运用安全的数学库，导致核算溢出，溢出导致的代币被巨量增发，导致价格暴降。这是2018年4月22日。在此之前或许这样的事端叫做潜在危险，现在这个事端发生今后，在业界咱们用技能剖析出来呈现安全事端的原因以及或许呈现的预兆和特色，咱们现在称之为已知危险，这是已知危险的典。第二个事例，2020年312，比特币和以太坊悉数报铁，比特币跌到4000美元以下，以太坊跌到100美元，在比特币和以太坊暴降今后，MakerDAO呈现张狂挤兑的机制，最终发现是机制规划的问题。接着红薯被进犯，20206年6月份，YAM被进犯，红薯这个项目十分有名，这个项目被进犯今后，它的开创人在推特上面发了一段话，对不住，咱们失利了，这么大的事端是怎样发生的，首要是由于逻辑运算中缺少分母，便是这么简略。第三个事例，是YFI是上一年一整轮进程傍边，运转大半年没有呈现问题，本年二月份呈现问题，这个工作的呈现是由于呈现了一个运用方法善待贷导致安稳币的价格被控制。还有TSD被进犯，咱们检查合约代码的时分，假如不是对逻辑了解特别深入，红薯被进犯的除法算法不对，简直很难被发现，别的三个愈加困难，是办理机制呈现了问题，而不是代码的问题，这个问题更难发现，关于这样的问题咱们归结为潜在问题，潜在的问题曾经有，今日有，未来还有，乃至包含咱们一切运营的这么多合约上面，尽管许多都经过了许多公司的审计，可是咱们仍然忧虑里边还存在着许多潜在的许多的危险，只不过这些危险由于条件不成熟，没有被触发罢了。潜在问题是对整个安全职业以及整个区块链职业最大的应战，也是咱们着力最重的当地。还有一个是人为危险，由于时刻有限，后边的内容我讲快一点，人为的忽略跟代码的联系更少，简直是由于人为的办理方面呈现问题，我前面讲了安全的特别性以及安全有哪些问题，下面我和咱们讲一个十分重要的事项，也便是说，咱们作为智能合约的审计公司，咱们最重要的工作是做什么，便是为项目审计智能合约代码，看里边有没有安全事端，我刚刚在展台的时分有许多朋友过来问咱们，你们写的这些陈述对咱们一般出资者小白来说到底有什么效果，我在这里讲，效果十分十分大。许多小白用户看到咱们写的陈述，这是技能文档，尽管是技能文档，可是里边有一部分内容十分通俗易懂，而且跟你的利益密切相关的。在咱们的陈述里边这部分要害的内容便是咱们整个审计陈述里边的第一章，在咱们审计陈述傍边的第一章，咱们会开宗明义写这个项目是做什么的？这个项目的合约有什么功用？以及在咱们检查进程傍边，咱们发现这个项目的危险没有？所以，关于任何用户而言，当你看一个项目的时分，假如这个项目有咱们的审计陈述，我个人主张处于你对自己出资利益的维护和自己利益的关怀，无论怎样你要看一看审计陈述，当你拿到这份审计陈述的时分，你能够不胜其他的章节，可是必定要看第一章，看完第一章，基本上不必花5分钟的时刻你就能够了解这份合约安全不安全或许说这个项目经过咱们公司审计的时分发现存在的问题，项目方是怎样处理这些问题，最少能够看到项目方关于处理问题的情绪，关于你出资项目而言是参阅的效果。所以我着重审计陈述必定要看，假如各位拿到是咱们公司出的审计陈述，关于技能部分不必看，可是必定要看第一章，第一章陈述是咱们对整个审计进程的精华和总结，看完第一章不需要5分钟，5分钟时刻内大致了解这个项目做什么，合约是干什么的，安不安全，以及在审计进程傍边呈现什么问题。

最后编辑：2025-04-21

作者：比特拉

这个作者貌似有点懒，什么都没有留下。

站内专栏 站点