一文全面解讀DeFi生態(tài)安全全景！隨著 DeFi 發(fā)展不斷重塑金融格局，安全始終是 DeFi 生態(tài)面臨的重大挑戰(zhàn)，安全問(wèn)題每年都造成數(shù)十億美元的資產(chǎn)損失。

根據(jù) Chainalysis 的數(shù)據(jù)， 2023 年 DeFi 黑客攻擊導(dǎo)致超過(guò) 11 億美元的資產(chǎn)損失。盡管這一數(shù)字較 2022 年有所下降，但 2023 年出現(xiàn)了新的 DeFi 攻擊趨勢(shì)。例如，一些長(zhǎng)期安全運(yùn)行的知名協(xié)議，如 Curve 和 KyberSwap，也遭到攻擊。此外，還出現(xiàn)了針對(duì)基礎(chǔ)設(shè)施漏洞（如 Flashbots Relay）的復(fù)雜攻擊。

Security Incident Dashboard 數(shù)據(jù)顯示， 2024 年上半年共發(fā)生超過(guò) 50 起造成 10 萬(wàn)美元以上損失的黑客攻擊事件。

近期黑客攻擊事件（來(lái)源: Security Incident Dashboard）?? https://app.blocksec.com/explorer/security-incidents

安全對(duì)于 DeFi 協(xié)議發(fā)展至關(guān)重要。部分協(xié)議管理著數(shù)十億美元的用戶資產(chǎn)，安全事件會(huì)給用戶帶來(lái)重大損失。雖然在某些情況下，被盜資金可以（部分）追回（例如 Euler 攻擊事件），但我們不能將希望完全寄托于此。每一次的攻擊事件，都在削弱用戶對(duì) DeFi 的信心。

盡管業(yè)界已提出許多增強(qiáng)安全性的措施，但 DeFi 安全仍有很大的提升空間。從積極的一面來(lái)看，代碼審計(jì)已成為社區(qū)共識(shí)，大多數(shù)協(xié)議在上線前都會(huì)進(jìn)行審計(jì)，這有助于降低由智能合約漏洞導(dǎo)致的攻擊風(fēng)險(xiǎn)。然而，單靠代碼審計(jì)遠(yuǎn)遠(yuǎn)不足以解決所有安全問(wèn)題。代碼審計(jì)無(wú)法防止由合約升級(jí)、配置更改和外部依賴引入漏洞所導(dǎo)致的攻擊。鑒于這些局限性，一些協(xié)議開(kāi)始采用更加主動(dòng)的解決方案，如運(yùn)營(yíng)監(jiān)控和攻擊檢測(cè)系統(tǒng)。

在本文中，我們將縱覽協(xié)議從上線前（Pre-Launch）、上線運(yùn)營(yíng)（Post-Launch）、到攻擊響應(yīng)（Attack Response）階段可采取的安全舉措，來(lái)了解 DeFi 安全全景。我們將詳細(xì)介紹每類安全舉措及其主要的供應(yīng)商/產(chǎn)品，以及它們的優(yōu)缺點(diǎn)。希望本文能幫助社區(qū)更好地了解 DeFi 安全現(xiàn)狀，為創(chuàng)新的安全解決方案帶來(lái)啟發(fā)。

DeFi 安全全景

DeFi 協(xié)議的安全舉措應(yīng)當(dāng)貫穿協(xié)議上線前到上線后的全生命周期，確保協(xié)議本身以及運(yùn)營(yíng)期間的安全性。此外，針對(duì)潛在攻擊提前部署預(yù)防措施和響應(yīng)計(jì)劃同樣至關(guān)重要。為幫助讀者清楚地了解目前有哪些 DeFi 安全解決方案，我們將相關(guān)供應(yīng)商（產(chǎn)品）分為以下幾類。

 Pre-Launch Security 

協(xié)議上線前可采取的安全措施，包括代碼審計(jì)、形式化驗(yàn)證和安全測(cè)試。

代碼審計(jì)服務(wù)&競(jìng)賽

代碼審計(jì)是社區(qū)公認(rèn)的保障協(xié)議安全的做法。在此過(guò)程中，安全公司會(huì)對(duì)已凍結(jié)的代碼進(jìn)行半自動(dòng)化審查，即自動(dòng)化掃描代碼中的常見(jiàn)漏洞，再通過(guò)人工審查復(fù)雜漏洞，代表性的審計(jì)公司有 OpenZeppelin、ChainSecurity、BlockSec 等。

此外，還有審計(jì)競(jìng)賽平臺(tái)。與直接提供審計(jì)服務(wù)的審計(jì)公司不同，這些平臺(tái)公開(kāi)發(fā)布審計(jì)需求，吸引社區(qū)中的安全研究人員參與審計(jì)競(jìng)賽，并將獎(jiǎng)勵(lì)分配給發(fā)現(xiàn)協(xié)議漏洞的參賽者。審計(jì)競(jìng)賽平臺(tái)包括 Code 4 rena、SHERLOCK、Cantina、Secure 3 等，各個(gè)平臺(tái)在漏洞嚴(yán)重級(jí)別、分配獎(jiǎng)勵(lì)和參與標(biāo)準(zhǔn)上都存在一些差異。

代碼審計(jì)是協(xié)議安全的第一道防線。然而，它也存在一些局限性，這也是為什么許多由知名公司審計(jì)的協(xié)議仍舊未能避免黑客攻擊。

• 首先，靜態(tài)代碼審計(jì)無(wú)法解決由協(xié)議依賴引起的安全問(wèn)題，DeFi 協(xié)議的可組合性更加劇了這一點(diǎn)。

• 其次，在代碼審計(jì)過(guò)程中，一些問(wèn)題沒(méi)有受到足夠的重視。例如，精度損失是一個(gè)常見(jiàn)問(wèn)題，可能會(huì)被審計(jì)員和協(xié)議方忽視。直到 Hundred Finance 和 Channels Finance 事件發(fā)生后，社區(qū)才充分認(rèn)識(shí)到精度損失的安全影響。

• 最后，高質(zhì)量的代碼審計(jì)仍然是稀缺資源，需要具有安全、金融和計(jì)算機(jī)科學(xué)知識(shí)的跨學(xué)科人才，而目前很少有大學(xué)能夠持續(xù)且大規(guī)模地提供此類人才。因此，一些協(xié)議盡管進(jìn)行了審計(jì)，但提供審計(jì)服務(wù)的審計(jì)人員專業(yè)性上是不足的。

形式化驗(yàn)證

“形式化驗(yàn)證根據(jù)某種形式規(guī)范或?qū)傩裕褂脭?shù)學(xué)方法證明系統(tǒng)的正確性或不正確性。” 形式化驗(yàn)證可以確保 DeFi 協(xié)議的行為符合形式規(guī)范。例如由 Certora 開(kāi)發(fā)的 Prover 可以對(duì) DeFi 協(xié)議進(jìn)行形式化驗(yàn)證。開(kāi)發(fā)者提供規(guī)則（規(guī)范），Prover 將探索每一種可能的程序狀態(tài)，將結(jié)果與規(guī)則進(jìn)行比較，從而識(shí)別漏洞。

形式化驗(yàn)證的最大優(yōu)勢(shì)在于它能夠通過(guò)數(shù)學(xué)證明管理數(shù)十億資產(chǎn)的 DeFi 協(xié)議的正確性。然而，實(shí)際應(yīng)用中的一些限制阻礙了其廣泛采用。

• 首先，規(guī)范需要由開(kāi)發(fā)者提供，這要求開(kāi)發(fā)者對(duì)協(xié)議的預(yù)期行為有詳細(xì)的文檔說(shuō)明，而大多數(shù)開(kāi)發(fā)并非這一領(lǐng)域的專家。

• 其次，協(xié)議的頻繁升級(jí)可能需要更新規(guī)范并重新評(píng)估協(xié)議，一些協(xié)議可能無(wú)法付出這么多的時(shí)間和精力。

盡管存在這些限制，我們?nèi)匀徽J(rèn)為協(xié)議應(yīng)該進(jìn)行形式化驗(yàn)證，特別是那些尚未經(jīng)過(guò)時(shí)間檢驗(yàn)且管理大量用戶資產(chǎn)的新協(xié)議。但是，如何增強(qiáng)形式化驗(yàn)證的可操作性并提高其采用率，仍然是當(dāng)下面臨的一個(gè)巨大挑戰(zhàn)。

安全測(cè)試

安全測(cè)試通過(guò)測(cè)試用例來(lái)發(fā)現(xiàn)協(xié)議中存在的潛在問(wèn)題。相較于通過(guò)數(shù)學(xué)方法證明協(xié)議正確性的形式化驗(yàn)證，安全測(cè)試一般使用具體的輸入數(shù)據(jù)（而非形式化驗(yàn)證中的符號(hào)輸入），因此效率更高，但全面性略低。

Foundry 是一個(gè)頗受歡迎的智能合約開(kāi)發(fā)測(cè)試框架。開(kāi)發(fā)者可以在 Foundry 中執(zhí)行測(cè)試，還能夠?qū)?DeFi 協(xié)議進(jìn)行差分測(cè)試、不變性測(cè)試及差異測(cè)試。其他安全測(cè)試工具還包括 Tenderly 和 Hardhat。

 Post-Launch Security 

協(xié)議上線后可采取的安全措施，包括 Bug Bounty、攻擊檢測(cè)和運(yùn)營(yíng)監(jiān)控。

Bug Bounty

Bug Bounty 搭建起了協(xié)議和安全研究人員之間的橋梁。協(xié)議在 Bug Bounty 平臺(tái)發(fā)布賞金計(jì)劃，詳細(xì)說(shuō)明賞金范圍和獎(jiǎng)勵(lì)金額，安全研究人員通過(guò)報(bào)告協(xié)議的零日漏洞來(lái)獲取獎(jiǎng)勵(lì)。Immunefi 是一個(gè)具有代表性的 Web3 Bug Bounty 平臺(tái)。

攻擊檢測(cè)

攻擊檢測(cè)平臺(tái)通過(guò)掃描交易識(shí)別惡意交易。具體來(lái)說(shuō)，這些平臺(tái)會(huì)掃描與協(xié)議交互的每筆交易來(lái)尋找惡意行為，在識(shí)別惡意交易后系統(tǒng)觸發(fā)警報(bào)。

例如，BlockSec Phalcon 掃描每一筆內(nèi)存池和鏈上交易，通過(guò)分析交易的行為特征來(lái)識(shí)別惡意行為（如惡意合約、惡意提案）。它就像一位安全衛(wèi)士，不眠不休地監(jiān)控每一筆交易的每一個(gè)細(xì)節(jié)尋找不尋常的動(dòng)向。它從這些交易中提取行為模式，并使用金融模型（類似銀行用于檢測(cè)欺詐的模型）來(lái)識(shí)別潛在攻擊。類似的系統(tǒng)還包括 Hypernative 和 Hexagate 提供的產(chǎn)品。此外，Ironblocks 的 Venn Security Network 提供了一個(gè)去中心化基礎(chǔ)設(shè)施，能夠聚合多個(gè)來(lái)源的檢測(cè)結(jié)果。

運(yùn)營(yíng)監(jiān)控

顧名思義，運(yùn)營(yíng)監(jiān)控框架監(jiān)控協(xié)議上線后的運(yùn)營(yíng)安全。比如，實(shí)時(shí)掌握管理員密鑰變更情況、智能合約的部署與更新，并自動(dòng)檢測(cè)拉取請(qǐng)求中的安全漏洞。OpenZeppelin Defender 平臺(tái)能夠幫助開(kāi)發(fā)者安全地編寫、部署、運(yùn)行智能合約。BlockSec Phalcon 能夠監(jiān)控合約升級(jí)、Safe 錢包交易（如被發(fā)起、新簽署、執(zhí)行）、訪問(wèn)控制及治理相關(guān)風(fēng)險(xiǎn)。另外，通過(guò)實(shí)時(shí)監(jiān)控系統(tǒng) Forta Network，用戶能夠創(chuàng)建機(jī)器人監(jiān)控協(xié)議，或者訂閱現(xiàn)有機(jī)器人來(lái)接收釣魚等安全威脅警報(bào)。

 Attack Response 

攻擊發(fā)生后自動(dòng)觸發(fā)或緊急采取的安全措施，包括攻擊阻斷、自動(dòng)響應(yīng)、War Room、攻擊成因分析以及攻擊者資金流追蹤。

在這五項(xiàng)響應(yīng)措施中，尤其值得注意的是攻擊阻斷，因?yàn)轫?xiàng)目方能夠提前部署，在攻擊發(fā)生前阻斷攻擊，將損失降至零，自動(dòng)響應(yīng)平臺(tái)也有助于減少攻擊造成的損失。

建立 War Room、進(jìn)行攻擊成因分析和資金流追蹤是攻擊發(fā)生后采取的應(yīng)對(duì)措施，雖然有助于減少損失、防范未來(lái)的類似攻擊，但很可能已經(jīng)造成重大損失且難以追回。此外，項(xiàng)目聲譽(yù)受損及用戶信任流失可能帶來(lái)深遠(yuǎn)的負(fù)面影響。風(fēng)險(xiǎn)似乎無(wú)處不在、防不勝防，但項(xiàng)目方并非只能被動(dòng)應(yīng)對(duì)，可以提前部署防范措施，這也是更為推薦的做法。

攻擊阻斷

攻擊檢測(cè)是獲知黑客攻擊的重要渠道，但如果要對(duì)抗黑客攻擊，只有檢測(cè)遠(yuǎn)遠(yuǎn)不夠。因?yàn)槿绻麤](méi)有自動(dòng)化的攻擊阻斷能力，手動(dòng)采取響應(yīng)措施往往來(lái)不及。以 KyberSwap、Gamma Strategies 和 Telcoin 攻擊事件為例，這些協(xié)議在攻擊的數(shù)分鐘甚至幾小時(shí)后才采取了響應(yīng)措施，黑客在這段時(shí)間內(nèi)發(fā)起多筆攻擊交易，盜走巨額資產(chǎn)。七月的 Velocore 和 Rho 攻擊事件則導(dǎo)致 Linea 和 Scroll 全鏈暫停運(yùn)行，引發(fā)了用戶對(duì) L2 鏈中心化問(wèn)題的關(guān)注。

攻擊阻斷能夠自動(dòng)防范黑客攻擊，這依賴于兩項(xiàng)核心技術(shù)：提前檢測(cè)和自動(dòng)搶跑。提前檢測(cè)指的是在交易上鏈之前，還在內(nèi)存池階段時(shí)，就能識(shí)別出哪些是攻擊交易。自動(dòng)搶跑則是在攻擊交易上鏈之前，優(yōu)先提交一筆搶跑交易暫停協(xié)議，從而阻止攻擊交易的執(zhí)行。這種方法在攻擊實(shí)質(zhì)發(fā)生之前就進(jìn)行阻斷，從而避免了損失。

在這一類別中，BlockSec Phalcon 是唯一擁有這些核心技術(shù)的產(chǎn)品。黑客發(fā)起攻擊交易后，Phalcon 的攻擊監(jiān)測(cè)引擎可以提前檢測(cè)到這筆交易，向用戶推送攻擊告警，同時(shí)自動(dòng)搶跑暫停協(xié)議，將損失降低至 0 。該產(chǎn)品的攻擊阻斷能力已在過(guò)往的二十多次白帽救援中得到驗(yàn)證，共挽救了超過(guò) 2000 萬(wàn)美元資產(chǎn)。

自動(dòng)響應(yīng)

除了攻擊阻斷平臺(tái)外，Phalcon、Hexagate、Hypernative 等平臺(tái)也可以在發(fā)生攻擊時(shí)自動(dòng)響應(yīng)。

訂閱此類平臺(tái)后，用戶可以針對(duì)各類協(xié)議風(fēng)險(xiǎn)設(shè)置監(jiān)控以及響應(yīng)措施。如果一筆交易命中了監(jiān)控規(guī)則，系統(tǒng)就會(huì)自動(dòng)發(fā)起用戶提前設(shè)置的響應(yīng)措施（如暫停協(xié)議），從而降低損失。不過(guò)，部分平臺(tái)不具備攻擊檢測(cè)引擎，系統(tǒng)無(wú)法直接識(shí)別攻擊交易并告知用戶，而是需要用戶自定義一筆交易滿足哪些條件下可以判定為攻擊。由于攻擊交易的特征非常復(fù)雜，而用戶（往往是合約開(kāi)發(fā)者）不一定具備足夠的安全知識(shí)，這對(duì)用戶來(lái)說(shuō)是很有挑戰(zhàn)性的。

War Room

當(dāng)協(xié)議面臨攻擊時(shí)，建立 War Room 顯得尤為關(guān)鍵。這有助于協(xié)議掌握情況、與社區(qū)及時(shí)同步信息，并有效整合資源以采取應(yīng)對(duì)措施，這需要多領(lǐng)域?qū)＜业拿芮泻献鳌?/p>

SEAL 911 旨在“在緊急情況下，幫助用戶、開(kāi)發(fā)者和安全研究人員直接聯(lián)系到值得信賴的安全專家”。用戶可以通過(guò) SEAL 911 Telegram Bot（https://t.me/seal_911_bot）獲取這個(gè)服務(wù)，在項(xiàng)目遭到攻擊時(shí)，迅速組建 War Room 應(yīng)對(duì)安全挑戰(zhàn)。

攻擊成因分析

當(dāng)協(xié)議遭受攻擊時(shí)，關(guān)鍵是要識(shí)別出問(wèn)題的根源，例如智能合約內(nèi)部的漏洞以及漏洞是如何被利用的。分析攻擊交易需要借助一些工具，Phalcon Explorer、OpenChain 和 Tenderly 都是不錯(cuò)的選擇。

資金流追蹤

資金流追蹤是指鏈上追蹤攻擊者的初始資金和攻擊獲利，來(lái)定位相關(guān)的地址和實(shí)體。如果這些資產(chǎn)流向了中心化實(shí)體（例如，中心化交易所和其他機(jī)構(gòu)級(jí)實(shí)體），可以聯(lián)系執(zhí)法機(jī)關(guān)幫助凍結(jié)資金。

Chainalysis、TRM Labs、ARKHAM、ELLIPTIC 和 MetaSleuth 是該領(lǐng)域的代表性公司/產(chǎn)品。例如，MetaSleuth 可以自動(dòng)追蹤跨鏈資金流，并提供豐富的地址標(biāo)簽。ARKHAM 建立了一個(gè)社區(qū)，協(xié)議方可以在此發(fā)布調(diào)查 Bounty 激勵(lì)社區(qū)成員協(xié)助追蹤攻擊者的資金流向。

安全教育資源 

知識(shí)是最好的防線。除了前面提到的安全供應(yīng)商和產(chǎn)品外，還有一類角色對(duì)于 DeFi 安全至關(guān)重要：教育平臺(tái)。這些平臺(tái)提供的資源或資訊能夠幫助 DeFi 從業(yè)者和用戶深入理解安全知識(shí)、提高安全意識(shí)、培養(yǎng)安全技能，為推動(dòng) DeFi 安全發(fā)展提供了重要作用。我們對(duì)這些平臺(tái)致以敬意，并分享以下幾個(gè)值得關(guān)注的平臺(tái)。

• SΞCURΞUM：一個(gè)專注于以太坊安全的 Discord 社區(qū)，并且定期舉辦智能合約安全競(jìng)賽 “Secureum RACE”

  ?? https://x.com/TheSecureum

• Security Incidents Dashboard：該平臺(tái)匯總并實(shí)時(shí)更新?lián)p失超過(guò)十萬(wàn)美元的攻擊事件，并提供損失金額、受影響的鏈、漏洞類型、攻擊成因分析和 PoC 等詳細(xì)信息

  ?? https://app.blocksec.com/explorer/security-incidents

• Rekt：被稱為 DeFi 新聞的暗網(wǎng)，提供對(duì) DeFi 漏洞利用、黑客攻擊和詐 騙行為的深入分析。

  ?? https://rekt.news/

• RugDoc：DeFi 安全和教育社區(qū)。該平臺(tái)提供項(xiàng)目風(fēng)險(xiǎn)評(píng)估信息，還有一個(gè)介紹 DeFi 生態(tài)和技術(shù)的平臺(tái) RugDocWiKi。

  ?? https://rugdoc.io/

• DeFiHackLabs：Web3 安全社區(qū)，致力于幫助 Web2 安全人才進(jìn)入 Web3 領(lǐng)域，在全球擁有兩千多成員和近兩百位白帽黑客，DeFiHackLabs 的倉(cāng)庫(kù)提供了豐富的學(xué)習(xí)資源。

  ?? https://x.com/DeFiHackLabs

• Solodit：該平臺(tái)收錄了 Web3 審計(jì)公司過(guò)往的審計(jì)報(bào)告。

  ?? https://solodit.xyz/

• Ethernaut：一款基于 Web3/Solidity 的游戲，玩家需要識(shí)別以太坊合約的漏洞，形式類似于 CTF。

  ?? https://ethernaut.openzeppelin.com/

結(jié)語(yǔ)

安全問(wèn)題每年造成數(shù)十億美元的損失，是 DeFi 生態(tài)長(zhǎng)期面臨的嚴(yán)重威脅。目前，大多數(shù)安全措施針對(duì)的是項(xiàng)目上線前的安全問(wèn)題。然而，安全領(lǐng)域沒(méi)有“銀彈”。在協(xié)議發(fā)展的不同階段，都應(yīng)該有相應(yīng)的措施來(lái)保障其安全，并且貫穿協(xié)議的全生命周期。

我們期待行業(yè)能夠認(rèn)識(shí)到項(xiàng)目上線后安全的重要性，采取措施監(jiān)控協(xié)議風(fēng)險(xiǎn)并自動(dòng)阻斷攻擊。

我們也希望 DeFi 生態(tài)能夠形成安全第一的共識(shí)，從而更好地保護(hù)用戶的資產(chǎn)安全。

以上就是腳本之家小編給大家分享的一文全面解讀DeFi生態(tài)安全全景的介紹了，希望大家喜歡！