以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads
首頁 > 萊特幣 > Info

對話 Web3 安全超級獨角獸 CertiK:譽滿天下,謗滿天下_TIK

Author:

Time:1900/1/1 0:00:00

作者:黎詩韻,極客公園

在Web3跌入熊市遇冷、并被ChatGPT代表的AI浪潮奪走關注后——有一條賽道依舊火熱,那就是Web3安全。

由于區塊鏈的合約更公開、透明,因此也更容易被攻擊。智能合約一經部署之后,由于它的不可篡改和不可停止,一旦出現漏洞,黑客就能根據源代碼實時攻擊,致使用戶蒙受金錢損失。曾有投資人將Web3安全比作「軍隊」,沒有它的守護,Web3「國將不存」。它是Web3最重要的基礎設施之一,被認為會占到Web3價值的5%-10%。

這一賽道不僅未在熊市遇冷,反而更熱了。當牛市的「泡沫」套利消散后,黑客攻擊的套利會更猖獗。需求帶來行業爆發。據極客公園統計,自2022年中旬熊市以來,Web3安全領域涌現了十余家創業公司,融資額達上千萬美元。

而作為上一輪Web3熊市中涌現出來的公司——CertiK是目前全球Web3安全賽道的第一名。

你可以將CertiK形容為「明星公司」。它的創始人是兩位安全領域的頂尖學者,分別為耶魯大學計算機系主任、終身教授邵中,及其學生、現哥倫比亞大學計算機系教授顧榮輝。2016年,他們研發出了全球首個「無漏洞、不可攻破」的安全操作系統CertiKOS,并于2017年創立公司、將這一技術應用到了Web3領域。

直至2020年DeFi爆發,帶動Web3安全公司的業務水漲船高,2021年CertiK也迅速成為全球第一。據CoinMarketCap數據,在其所有經安全審計的DeFi項目中,CertiK的市占率達70%。遠遠超過同行。

CertiK擁有稱得上「明星」級別的融資待遇。2021年,在不到一年時間內,CertiK拿了五輪融資,高盛、老虎基金、軟銀愿景、紅杉、高瓴等最豪華的資方爭相競投。公司的估值也迅速飆升至20億美金,成為超級獨角獸——這還是它不斷「sayno」后的結果。

不久前,我們在北京見到了CertiK的聯合創始人顧榮輝——這位「哥大教授」只有33歲,身著一件咖色的西裝,熱情地跟我們握手。由于日常穿梭于中美之間,這是他少有的媒體見面。他的表達欲很豐沛,又處處透露著技術實用主義的影子,正如他的投資人和高管形容的那樣,「少有的將創始人和學者身份合一的人」。

「我們幾乎是靠一己之力把區塊鏈安全變成一個賽道,吸引了很多關注。」他驕傲地說。

但這不是一個只關乎「成功」的故事。根據極客公園調研,一些Web3安全行業的同行,對這家公司的看法爭議頗多。最核心的指責關乎CertiK的安全審計服務,包括為什么有些項目通過安全審計還會出事、誰來審計CertiK的審計等等。當我們將這些質疑拋向顧榮輝時,他并不意外,并打趣道,CertiK是「譽滿天下,謗滿天下」。

這位創業者面臨的核心困境在于,作為一個中心化的機構,該如何在Web3這個強調去中心化的世界里,獲取信任。這和幣安面臨的困境相似。

對此,CertiK的解決方法也是像幣安一樣,盡可能地公開透明——目前,CertiK是唯一將安全審計報告全部公開透明的Web3安全公司。

但顧榮輝也承認,CertiK仍有許多需要改進的地方。尤其是在Web3安全的領域,在教育用戶方面,這條道路更是漫長的。

以下是經過整理的對話全文:

一、安全攻防之外,

更要防止「公信力」被濫用

極客公園:2月3日,DeFi項目OrionProtocol遭到黑客攻擊,損失近300萬美元。而這個項目是CertiK審計的,為什么CertiK沒有審出它的代碼漏洞?

顧榮輝:出問題的代碼并不在我們審計的范圍以內。比如項目方有兩萬行代碼,出于各種考慮,它只把自認為最核心的代碼進行了審計,但剩下的上萬行代碼沒有審計,會有很大概率出問題。如果不在審計范圍內,審計方不應該受到指責。這聽起來很像「甩鍋」,但確實是審計公司最無奈的地方。

極客公園:所以這本質是因為項目方自己的問題?

顧榮輝:因為安全審計是一筆不小的開支,很多項目方只想把最核心的代碼做安全審計,其余的代碼就不做審計了。或者只給第一版代碼做審計,更新的代碼就不做審計了。

這也是為什么,盡管Web3安全公司這么多,但還是有項目不斷被盜、安全事件還是越來越多。因為項目方對安全的重視程度還是不夠。大家雖然在安全上花了錢,但花得還不夠,應該做完整的代碼審計。

Etherscan推出IDM功能 方便查看通過Input Data進行的聊天對話:10月5日消息,以太坊區塊瀏覽器 Etherscan 宣布推出 Ethereum IDM(Input Data Messages)功能,目前已上線Beta版本,允許用戶為多個地址創建方便查看的聊天歷史記錄功能。Etherscan表示,該功能可以用在查看比如此前Poly Network遭受攻擊時黑客與團隊進行的對話。[2021/10/5 17:25:17]

極客公園:為什么在最重要的安全問題上,項目方會舍不得投入?

顧榮輝:因為目前很多項目方做安全審計的目的,并不是真的為了「安全」,而是給投資人、用戶、交易所「交差」。「你們看我是愿意花錢的,我是做了安全審計的,我都找了CertiK,最好最貴的審計公司。」那它只做一部分代碼審計,也可以有相同的陳述。

極客公園:聽起來項目方是讓審計公司背了「鍋」?

顧榮輝:用一個不恰當的比喻,在CertiK這么大市場占有率的情況下,我們的「鍋」都快背不過來了。

這也是我們強烈要把安全審計報告公開透明的原因之一。到目前為止,整個區塊鏈行業除了CertiK之外,沒有任何一家安全公司會把所有審計報告完全透明公開。因為我們希望用戶在網上清楚地看到,項目方有哪些代碼審計了,哪些代碼沒有審計。我們不希望CertiK變成一個「章」、一個防盜的「證書」,公信力被濫用。

極客公園:你什么時候做出的將審計報告公開透明的決定?

顧榮輝:2020年下半年。那時候DeFi非常火爆,Web3安全公司業務增長很快,我們很快就變成了全球第一。緊接著,很多項目都宣稱是找CertiK做的安全審計,但其實并不是。所以我就在想,應該讓這個事情變得公開透明,不要讓用戶被誤導。

極客公園:這個決定有效嗎?普通用戶真的會去看你們的報告嗎?

顧榮輝:大部分普通用戶不會去看。甚至我們公開之后,反而有很多人罵我們。因為我們公開之后,任何我們的關聯項目出事后都是公開的,而用戶如果在這個項目上受損失了,他不會去管這是不是在你的審計范圍之內,他一定會很生氣、要來罵你。所以即使到今天,很多我們公司內部的人、包括投資人,都不贊同我們將報告完全公開。

不過對于專業的機構來說,大家還是會去看審計報告并做出準確的判斷。2月,CertiK的市占率第一次超過了70%,我們客戶問卷的調查滿意程度也在90%以上。很多客戶還給我們寫了衷心感謝的話。但這些客戶不會去社交平臺上發言,他們只會一次次和你合作。

Twitter上關于CertiK的討論?|圖片來源:Twitter?

極客公園:如何讓普通用戶更好地意識到這點?

顧榮輝:我們一直在努力地去完成這個行業的用戶教育。2018年,我們剛創業的時候,主要是教用戶去看項目方「有沒有」安全審計。但到了2020年,我們開始推出安全展示板,就是去教育普通用戶,安全審計不是一個「章」,而應該是一個「動態的指標」。

我們會綜合各項指標,給項目方打安全分。這個安全評分每15分鐘會更新一次,比如你現在代碼沒有問題,但如果更新了代碼,評分就會實時變化。用戶還可以在安全展示板上,訂閱關于項目方的幾項關鍵安全指標,隨時收到變化通知。

我們希望一步一步地幫用戶轉變對Web3安全的觀念。但這是一條很長的路,而且很難很難很難。

CertiK安全展示板|圖片來源:CertiK

極客公園:去年,你們安全展示板的官方推特說,「你知道嗎?@orion_protocol是CertiK官網上唯一安全評分為100/100的項目。」項目出事后,很多人在推特評論里罵你們。

顧榮輝:是的。因為在那個時間段,這個項目確實是排名最高的安全評分。但這個安全評分是動態的,每15分鐘都會發生變化,更不要說橫跨一年之久。

極客公園:有Web3同行評價你們是用真正的互聯網思維在做產品。你贊同這個評價嗎?

顧榮輝:我覺得我們的出發點,還是在思考用戶和行業的需求和痛點。

說白了,安全攻防只是第一步,但你不能只做安全攻防。就像大家現在看CertiK,是安全攻防為基礎,但更看重的是我們的「公信力」。

推特CEO回應馬斯克:讓我們進行一場對話,分享你所有的好奇:推特CEO Jack Dorsey發推宣傳比特幣活動The B World,稱比特幣開發社區高于一切,而隨著更多企業和機構投身加密領域,他們將提供更多教育和行動,為大家提供幫助。隨后,馬斯克在Jack Dorsey推文下進行了頗為無厘頭的互動。Jack Dorsey對馬斯克說,讓我們在活動中進行一場對話,你可以分享你所有的好奇。[2021/6/25 0:05:23]

那么如何防止別人利用你的「公信力」來做不好的事?這導致我們不停地思考,到底該怎么往前走。這個行業絕大多數公司還沒有「公信力」的困擾,沒有用戶在推特里罵他們的壓力。我覺得我們真的是被逼出來的。

二、監測到有異常的項目,

我們主動曝光出來

極客公園:Web3安全審計不只是技術層面,也包括人性層面。比如有些項目方會「監守自盜」,故意設計代碼漏洞,卷走用戶的錢。人性是不是比技術更難審計?

顧榮輝:我們永遠相信去中心化、代碼,但代碼也會出現人性的問題。比如這種俗稱的「土狗項目」,我們稱之為高風險項目,它們可能因為本身的設計問題、或者代碼問題實在太多,最后會導致投資者損失慘重。

今天,Web3世界被詐騙的錢甚至多過了被盜的錢。

極客公園:這種「土狗項目」該如何識別?

顧榮輝:其實純靠看代碼是非常困難的。尤其是他們給我們的代碼,可能和真實部署的代碼都不一致。

所以我們推出了KYC服務。我們內部有兩個KYC團隊,一個是常規的KYC,比如一個項目過來了,我們能不能簽約,要做最基礎的評估。但這能做到的有限。而另一種是目前行業內最嚴格的KYC服務,會有很嚴格的審查流程,我們會為通過的項目方頒發KYC專屬徽章并公開展示在官網上,目前從來沒有拿到KYC徽章的項目出問題。但我們無法強制項目方申請這種嚴格的KYC徽章。

CertiK的KYC服務|圖片來源:CertiK

這兩支KYC團隊加起來有20多人,比一些小的安全審計公司人還多,成本很大。我們為什么要這樣投入?就是希望盡可能避免這種高風險項目。

極客公園:你們對高風險項目的判別是主觀的、還是有根據現實和規律推導出的標準?

顧榮輝:和審計類似,KYC既有主觀的判斷、也有客觀的規律。其實通過KYC服務,我們已經拒絕了30%以上的客戶。要不然我們的市場范圍會更廣。

極客公園:但2022年1月,經你們審計的項目ArbixFinance被標記為「RugPull」,當時是沒識別出來嗎?

顧榮輝:我們要根據項目方提供的客觀信息做判斷,這本身的難度就比較大。在項目方刻意隱瞞造假之下,挖掘蛛絲馬跡的難度更是直線上升。

但我想強調,ArbixFinance這個事,是我們自己監測到異常之后,主動曝光出來的。這對我們來說是不利的,你不會看到其他服務公司去做這種事情。但我們就公開在自己的官網上,因為這是應該去做的事情。

極客公園:在客戶利益和公眾利益之間,你會選擇后者?

顧榮輝:對。如果你發現一個項目可能有問題,你要不要大聲說出來?我覺得要,哪怕是我們自己的客戶。

包括我們的審計報告里,會單獨寫一章項目方的「中心化問題」,核心就是如何讓公眾了解項目的中心化風險。很多服務公司不會這么做,因為會得罪客戶,但我們堅持要這么做。

極客公園:你不怕跟項目方的關系很尷尬嗎?

顧榮輝:客戶肯定不開心,這肯定對我們的業績有負面影響。而且你報了這個項目有問題,項目的投資人恨不恨你?參與人恨不恨你?合作伙伴恨不恨你?真的負反饋很大。

在推特上,其實大部分關于CertiK的負面內容和黑客攻擊沒什么關系,主要是針對我們披露了項目方的負面信息。比如我們曝出這個項目有中心化風險,項目的用戶就開始罵我們,甚至組織水軍給我們打低分。

但還是那句話,如果這是對行業有利的事情,我們就應該去做。

極客公園:你會去社交平臺上看那些負面評論嗎?

顧榮輝:我是真的都會看。外界覺得,CertiK好厲害,這么好的數字、這么多的融資。但實際上,外界對我們也有很多負面評價和報道,我們賺的是壓力很大的錢。

金色微訪談 | 對話FDEX的創始人何志:誰是繼DeFi之后最好的押寶機會?:2020年7月24日20:00,FDEX的創始人何志將做客金色微訪談,闡述他為何押注去中心化交易的原因。

何志,FDEX的創始人,擁有8年的技術研發經驗。從2013年開始創業,開發出九幽 Windows 開發者服務平臺,曾是微軟全球最大的開發者服務平臺;2014年所在團隊入選微軟全球戰略合作伙伴。2015年,由前Cisco全球副總裁領隊,成功開發Fogpod企業智能云路由;2015年開始關注區塊鏈技術,致力于打造全球頂尖區塊鏈項目。[2020/7/24]

我之前聽到一句話叫「譽滿天下、謗滿天下」,很多事情都是有兩面性的。譽滿天下指的是他在用你的產品,謗滿天下指的是他邊用邊罵。我覺得是好事,這樣才知道哪里不足、怎么提高。

極客公園:關于KYC,我看到有傳言說,你們某個項目方跑路之后,用戶聯系CertiK,CertiK說聯系不上項目方。這是真的嗎?

顧榮輝:這是有的。因為常規的KYC太容易造假了,你要了一套KYC的東西,但出了事誰都找不到。如果項目方通過的是我們最嚴苛的KYC,有KYC徽章的就不同了,這種情況下我們一定能和執法機構配合。

極客公園:當用戶的錢被卷走后,追回的可能性大嗎?

顧榮輝:我們和很多監管部門聊過,得出的結論是,追回資金最大的問題是必須要有執法力。但很多時候我們沒有執法力。

三、從學術圈到Web3世界,

技術實用主義與去中心化信仰

極客公園:你最早接觸區塊鏈是什么時候?

顧榮輝:大概是2012、2013年。當時我剛從清華本科畢業,進入耶魯大學計算機系「高可信軟件聯合研究中心」,跟著邵中教授讀博。

當時跟我在同一個辦公室的師兄叫蔣信予,他的化名叫「Friedcat烤貓」。我第一次對區塊鏈產生興趣,就是從他那知道的。

極客公園:烤貓在區塊鏈世界非常有名,是國內比特幣最早的布道者。

顧榮輝:他是比較早一批開始用ASIC機器去挖礦的,做礦機做的很成功,對整個區塊鏈世界影響很大。最后他博士輟學,回國做了這個。

回過頭來,為什么烤貓在區塊鏈世界做的很成功,我覺得可能是一種科研的思維方式。我們會從一個更基礎的層面考慮這些問題,所以大家會做出很多創新性的東西。

極客公園:當時你自己買幣嗎?

顧榮輝:當時沒有買過。

極客公園:像烤貓這樣一個偏原教旨主義的人,他對你有什么影響嗎?

顧榮輝:我覺得他對我學術上影響大一點。因為他是我的師兄,在科研上他幫助我很多,包括形式化驗證的很多知識。我們甚至在同一個項目CertiKOS,但是他后來離開了。

極客公園:CertiKOS也是你后來創業的重要技術基礎。

顧榮輝:對。我們研究的形式化驗證技術,簡而言之就是通過數學方法,證明你的代碼和你的設計是等價的,沒有漏洞。

這項技術在軟件上的應用一直是學術痛點。它過去一直被應用在硬件上,因為硬件是固定的,證明空間有限。但軟件是可編程的,證明空間可以到無窮大。我在讀博的時候,就想解決這個問題。

2016年,我們終于完成了這個技術突破,做出了CertiKOS。這是目前世界上第一個、也是唯一一個完全經過形式化驗證的多核操作系統內核。當時我們把它用在了無人車Landshark上面,被評價為「無懈可擊」。2018年我們創立了CertiK,希望把這項技術用于實際生產中。

極客公園:這項技術可以應用的領域有很多,為什么最終你選擇應用到區塊鏈或Web3領域?

顧榮輝:因為當年Web3發生了幾起很大的安全事件。2016年,TheDAOattack,被認為幾乎是人類歷史上最大的一起攻擊事件,超過幾百萬枚以太幣被盜,換算到現在就是幾十億美金的損失。那時候區塊鏈才剛剛開始火,這些攻擊事件讓大家意識到,Web3安全非常非常重要。大家希望能改變區塊鏈的安全狀況。

當時以太坊基金會也好,包括V神本人,都做了很多調研。然后他們發現同一時期有一個技術突破,就是CertiKOS。當時很多人找我們聊了很多輪,探索把這個技術用到區塊鏈領域、智能合約領域的可能性。后來我們成立了CertiK,還拿到了以太網基金會的撥款。

區塊鏈行業協會正嘗試與SEC對話 討論STaaS市場監管問題:5月14日消息,區塊鏈行業協會POSA(The Proof of Stake Alliance)正與美國證券委員會(SEC)對話,以討論Staking-as-a-Service(STaaS)市場監管問題。POSA預向SEC證明,采用股權證明(PoS)協議是有效和具有可擴展性的;并向SEC討論其監管問題,包括要求STaaS供應商避免提供投資建議,避免提及金融行業術語(如“利益”,“紅利”或“收益率”),并關注網絡安全等。此前2019年8月,POSA協會是由多家區塊鏈項目組成的行業協會,成員包括Interchain Foundation、Blockfolio等,協會致力于為美國立法者和監管機構提供關于區塊鏈技術的教育。(Cointelegraph)[2020/5/14]

極客公園:感覺CertiK的誕生是新技術成果和市場需求的碰撞。

顧榮輝:因為區塊鏈面對的安全挑戰是前所未有的,區塊鏈的合約公開、透明,導致它更容易被攻擊。

傳統的安全平臺看到漏洞后,可以打補丁、升級系統。但區塊鏈是一個世界計算機,沒有人可以停掉它,智能合約一旦部署之后,就很難改了——就像打開潘多拉的魔盒。

這個場景就像什么?假設我是黑客,我可以看著你的源代碼找漏洞,實時攻擊。而你甚至沒有辦法打補丁阻止攻擊,只能眼睜睜看著我把錢取走。傳統安全損失的只是一些用戶數據,但區塊鏈直接損失的是錢。由于這些原因,我們的形式化驗證技術就很適合用于區塊鏈世界的防御。

極客公園:但很多Web3安全公司都宣稱有形式化驗證技術。

顧榮輝:我們、尤其是邵中教授是形式化驗證技術的世界級權威專家,CertiK也是最先把形式化驗證技術應用到Web3領域的。系統形式化驗證過去十年很多里程碑式的科研成果,都是邵中教授實驗室和我在哥大的實驗室做出來的。現在很多安全公司都會宣稱有形式化驗證技術,但是大部分都是宣傳目的,技術儲備并不充足。

極客公園:我聽你的投資人說,這項技術成果也可以用于很多別的安全領域?

顧榮輝:沒錯,我們已經應用到了芯片、云、操作系統等領域。比如ARMV9處理器上隱私計算架構的安全驗證、螞蟻云原生的HyperEnclave的安全驗證都是我們做的。因為這些也都是底層的構建,需要在部署之前就做到盡可能安全,安全率要達到99%以上。

但我們現在的主營業務還是在Web3領域,我認為能把一件事情干好,就已經非常難了。我沒有辦法眼睜睜地看著這么大的痛點,還去做別的事。

極客公園:從研究技術的學者,到開公司的創業者,這種身份跨越有難度嗎?

顧榮輝:在創業之前,我還在谷歌呆了一年。當時我剛從耶魯博士畢業,推遲了一年哥大給我的助理教授offer。我當時覺得,如果我以后去創業,會有很大的gap,因為我一直在學術圈呆著、沒有工作經驗。所以我決定去谷歌這家頂級互聯網公司體驗一下。

這段經歷對我創辦CertiK的幫助很大。它讓我思考,「當你在做一件別人沒做過的事情時,你應該怎么做?」谷歌是第一家做搜索引擎的公司,這個東西到底是什么、應該做成什么樣子,都需要它自己回答。這跟我創立CertiK的感受是一樣的。

CertiK的審計報告|?圖片來源:CertiK

極客公園:學者和創業者都是不容易做的工作,你怎么能兼顧兩者?

顧榮輝:教授和創業者幾乎是大家認為最忙的兩個職業。但我認為,這兩重身份有一樣的底色,就是找到有挑戰性的問題,再將自己全身心的精力投入進去、將問題攻克。對我來說,這兩者的目標幾乎是統一的。這也是我能夠堅持下來的原因。

當然,這兩個身份的不同之處在于,學者不太用考慮什么時候商業化落地的問題,但創業者需要在一定時間內、至少給出一個商業上可以接受的答案。這也是很多學者企業的挑戰。但很多投資機構都說,我們算是它們見到的比較成功的學者企業。

極客公園:作為Web3創業者,你有去中心化信仰嗎?

顧榮輝:Web3的去中心化是「incodewetrust」,但是如果這個code本身并不trustworthy怎么辦?也就是codebug,這是CertiK要去解決的問題。你要說信仰,我們的信仰就是這個。

央視財經《對話》節目:把脈區塊鏈:今天央視財經《對話》節目中,各界區塊鏈名人紛紛發表各自建議。詳細內容請點擊鏈接進行查看。[2018/6/4]

極客公園:你的同行說,做Web3安全也離不開「正義感」。你有這個東西嗎?

顧榮輝:我理解的正義感就是關于所做的事情到底是不是正確的,對這個世界產生了什么價值?

我可以很自豪的說,我們通過ARM的V9處理器的CCA架構的安全驗證,未來可以為上千萬臺設備保障隱私安全。我們在Web3的智能合約和區塊鏈系統里找到了6萬個bug,為項目降低了風險。這些是正確的,也是我們創造的價值。而且這不是別人通過我的論文幫我實現的,而是我自己實現的。

這些貢獻,不管是把學術往前推進了一點點,還是讓用戶損失減少了一點點,都可以說是由正義感驅動的。

四、吃下七成市場,

靠的是機審提高效率

極客公園:和CertiK同批成立的Web3安全公司有很多,為什么最后CertiK成了行業第一、吃下了70%的市場份額?

顧榮輝:我們對Web3安全行業的看法非常不同。

其他所有的公司,它們想做的是比較「手工式」的小團隊模式,比如組建「白帽」團隊,參加攻防大賽,找代碼漏洞、拿賞金等等。

但我們最開始想的是,希望從根本上去改善整個行業的安全現狀。我們希望服務大量有安全需求的公司,提供規模化的技術服務。所以我們從一開始就很注重工具和安全引擎的開發。

極客公園:規模化的愿景是怎么誕生的?

顧榮輝:因為我們看到整個Web3或者區塊鏈行業的創新,大部分都是來自很小的團隊。從中本聰開始,沒有哪個創新是來自大的公司。因此我們希望通過規模化,降低審計成本,服務好大量的中小團隊。

比如Sandbox,算是元宇宙的發起項目之一了。但2019年他們找我們做安全的時候,這個公司的估值只有600萬美金,錢非常少。如果我們不能服務這樣的小公司,那這樣的項目可能經歷一次安全事件就「死」了,很多Web3的創新就不會有了。

所以我們認為,如果Web3行業要發展,就必須讓中小型的機構也能享受到這種最高級的安全服務。而且也只有這樣,CertiK才有可能做成一個非常大的企業。

極客公園:通過規模化,CertiK把審計成本降低了多少?

顧榮輝:2019年,美國傳統的安全企業做一次Web3安全審計,只是部署非常簡單的智能合約,報價都是幾十萬美金。而現在,對普通客戶,我們的報價可以到壓到幾萬甚至幾千美金一次。我們把Web3安全審計的費用降低了90%以上,并且我們還在繼續降低。

極客公園:規模化不僅是一種意愿,更需要能力。你們是怎么規模化獲客的?

顧榮輝:其實獲客更多是項目方來找我們。很有意思,2021年11月,CertiK剛剛完成獨角獸那輪融資、估值達到10億美金的時候,我和McAfee的前CEO吃飯。他問我說,你們有多少個SalesBD?我說我們大概有6個,我說你們有多少?他說他們有4000個。

極客公園:你們如何有能力承接大規模訂單?

顧榮輝:我們是創造了一套安全引擎,盡量減少安全專家的工作,從而提高審計效率。但是所有的報告、所有的條目都會通過安全專家的審核。我們只是不讓安全專家簡簡單單的直接讀源代碼。

極客公園:所以你們的核心優勢是這套安全引擎?

顧榮輝:對。這個安全引擎類似于ChatGPT。它會自動檢查源代碼的問題、甚至模擬攻擊,接著安全工程師會對它提出的問題進行反饋,是對的還是錯的、為什么,你可以理解為這是一種標注后的數據。而這些數據會回到引擎、不斷地訓練引擎。

也就是說,即使我們的技術不發展,但只要我們能見到更多的代碼、有更多的人對它進行標注,我們的引擎就會變得越來越好。然后我們的安全程度會越來越高,并有越來越多的客戶,而這又會讓引擎越來越好。就是這樣一個正循環。

極客公園:有人說,Web3行業大部分代碼都是copy的、沒有什么創新,所以可以大規模去做審計。

顧榮輝:目前整個區塊鏈的buildingblock確實沒有那么多,這也是為什么我們認為這個行業可以實現自動化。如果不存在這個特性,這條路最開始是很難走的。

但這并不代表我們的審計工作輕松。因為往往被攻擊的都是仿盤項目,它就改了10行代碼,這10行代碼就改出問題來了。

而且我們也做了很多極具創新性、極難的項目。比如2022年區塊鏈安全事件就圍繞兩個字,跨鏈。跨N條鏈,就是N*N的復雜度,它的技術難度遠遠超過我們以前見過的所有項目。但很多小團隊沒有同時覆蓋多條鏈的能力,反而是CertiK,因為在所有鏈上都有很多客戶,積累了比較全的跨鏈數據,才能去做。現在很多跨鏈項目的安全保障都是CertiK在做。

CertiK的市場占有率|數據來源:CMC

極客公園:大量的自動化審計,如何保證審計質量?

顧榮輝:這是一個好問題。為什么傳統安全公司一直是小團隊模式?因為規模化之后,很難保證安全率、安全質量。因為你一個月接500個訂單,就算你的安全率達到99%,平均每個月也會有5個項目爆雷。公司一下就不行了。

CertiK是有一套監控系統,去監控我們的自動化審計+人工核對的工作是不是合格。每一份報告,我們都會根據安全專家的行為、報告結果、跟同類項目的比較,評出一個「自信分」。一旦這份報告的自信分低于某個閾值,我們會啟動相應流程處理。

極客公園:那為什么2020年「LIENFINANCE」這個項目的漏洞,還是有人在網上幫你們找到的?

顧榮輝:理論上沒有一種技術可以確保軟件100%的安全。

我們從來不強調「CertiK就是萬無一失的」。這也是我們把所有審計報告公開的原因。公開的審計結果,給了所有人都可以來檢查的機會,讓更多人可以找到代碼問題,讓項目更安全,這比CertiK的品牌聲譽重要得多的多。

極客公園:有項目方說,它找了好幾家審計公司,CertiK審出來的漏洞是最少的。

顧榮輝:我相信絕大部分情況不是這樣的,目前市面上公開的報告可以佐證我們的觀點。

不過確實有一些情況,比如有的項目方在和小團隊合作時,小團隊會把所有人都撲在一個項目上,會有非常頻繁的溝通,很多小的問題也都會和項目方反復確認,有非常多的反饋和交互。但是CertiK是規模化的,是一次性的直接出報告,自動化程度高,會忽略我們認為不重要的問題,也缺少和項目方反復確認的過程。體驗確實不同。

目前我們在針對這個問題進行改進,比如利用ChatGPT,在實現規模化的同時帶給客戶更好的服務體驗。

極客公園:因為CertiK審核過的代碼出現漏洞,導致項目方損失,你們會承擔什么責任嗎?你們會跟項目方道歉嗎?

顧榮輝:首先,這樣的情況并不多。其次,如果出現損失,我們第一時間是幫用戶減少損失、追回被盜資金。之后我們會出具很詳細的報告,說明為什么會發生這個情況。責任的話,就像我們一直強調的,審計報告不是一枚章,不是「防彈證書」,而是一個動態的安全評估。

極客公園:你的同行表示,CertiK審計了近6000個項目,暴雷了好幾個。但它們審計了2000多個項目,卻沒有一個出問題。你怎么回應這個觀點?

顧榮輝:我不太清楚這里提到的2000多個項目的報告是否公開。沒有公開的話,我們很難進行分析和回應。這也是我們一直提倡大家公開審計報告的原因。

Rekt是一個第三方的權威統計網站,它會看攻擊漏洞是否在審計范圍。在Rekt統計的一百多起Web3安全爆雷事件中,在CertiK審計范圍內的一共就三起。而從我們的市占率來看,我們的事故率要遠遠低于行業水平,安全系數應該是最高的。

極客公園:你們作為審計機構,其實并沒有來自監管的壓力。這很難讓人相信你們會有動力把審計做好。

顧榮輝:2022年,我被邀請去達沃斯經濟論壇。當時Circle的CEO、Ripple的CEO,Coinbase的COO、Animoca的CEO,幾個人和我開玩笑說,「CertiK的市占率這么高,會不會變成去中心化世界里的一個新中心呢?」

這和大家對中心化機構的擔憂是一樣的,就是當你做大之后,別人怎么相信你?怎么保證你們每一單的審計都是好好做的?就像大家怎么才能相信中心化交易所不挪用用戶資金呢?

對于交易所來說,它們可以使用「merkle-tree」來公開儲備證明、透明公示平臺的資產狀況。類似的,我們認為對安全審計的監管,最好的解決方案就是公開透明,這樣才能引入外界的監督。

極客公園:公開透明能夠替代監管的壓力嗎?

顧榮輝:這可能比監管的壓力更大。CertiK公開了所有報告,如果我們的報告出了一個漏洞,任何人都能發現,所有不好的東西都永遠留在互聯網的記憶里。

回到那個問題,CertiK到底好在哪、為什么以這么快的速度變成行業第一?拋開所有技術不談,CertiK堅持公開透明,在巨大壓力下倒逼自己,這不就是一個很直觀的「好」的地方嗎?

五、不缺錢,

但反而要拿很多很多錢

極客公園:從2021年開始,CertiK在不到一年的時間內拿了五次融資,囊括了高盛、老虎、軟銀、紅杉、高瓴等最豪華的資方,成為Web3安全領域的超級獨角獸。為什么當時融資這么「猛」?

顧榮輝:因為從2020年開始,DeFi迎來大爆發,很多資本希望進入Web3行業,但它們認為上層應用的不確定性比較高,所以更看好基礎設施。而安全是非常重要的基礎設施,我們又是公認的龍頭企業,所以引入了很多國際、國內的大型投資機構。

Web3安全領域的投資?|?數據來源:Crunchbase)

極客公園:為什么其它Web3安全公司的融資額和估值遠遠不及你們?

顧榮輝:套句俗話,「資本永不眠」,它會不斷追逐有價值的企業。

一方面我們有超強的財務數據和市占率,另一方面可能還是信任問題,基于我們堅持的公開透明的準則。舉個例子,高盛是全球最成功的投行,高盛投資部門的審查非常嚴格,很多Web3公司都未能通過審核。CertiK是為數不多通過高盛投資審核的Web3公司,這對我們是很大的認可。

極客公園:其實在2021年市場非常好的時候,Web3安全公司并不缺錢,所以你的同行決定不拿錢。但你們想的反而是不僅要拿錢,還要拿很多很多錢。你是怎么考慮的?

顧榮輝:這是非常好的問題。CertiK從最開始就是正向現金流,并不缺錢,融資的決策也和很多Web3公司不同。

首先,因為我們是學者創業,都沒有創業經驗,而CertiK和行業面臨的未知太多太多了。我們需要很專業的、最好的投資機構來幫助我們。

其次,雖然CertiK的安全產品得到了廣泛認可,但還遠遠不夠。因為我們的黑客對手非常強,甚至有背靠國家的黑客組織。我們希望開發出下一代的安全產品,比如鏈上主動防御技術。這需要大量的投入,這也是我們融資的最重要原因。

極客公園:所以外界覺得你們拿的錢多,但你覺得跟對手相比,這個錢并沒有很多?

顧榮輝:對。我們融資了2.4億美金,但這跟我們的黑客對手、和面臨的挑戰相比并不算多。

事實上,我們在融資上已經非常克制了。2021年到2022年,一直在對潛在投資機構sayno、sayno、sayno。有很多的offer非常有吸引力,但我們都沒有接。

極客公園:資本扭曲公司發展的事例不算少,引入這么多豪華投資方,你不會有這樣擔憂嗎?

顧榮輝:我們的投資方都是專業、頂級的大型投資機構。到目前為止,他們從來沒有干涉過我們,而是很尊重我們的想法。我記得有位投資人和我開玩笑說,「他如果要指手畫腳,還不如自己去創立公司呢」。

極客公園:關于上市,你有自己的時間表嗎?

顧榮輝:上市肯定是CertiK非常重要的發展節點,我們的很多投資機構比如高盛都很專業,我們會聽取它們的建議。

極客公園:你們賺了這么多錢,又拿了這么多錢,準備怎么花?

顧榮輝:首先,最重要的還是開發下一代Web3安全產品,更好的解決用戶痛點。比如基于CertiK的安全引擎,我們會大規模投入數據能力,包括區塊鏈數據的處理、分析、響應能力等。比如在合約上鏈后發現漏洞,該怎么跟黑客搶跑資金等等,目前還是比較早期的構想。

其次,我們也在看比較好的潛在收購標的。比如跟我們形成技術互補的、生態呼應的公司,能拓展我們在Web3安全賽道的布局。

最后是開拓市場。CertiK現在全球各個市場的份額應該都是最大的。但因為安全需要24小時響應,靠一個純美國團隊來支撐這點很累,同事經常加班到夜里兩三點鐘。所以接下來我們要組建當地團隊,去解決時區問題。

極客公園:CertiK的全球化做得很好。有國內同行說,你們團隊的海外背景天然有更大優勢?

顧榮輝:CertiK的國際化背景可能給我們加分,但應該不是決定性因素。

極客公園:很多國內同行做全球化市場遇阻,你覺得可能原因是什么?

顧榮輝:國內公司出海確實挺難的。首先是語言問題。比如我去韓國,那邊的客戶就問我能不能出韓文版報告?所以很多時候,你覺得英文已經可以全球化了,但其實不是。語言問題會帶來很多限制。

其次是觀念的沖突。國內的安全團隊主要是小團隊模式,員工層級分明、管理嚴格,這帶來的好處是效率比較高。但歐美市場主張管理扁平化。出海時會有管理觀念沖突。

極客公園:安全方面的人才很稀缺,你們怎么吸納人才?

顧榮輝:通過一種使命感去凝聚。比如黑客的獲利更大,但絕大部分安全人才都還是選擇做白帽,因為他們是有追求的。

比如我們的李康教授,他是世界聞名的白帽,放棄了收入更高的工作來到CertiK。所以我們只有做對行業有利的事情、樹立使命感,才能夠凝聚他們。

極客公園:回過頭看,上波熊市跟你們同期創立的Web3安全公司,活到現在的不多了。這種大浪淘沙可以學到什么?

顧榮輝:我覺得跟風是很危險的。

包括因為我們的融資很好,這輪熊市又出現很多新的Web3安全公司。但我覺得目前這個賽道已經非常擁擠了,也很難再有規模化的機會。因為這需要大量的代碼數據、做大量的標注,它們很難超過現有公司的技術積累。

還有些初創Web3安全公司,它們提出了新的審計模式。比如讓項目方在平臺上公開代碼,通過賞金吸引白帽等來審計。但這只對低風險漏洞有效,而那些高風險漏洞,會因為利益誘惑巨大而很難通過賞金找出來。所以這些模式我們都不太認同。

極客公園:聽起來你并不看好這批新成立的Web3安全創業公司?

顧榮輝:我們還是堅持認為技術創新比模式創新更加可靠。

Tags:TIKERTCERCERTPlastiksLiberta FinancialCERT立方根certik

萊特幣
萊特幣 LRC-20 協議,能否復刻 BRC-20 的成功?_C20

原文標題:《萊特幣LTC20協議,下一個誕生百倍千倍的投機市場?》 作者:Sammi西米? 加密新敘事——新的范式投資機會這兩周brc市場爆火,創造了很多暴富神話.

1900/1/1 0:00:00
貨幣市場協議 Dolomite 完成 250 萬美元融資,Draper Goren Holm 與 NGC 領投_加密貨幣

Arbitrum上貨幣市場協議Dolomite完成250萬美元融資,DraperGorenHolm與NGC領投.

1900/1/1 0:00:00
Shell Protocol 公布代幣經濟學:初始分配為 2 億枚,4000 萬枚將用于初始空投_SHE

DeFi平臺ShellProtocol公布其治理代幣SHELL經濟學。據悉,SHELL初始分配為2億枚,8000萬枚將分配給投資者、核心團隊和開發公司,4000萬枚將用于初始空投,5000萬枚將.

1900/1/1 0:00:00
AFFLUX 北美路演完美落幕,五大 Web3 團隊拔得頭籌_FLUX

作者:AFFLUX Web3孵化器AFFLUX從北美地區近100個項目中挑選出30家代表未來Web3趨勢的初創公司,聚焦WEB3專場路演.

1900/1/1 0:00:00
Web3 社交平臺 Btok 發布 2023 年全新戰略路線圖_WEB

作者:Btok 近日,亞洲最大的區塊鏈Web3社交平臺Btok發布其2023年全新戰略路線圖,宣布即將進行全面戰略升級,在原有的社交基礎上.

1900/1/1 0:00:00
獨家揭秘!INTO 社區獨特魅力為何吸引眾多用戶?_INTO

作者:INTO 全球的加密貨幣熱潮正在燃燒,每天都有新的項目、新的機會。然而,INTO這款全新的Web3應用,似乎打破了常規,一經上線便引發了幣圈的巨大關注.

1900/1/1 0:00:00
ads