借著Euler黑客事件 聊聊DeFi的安全審計和安全_DEF

大的DeFi協議基本上都經過多輪審計，我們前前后后5次審計費用百萬刀級別大的協議常規審計每年都百萬刀，但藍籌DeFi沒哪個沒被黑過？這里原因很簡單，簡單的數學問題從攻防來看，所有靜態審計的輸入和輸出（發現bug)都是有限的。

除了常規審計，Euler還用了Certora做形式化驗證，這個我們之前也用過，形式化驗證能幫助窮盡“已知”路徑的覆蓋范圍，但是無法窮盡“未知的未知”。DeFi是一個開放系統，對于黑客來說，它的輸入是無限的，輸出也是無限的。假設把安全攻防看成挖礦，你守方用三五臺機器算哈希挖礦攻方無數機器時刻在算哈希，只要算對一次就贏了；這個輸贏面對比是明顯的。靜態的安全審計，由于輸入輸出固定，無法覆蓋已知的未知，更無法覆蓋未知之未知。

Ripple Q1報告：XRP日均交易量從6.98億美元增長46%至10億美元:金色財經報道，根據CryptoCompare的數據，第一季度XRP市場交易量環比增長了46%，這很可能是由于隨后的市場復蘇和往往導致交易量飆升的重大波動事件的結合。另一方面，BTC和ETH的現貨交易量在季度基礎上分別上升12%和下降12%。XRP Ledger上的鏈上活動繼續保持強勁。在中心化交易所，第一季度XRP的日均交易量增長了46%，從6.98億美元增長到10億美元。今年3月，XRP一度在韓國兩大交易所Upbit和Bithumb的交易量中位居榜首。

2023年第一季度，XRPL的鏈上交易筆數從上一季度的1.06億筆增長了9%，達到1.16億筆。自從XLS-20在主網上上線以來，NFT繼續推動活動增長，在XRPL上創建了超過100萬的資產。（U.Today）[2023/4/30 14:35:04]

所以出現另一種審計，叫開發式競爭型審計，如Code4rena，審計獎金池固定，但是輸入在一定時間內是彈性的，所有人都可以參加，誰發現bug按照嚴重程度，分獎金，這個方式是讓審計師/白帽去卷，可以擴大覆蓋面，但總體輸入依然固定，遠遠不夠。最后是完全開放的模式，那就是賞金網絡，DeFi里最出名的Immunefy，云集最多DeFi白帽高手的平臺，我建議每個DeFi在上面發bounty，親測效果十分明顯。Immunefy的獎金項目方會給非常高。比如最高已支付的是Warmhole的千萬美金。這次出事的Euler也曾放出100w刀賞金，但依舊沒發現這次的漏洞。賞金模式在輸入輸出上也是開放式的，這個類似于黑客的攻擊模式。

加密做市商GSR將啟動GSR基金會，并認捐1000萬美元:金色財經報道，加密貨幣做市商GSR 將啟動 GSR 基金會，并認捐 1000 萬美元，該公司表示將用于解決邊緣化社區遇到的技術障礙。GSR 基金會將支持全球的非營利組織，旨在糾正慈善生態系統中可以通過新興技術克服的根深蒂固的問題。[2023/2/16 12:11:14]

但兩者激勵模式很大區別。假如把兩者當成是抽獎，同樣1000w獎金池，賞金模式獎金一般都會在10w-30w刀封頂，黑客模式是100%獎金全拿走。這兩種模式，同等投入，同樣中獎概率，假設沒有犯罪成本，毫無疑問黑客池輸入/輸出會跑贏。賞金模式就算加到10%，也跑不贏黑客池，除非把犯罪成本加入等式，有人建議把賞金比例和TVL掛鉤，比如10%，是否會激勵更多黑客轉白帽？?

ADAM與Web3.0社區平臺Mojor正式達成戰略合作:據官方消息，首個基于Web3.0的加密數據計算網絡ADAM與專注于Web3領域的社區平臺Mojor正式達成戰略合作。雙方就Web3.0未來發展，鏈上數據傳輸、DAO治理和加密計算等方面達成合作共識。

ADAM是首個Web3.0時代的數據加密計算網絡，擁有批量化數據加密傳輸功能，能夠連接實現世界數據與區塊鏈系統，愿景是挖掘數據的真實價值，使每一個參與數據流通的角色，都能夠從中受益。

Mojor是一個專注于Web3領域的社區平臺，社區創建者以持有NFT的方式真正擁有社區，用戶通過錢包直接登錄，豐富的Web3機器人為社區治理提供便利，提升效率。[2022/5/24 3:38:04]

?首先，沒哪個defi協議能支付10%TVL的賞金，其次，遇到真黑客，他大概率還是愿意一黑到底而不會止步要10%。DeFi的安全更復雜問題在于除了代碼層面，還有可組合風險攻擊面上，DeFi本身隨著整合增加，攻擊面是四維增長的，定期靜態安全審計加長期賞金，也無法覆蓋不斷擴大的攻擊面DeFi安全是無限游戲，唯一靠譜的是在協議上減少外部依賴，最小化攻擊面，盡量待在“自己的舒適區”，不亂做擴展。對開放系統來說，安全代價就是自由的代價

Tags：DEFEFIDEFIWEBBearn Defi ProtocolRestaurant DeFiDeFi Landcoinweb交易所合法嗎

幣安下載