BTC/HKD+0.14%
ETH/HKD-0.27%
LTC/HKD-1.46%
DOT/HKD-1.28%
ADA/HKD-3.2%
SOL/HKD-0.32%
XRP/HKD-1.72%
DOGE/US-1.47%Web3項目在開發生命周期的各個階段都應考慮添加保障安全性的流程。
許多發生在Web3項目上的黑客攻擊都可以通過加強智能合約的安全性進行避免。
通常，攻擊者會發現并利用整個軟件開發環節中的一些缺陷——從設計到部署和維護以及發布新代碼等一系列步驟。如果擁有一套標準的智能合約開發和危險應對流程，我們相信安全事件會相應減少。
本篇文章的目的是概述Web3建設者、開發人員和安全團隊在設計、開發和維護智能合約系統時必須考慮的核心安全因素。以下框架討論了應在整個軟件開發生命周期中實施的八種核心安全因素——從威脅建模到應急響應準備。
在了解智能合約安全防護之前，要先了解軟件的開發階段。軟件開發可以分為以下五個階段：
設計：開發人員描述系統所需的功能和操作，包括重要的基準和固定的屬性。
開發：開發人員編寫系統的代碼。
測試和審查：開發人員將所有模塊放在一個測試環境中運行，以此評估代碼的準確性和穩定性。
部署：開發人員將系統投入實際環境。
a16z、區塊鏈協會均致函質疑美SEC擬議的收緊加密貨幣托管規則:5月9日消息，美國證券監管機構提出的一項收緊加密貨幣托管規則的提議遭到了至少兩名業內支持者的反對。5月8日，加密行業倡導機構區塊鏈協會（Blockchain Association）向SEC提交了一封信，批評其修改其監管規則的提議。3天前，Web3風險投資基金Andreessen Horowitz(a16z)也發出了一封類似的信函。區塊鏈協會政策律師Marisa Tashman Coppel于5月8日在推特上表示，SEC擬議的規定將“大幅減少對數字資產的投資”，并聲稱以目前的形式，該規定是“非法的”。在信中，區塊鏈協會提供了十幾個單獨的論據來反駁SEC。在其他聲明中，它表示該規則超出了SEC權限，將禁止顧問與加密貨幣交易所進行交易，并使投資者的資產面臨更大的風險。同一天，a16z總法律顧問Miles Jennings在推特上發布了其致SEC的信函，稱該公司“沒有含糊其詞”，并稱SEC的提議是“對加密貨幣發動戰爭的誤導和明顯的企圖。”a16z在其信中詳述了與區塊鏈協會類似的論點，但更側重于其對注冊投資顧問的影響，即顧問將被禁止使用加密貨幣，并且這些規則可能違反SEC對此類公司的注意義務。[2023/5/9 14:51:45]
維護：開發人員評估和修改系統以確保它執行預期的功能。
a16z crypto任命Eddy Lazzarin為新的首席技術官:金色財經報道，a16z crypto周三表示，任命Eddy Lazzarin為首席技術官，負責監督風險投資基金的研究和安全團隊。 a16z crypto創始人兼管理合伙人Chris Dixon在博客文章中寫道，在這個領域的技術專家中脫穎而出需要真正特殊的智慧，我們很幸運能在我們的團隊中擁有這樣的人。
此前擔任公司工程主管的Lazzarin 將繼續領導工程和數據科學團隊。據其網站稱，A16z crypto投資于加密和web3初創公司，已籌集超過76億美元。[2023/2/9 11:56:12]
有了這個基本開發周期的基礎，現在我們可以深入了解每個步驟中影響智能合約安全的注意事項。下圖將需要考慮的因素對應到相關的開發階段。需要注意的是，環節中的某些步驟有多方面安全考慮：?
如上所示，軟件開發生命周期不一定總是遵循線性路徑。在實踐中，可能出現重疊或延伸到其他階段的情況。某些步驟可能在每個版本中都需要重復。一些任務——例如測試和安全審查——可能需要自始至終執行。
《財富》雜志：a16z計劃推進美國加密立法:12月19日消息，Andreessen Horowitz Crypto（a16z Crypto）新上任的政府事務負責人Collin McCune透露，該投資機構計劃推進美國加密立法。
在接受Fortune Crypto采訪時，Collin McCune表示FTX破產讓立法者意識到加密貨幣不再是“選修課”，而是必須解決的問題，加密立法現在是政策制定者最關心的問題，a16z會與政策制定者合作以確保政策不會扼殺Web3和創新，a16z政府事務負責人的角色就是要成為Web3社區和華盛頓之間的橋梁。（Fortune Crypto）[2022/12/19 21:54:11]
上述的軟件生命周期和相應的安全注意事項為促進智能合約的安全性提供了有用的基礎信息，但我們將在下文中對其進行更詳細地研究，使得理解、應用和分享這些實踐變得盡可能簡單，并具體分析關鍵問題：What、Why以及How。
設計階段的智能合約安全注意事項
考慮威脅建模和安全設計
What：從開發生命周期的一開始就實施識別系統的潛在威脅并確定其優先級的具體方案是很重要的——智能合約開發人員應確定要在開發中實施的所有安全控制以及應在開發中檢查的所有威脅測試、審計和監控。所有的安全假設，包括攻擊的預期復雜程度和手段，都應在設計階段明確定義和闡明。
a16z合伙人：加密市場低迷給風投公司更多投資機會，希望創造一個更好的互聯網:8月23日消息，a16z合伙人Chris Dixon在接受《金融時報》采訪時表示，目前的加密市場低迷給風險投資公司更多的投資機會。目前互聯網上的權力由一小部分公司掌握。我們可以做的是創造一個更好的互聯網，創造新的系統，讓網絡效應累積到社區而不是公司。（CoinDesk）[2022/8/23 12:43:10]
Why：雖然開發人員傾向于只關注智能合約或協議的預期用途，但這種關注的單一性可能會給他們留下被攻擊者利用的盲點。
How：遵循已知的威脅建模實踐。如果開發團隊沒有內部安全專業知識，那么它應該在設計階段的早期與安全顧問合作。在設計系統時采用「攻擊者」的心態，并假設任何個人、硬件或服務都可能受到攻擊。
開發階段的安全考慮
考慮管理和訪問控制
What：實施訪問控制，限制特權賬戶的權限和智能合約調用執行管理任務的特殊功能。遵循「最低權限原則」：每個參與者應該只擁有所需的最低訪問權限。
Why：通過升級和治理流程維護協議允許開發人員通過添加新功能、修補安全問題和優化不斷變化的條件來改進協議。如果升級的能力沒有得到適當的控制，這可能構成一個嚴重的安全漏洞。
a16z合伙人：若FinCEN擬議規則繼續a16z將在法庭上提出異議:a16z合伙人、Coinbase董事Kathryn Haun今日發推表示，歡迎加密領域合理且經過審查的監管，但試圖將監管改革擠進政府的最后階段，不經過任何程序，這是一個糟糕的主意。FinCEN應該重新考慮，與加密行業進行有意義的磋商，以幫助打擊金融犯罪。該規則更有可能阻礙對金融犯罪的起訴，因為它將金融犯罪推向海外，并使其更難追蹤。Kathryn Haun還表示，如果這個不明智的規則繼續下去，a16z打算和其他人一起在法庭上提出異議，但敦促行政機關做好自己的工作，在一審時評估合法性，而不是把它留給法院去解決無數的法律缺陷。[2021/1/5 16:28:43]
How：建立一個多重簽名錢包或DAO合約，將對協議的更改透明化，并且應通過徹底的審查流程以及時間鎖，以確保可以驗證它們的正確性并在發生治理攻擊時回滾。確保特權密鑰在自托管錢包或安全托管服務中，且可以被安全地存儲和訪問。
考慮集成可重復使用、久經考驗的模板
What：盡可能利用現有的智能合約標準并評估您可能需要與現有協議進行集成中可能出現的安全問題。
Why：使用現有的經過實戰檢驗、社區審核的標準在降低安全風險方面大有幫助。評估協議集成的風險有助于您進行安全檢查，以防止針對外部組件的攻擊，例如預言機操縱。
How：導入經過安全審計的可信合約庫和接口，畢竟Crypto和Web3的重點是開源、重用和可組合性。請務必在代碼庫中記錄您的合約依賴項及其版本，并盡可能減少您代碼的資源占用量；例如，導入大型項目的特定子模塊而不是所有內容；了解您的風險敞口，以便監控攻擊；使用官方接口調用外部協議，并確保考慮到潛在的集成風險；監控您重復使用的合約的更新和安全信息披露。
測試和審查階段的安全注意事項
考慮測試和項目文檔
What：創建清晰、全面的代碼文檔，并設置快速、全面、易于運行的測試套件。在可能的情況下，在測試網上或通過主網模擬設置測試環境中進行更深入的實驗。
Why：為預期行為編寫假設不僅有助于確保威脅模型中的風險得到解決，也有助于用戶和外部審計人員了解開發團隊的意圖。為代碼創建測試套件有助于證明或反駁假設，并鼓勵對威脅模型進行更深入的思考。該測試套件應包括在極端市場情景下檢查項目代幣經濟學的機制設計測試，以及單元測試和集成測試。
How：通過已知的測試框架和安全檢查應用進行測試——例如Hardhat、?Mythril、?Slither、Truffle等；提供不同的測試技術，例如模糊測試、屬性檢查，甚至形式驗證；全面記錄您的代碼，使用NatSpec注釋來指定預期的副作用、參數和返回值。使用文檔生成工具和高級設計說明生成實時文檔。?
考慮內部審查和安全審計
What：花時間通過內部和外部代碼審計來發現錯誤。
Why：從功能開發轉移到安全問題上，讓開發人員有時間發現潛在的安全問題。外部審計在這方面可能特別有用，因為它們可以帶來開發團隊沒有的外部觀點和專業知識。
How：在項目開發的適當時刻，安排功能凍結，以便有時間進行內部審查，然后進行外部審計。這些動作應該在實時部署和升級之前進行，可以查看來自ConsenSys、Nascent、OpenZeppelin和TrailofBits的指南，這些指南為開發人員提供了考慮事項清單——包括時間安排——供任何準備審計的人使用。還要確保查看部署事務以確保它們使用經過審核的代碼版本并具有適當的參數，尤其是在升級軟件時。
部署和維護階段的安全注意事項
考慮激勵白帽社區參與
What：創建鼓勵社區參與開源代碼庫安全改進的計劃。一種方法是建立漏洞賞金。另一種方法是鼓勵社區開發協議監控檢測機器人。
Why：開發團隊可以從更廣泛的知識和經驗中受益。值得注意的是，此類程序可以幫助激發開發者對項目的熱情，實質上將社區和白帽黑客變成了傳道者。它們還可以通過為黑客提供成為防御者的途徑來幫助將潛在的攻擊者轉變為守護者。
How：使用漏洞賞金平臺為賞金系統提供基于嚴重程度的獎勵，以激勵熟練的黑客披露漏洞。開發團隊可以鼓勵他們的協議社區利用傳統和Web3原生的方法來激勵對漏洞的尋找，并讓參與者通過增強安全性來獲得潛在獎勵，從而為所有人帶來雙贏。
考慮實時監控
What：實施監控智能合約和關鍵運營組件的系統，并根據已知威脅模型向開發團隊和社區報告可疑活動。
Why：早期發現問題使團隊能夠快速對漏洞和錯誤進行響應，從而可能阻止或減輕損害。這似乎很容易想到，但在規劃中可能會被忽略。
How：使用監控平臺或分布式節點運行實時監控智能合約事件的機器人。根據需要為開發團隊和更廣泛的社區建立儀表板和警報通知。
考慮事件應急響應流程
What：利用能夠在出現任何安全問題時立即做出響應的工具和流程。
Why：即使有最好的部署前保護措施，智能合約和關鍵組件仍然可能存在臨時問題。擁有專門的人員、清晰的流程和適當的自動化確保可以快速調查并盡快解決事件。
How：通過計劃如何響應事件或緊急情況以及最大程度地使得響應能力自動化，為最壞的情況做準備。包括為有能力的人員分配調查和響應責任，這些人員可以通過分布式安全郵件列表、代碼存儲庫中的說明或智能合約注冊表公開聯系與安全問題相關的人員。根據協議的威脅模型，開發一套流程，其中可能包括場景演習和采取緊急行動的預期響應時間。考慮將自動化集成到事件響應中：例如，工具可以接收來自Forta機器人的事件并對其采取行動。
對于安全的考慮應該是成功開發的一個組成部分，而不僅僅是事后的想法。?
盡管上述框架為構建Web3協議和應用的團隊在整個開發過程中提高安全性方面提供了一些快速指南，但簡短概述不足以提供對智能合約安全性各個方面的詳盡討論。缺乏內部安全專業知識的團隊應該聯系合格的Web3安全專家，他們可以幫助團隊將上述的通用指導應用于他們的具體情況。但最重要的是，請記住，安全絕不僅僅是在簡單的清單中打勾以管理復雜的問題，它始終是一套永無止境、持續不斷的實踐過程。我們仍處于建立這些實踐的開始階段，因此現在是為所有開發人員協作創建和共享安全實踐的時候了。
概述 長期以來,可擴展性一直是該領域廣泛討論的話題。圍繞單片式區塊鏈與模塊化區塊鏈、橫向與縱向擴展的討論長期以來一直是社群交流的重點.
1900/1/1 0:00:00世界上的游戲比金融產品多,這是因為創造一個游戲很容易,而且沒有任何規則或限制扼殺創造力。大多數關注加密貨幣的用戶聽說過DeFiSummer,這發生在2020年,當時,看起來DeFi將是加密貨幣和.
1900/1/1 0:00:0012:00-21:00關鍵詞：Cronos、Pitango、福布斯、Kakao1.美國參議員：將繼續與監管機構就加密貨幣提案進行會面；2.
1900/1/1 0:00:00考慮在加密市場推出Token？抑或將未來的Token授予員工和投資者？我們對最新的通證經濟學基準和趨勢進行了一些分析,以幫助您規劃您的關鍵Token決策.
1900/1/1 0:00:00Rollup間應用的可組合性比L1更具優勢。對Rollup最常見的批判之一是它們「破壞了可組合性」,這是大多數單鏈最大化主義者的主要論點.
1900/1/1 0:00:0012:00-21:00關鍵詞：CPI、Coinhouse、Optimism1.美國5月CPI同比上漲8.6%,超出預期；2.數字資產服務提供商Coinhouse完成4000萬歐元融資.
1900/1/1 0:00:00
以太幣交易所
