この一連の記事は、OKX Web3とBlockSecが共同キュレーションした「セキュリティ特集号05」（https://www.okx.com/zh-hans/learn/security-special-issue-5）から抜粋したもので、DeFiユーザーやDeFiプロジェクトチームが直面するセキュリティ上の懸念に対処するものです。
Q1：DeFiプロジェクトが直面するリスクの種類と、それらにどのように対処できるか？
BlockSecセキュリティチーム：DeFiプロジェクトは、コードセキュリティリスク、運用セキュリティリスク、外部依存リスクなど、いくつかの種類のリスクに直面します。
まず、コードセキュリティリスクとは、DeFiプロジェクトのコードレベルにおける潜在的な脆弱性を指します。DeFiプロジェクトにとって、スマートコントラクトはそのビジネスロジックの核心（フロントエンドおよびバックエンドの処理ロジックは従来のソフトウェア開発に属し、比較的成熟している）であり、私たちの注意と議論の焦点となります。これには以下が含まれます：
- 1）まず、開発の観点からは、業界で認められているスマートコントラクトのセキュリティ開発プラクティスに従う必要があります。例えば、再入可能性の脆弱性を防ぐために使用されるChecks-Effects-Interactionsパターンなどです。また、車輪の再発明の未知のリスクを避けるために、一般的な機能は信頼できるサードパーティライブラリを使用して実装する必要があります。
- 2）次に、徹底的な内部テストが不可欠です。テストはソフトウェア開発の重要な部分であり、多くの問題を発見するのに役立ちます。しかし、DeFiプロジェクトの場合、ローカルテストだけでは問題をすべて発見するには不十分であり、実際のデプロイに近い環境でのさらなるテストが必要です。
- 3）最後に、テストが完了したら、評判の良いサードパーティの監査サービスを利用してください。監査では100％の問題がないことを保証することはできませんが、体系的な監査は、プロジェクトチームが一般的なセキュリティ上の問題（開発者が慣れていない、または考え方の違いから到達が難しい領域であることが多い）を特定するのに大いに役立ちます。もちろん、監査会社は専門知識と注力分野が異なるため、予算が許せば、実際には2つ以上の監査会社を関与させることをお勧めします。
次に、運用セキュリティリスクは、ローンチ後に発生し、厳格な開発、テスト、監査を経てもなお、潜在的で検出されていないコードの脆弱性、および秘密鍵の漏洩やシステムパラメータの誤設定などのデプロイ後の課題を含みます。これらは深刻な結果と多大な損失につながる可能性があります。これらのリスクを軽減するために推奨される戦略は以下の通りです：
- 1）信頼できるハードウェアウォレットやMPCベースのウォレットソリューションなど、堅牢な秘密鍵管理システムを確立する。
- 2）特権操作の検知とプロジェクトのセキュリティステータスをリアルタイムで監視する。
- 3）攻撃に遭遇した場合に自動的にブロックを実行し、さらなる損失を防ぐことができるBlockSec Phalconなどを使用して、リスクのための自動応答メカニズムを構築する。
- 4）特権操作における単一障害点のリスクを回避する。例えば、特権操作の実行にマルチシグウォレットSafe{Wallet}を使用するなど。
第三に、外部依存リスクとは、プロジェクトの外部依存によってもたらされるリスクを指します。例えば、他のDeFiプロトコルによって提供される価格オラクルに依存している場合、オラクルに問題があると、誤った価格計算につながります。外部依存リスクに対処するための推奨事項は以下の通りです：
- 1）業界で認められているトップクラスのプロトコルなど、信頼できる外部パートナーを選択する。
- 2）運用セキュリティリスクと同様に運用状況を監視するが、ここでは外部依存関係が監視対象となる。
- 3）運用セキュリティリスクと同様にリスクのための自動応答メカニズムを構築するが、応答方法は異なる場合があり、プロトコル全体を一時停止するのではなく、バックアップ依存関係に切り替えるなどの方法が考えられる。
さらに、監視機能を構築したいプロジェクト関係者向けに、いくつかの監視に関するアドバイスも提供しています。
- 1）監視ポイントを正確に設定する：プロトコルのどの主要な状態（変数）を監視する必要があるか、どこで監視するかを決定することが、監視機能を構築する最初のステップです。しかし、特に攻撃監視においては、すべての監視ポイントを包括的にカバーすることは困難です。実証済みの外部専門サードパーティの攻撃検知エンジンを使用することをお勧めします。
BlockSec Phalconは、実績のある世界唯一の攻撃監視・ブロックプラットフォームです。20回以上のホワイトハッカー救出で2000万ドル以上の資産を救済しました。詳細はこちら👇
- 2）監視の精度と適時性を確保する：監視の精度とは、偽陽性（FP）と偽陰性（FN）を最小限に抑えることを意味します。精度が低い監視システムは、実質的に使用できません。適時性は応答の前提条件です（例えば、不正なコントラクトがデプロイされる前や、攻撃トランザクションがチェーンに記録される前に検知できるかどうか）。そうでなければ、イベント後の分析にしか使用できず、監視システムには高いパフォーマンスと安定性が求められます。
- 3）自動応答機能が必要：正確かつリアルタイムな監視に基づき、プロトコルを一時停止して攻撃をブロックするなど、自動応答を構築できます。ここでは、プロジェクト関係者のニーズに応じて応答戦略を柔軟にカスタマイズし、自動実行をトリガーするために、カスタマイズ可能で信頼性の高い自動応答フレームワークが必要です。
一般的に、監視機能の構築には、専門的な外部セキュリティベンダーの参加が必要です。
OKX Web3ウォレットセキュリティチーム：DeFiプロジェクトチームは、主に以下のカテゴリーに分類される様々なリスクに直面します。
- 1）技術的リスク：主にスマートコントラクトの脆弱性やサイバー攻撃を含みます。保護対策としては、セキュアな開発プラクティスを採用し、専門のサードパーティ監査会社に包括的なスマートコントラクト監査を依頼し、バグバウンティプログラムを設定してホワイトハッカーに脆弱性の発見を奨励し、資産を分離して資金のセキュリティを向上させることが挙げられます。
- 2）市場リスク：主に価格変動、流動性リスク、市場操作、コンポジビリティリスクを含みます。保護対策としては、ステーブルコインやリスクヘッジを使用して価格変動から保護し、流動性マイニングや動的な手数料メカニズムを利用して流動性リスクに対処し、DeFiプロトコルがサポートする資産の種類を厳格に審査し、分散型オラクルを使用して市場操作を防ぎ、プロトコルの機能を継続的に革新・最適化して競争リスクに対処することが挙げられます。
- 3）運用リスク：主に人的ミスやガバナンスメカニズムのリスクを含みます。保護対策としては、厳格な内部統制と運用プロセスを確立して人的ミスを削減し、自動化ツールを使用して運用効率を向上させ、分散化とセキュリティのバランスをとる堅牢なガバナンスメカニズムを設計し、例えば投票遅延やマルチシグメカニズムを導入することが挙げられます。また、ローンチ済みのプロジェクトを監視し、緊急計画を策定して異常発生時に迅速に行動し、損失を最小限に抑えることも重要です。
- 4）規制リスク：主に法規制遵守要件やアンチマネーロンダリング（AML）/本人確認（KYC）義務を含みます。保護対策としては、法務アドバイザーを雇ってプロジェクトが法的・規制要件を遵守していることを確認し、透明性の高いコンプライアンスポリシーを確立し、AMLおよびKYC対策を積極的に実施してユーザーや規制当局との信頼を高めることが挙げられます。
Q2：DeFiプロジェクトは、評判の良い監査会社をどのように評価・選択すべきか？
BlockSecセキュリティチーム：参考となる簡単な基準をいくつか紹介します。
- 1）有名なプロジェクトを監査したことがあるか：これは、監査会社がこれらの有名なプロジェクトに認められていることを示します。
- 2）監査したプロジェクトが攻撃されたことがあるか：理論的には、監査では100％のセキュリティを保証できませんが、実際の経験によると、評判の良い監査会社によって監査されたプロジェクトのほとんどが攻撃されていません。
- 3）過去のレポートで監査品質を評価する：監査レポートは、監査会社の専門性を示す重要な指標です。特に、同じ監査プロジェクトと監査範囲を比較できる場合は重要です。発見された脆弱性の質（深刻度）と量、および発見事項がプロジェクト側によって通常受け入れられているかどうかを重視すべきです。
- 4）専門的な人材：監査会社の担当者の構成、学歴や専門的背景、体系的な教育、業界での経験は、監査の品質を確保する上で非常に役立ちます。
