本系列文章摘錄自 OKX Web3 與 BlockSec 共同策劃的 "安全特刊 05"，旨在探討 DeFi 用戶與 DeFi 項目方所面臨的安全問題。
Q1：DeFi 項目面臨哪些類型的風險？項目方又該如何應對？
BlockSec 安全團隊：DeFi 項目面臨多種風險，包括代碼安全風險、運維安全風險以及外部依賴風險。
首先，代碼安全風險是指 DeFi 項目在代碼層面潛在的漏洞。對於 DeFi 項目而言，智能合約是其業務邏輯的核心（前端與後端處理邏輯屬於傳統軟體開發，相對成熟），這也是我們關注與討論的焦點，具體包括：
- 1）首先，從開發角度來看，必須遵循業內公認的智能合約安全開發實踐，例如使用 Checks-Effects-Interactions（檢查-生效-交互）模式來防止重入漏洞；此外，常見功能應使用可靠的第三方庫，以避免重複造輪子帶來的未知風險。
- 2）其次，徹底的內部測試至關重要。測試是軟體開發中發現問題的關鍵環節。然而，對於 DeFi 項目而言，單純的本地測試不足以暴露出問題，還需要在接近實際部署的環境中進行進一步測試。
- 3）最後，在測試完成後，應聘請信譽良好的第三方審計服務。雖然審計無法保證百分之百不出問題，但系統性的審計能極大幫助項目方識別常見的安全問題，這些通常是開發者因思維方式不同而容易忽略或難以觸及的領域。當然，由於審計公司的專業水平與側重點各異，若預算允許，建議在實踐中委託兩家或以上的審計公司進行審計。
其次，運維安全風險發生在項目上線後，既包含開發、測試與審計後仍未發現的潛在代碼漏洞，也包含項目部署後的問題，如私鑰洩漏和系統參數設置錯誤。這些問題可能導致嚴重的後果與巨大的損失。減輕此類風險的推薦策略包括：
- 1）建立健全的私鑰管理體系，例如使用可靠的硬體錢包或基於 MPC（多方計算）的錢包解決方案。
- 2）對運行狀態進行實時監控，以檢測特權操作及項目的安全狀態。
- 3）建立自動化的風險響應機制，例如使用 BlockSec Phalcon，該工具能在遭遇攻擊時自動實施阻斷，防止進一步損失。
- 4）避免特權操作的單點風險，例如使用多簽錢包 Safe{Wallet} 來執行特權操作。
第三，外部依賴風險是指項目因為依賴外部組件而引入的風險，例如依賴其他 DeFi 協議提供的價格預言機，若預言機出現問題，將導致價格計算錯誤。應對外部依賴風險的建議包括：
- 1）選擇可靠的外部合作夥伴，例如業內公認的頂級協議。
- 2）監控運行狀態，與運維安全風險類似，但此處監控的目標是外部依賴項。
- 3）建立自動化的風險響應機制，方式與運維安全風險相似，但響應手段可能不同，例如切換至備用依賴項，而非直接暫停整個協議。
此外，對於想要建立監控能力的項目方，我們也提供一些監控建議：
- 1）精準設置監控點：確定協議的哪些關鍵狀態（變量）需要監控以及監控位置，這是構建監控能力的第一步。然而，全面覆蓋所有監控點相當困難，特別是在攻擊監控方面，建議使用經過現實場景驗證的外部專業第三方攻擊檢測引擎。
BlockSec Phalcon 是全球唯一具有成功實戰記錄的攻擊監控與阻斷平台，已在超過 20 次白帽駭客救援行動中挽救了價值超過 2,000 萬美元的資產。了解更多詳情請見 👇
- 2）確保監控的精準度與即時性：監控的精準度意味著極低的誤報率（FP）與漏報率（FN）。一個缺乏精準度的監控系統在實質上是無法使用的；而即時性則是響應的前提（例如，能否在可疑合約部署前或攻擊交易上鏈前檢測到），否則只能用於事後分析，這對於監控系統的高性能與穩定性要求極高。
- 3）需要具備自動化響應能力：在精準與實時監控的基礎上，可構建自動化響應，包括暫停協議以阻斷攻擊等。這需要一個可自定義且可靠的自動化響應框架，以支持根據項目方需求靈活配置響應策略，並自動觸發執行。
總體而言，監控能力的建設需要專業的外部安全供應商參與。
OKX Web3 錢包安全團隊：DeFi 項目方面臨多種風險，主要包括以下類別：
- 1）技術風險：主要包括智能合約漏洞與網絡攻擊。防範措施包括採取安全開發實踐、聘請專業第三方審計公司進行全面的智能合約審計、設立漏洞賞金計劃以鼓勵白帽駭客發現漏洞，以及進行資產隔離以提升資金安全性。
- 2）市場風險：主要包括價格波動、流動性風險、市場操縱與組合性風險。防範措施包括使用穩定幣與風險對沖來預防價格波動；利用流動性挖礦與動態費率機制來應對流動性風險；嚴格審核 DeFi 協議支持的資產類型，並使用去中心化預言機來防止市場操縱；以及持續創新與優化協議功能以應對競爭風險。
- 3）運營風險：主要包括人為失誤與治理機制風險。防範措施包括建立嚴格的內部控制與操作流程以減少人為失誤；使用自動化工具提升運營效率；並設計穩健的治理機制以平衡去中心化與安全性，例如引入投票延遲與多簽機制。同時，對已上線的項目進行監控，並制定應急預案，以便在發生異常時立即採取行動，將損失降至最低。
- 4）監管風險：主要包括法律合規要求與反洗錢（AML）/ 了解您的客戶（KYC）義務。防範措施包括聘請法律顧問以確保項目符合法律與監管要求，建立透明的合規政策，並積極實施 AML 與 KYC 措施，以增強用戶與監管機構的信任。
Q2：DeFi 項目應如何評估並選擇信譽良好的審計公司？
BlockSec 安全團隊：以下是一些簡單的評選標準可供參考：
- 1）是否審計過知名項目：這表明該審計公司受到了這些知名項目的認可。
- 2）被審計過的項目是否曾遭受攻擊：儘管從理論上講，審計無法保證 100% 的安全性，但實踐經驗顯示，大多數由信譽良好的審計公司審計過的項目未曾遭遇攻擊。
- 3）通過歷史報告評估審計質量：審計報告是體現審計公司專業性的重要標誌，特別是當審計項目與審計範圍相近時，更有可比性。重點應在於發現漏洞的質量（嚴重程度）與數量，以及項目方是否通常認可並接受這些審計結果。
- 4）專業人員素質：審計公司的團隊構成，包括其教育背景、職業背景、系統性培訓以及行業經驗，對於確保審計質量非常有幫助。
