總結
- 安全性仍然是 DeFi 面臨的嚴峻且持續的挑戰，每年造成的經濟損失高達數十億美元。
- DeFi 協議的安全措施應涵蓋其整個生命週期，從發布前到發布後，確保其內在與運作層面的安全。實施預防性策略與應急計畫以減輕潛在攻擊至關重要。
- 以程式碼審計為核心的發布前安全防護已成為社群共識。然而，儘管發布後安全解決方案（例如攻擊監測與攔截）已經出現，其重要性尚未被社群充分認識。
- 持續精進安全實踐並轉向「安全性優先」的文化，對於保護用戶資產及增強生態系統信任至關重要。
簡介
隨著 DeFi 繼續徹底改變金融版圖，安全性仍然是該生態系統中的重大隱憂，每年損失金額高達數十億美元。
根據 Chainalysis 的數據顯示，2023 年 DeFi 駭客攻擊造成的損失超過 11 億美元。儘管這一數字較 2022 年有所下降，但 2023 年的 DeFi 攻擊呈現出多種新趨勢。例如，像 Curve 和 KyberSwap 這樣多年來安全運行的知名協議也遭到駭客攻擊。此外，針對基礎設施漏洞（如 Flashbots relay）的複雜駭客攻擊也已被揭露。
根據 安全事件儀表板 的記錄，2024 年上半年發生了超過 50 起單次損失超過 10 萬美元的駭客攻擊事件。
安全性是 DeFi 應用繁榮與大規模採用的關鍵因素。這是因為 DeFi 協議管理著數十億美元的用戶資產，針對這些協議的任何駭客攻擊都可能導致受影響用戶蒙受重大損失。雖然在某些情況下，被駭資金可以（部分）追回（例如 Euler 安全事件），但我們不能指望每次都能這麼幸運。每一次攻擊都在侵蝕公眾對 DeFi 的信心。
儘管各界已提出多種增強 DeFi 安全性的方法，但仍有很大的改進空間。
- 正面來看，程式碼審計已成為社群確保安全性的共識。大多數協議在發布前都會進行程式碼審計，這有助於減少因智慧合約漏洞而導致的攻擊面。
- 然而，單靠程式碼審計遠不足以解決所有安全問題。它無法防止因智慧合約升級、配置變更以及跨協議運行時依賴項引入漏洞而導致的駭客攻擊。
由於這些限制，更多前瞻性的解決方案（例如營運監控或攻擊檢測系統）已經出現，並被一些協議採用。
在這篇文章中，我們將通過追蹤協議在不同階段的安全旅程（從發布前階段、營運階段到攻擊響應），來探討 DeFi 的安全版圖。我們將詳細說明各類型的安全措施，並強調各階段的主要供應商（產品），討論其優缺點。 我們希望我們的見解能幫助社群更好地了解當前技術水平，更重要的是，激發未來的創新解決方案。
DeFi 安全版圖
DeFi 協議的安全措施必須涵蓋其整個生命週期，從發布前階段到發布後階段，確保協議內在與運作層面的安全。此外，採取預防措施與應急計畫以應對潛在攻擊至關重要。為了幫助讀者了解現有的解決方案，我們將 DeFi 安全供應商（產品）分為以下類別。
發布前安全 (Pre-Launch Security)
此類別包含協議發布前進行的安全措施，包括程式碼審計、形式化驗證與安全測試。
程式碼審計服務與競賽
程式碼審計是社群公認確保協議安全性的實踐方式。在此過程中，審計公司會以半自動化方式檢視程式碼，即透過自動掃描程式碼常見漏洞，並由人工檢視複雜漏洞。代表性公司包括 OpenZeppelin、ChainSecurity、BlockSec 等。
此外，還有審計競賽平台，它們與單一的安全審計公司在運作方式上有所不同。這些平台發起審計競賽，讓社群中的安全研究人員參與並進行審計，隨後將獎金發放給發現漏洞的人。當然，這些平台在評估嚴重性、獎金分配算法以及安全研究人員的參與標準上可能存在細微差異。這類平台包括 Code4rena、SHERLOCK、Cantina 和 Secure3。
程式碼審計（及競賽）是協議安全的第一道防線。然而，它具有現實的限制，這解釋了為什麼許多經由知名公司審計的協議仍然遭到駭客攻擊。
- 首先，靜態程式碼審計無法完全評估因協議依賴關係引起的安全性問題，特別是由於 DeFi 協議的可組合性。
- 其次，某些問題在程式碼審計期間被低估了安全影響。例如，精度損失是一個常見問題，審計員和協議方都可能忽視它。直到 Hundred Finance 和 Channels Finance 事件發生後，其安全影響才被社群充分認識。
- 最後但同樣重要的是，高品質的程式碼審計仍然是一項珍貴且稀缺的資源，需要精通安全、金融和計算機科學的多學科人才。目前很少有大學能持續、大規模地提供此類人才。因此，協議可能會委託不具備業務資格的公司進行審計。
形式化驗證
「形式化驗證 是使用數學形式方法，根據特定形式規範或屬性證明系統正確性或不正確性的行為」。由於形式化驗證能證明系統的正確性，它已被應用於 DeFi 協議。具體而言，它能確保 DeFi 協議的行為滿足形式規範。DeFi 協議形式化驗證產品的代表是 Certora 開發的 Prover。開發人員提供規則（規範），Prover 透過探索每一個可能的程式狀態，將結果與規則進行比對以識別 Bug。
形式化驗證最有前景的一點是，它能從數學上證明 DeFi 協議的正確性。然而，在實踐中，它仍有一些阻礙其廣泛採用的限制。
- 首先，規範應由開發人員提供，這要求開發人員必須對協議的預期行為有撰寫完善的文檔。考慮到大多數開發人員並非該領域的專家，這並不容易。
- 其次，協議的頻繁升級可能需要更新規範並重新評估協議。一些協議可能無法承擔這方面的時間與精力成本。
儘管如此，協議仍應進行形式化驗證，特別是那些尚未經受實戰檢驗且管理大量用戶資產的新協議。然而，提升易用性並提高形式化驗證的採用率仍然是一個持續的挑戰。
安全測試
安全測試是指使用測試案例找出協議 Bug 的過程。與從數學上證明協議正確性的形式化驗證相比，安全測試通常使用具體輸入而非形式化驗證中的符號輸入，因此效率高得多，但在嚴謹性上略遜一籌。
- Foundry 是流行的智慧合約開發與測試框架之一。開發人員可以在 Foundry 中運行測試，它還提供了對 DeFi 協議進行模糊測試 (Fuzzing)、不變量測試 (Invariant testing) 和差異測試 (Differential testing) 的功能。
- 其他安全測試工具包括 Tenderly 和 Hardhat。
發布後安全 (Post-Launch Security)
此類別包含協議發布後（或在主網運作時）進行的安全措施，包括漏洞賞金、攻擊檢測與營運監控。
漏洞賞金
漏洞賞金計畫在協議與安全研究人員之間架起了一座橋樑。其核心概念是激勵研究人員報告零日漏洞以換取獎勵。具體而言，協議可以在漏洞賞金平台上列出賞金，詳細說明範圍與獎勵金額。 Immunefi 是最具代表性的 Web3 漏洞賞金平台。
攻擊檢測
攻擊檢測平台會掃描交易以定位惡意交易。具體來說，這些平台會審查與協議交互的交易是否存在惡意行為。如果發現此類交易，系統將觸發警報。
- 例如，BlockSec Phalcon 會掃描交易並採用基於行為的檢測引擎來偵測惡意活動（如惡意合約或治理提議）。將其想像成一名觀察金融交易每一步細節的虛擬保安，搜尋任何可疑行為。它像偵探分析線索一樣從這些交易中提取行為模式，然後利用金融模型（類似於銀行用於檢測欺詐的模型）來識別潛在攻擊。
- 類似的系統包括 Hypernative 和 Hexagate 提供的產品。
- 此外，來自 Ironblocks 的 Venn Security network 提供了一種去中心化基礎設施，將來自多個來源的檢測結果整合在一起。
營運監控
營運監控框架為 DeFi 協議提供了實施運作安全的方法。例如，DeFi 協議需要獲知管理密鑰更改、執行智慧合約部署與升級，並自動掃描 Pull Request 以發現安全漏洞。
- OpenZeppelin Defender 提供了一個平台，讓開發人員能夠安全地編寫、部署和運作智慧合約。
- BlockSec Phalcon 可以監控與合約升級、Safe 錢包交易創建、新簽名與執行、存取控制以及治理相關的風險。
- Forta Network 擁有一套基礎設施，讓用戶能夠建立自己的機器人以監控其協議，或訂閱現有機器人以獲取網路釣魚或威脅警報。
攻擊響應 (Attack Response)
此類別包含在攻擊發生時觸發的安全措施，包括攻擊攔截、自動執行動作、作戰室 (War Room)、根本原因分析以及攻擊者資金流追蹤。
在攻擊響應的五項措施中，攻擊攔截尤為重要，因為它允許專案團隊提前部署預防措施，在攻擊執行前成功將其攔截，將損失降至為零。自動響應平台也有助於減少攻擊造成的損害。
建立作戰室、進行根本原因分析以及追蹤被竊資金屬於攻擊發生後的反應步驟。雖然這些策略可以減輕部分損失並有助於防止未來類似攻擊，但損失可能已經發生且難以追回。此外，對專案聲譽的損害及隨之而來的用戶信任流失可能會非常深遠。
風險無處不在且往往難以控制，然而，選擇部署預防性的防禦措施不僅完全可行，而且強烈建議執行。
攻擊攔截
在實踐中應對駭客攻擊時，單靠攻擊檢測是不夠的。這是因為若缺乏自動攔截駭客的能力，人工響應速度往往不夠快。在某些情況下（如下表所示的 KyberSwap、Gamma Strategies 和 Telcoin 事件），協議採取人工干預需要數分鐘甚至數小時，這對於挽救協議內資產來說太晚了。在最近針對 Velocore 和 Rho 的攻擊中，整個 Linea 和 Scroll 鏈分別被暫停，引發了對 L2 鏈中心化的擔憂。
攻擊攔截是指自動防止駭客攻擊的能力，需要兩項關鍵技術：早期檢測與駭客行為的自動搶先 (Automatic Frontrunning)。
- 早期檢測意味著系統可以在駭客攻擊交易於區塊鏈上最終確認之前，即它們仍在記憶體池 (Mempool) 中等待時，就能識別出來。
- 搶先攔截攻擊涉及在鏈上放置一筆比攻擊交易更早執行的交易，以暫停協議，從而在攻擊執行前有效地停止它。
在此類別中，BlockSec Phalcon 是唯一具備這些關鍵技術的產品。在駭客發起攻擊交易後，Phalcon 的攻擊監控引擎能立即檢測到該交易，向用戶發送攻擊警報，並自動搶先發送交易以暫停協議，將損失減至零。其關鍵技術已通過實戰檢驗，成功執行了超過 20 次救援，拯救了超過 2,000 萬美元的資產。
自動動作
像 Phalcon、Hexagate 和 Hypernative 這類平台，在攻擊發生時也能進行自動響應。
訂閱這些平台後，用戶可以針對各種協議風險設置監控與響應措施。如果某筆交易符合監控規則，系統將自動觸發用戶預設的響應動作（例如暫停協議），從而減少損失。
然而，某些平台缺乏攻擊檢測引擎，系統無法直接識別攻擊交易並通知用戶。相反，它要求用戶自定義交易在何種條件下可被視為攻擊。由於攻擊交易的特徵非常複雜，而用戶（通常是合約開發人員）可能缺乏足夠的安全知識，這對他們來說可能相當困難。
作戰室
當協議遭受攻擊時，建立作戰室是必要的。這有助於協議了解正在發生的情況、在社群中共享情報，並調動資源進行後續行動。這通常涉及來自不同領域的專家參與。
SEAL 911 是一個旨在「為用戶、開發人員和安全研究人員提供一種途徑，在緊急情況下聯繫一小群高度可靠的安全專業人員」的專案。可透過 SEAL 911 Telegram 機器人 取得聯繫。若專案遭到攻擊，可建立一個作戰室來協助該協議處理。
根本原因分析
當攻擊發生時，協議需要了解根本原因，例如智慧合約內的漏洞以及它是如何被利用的。這需要一些有用的工具來分析攻擊交易。Phalcon Explorer、OpenChain 和 Tenderly 可用於此目的。
資金流追蹤
資金流追蹤旨在追蹤攻擊者的初始資金和攻擊獲利在區塊鏈上的動向，以定位相關地址與實體。如果資產流入中心化實體（如中心化交易所和其他機構級實體），可以聯繫執法部門協助凍結資產。
該類別中有不少公司與工具，包括 Chainalysis、TRM Labs、ARKHAM、ELLIPTIC、MetaSleuth 等。
- 例如，BlockSec 開發的 MetaSleuth 可以自動跨鏈追蹤資金，並提供豐富的錢包地址標籤。
- ARKHAM 擁有一個社群，協議可以在上面發布調查懸賞，激勵社群幫助追蹤攻擊者的資金流向。
安全教育資源
資訊充足的頭腦能建立更強大的防禦。除了上述提到的安全供應商與產品外，DeFi 安全還有另一個至關重要的組成部分：教育平台。
這些平台為 DeFi 從業者與用戶提供了至關重要的資源，幫助他們了解安全見解、增強意識並培養安全技能。它們對 DeFi 安全性的進步發揮著關鍵作用。我們感謝這些教育平台，並列出了一些值得關注的例子：
- SΞCURΞUM：一個專注於以太坊安全的 Discord 社群。該社群還舉辦每月一次的智慧合約安全測驗「Secureum RACE」。
- 安全事件儀表板：該平台收集了所有造成損失超過 10 萬美元的攻擊事件，詳細說明了損失情況、受影響鏈、漏洞類型、根本原因及攻擊代碼 (PoC)。
- Rekt：被譽為 DeFi 新聞界的「暗網」，提供對生態系統內漏洞利用、駭客攻擊與詐騙的深入分析。
- RugDoc：一個 DeFi 安全與教育社群，用於評估專案風險。它還擁有一個名為 RugDocWiKi 的平台，旨在介紹 DeFi 生態系統與技術。
- DeFiHackLabs：一個 Web3 安全社群，擁有超過 2,600 名成員和近 200 名白帽駭客，致力於架起 Web2 與 Web3 安全專長的橋樑。
- Solodit：一個編譯各類 Web3 審計公司歷史報告的平台，是智慧合約審計員的寶貴資源。
- Ethernaut：基於 Web3/Solidity 的遊戲，玩家需識別以太坊合約漏洞，類似於 CTF 挑戰。
結論
安全性仍然是 DeFi 生態系統面臨的持續且嚴重的威脅，每年造成數十億美元的損失。目前，大多數安全措施仍集中在發布前階段。然而，安全性沒有萬靈丹，DeFi 協議的整個生命週期都應採取不同的方法。我們期望行業能夠採用發布後的安全解決方案來進行監測，更重要的是，自動攔截攻擊。我們期待在整個生態系統中建立「安全性優先」的文化，以全面保護用戶資產。
