过去几个月来,DeFi 生态经历了巨大的动荡,数次攻击之下,许多未被利用过的缺陷也被报道出来。
虽然代码中无可避免会有 bug,但还是有很多方法能降低缺陷发生的频率,以及降低缺陷带来的负面影响。
作为一个审计员,我们想要帮助 DeFi 用户问一些比较尖锐的问题;问这些问题的目的,一方面是让开发人员认真去考虑系统安全性的优先级,另一方面,让用户能分辨出回答得好的协议,然后把钱投入这些协议。
以下问题能帮助用户了解 DeFi 开发团队对于安全性的立场,答案不一定有对错之分,而且也不是每个团队(or 独立开发者)都有资源全盘顾及所有方面。但不论如何,用户有权利知道这些信息,来决定自己愿意承受的风险。
多链DeFi管理协议Instadapp推出Avocado多签解决方案:5月11日消息,多链DeFi管理协议Instadapp推出Avocado多签解决方案,适用于个人、团队和机构等,简化所有签名者的交易流程,并允许在所有链中使用相同的地址,以为多重签名用户提供类似EOA的体验。[2023/5/11 14:56:54]
我们希望通过以下提问,促使后续开展更多正面的讨论。
管理员权限
大部分的主流 DeFi 协议都存在一些中心化的机制——允许特定的 “管理员” 地址以强硬的手段干预协议的运行。
这样做虽然在安全上有好处,但这意味着你必须相信这些 “管理员” 不会滥用他们的特权;而且但凡这些管理员遭到黑客攻击,他们的私钥泄露所带来的后果会更加严重。
管理员账户可以是以下几种形式:单一地址、多重签名钱包,或是由 DAO 管理的投票过程。那么,
V神质疑推特CEO基于比特币的DeFi思路和扎克伯格的元宇宙战略:8月19日消息,以太坊联合创始人 Vitalik Buterin在接受采访时表示,他对推特CEO Jack Dorsey基于比特币的去中心化金融计划,以及马克·扎克伯格Facebook的“元宇宙”企业转型计划表示怀疑。Vitalik Buterin认为,比特币是目前市值最大的加密货币,但其初衷并不是为去中心化金融而设计的,而在以太坊上,有一种原生功能可以让用户直接将 ETH 或基于以太坊的资产放入这些智能合约中,比特币没有这个功能,Jack Dorsey必须创建自己的系统来执行这些规则。对于马克·扎克伯格,Vitalik Buterin表示,扎克伯格正在努力预测互联网的下一阶段,因为现在Facebook已经被“抛在一边”了,而且人们对Facebook的信任度也不像过去那么高,因此构建自己的平台可能会被证明是不幸的,Vitalik Buterin建议马克·扎克伯格应该基于现有区块链进行构建。(彭博社)[2021/8/19 22:23:29]
1.管理员能采取哪些措施?
DeFi协议Bogged Finance:将在几天内推出BOGCharts V3.1:官方消息,DeFi协议Bogged Finance表示,BOGCharts将在几天内推出V3.1,包括恢复侧边栏组合、速度改进、更多错误修正和可用性改进。[2021/7/11 0:42:59]
暂停整个系统?
修改账户余额?
设置 代币/用户 的 白名单/黑名单 ?
升级某个子系统?
升级整个系统?(等同于万能...)
其他权限?
2.如果采取上述行为,是否有延迟执行机制?
3.如果有延迟时间,那是多长?
4.多少人有管理员权限?
5.采取上述行为前,需要经过多少管理员同意?
6.有哪些权限是由链上治理程序(即 DAO)来掌控的吗?
DeFiBox数据:MDEX锁仓资产总额突破10亿美金,单日交易额达13亿美金:据一站式DeFi门户DeFiBox.com实时数据显示,火币生态链Heco项目MDEX当前锁仓资产总额已突破10亿美金,单日交易额高达13亿美金,上线累计交易额突破60亿美金大关。
据DeFiBox行情监测,火币全球观察区已于1月26日上午10时正式开放MDX币币交易(MDX/USDT)。截至16:00时,MDX最高涨至4USDT,上线30分钟最高上涨700%;MDX现报价为3.28USDT,上涨556%。
据悉,火币全球站将在MDX开放交易首周开启”锁仓MDX赚币活动“,1月26日14:00——1月29日14:00 (GMT+8),用户将根据锁仓MDX份额瓜分8万MDX(按3.5USDT价格约26.34万USDT),锁仓周期为3日。[2021/1/26 13:33:52]
7.我该去哪里了解提议更新协议的提案?
以上某些问题的回答已经可以通过 DefiWatch 跟踪了解。
外部依赖
因为是公开的网络,以太坊上充斥着不怀好意的攻击者,因此开发者不能假设本系统外的合约一定会采取什么样的行为。但在许多 DeFi 应用中又不得不作出这样的假设,因为服务本身就是在已有的一些合约上建构出来的。
这些问题能帮助用户了解该项目在外部依赖上存在的风险。
1.你的系统依赖什么预言机(Oracle)?
2.你的系统依赖什么交易所?
3.你用什么第三方智能合约(如,OpenZeppelin)来建立系统?
4.你的系统支持哪些代币,你对这些代币(合约)的行为模式有怎样的预期?
可靠的的披露系统和奖励计划
对于才华横溢的黑客来说,攻击 DeFi 协议对他们有着强大的金钱诱惑。制定奖励计划能激励大家发现并揭露漏洞,而非钻漏洞。对于白帽黑客来说,通过激励系统揭露代码漏洞也是提高自身声誉的好方法 —— 既有好处又不违法。
任何公司要运行 DeFi 协议,或是涉及在线托管金钱的业务,都应该设有奖励系统。你可以就他们的奖励计划及披露流程提出以下问题:
1.你们的合约代码能够被所有人看到吗?
2.从你们的网站和 git 代码库,能够很容易找到安全的联系方式吗?
3.你们的合约有没有设置奖励计划?
4.哪些合约在奖励计划内?
5.奖励计划具体金额是?
6.你们是否支付过奖励计划的奖金?
7.对于 bug 报告,你们是否曾拒绝支付过?
8.从你们的网站和 git 代码库,能够很容易地找到奖励计划的详细信息吗?
理想情况下,这些信息应该放在 “website.com/security” 页面下,而且能搭配 Github 的 SECURITY.md 功能使用。
应急预案
当面对某些安全突发状况的时候,新消息如潮水般涌来,用户持续在 Twitter、Telegram、Discord 上提出棘手的问题......,这时候开发者很难头脑清楚地应对突发状况。
所以如果有应急预案的话,就能证明项目正朝着安全方向发展。要求项目公开他们完整的计划可能不太现实,但我们还是能提出以下基础的问题去侧面了解:
1.你们是否有处理突发安全事件的计划提纲?
2.你们的应急预案适用于哪些紧急情况?
3.如果你们的系统是可升级的,这些升级步骤是否记录在案?
4.如果你们发现某个系统漏洞可能让资金面临风险,你们是否能通过应急预案先发制人,保护资金安全?
审计与安全发展
审计并非万灵丹,而且审计的内容总多多少少有点区别,但对于部署任何的 DeFi 合约之前,进行审计是至关重要的一步。
下面的问题不一定有 “正确答案”,但学识渊博的社区群众们,应该能从项目的回答中看出开发团队对于安全性的立场。
1.你们最近一次审计是什么时候?
2.这次审计投入了多少精力(以标准开发者的一小时来做单位)?
3.哪个机构做的审计?
4.审计报告公开吗?
5.你们系统中有任何部分是没有被涵盖在审计的范围内吗?
6.最近一次审计之后,你们有对合约进行更新吗?如果有,更新了什么?
7.你们有和哪个安全团队进行长期合作吗?
8.在合并代码之前,开发者会彼此做 code review 吗(至少检查 Solidity 文件)?
9.你们的合约代码中,做过单元测试的比重是多少?
10.审计过程中,你们用过其他的安全分析工具吗?
本文原文为:The Ethereum FinOps Stack,FinOps 是一种通过云服务实现的运营模型,它通过将技术、业务和财务专业人员集中在一起而实现了一套新流程从而提升其业务的效率.
1900/1/1 0:00:00“反转中求稳定、监管中求发展”是韩国区块链的发展形态,政府对区块链态度的几度反转也让韩国区块链的发展颇为曲折.
1900/1/1 0:00:00题图为Polkadot的万链跨链模型在2016年,Vitalik发表了一篇论文剖析了链的互操作性,这也是加密社区里第一次以论文定义互操作性.
1900/1/1 0:00:00先不说比特币的一些特点本身很可能就是弊远大于利,比如匿名性和去中心化记账等特性意味着一旦找不到账户密码你就永远使用不了自己账户中的比特币了,哪怕当它们都是优点.
1900/1/1 0:00:00原标题:发挥数字经济优势战疫情 推动经济社会正常有序在此次抗击新冠肺炎疫情中,以数据生产要素为基础的数字经济平台,依托新技术,充分利用各自优势.
1900/1/1 0:00:003月17日,中装建设对外发布新闻称,旗下区块链技术服务平台首次尝试应用并场景落地,通过平台上线并发放第一笔贷款.
1900/1/1 0:00:00