AVA:Hegic出事，Trail of Bits该背锅吗？来看看Hegic代码评审报告

撰文：MyCrypto

翻译：PerryWang

来源：链闻

对那些懒得打开PDF文档的读者，这里给大家概括一下「审计报告」。

对那些根本一点不懂的小白来说：

这是一份审计报告的摘要

摘要中有投资预警

阅读审计报告你需要字斟句酌。读这份摘要就清算多了。

第一部分：事实陈述

何时审计，用时多少天

具体审计了什么

由谁进行了审计

就算是小白都知道这种规模的合同，一个工程师用时两天进行审计，不会让我买账。16个小时就想搞懂所有代码、找到bug，找到攻击方法，然后完事交差？

1.1一位熟悉系统底层架构和理念的专家面对总量很小、非常简单、语言非常漂亮的代码库，也许能做到这一点。

此外，他们没有时间考虑代码的经济影响。

分析：Archegos爆仓事件对加密货币市场影响很小:Coindesk今日刊文称，Archegos Capital爆仓事件使加密货币世界出现了一个小的连锁反应，这反映在芝加哥商品交易所（CME）的比特币期货溢价中，但是加密市场基本上不受影响。数字资产投资公司Arca Funds首席投资官Jeff Dorman称：“这一差异可能反映了华尔街的去杠杆化。我们看到了华尔街到处都是去杠杆化。CME主要为大型对冲基金、大型共同基金提供服务，而杠杆率却比以前要低。”目前，CME比特币期货的年化溢价率平均为8.67%。Skew数据显示，加密货币交易所FTX、Deribit、币安和OKEx等加密交易所的溢价率为27%-31%。[2021/4/8 19:56:22]

1.2只进行了小型审计，可能是由于Hegic财力所限，我对此表示赞赏。但是，审计的目的是要避免发生坏事，不要将审计作为一种促销手段，出了问题不能说「不是我们的错，只能怪安全审计机构@trailofbits！」

1.3要改善审计的投资回报率，更简单的方式是让审计人员的工作变得更简单

代码干净+恰当的论述

使用所有免费工具来发现基本问题，以便专家可以专注于复杂的问题

请他人帮忙查看代码，提出问题

提供文件，提供摘要+重点/关注领域

第二部分：看看他们在寻找什么问题+找到了什么问题

值得注意的提示：

有三个领域，也被称为「糟糕情况可能出现吗？」

三个领域的答案都是「是Yes」，程度级别不同而已。

另外他们认为这些风险与算法有关

Avalanche宣布已发布AvalancheGo v1.1.4:雪崩协议Avalanche官方宣布，AvalancheGo v1.1.4已发布，包含EVM修复等。如果您正在运行雪崩节点，请查看最新信息并进行升级。[2021/2/6 19:04:23]

(审计报告图片中译)

从资金池窃取财产

以低于预期的行权价创建期权合约

免费创建期权合约我们发现多数问题与算法有关，包括

如果资金池代币的供应量低于资产供应量，攻击者可以吸干资金

如果ETH价格低于1美元，期权合同行权价可以为0

当流动性增加，资金池恶意参数可以允许0铸币

有多个问题可能导致恶意合约所有者伤害Hegic用户，包括：

通过费用收取来窃取期权资产

2.1稍后将详细介绍算法方面，但接下来看看@ChrisBlec所谓的「管理员漏洞」，比特币至上主义者会以此为例证发表所谓中心化目前优于DeFi的胡言乱语。

他们说的都没有错。你可能不喜欢这个事实，但只能接受它。

有多个问题可能导致恶意合约所有者伤害Hegic用户，包括：

通过费用收取来窃取期权资产

将资金困在期权合约中，阻止流动性提供者撤资

可以免费创建期权合约

2.2<这里插入有关去中心化的渐进论证>

雪崩协议Avalanche已发布AvalancheGo v1.1.3:1月16日，去中心化服务平台雪崩协议Avalanche?（AVAX）官方宣布，AvalancheGo v1.1.3已发布，此次为可选更新。[2021/1/16 16:19:15]

无论如何，你应该注意到这种可能性以及知道审计人员在上面花了时间。在一个全新的金融体系中发现所有的漏洞攻击方法，这16个小时中有多少时间被用于验证有效的、已知的攻击方法？

2.2只有16个小时找到所有攻击方法

数学/密码学中的Bug

比如重入攻击

金融/经济方面的影响

内部作恶者

外部恶意攻击者

意外错误/意外结果

资金损失

等等等等。

16个小时不可能搞清楚这一切。绝无可能。

2.3审计机构永远不会说：「这些代码烂的像臭狗屎」。

扪心自问，为什么他们指出蛛丝马迹。不要指望他们彻底告诉你想要的东西或他们自己的反应。这就是事情被忽略的完美例证，因为它没有成为Twitter热门话题：另外我们还发现，当资金池增加或减少资产时会出现账簿记录错误，没有体现出期权合约中的相关资产，因此攻击者可能窃取资金池中资产。

2.3我来帮你。

Hegic内的合约并不清楚合约中的资产被谁以何种方式偷走。

聚币Jubi将于12月13日17:00上线HEGIC、API3及PICKLE:据官方消息，聚币Jubi将于2020年12月13日17:00（UTC+8）上线HEGIC/USDT 、 API3/USDT 及PICKLE/USDT。

Hegic是一个基于以太坊的自动做市商及期权交易平台。Hegic当前允许WBTC以及ETH的期权交易。持币用户可以将其资产存入平台并质押以提供期权交易所需的现货流动性，并以此获得奖励。

Pickle 是一个实验性协议，借助流动性挖矿以帮助稳定币（DAI、USDC、USDT、sUSD）实现价格强锚定。PICKLE 是其治理代币，并将激励给 Uniswap V2 上的流动性提供者Pickle Finance 将引入 pVaults 机池借助闪电贷在稳定币间进行套利。[2020/12/13 15:04:13]

我实在不明白如果都不清楚这些情况，资金池还怎么运转。老人看手机脸。

另外请注意：记账簿。

第三部分：推荐

这一直是最重要的部分，因为这里是审计机构字斟句酌的部分。

在实际的审计报告中，会向Hegic指出需要解决的大量代码、漏洞及事情。但这篇摘要是供外部人了解所用的。是给我们普通人的。

由于发现的算法问题较多以及时间限制，无法进行深入的算法验证，(审计机构)TraitofBits推荐使用符号执行和fuzzing测试合约的变量。代码库中可能存在更多问题。

另外TraitofBits作出以下推荐：

未来开发利用crytic.io。采用该平台发现两个问题。

评估和记录合约所有者特权

验证和记录不同合约之间的资产记账

评估和记录系统的套利机会

推荐用户在保障资产的前提下使用提供资产和撤资功能

Gate.io将于今日16:00上线HEGIC交易:据官方公告，Gate.io将于2020年12月9日（今日）16:00上线 Hegic (HEGIC)交易，目前充值服务已开放。风险提示：请务必注意价格变化，提前调整市场挂单，切勿追高。[2020/12/9 14:40:38]

3.1一定做更多来确保安全！！！

3.2我们真的没有时间展开深入讲，基本的数学问题已经占用了大部分时间，我们连数学问题都没搞懂，更别说更大范围的问题了。

3.3我们当然知道有更多问题，你现在知道了。

3.4你付钱给我们找一些自己本可以用更便宜的方式找到的基本问题，然后付钱给我们找到了另一个错误。

3.5你们的项目文档记录匮乏实在令人厌恶，我们在五点建议中用三条的篇幅去描述这个问题，因为这是你们发现问题、并为安全人员/白帽黑客提供挽救用户资产的最佳机会。

3.6评估合约所有者的特权：我们的工作不到位。

验证你们的算法：小心打补丁。重新查验一切因为你们的算法真的太烂了。

验证套利交易：我们都还没开始考虑这个问题。

也许你们在写文档的时候就会发现问题了。

3.7我真的不知道怎么收尾。

通常在完整审核中，你会发现带有代码片段的内容。事实是这一行代码有分量。

3.8或者是他们选择让读者注意到最后一句特别重要，或者他们也意识到「我们真的检查了所有东西/所有功能了吗」？在概要最后扔下一句。

不管是哪种情况，依据这份审计报告，这是致命硬伤的所在地。

总体心得

1@trailofbits没有足够时间在最佳状况下完成审计。

2代码库没有提供「最佳状态」。

3没有文档纪录。

4要构建金融系统，必须要有出色的数学/记账簿/会计能力。

Hegic有太多问题，让@trailofbits的审计工作更麻烦。但更重要的是，这里存在根本性问题。这一解决方案「更重视数学，在数学方面也更出色」，但「在审计方面很糟糕」。

5Hegic无权利用这份审计报告宣称自己是个安全的系统，或者像当前这样转嫁责任「甚至trailofbits都没有发现问题！」

6Hegic将审计当作敷衍他人的挡箭牌，而不是为了切实保护用户或者了解及确保系统的安全。这种态度显示团队对用户利益的漠视，可能是一种性质恶劣的文化，对我而言总是拉响警报。

7Hegic项目目前不该推出。如果他们是被指着头被迫发布产品，他们也应该宣称自己是未经审计的、受限的Pre-alpha项目。

8@trailofbits没有提到测试。不确定他们为什么在其他审计中有测试。也许是因为在测试前的基本文档就有问题？

有点像如果我的院子里长满了6英尺高的野草，我就去考虑修剪更高的灌木问题。

9作为社区一个整体，我们需要注意，即使是名头最响亮机构所做的审计报告，也不意味着是安全的。也许还更不安全。

来源链接：twitter.com

标签：HEGICGICCHEAVAZHEGICGICC币coincheck交易平台Cavapoo

狗狗币价格热门资讯