EFI:杨民道：从Euler黑客事件，漫谈DeFi的安全审计和安全

借着Euler黑客事件，聊聊DeFi的安全审计和安全。

大的DeFi协议基本上都经过多轮审计，我们前前后后5次审计费用百万刀级别大的协议常规审计每年都百万刀，但蓝筹DeFi没哪个没被黑过这里原因很简单，简单的数学问题从攻防来看，所有静态审计的输入和输出（发现bug)都是有限的。

除了常规审计，Euler还用了Certora做形式化验证，这个我们之前也用过，形式化验证能帮助穷尽“已知”路径的覆盖范围，但是无法穷尽“未知的未知”。DeFi是一个开放系统，对于黑客来说，它的输入是无限的，输出也是无限的。假设把安全攻防看成挖矿，你守方用三五台机器算哈希挖矿。

SushiSwap与加密法币网关Onramper合作，支持使用信用卡或借记卡购买加密货币:5月30日消息，SushiSwap 与加密法币网关 Onramper 合作，支持用户使用信用卡或借记卡购买加密货币。目前 SushiSwap 已集成 Onramper 小部件，添加了九个入口以增强法币到加密货币交易的成功率，用户现在可以从几乎任何国家 / 地区购买加密货币。[2023/5/30 9:50:14]

攻方无数机器时刻在算哈希，只要算对一次就赢了；这个输赢面对比是明显的。静态的安全审计，由于输入输出固定，无法覆盖已知的未知，更无法覆盖未知之未知。所以出现另一种审计，叫开发式竞争型审计，如Code4rena，审计奖金池固定，但是输入在一定时间内是弹性的，所有人都可以参加，谁发现bug。

知情人士：美国检察官正审查美国对冲基金与币安的交易:金色财经报道，据华盛顿邮报援引消息人士报道，美国西雅图华盛顿西区检察官办公室正审查美国对冲基金与币安的交易，指示对冲基金交出他们与币安的通信记录，法律专家说传票之前没有被报道过，并不一定意味着当局可能会提出指控。币安首席战略官Patrick Hillmann在接受采访时表示，该公司每天都在与全球几乎所有监管机构进行沟通，但拒绝就美国的任何调查情况置评。据路透社上个月报道，检察官仍在讨论与币安达成和解的可能性，并权衡他们是否有足够的证据对币安提出起诉。[2023/1/8 11:00:25]

按照严重程度，分奖金，这个方式是让审计师/白帽去卷，可以扩大覆盖面，但总体输入依然固定，远远不够。最后是完全开放的模式，那就是赏金网络，DeFi里最出名的Immunefy，云集最多DeFi白帽高手的平台，我建议每个DeFi在上面发bounty，亲测效果十分明显。Immunefy的奖金项目方会给非常高。

币安在放弃SPAC后仍在评估对福布斯投资的所有可能选择:金色财经报道，加密货币交易所币安可能仍会投资福布斯，尽管有报道称这家媒体公司已经放弃了通过特殊目的收购公司(SPAC)上市的计划。纽约时报周二报道称，SPAC取消，因投资者对此类交易的兴趣降温，且监管审查力度加大。福布斯曾希望通过与SPAC Magnum Opus Acquisition Ltd合并筹集4亿美元。正如2月份宣布的那样，其中一半将来自币安，这笔交易最初定于3月份完成。

但币安或许仍能找到投资这家媒体公司的方法。该加密公司的一名发言人周三表示:“我们正在继续审查所有可能的选择，并期待在未来几个月与福布斯的领导团队合作。”（theblockcrypto）[2022/6/1 3:56:35]

比如最高已支付的是Warmhole的千万美金。这次出事的Euler也曾放出100w刀赏金，但依旧没发现这次的漏洞。赏金模式在输入输出上也是开放式的，这个类似于黑客的攻击模式。

但两者激励模式很大区别。假如把两者当成是抽奖，同样1000w奖金池，赏金模式奖金一般都会在10w-30w刀封顶黑客模式是100%奖金全拿走这两种模式，同等投入，同样中奖概率，假设没有犯罪成本，毫无疑问黑客池输入/输出会跑赢。赏金模式就算加到10%，也跑不赢黑客池，除非把犯罪成本加入等式。

有人建议把赏金比例和TVL挂钩，比如10%，是否会激励更多黑客转白帽？首先，没哪个defi协议能支付10%TVL的赏金，其次，遇到真黑客，他大概率还是愿意一黑到底而不会止步要10%。DeFi的安全更复杂问题在于除了代码层面，还有可组合风险。

攻击面上，DeFi本身随着整合增加，攻击面是四维增长的，定期静态安全审计加长期赏金，也无法覆盖不断扩大的攻击面DeFi安全是无限游戏，唯一靠谱的是在协议上减少外部依赖，最小化攻击面，尽量待在“自己的舒适区”，不乱做扩展对开放系统来说，安全代价就是自由的代价。

标签：DEFEFIDEFI加密货币Origen DEFIDeFi WarriorScarcity DeFihtb币加密货币吗

瑞波币热门资讯