DEF:去中心化金融一定安全嗎？這份DeFi安全指南奉上_EFI

原文：Ignas

編譯：Biteye 核心貢獻者 Crush

FTX 的崩潰證明了自我托管和風險管理的重要性。但是在 DeFi 中，仍有許多漏洞、Rug Pull 以及合約 BUG，一不小心就會虧錢。

今天這篇文章，我就來說一下如何去評估一個項目的安全性，以保護好自己的資產。

如果你自己本身就是一個經驗豐富的智能合約開發者，能夠親自去驗證項目代碼的安全性，這再好不過了，但是我相信大多數人都不是。

所以沒辦法，我們只能根據其他數據去評估一個項目，這涉及到一定程度的信任。

眾所周知，大多數人通過存入智能合約的資產價值來評估一個 DeFi 項目的好壞。因此，不少人認為 TVL 在一定程度上，是可以反映這個項目的安全性的。

如果鎖倉的資產越多，那么說明這個協議的安全性就越高。你可以這么想，能夠鎖倉這么多資金的協議，那這些存錢的人一定是進行了充分的調查，確認了協議的安全性才敢把錢放進去。

預言機SupraOracles宣布與去中心化NFT平臺StartFi達成合作:2月10日消息，SupraOracles宣布與StartFi建立合作伙伴關系，這是一個完全去中心化的NFT平臺，能讓NFT開發人員創建和通過INO出售原始數字資產。

StartFi為NFT制造商、買家和賣家提供了一種安全可靠的方式來擁有Net和參與不斷變化的動態NFT市場。

使用SupraOracles，StartFi Platform可以獲取STFI的USDT價格，StartFi Marketplace可以使用該價格和其他通證配對，向消費者展示準確和最新的定價。[2022/2/10 9:42:50]

不幸的是，TVL 往往給人一種錯誤的安全感。一方面，你認為高 TVL 的協議更加安全，但同樣黑客也會盯著這些協議進行攻擊，因為攻擊這些協議能賺取更多的利潤。另一方面，低 TVL 也不一定就意味著協議就不安全。

去中心化數據庫服務平臺Bluzelle更新路線圖，將支持BSC和NFT:官方消息，去中心化數據庫服務平臺Bluzelle更新路線圖，將支持BSC，BSC上的開發人員將能夠在主網上使用Bluzelle數據庫；將支持NFT，確保購買/轉讓Bluzelle認證的NFT時，其內容始終可用。[2021/5/3 21:20:47]

因此，僅僅通過 TVL 去判斷一個協議的安全性，不免有些似是而非。

我們根據TVL對現有的DeFi項目進行一個排名：

看完這張圖后

你還認為高 TVL 一定代表著安全嗎？

圖中有哪些協議你覺得是不可信的？為什么？

「不信任，只驗證」是我們進行智能合約審計的原因。如果不是這樣，我們可能不需要審計。因為代碼是開源的，社區可以找到代碼中的所有問題。然而，社區可能沒有正確的動機、激勵或專業知識來驗證代碼。

彭博社前撰稿人：DeFi需要更完善的安全標準來應對去中心化平臺的風險:彭博社前撰稿人Camila Russo在推特上對近兩年DeFi攻擊事件進行了匯總：2019年6月：Synthetix損失3700萬枚sETH；2020年2月：bZx損失90萬美元；2020年3月：iEarn損失28萬美元（穩定幣交易平臺Curve對此存疑）；2020年4月：Lendf.Me損失2500萬美元。這不僅僅是一個項目的問題。DeFi需要更完善的安全標準，否則我們將繼續看到這類事件發生。自我滿足是危險的。一些人指出，集中式交易所的損失要大上幾個數量級。沒錯，但他們持有的資金也要大上幾個數量級。DeFi可以防范集中式平臺的一些風險，但也更容易受到其他風險的威脅。[2020/4/20]

因此審計人員必須要足夠專業，但更加重要的是，審計人員自己不能出問題。例如，著名審計公司 Certik 經手審核的不少項目仍然被黑了，可以說是防不勝防。

聲音 | 澳本聰：“去中心化”一詞已成為一種營銷策略 不存在沒有權限或權力的分布式開發過程:6月6日，澳本聰在其個人網站發文《完全點對點（Fully Peer-to-Peer）》，其表示，2011年，我以Satoshi的身份給Gavin發了最后一封郵件。我構建比特幣是為了讓它成為一個誠實的、不可改變的系統，不會遭受與ecash、自由儲備美元(Liberty Reserve US Dollars)以及其他所有欺詐系統相同的問題。“去中心化”一詞已成為一種營銷策略。分類賬可能是分布式的，但是當討論的是一個沒有設置且可以更改的協議時，那就有了一個由組織控制的軟件開發過程。沒有加密貨幣具有分布式開發過程。事實上，不存在沒有權限或權力的分布式開發過程。確保分布式系統能夠在不受干擾的情況下增長的唯一方法是系統在現有的法律框架內運行，并且開發人員不能更改協議。2015年，有些人想講述我的故事，但是是在我不知情或未經批準的情況下。問題是，他們不知道完整的故事，給那些不希望我是中本聰的人留下了足夠的空白，讓他們播下懷疑的種子，散布徹頭徹尾的謊言。所以在2016年，我別無選擇，只能再次出來。在某種程度上，我之所以使用最初公布比特幣時的郵件列表，是因為我以前的一所大學的一些人。我于2005年進入紐卡斯爾大學攻讀統計學碩士學位，原因有二:首先，大學里的一些人對網絡圖理論和建模非常熟練。我需要這樣的知識來開發比特幣。其次，紐卡斯爾大學的一些人對貨幣體系的數學非常精通。進入大學后，我可以接觸到他們所有的工作，這樣我就可以進行研究。[2019/6/9]

動態 | 去中心化隱私計算方案ZEXE正式在Github上建立代碼庫:新的去中心化隱私計算方案ZEXE正式在Github上建立代碼庫。ZEXE 方案由研究人員Sean Bowe（Zcash）、Alessandro Chiesa（加州大學伯克利分校）、Matthew D. Green（約翰霍普金斯大學）等人通過論文《Zexe：Enabling Decentralized Private Computation》提出，利用包括零知識證明、遞歸證明合成等密碼學知識，在保護數據隱私的前提下，實現高效的鏈下計算和鏈上驗證。該方案目前尚處于學術概念驗證階段。[2019/4/7]

同時，審計公司也在建立自己的聲譽。如果他們審核（并評估為安全）的協議被黑，則給人一種不專業的印象。事實上，Certik 已經審核了超過 3422 個項目，所以其中一些項目遭到黑客攻擊或存在漏洞也是難以避免的。

所以僅僅進行是通過審計，并不意味著協議是安全的。我見過一些項目自豪地宣布「完成審計」，但當你閱讀審計報告時，卻發現他們的安全分數實際上很低。

這給我的教訓是，不要盲目相信項目方的審計公告，而是通過閱讀實際審計報告來驗證結果。

事實上，大多數人都不會閱讀審計報告，不過Certik 有一個包含所有已審項目的數據看板，在這個看板里面，你可以檢查項目的「信任分數」，數字越高表示安全。

其它審計機構，例如 Hacken，也會有類似的數據看板。或者你可以簡單地閱讀一下審計摘要，例如下面這個 Trader Joe 的例子, 它是由 Paladin 審計完成的。

通過這里的數據我們不難看出，Trader Joe 修復了所有的中高風險問題，但是在低風險問題上，卻仍有部分未進行修復。

評估一個項目的安全性，還需要考慮更多：

充分的測試

賞金活動

文檔的公開透明

管理控制

Oracle 文檔

要考慮的方面那可太多了，要是全部都親自驗證，恐怕先得累死。說到這里，我們就不得不提到 DeFi Safety。它會對這些協議進行一個驗證，然后給出安全評分。

根據它們提供的結果，我們可以很清楚地看到，Liquity Protocol、Synthetix 以及 Angle Protocol 是所有經過驗證的 DeFi 協議中最安全的。

在 Defi Safety 上，你還可以查看更多細節部分的內容。例如，Liquidy protocol 仍然需要形式驗證。

此外，你還可以通過 Exponential DeFi，對錢包的投資組合進行一個安全性評估。

「評價錢包」功能會為你提供當前投資的風險分析。例如，在 Tetranode 的資產中，就有 450 萬美元的資產是被存入在風險較高（C 級）的協議中。

ExponentialDeFi 會根據項目評估給出評分，評估考慮了資產風險、代碼質量和資產存放的區塊鏈的安全性。這種簡單易懂的風險說明，讓我愛不釋手。

就拿 Abracadabra 的穩定幣 MIM 來舉例，它會直接給出警告：SPELL 被用作抵押品可能會導致壞賬。

最后一個要給大家介紹的方法就是，直接加入項目的社區，然后思考一下下面幾個問題：

他們有保險基金嗎？

他們會回避提問嗎？

他們正在做什么來提高安全性？

例如我之前就曾問過 Stargate 團隊，他們是否擁擁有保險基金，以防止項目被黑客入侵。但是有時想要得到一個準確的答案，卻并不是那么簡單，項目方往往會各種拐彎抹角地回避問題。這似乎是一種危險信號，讓人不得不提高警惕。

但是無論發生什么，DeFi 都還很年輕，還有很長的路要走，所以最好不要把所有的雞蛋都放在一個籃子里！

金色早8點

金色財經

去中心化金融社區

CertiK中文社區

虎嗅科技

區塊律動BlockBeats

念青

深潮TechFlow

Odaily星球日報

騰訊研究院

Tags：DEFDEFIEFINFTPINETWORKDEFI價格DeFineefi幣暴跌BBNFT

區塊鏈