DEF:如何評估DeFi協議安全性的簡易指南_區塊鏈

文：Ignas|DeFiResearch

編譯：Zion??????

責編：karen

來源：medium

FTX的崩潰證明了自我托管和風險管理的重要性。

但是，在DeFi中，有許多漏洞、rugpull、合約bug，如果你不小心，就很容易賠錢。

本文將分享如何評估DeFi協議的安全性，保護你的資產。

如果你是一個經驗豐富的智能合約開發者，并且能夠自己驗證代碼，那就太好了。但我們大多數人都不是。

這讓我們別無選擇，只能根據其他數據來評估項目，這涉及到一定程度的信任。

總鎖定價值是安全的終極證明？

大多數人對DeFi項目的評估依據是存入智能合約的價值，這已經不是什么秘密了。因此，TVL是信任的終極證明。

《“區塊鏈+”如何重構內容產業生態》獲第三十一屆中國新聞獎三等獎:金色財經報道，人民日報（2021年11月08日 第?17版）發布第三十一屆中國新聞獎獲獎作品目錄，《“區塊鏈+”如何重構內容產業生態》獲第三十一屆中國新聞獎三等獎，刊播單位：新聞與寫作?，報送單位：北京記協。[2021/11/8 6:37:41]

總鎖定價值越高，協議的隱含安全性就越高。如果有大量的錢被存入，這意味著“有人”做了盡職調查，該協議是安全的。

不幸的是，它給人一種虛假的安全感。高TVL協議容易遭黑客攻擊。同時，低TVL并不意味著協議不安全。

看看按TVL排名的頭部DeFi協議。

直播｜Philip Gradwell：如何知道新一輪牛市是否到來:金色財經 · 直播主辦的金點Trend《以太坊之外的DeFi，香嗎？ 》馬上開始！16:30準時開播！本場嘉賓來自Chainalysis的首席經濟分析師分享“如何知道新一輪牛市是否到來”，請掃碼移步收聽！[2020/8/28]

你認為TVL代表安全/保障水平嗎？

是否有任何協議你不放心存入你的資金？為什么？

如果基于你在網上讀到的內容做判斷，你可能會產生偏見。

信任，但要驗證？

“不信任，要驗證”是我們進行智能合約審計的原因。

如果不是這樣，我們可能不需要審計，因為代碼是開源的，社區可以發現代碼中的所有問題。然而，社區可能沒有正確的動機、激勵或專業知識來驗證代碼。

審計人員應該具備正確的技術專長，但最終，我們也必須相信他們會把工作做好。

動態 | 各國代表在FATF開會討論如何監管虛擬資產和虛擬資產服務提供商:金色財經報道，據FATF官網消息，1月9日，各國主管開會討論了如何監督和管理虛擬資產和虛擬資產服務提供商（VASP）。自金融行動特別工作組（FATF）在2019年6月敲定這些新措施以來，這次會議是主管們首次有機會討論如何實施這些新措施。 論壇討論了三個主要領域：1.迄今為止，從那些已經建立VASP監督制度并已經開始監督VASP的國家吸取的經驗教訓。2.起草VASP法律法規時的常見問題。3.管理者有效監管VASP所需的工具、技能、程序和技術。這次會議確定了需要采取進一步行動的若干領域。這些問題將在FATF全體會議和將于2020年5月舉行的監督機構論壇的會議上進一步討論。據此前報道，2019年6月22日，FATF官網發布《基于風險的角度：監管數字資產和數字資產服務商的章程指南》，該指南將幫助各國和虛擬資產服務提供商了解其反洗錢和反恐融資義務，并有效實施FATF適用于該行業的要求。[2020/1/11]

還記得推特對Certik的抵制嗎？因為經過他們審計的一些協議最終被黑客入侵了。

動態 | 巴西里約熱內盧司法部門討論區塊鏈如何提高公眾透明度:據Cointelegraph 12月6日消息，在由里約熱內盧里約熱內盧州司法學院(EMERJ)組織的一個常設論壇上，里約熱內盧的司法部門將討論區塊鏈如何有助于提高公共透明度。[2019/12/7]

審計公司也在建立自己的聲譽。如果他們審計并評估為安全的協議被攻擊了，那就說明缺乏專業性。事實上，Certik已經審計了3422個項目，因此難怪其中一些項目遭黑客攻擊或出現漏洞。

僅僅進行審計并不意味著協議是安全的。我見過一些項目自豪地宣布“已完成審計”，但當你閱讀審計報告時，安全評分實際上很低。

經驗教訓是不要盲目相信公告，而是通過閱讀實際的審計報告來驗證結果。

聲音 | 人民郵電報：區塊鏈如何填補法律監管“空白”？:人民郵電報今日發表文章《區塊鏈：如何填補法律監管“空白”？》，文章表示， 如今，把區塊鏈作為核心技術自主創新重要突破口，加快推動區塊鏈技術和產業創新發展，成為大家關注的熱點話題。毫無疑問，區塊鏈將為新一代信息技術發展帶來新機遇，引發新一輪技術創新和產業變革。而與之相隨的，是新技術新業務發展應用所帶來的法律空白和監管困境，如何在監管空白與監管過度之間找到平衡點，成為擺在立法、執法者面前的一道難題。[2019/12/6]

如果不看審計報告呢？

大多數人都不看審計報告。

Certik有一個包含所有審計項目的儀表板。你可以查看“信任得分”，數字越高意味著越安全。

https://www.certik.com/

Hacken等其他審計機構也有類似的儀表板，或者你可以簡單地閱讀審計摘要。看看這個示例，由Paladin完成的TraderJoe的審計。

你可以在這里看到，TraderJoe修復了高、中等嚴重性問題，但并非所有低嚴重性問題都已解決。

https://paladinsec.co/projects/trader-joe-launchpeg/

審計只是一個開始

評估安全性還需要更多：

?充分測試

?賞金活動

?文檔透明

?管理員控制

?Oracle文檔

還有更多……親自驗證這一切簡直是噩夢。

我真的很喜歡DefiSafety正在做的事情。其ProcessQualityReview對協議進行驗證，并對其進行安全評分。

https://www.defisafety.com/app?orderBy=finalScore

根據PQR的結果，LiquityProtocol、Synthetix和AngleProtocol是所有經過驗證的DeFi協議中最安全的。

在DefiSafety上，您可以檢查每個元素，并查看協議得分最高/最差的地方。

例如，Liquidy仍需要形式化驗證(FormalVerification)。

此外，你可以從在ExponentialDeFi上對你的投資組合安全進行評級開始。

它的“評估我的錢包”功能為你提供當前投資的自定義風險分析。例如，Tetranode的450萬美元資產存入在風險較高的協議。

ElementalDeFi根據項目評估打分。評估考慮了資產風險、代碼質量和資產存放的區塊鏈的安全。

我喜歡他們簡單易懂的風險解釋。

例如，看看Abracadabra的MIM。它警告說，SPELL被用作抵押品，可能導致壞賬。

如果有疑問，就問吧！

最后，我建議加入項目社區群組，并詢問以下問題：

他們有保險基金嗎？

他們會回避問題嗎？

他們在做什么來提高安全性？

我問過Stargate團隊是否有保險基金，以防他們被黑客攻擊，但有時比我想象的更難得到答案，這是危險信號。

但無論發生什么，DeFi還很年輕，所以最好不要將所有資產都放在一個協議中。

Tags：DEFEFIDEFI區塊鏈DefisAlchemist DeFi AurumBearn Defi Protocol區塊鏈域名的用途

XMR