如何评估DeFi协议安全性的简易指南

文：Ignas|DeFiResearch

编译：Zion??????

责编：karen

来源：medium

FTX的崩溃证明了自我托管和风险管理的重要性。

但是，在DeFi中，有许多漏洞、rugpull、合约bug，如果你不小心，就很容易赔钱。

本文将分享如何评估DeFi协议的安全性，保护你的资产。

如果你是一个经验丰富的智能合约开发者，并且能够自己验证代码，那就太好了。但我们大多数人都不是。

这让我们别无选择，只能根据其他数据来评估项目，这涉及到一定程度的信任。

总锁定价值是安全的终极证明？

大多数人对DeFi项目的评估依据是存入智能合约的价值，这已经不是什么秘密了。因此，TVL是信任的终极证明。

总锁定价值越高，协议的隐含安全性就越高。如果有大量的钱被存入，这意味着“有人”做了尽职调查，该协议是安全的。

美联储主席鲍威尔：很难判断银行危机如何造成经济软着陆预期发生变化:金色财经报道，美联储主席鲍威尔表示，经济衰退风险是非线性的；很难判断银行危机如何造成软着陆预期发生变化；美国仍然存在软着陆机会，正设法找到那样的机会。[2023/3/23 13:20:40]

不幸的是，它给人一种虚假的安全感。高TVL协议容易遭黑客攻击。同时，低TVL并不意味着协议不安全。

看看按TVL排名的头部DeFi协议。

你认为TVL代表安全/保障水平吗？

是否有任何协议你不放心存入你的资金？为什么？

如果基于你在网上读到的内容做判断，你可能会产生偏见。

信任，但要验证？

直播 ｜“后浪”仙女鱼池-青青如何乘风破浪:金色财经 · 直播主办的《 币圈 “后浪” 仙女直播周》第7期11:00 F2Pool 鱼池｜CMO青青将在直播间聊聊“币圈‘后浪’仙女如何乘风破浪”，感兴趣的朋友扫码移步收听！[2020/7/2]

“不信任，要验证”是我们进行智能合约审计的原因。

如果不是这样，我们可能不需要审计，因为代码是开源的，社区可以发现代码中的所有问题。然而，社区可能没有正确的动机、激励或专业知识来验证代码。

审计人员应该具备正确的技术专长，但最终，我们也必须相信他们会把工作做好。

还记得推特对Certik的抵制吗？因为经过他们审计的一些协议最终被黑客入侵了。

动态 | Coinbase研究：学生越来越有兴趣了解区块链和加密如何使全世界的人受益:Coinbase博客发文称，研究表明，学生们越来越有兴趣了解区块链和加密如何使全世界的人受益。在2018年至2019年期间，学习区块链中对于“社会公正”的兴趣从13％上升到20％。与此同时，学生对于“安全”和“未来应用与增长”的学习兴趣在过去一年中都有所下降，分别从37％降至29％和31％至27％。[2019/8/31]

审计公司也在建立自己的声誉。如果他们审计并评估为安全的协议被攻击了，那就说明缺乏专业性。事实上，Certik已经审计了3422个项目，因此难怪其中一些项目遭黑客攻击或出现漏洞。

仅仅进行审计并不意味着协议是安全的。我见过一些项目自豪地宣布“已完成审计”，但当你阅读审计报告时，安全评分实际上很低。

经验教训是不要盲目相信公告，而是通过阅读实际的审计报告来验证结果。

如果不看审计报告呢？

大多数人都不看审计报告。

Certik有一个包含所有审计项目的仪表板。你可以查看“信任得分”，数字越高意味着越安全。

声音 | 澳本聪：2019年1月将开始通过SPV系统向人们展示比特币如何扩容:澳本聪刚刚发推称：2019年1月，我们将开始向人们展示比特币(任何区块链)如何扩容，这要求是SPV系统，而该系统不使用服务器(所以以太坊不是SPV)。而且这将获得专利，并被授权给SV独家使用。[2018/12/9]

https://www.certik.com/

Hacken等其他审计机构也有类似的仪表板，或者你可以简单地阅读审计摘要。看看这个示例，由Paladin完成的TraderJoe的审计。

你可以在这里看到，TraderJoe修复了高、中等严重性问题，但并非所有低严重性问题都已解决。

现场 | 以太坊行业峰会第一场圆桌 如何应对智能合约安全问题:金色财经9月8日现场报道，Loi Luu (KyberNetwork 创始人)、Shawn Douglass

(Amberdata 联合创始人兼CEO)、Jay Zhou (Loopring Protocol 联合创始人)、Alan Li (FBG X 研发部负责人)、Antoine Cote (Enuma Technologies 联合创始人兼CEO) 参与了讨论，嘉宾们一致认为，由于智能合约涉及资产交易且不可篡改，一旦发生安全问题将引起资产严重受损，关注智能合约安全是必要的。Loi Luu指出,区块链行业项目方，需要为开发者设立预警机制。开源代码要引入第三方检测，避免犯一些显而易见的错误。

Jay zhou认为，需要更有经验的开发者去开发用户易用、以人为本的合约，同时也有必要引入交叉审计。

Shawn Douglass说：“因为智能合约的不可篡改性，在程序员开发前，就必须告知开发者未来可能造成的后果，特别是在涉及资产的领域必须确保事前万无一失甚至考虑保险。”

Antoine Cote表示，可以在早期时候引入悬赏机制让黑客或者社区成员共同发现漏洞。大家讨论后得出共识，每一个开发者都必须在开发速度和安全性之间做一个平衡。在区块链领域，注重安全和责任心是必须的。[2018/9/8]

https://paladinsec.co/projects/trader-joe-launchpeg/

审计只是一个开始

评估安全性还需要更多：

?充分测试

?赏金活动

?文档透明

?管理员控制

?Oracle文档

还有更多……亲自验证这一切简直是噩梦。

我真的很喜欢DefiSafety正在做的事情。其ProcessQualityReview对协议进行验证，并对其进行安全评分。

https://www.defisafety.com/app?orderBy=finalScore

根据PQR的结果，LiquityProtocol、Synthetix和AngleProtocol是所有经过验证的DeFi协议中最安全的。

在DefiSafety上，您可以检查每个元素，并查看协议得分最高/最差的地方。

例如，Liquidy仍需要形式化验证(FormalVerification)。

此外，你可以从在ExponentialDeFi上对你的投资组合安全进行评级开始。

它的“评估我的钱包”功能为你提供当前投资的自定义风险分析。例如，Tetranode的450万美元资产存入在风险较高的协议。

ElementalDeFi根据项目评估打分。评估考虑了资产风险、代码质量和资产存放的区块链的安全。

我喜欢他们简单易懂的风险解释。

例如，看看Abracadabra的MIM。它警告说，SPELL被用作抵押品，可能导致坏账。

如果有疑问，就问吧！

最后，我建议加入项目社区群组，并询问以下问题：

他们有保险基金吗？

他们会回避问题吗？

他们在做什么来提高安全性？

我问过Stargate团队是否有保险基金，以防他们被黑客攻击，但有时比我想象的更难得到答案，这是危险信号。

但无论发生什么，DeFi还很年轻，所以最好不要将所有资产都放在一个协议中。

标签：EFIDEFIDEF区块链DefiDollar DAODeFiSocial GamingEVAL DEFI区块链是什么概念

世界币热门资讯