以出狀況的Hegic為例，教你讀懂DeFi安全審計報告_WAN:AME

編者按：本文來自鏈聞ChainNews，撰文：MyCrypto，翻譯：PerryWang星球日報經授權發布。對那些懶得打開PDF文檔的讀者，這里給大家概括一下「審計報告」。對那些根本一點不懂的小白來說：這是一份審計報告的摘要摘要中有投資預警閱讀審計報告你需要字斟句酌。讀這份摘要就清算多了。

第一部分：事實陳述

何時審計，用時多少天具體審計了什么由誰進行了審計就算是小白都知道這種規模的合同，一個工程師用時兩天進行審計，不會讓我買賬。16個小時就想搞懂所有代碼、找到bug，找到攻擊方法，然后完事交差？

1.1一位熟悉系統底層架構和理念的專家面對總量很小、非常簡單、語言非常漂亮的代碼庫，也許能做到這一點。此外，他們沒有時間考慮代碼的經濟影響。

Shell Protocol推特賬號疑似被盜并發布虛假代幣申領信息:7月19日消息，DeFi平臺Shell Protocol官方推特賬號疑似被盜，發布SHELL代幣申領相關虛假信息并關閉評論區，請勿與其交互。[2023/7/19 11:04:06]

1.2只進行了小型審計，可能是由于Hegic財力所限，我對此表示贊賞。但是，審計的目的是要避免發生壞事，不要將審計作為一種促銷手段，出了問題不能說「不是我們的錯，只能怪安全審計機構@trailofbits！」

1.3要改善審計的投資回報率，更簡單的方式是讓審計人員的工作變得更簡單代碼干凈+恰當的論述使用所有免費工具來發現基本問題，以便專家可以專注于復雜的問題請他人幫忙查看代碼，提出問題提供文件，提供摘要+重點/關注領域

第二部分：看看他們在尋找什么問題+找到了什么問題

值得注意的提示：有三個領域，也被稱為「糟糕情況可能出現嗎？」三個領域的答案都是「是Yes」，程度級別不同而已。另外他們認為這些風險與算法有關

彭博社：Gary Wang對于SBF來說是比Caroline Ellison更危險的證人:12月26日消息，彭博社近日刊文分析稱，與Alameda Research前首席執行官Caroline Ellison相比，FTX聯合創始人Gary Wang對FTX的重要性要大得多，這使他成為SBF更危險的證人。此前SBF將FTX的倒閉歸咎于Caroline Ellison，但這一辯護被Gary Wang的認罪協議削弱了。紐約前聯邦檢察官Sarah Paul表示：“我預計SBF將更難聲稱他不知道Gary Wang的所作所為。讓這兩名合作證人在審判中指證他，這將是非常有力的。”

Gary Wang和SBF的關系非常密切。Gary Wang和SBF第一次見面是在高中的數學夏令營，他們在麻省理工學院是室友。他們在加州伯克利合租一所房子時開始開發FTX，Gary Wang為于2019年推出的交易所編寫代碼。兩人一起生活在香港，最近在巴哈馬群島。SBF擁有Alameda公司90%的股份，而Gary Wang只擁有10%的股份。Gary Wang一直擔任Alameda的首席執行官，直到去年年底任命Caroline Ellison為首席執行官。

根據CFTC的指控，Gary Wang幫助創建了基礎代碼，使Alameda能夠在FTX “保持無限的信用額度”，Wang還幫助創建了其他途徑，使Alameda在平臺上進行交易時具有不公平的優勢，包括更快的執行時間。法律專家表示，轉移到Alameda的錢很難解釋為管理不善，而不是欺詐，他前同事的證詞可能對SBF造成毀滅性打擊。在其他案件中，面對這樣的證人，被告試圖扭轉局面，把合作者描繪成真正的壞人，現在撒謊是為了保全自己。

此前12月22日消息，Alameda前CEO和FTX聯創已分別對美檢察官提出的刑事指控和美CFTC提出的欺詐指控認罪；美SEC指控Caroline Ellison和Gary Wang欺詐FTX投資者，兩人已經同意兩項和解協議。[2022/12/26 22:07:56]

(審計報告圖片中譯)從資金池竊取財產以低于預期的行權價創建期權合約免費創建期權合約我們發現多數問題與算法有關，包括如果資金池代幣的供應量低于資產供應量，攻擊者可以吸干資金如果ETH價格低于1美元，期權合同行權價可以為0當流動性增加，資金池惡意參數可以允許0鑄幣有多個問題可能導致惡意合約所有者傷害Hegic用戶，包括：通過費用收取來竊取期權資產

Mythical Games指控前高管利用公司機密籌集 1.5 億美元:金色財經報道，Andreessen Horowitz支持的加密游戲獨角獸Mythical Games已提起訴訟，指控三名前高級管理人員利用公司關系和策略獲得 1.5 億美元的資金，違反了他們的信托義務。Mythical Games于周四在洛杉磯縣中區的加利福尼亞州高等法院提起訴訟。

該訴訟將Fenix Games的 Rudy Koch、Chris Ko 和 Matthew Nutt 列為被告。Koch、Ko 和 Nutt 都曾在 Mythical Games 工作，直到上個月離開。Koch 是公司的聯合創始人，Nutt 是首席運營官兼游戲工作室和發行主管，而 Ko 是負責戰略和投資的高級副總裁。[2022/12/23 22:03:30]

2.1稍后將詳細介紹算法方面，但接下來看看@ChrisBlec所謂的「管理員漏洞」，比特幣至上主義者會以此為例證發表所謂中心化目前優于DeFi的胡言亂語。他們說的都沒有錯。你可能不喜歡這個事實，但只能接受它。

有多個問題可能導致惡意合約所有者傷害Hegic用戶，包括：通過費用收取來竊取期權資產將資金困在期權合約中，阻止流動性提供者撤資可以免費創建期權合約

Bitwise CEO：預計加密新牛市周期將于2023年開始:金色財經報道，加密資產管理公司Bitwise Asset Management聯合創始人兼首席執行官Hunter Horsley在接受彭博TV采訪時表示：“我們正處于互聯網核心架構重大變革的風口浪尖，但加密行業2022年的主題絕對是熊市，因為目前市場已經下跌了約60%，而且每天都在變化。歷史數據顯示，加密投資存在四年周期，比如2014年市場下跌了近60%，2018年市場下跌 70% 以上，而現在2022年市場下跌了60%，如果市場繼續其歷史趨勢，預計明年將開始一個新的周期。” （stl.news）[2022/10/16 17:27:57]

2.2<這里插入有關去中心化的漸進論證>無論如何，你應該注意到這種可能性以及知道審計人員在上面花了時間。在一個全新的金融體系中發現所有的漏洞攻擊方法，這16個小時中有多少時間被用于驗證有效的、已知的攻擊方法？

2.2只有16個小時找到所有攻擊方法數學/密碼學中的Bug比如重入攻擊金融/經濟方面的影響內部作惡者外部惡意攻擊者意外錯誤/意外結果資金損失等等等等。16個小時不可能搞清楚這一切。絕無可能。

美股股指期貨跌幅擴大，納斯達克100指數期貨跌0.61%:行情顯示，美股股指期貨跌幅擴大，納斯達克100指數期貨跌0.61%，標普500指數期貨跌0.36%，道指期貨跌0.17%。[2022/5/16 3:19:48]

2.3審計機構永遠不會說：「這些代碼爛的像臭狗屎」。捫心自問，為什么他們指出蛛絲馬跡。不要指望他們徹底告訴你想要的東西或他們自己的反應。這就是事情被忽略的完美例證，因為它沒有成為Twitter熱門話題：另外我們還發現，當資金池增加或減少資產時會出現賬簿記錄錯誤，沒有體現出期權合約中的相關資產，因此攻擊者可能竊取資金池中資產。

2.3我來幫你。Hegic內的合約并不清楚合約中的資產被誰以何種方式偷走。我實在不明白如果都不清楚這些情況，資金池還怎么運轉。老人看手機臉。另外請注意：記賬簿。

第三部分：推薦

這一直是最重要的部分，因為這里是審計機構字斟句酌的部分。在實際的審計報告中，會向Hegic指出需要解決的大量代碼、漏洞及事情。但這篇摘要是供外部人了解所用的。是給我們普通人的。

由于發現的算法問題較多以及時間限制，無法進行深入的算法驗證，(審計機構)TraitofBits推薦使用符號執行和fuzzing測試合約的變量。代碼庫中可能存在更多問題。另外TraitofBits作出以下推薦：未來開發利用crytic.io。采用該平臺發現兩個問題。評估和記錄合約所有者特權驗證和記錄不同合約之間的資產記賬評估和記錄系統的套利機會推薦用戶在保障資產的前提下使用提供資產和撤資功能

3.1一定做更多來確保安全！！！

3.2我們真的沒有時間展開深入講，基本的數學問題已經占用了大部分時間，我們連數學問題都沒搞懂，更別說更大范圍的問題了。

3.3我們當然知道有更多問題，你現在知道了。

3.4你付錢給我們找一些自己本可以用更便宜的方式找到的基本問題，然后付錢給我們找到了另一個錯誤。

3.5你們的項目文檔記錄匱乏實在令人厭惡，我們在五點建議中用三條的篇幅去描述這個問題，因為這是你們發現問題、并為安全人員/白帽黑客提供挽救用戶資產的最佳機會。

3.6評估合約所有者的特權：我們的工作不到位。驗證你們的算法：小心打補丁。重新查驗一切因為你們的算法真的太爛了。驗證套利交易：我們都還沒開始考慮這個問題。也許你們在寫文檔的時候就會發現問題了。

3.7我真的不知道怎么收尾。通常在完整審核中，你會發現帶有代碼片段的內容。事實是這一行代碼有分量。

3.8或者是他們選擇讓讀者注意到最后一句特別重要，或者他們也意識到「我們真的檢查了所有東西/所有功能了嗎」？在概要最后扔下一句。不管是哪種情況，依據這份審計報告，這是致命硬傷的所在地。

總體心得

1@trailofbits沒有足夠時間在最佳狀況下完成審計。2代碼庫沒有提供「最佳狀態」。3沒有文檔紀錄。

4要構建金融系統，必須要有出色的數學/記賬簿/會計能力。Hegic有太多問題，讓@trailofbits的審計工作更麻煩。但更重要的是，這里存在根本性問題。這一解決方案「更重視數學，在數學方面也更出色」，但「在審計方面很糟糕」。

5Hegic無權利用這份審計報告宣稱自己是個安全的系統，或者像當前這樣轉嫁責任「甚至trailofbits都沒有發現問題！」

6Hegic將審計當作敷衍他人的擋箭牌，而不是為了切實保護用戶或者了解及確保系統的安全。這種態度顯示團隊對用戶利益的漠視，可能是一種性質惡劣的文化，對我而言總是拉響警報。

7Hegic項目目前不該推出。如果他們是被槍指著頭被迫發布產品，他們也應該宣稱自己是未經審計的、受限的Pre-alpha項目。

8@trailofbits沒有提到測試。不確定他們為什么在其他審計中有測試。也許是因為在測試前的基本文檔就有問題？有點像如果我的院子里長滿了6英尺高的野草，我就去考慮修剪更高的灌木問題。

9作為社區一個整體，我們需要注意，即使是名頭最響亮機構所做的審計報告，也不意味著是安全的。也許還更不安全。

Tags：WANAMEGARARYanwangbig-bang-game-coinKingaruCanary Dollar

以太坊價格