過去幾個月來,DeFi生態經歷了巨大的動蕩,數次攻擊之下,許多未被利用過的缺陷也被報道出來。
雖然代碼中無可避免會有bug,但還是有很多方法能降低缺陷發生的頻率,以及降低缺陷帶來的負面影響。
作為一個審計員,我們想要幫助DeFi用戶問一些比較尖銳的問題;問這些問題的目的,一方面是讓開發人員認真去考慮系統安全性的優先級,另一方面,讓用戶能分辨出回答得好的協議,然后把錢投入這些協議。
以下問題能幫助用戶了解DeFi開發團隊對于安全性的立場,答案不一定有對錯之分,而且也不是每個團隊都有資源全盤顧及所有方面。但不論如何,用戶有權利知道這些信息,來決定自己愿意承受的風險。
我們希望通過以下提問,促使后續開展更多正面的討論。
1.管理員權限
大部分的主流DeFi協議都存在一些中心化的機制——允許特定的“管理員”地址以強硬的手段干預協議的運行。
觀點:ChatGPT無法實現非0即1的精確計算:4月8日消息,今日,由中國人工智能學會主辦的“人工智能大模型技術高峰論壇”主論壇在杭州蕭山啟幕。論壇上,清華大學長聘副教授、聆心智能創始人、國家杰青獲得者黃民烈發表了演講。黃民烈表示,ChatGPT存在不足和缺陷,比如,無法實現數學計算和符號推理,具體表現為無法實現非0即1的精確計算。因為ChatGPT本質上是一個語言模型,其體現的能力來源于對訓練數據的擬合;其運行機制中并沒有顯式的邏輯推理與判斷。此外,ChatGPT還存在準確性、安全性等方面的問題。[2023/4/8 13:52:05]
這樣做雖然在安全上有好處,但這意味著你必須相信這些“管理員”不會濫用他們的特權;而且但凡這些管理員遭到黑客攻擊,他們的私鑰泄露所帶來的后果會更加嚴重。
管理員賬戶可以是以下幾種形式:單一地址、多重簽名錢包,或是由DAO管理的投票過程。那么,
觀點:美國拉斯維加斯允許無現金,或為CasinoCoin等加密貨幣提供機會:作為應對Covid-19的一項措施,美國內華達州委員會(NGC)上周批準在拉斯維加斯進行無現金。一些觀察人士將這一舉措視為CasinoCoin等加密貨幣引入賭場的機會。(Focusgn)[2020/6/30]
管理員能采取哪些措施?
暫停整個系統?
修改賬戶余額?
設置代幣/用戶的白名單/黑名單?
升級某個子系統?
升級整個系統?
其他權限?
如果采取上述行為,是否有延遲執行機制?
如果有延遲時間,那是多長?
多少人有管理員權限?
采取上述行為前,需要經過多少管理員同意?
觀點:Validium適用于傳統高頻交易 zkRollup適合去中心化加密支付:近日,針對以太坊Layer 2擴容方案,即DeversiFi最近采用的Validium解決方案,Matter Labs創始人Alex Gluchowski撰文稱,Validium的機制與zkRollup非常相似,唯一的區別是zkRollup中的數據可用性是在鏈上的,而Validium則將其保持在鏈外。這允許Validium獲得更高的吞吐量,但這也導致該解決方案存在兩大問題:1、可凍結用戶資金;2、可沒收用戶資金。
Alex Gluchowski指出,zkRollup的數據可用性可保護用戶的資金免遭扣押和審查。但數據可用性的鏈上存儲,導致了吞吐量的限制。因此,Alex Gluchowski認為Validium方案可能會適用于傳統的高頻交易或具有較低信任假設的游戲,相比之下,完全無需信任的zkRollup方案則非常適合擴展去中心化的加密支付。(Medium)[2020/6/8]
有哪些權限是由鏈上治理程序來掌控的嗎?
聲音 | OKEx CEO:漲跌永遠共存 OKEx一直的觀點是平臺應保持中立:OKEx CEO Jay Hao發微博稱,市場是復雜的,漲跌永遠是共存的,OKEx一直的觀點是平臺應該保持中立,覺得到到頂的就趕緊出了走人,覺得可以做波段的也趕緊出,長期看好的就長期持有,多提產品意見,是產品意見,不是各種發利好拉盤的意見。[2019/8/12]
我該去哪里了解提議更新協議的提案?
以上某些問題的回答已經可以通過?
DefiWatch?跟蹤了解。
2.外部依賴
因為是公開的網絡,以太坊上充斥著不懷好意的攻擊者,因此開發者不能假設本系統外的合約一定會采取什么樣的行為。但在許多DeFi應用中又不得不作出這樣的假設,因為服務本身就是在已有的一些合約上建構出來的。
這些問題能幫助用戶了解該項目在外部依賴上存在的風險。
你的系統依賴什么預言機?
你的系統依賴什么交易所?
你用什么第三方智能合約來建立系統?
你的系統支持哪些代幣,你對這些代幣的行為模式有怎樣的預期?
3.可靠的的披露系統和獎勵計劃
對于才華橫溢的黑客來說,攻擊DeFi協議對他們有著強大的金錢誘惑。制定獎勵計劃能激勵大家發現并揭露漏洞,而非鉆漏洞。對于白帽黑客來說,通過激勵系統揭露代碼漏洞也是提高自身聲譽的好方法——既有好處又不違法。
任何公司要運行DeFi協議,或是涉及在線托管金錢的業務,都應該設有獎勵系統。你可以就他們的獎勵計劃及披露流程提出以下問題:
你們的合約代碼能夠被所有人看到嗎?
從你們的網站和git代碼庫,能夠很容易找到安全的聯系方式嗎?
你們的合約有沒有設置獎勵計劃?
哪些合約在獎勵計劃內?
獎勵計劃具體金額是?
你們是否支付過獎勵計劃的獎金?
對于bug報告,你們是否曾拒絕支付過?
從你們的網站和git代碼庫,能夠很容易地找到獎勵計劃的詳細信息嗎?
理想情況下,這些信息應該放在“website.com/security”頁面下,而且能搭配Github的SECURITY.md功能使用。
4.應急預案
當面對某些安全突發狀況的時候,新消息如潮水般涌來,用戶持續在Twitter、Telegram、Discord上提出棘手的問題......,這時候開發者很難頭腦清楚地應對突發狀況。
所以如果有應急預案的話,就能證明項目正朝著安全方向發展。要求項目公開他們完整的計劃可能不太現實,但我們還是能提出以下基礎的問題去側面了解:
你們是否有處理突發安全事件的計劃提綱?
你們的應急預案適用于哪些緊急情況?
如果你們的系統是可升級的,這些升級步驟是否記錄在案?
如果你們發現某個系統漏洞可能讓資金面臨風險,你們是否能通過應急預案先發制人,保護資金安全?
5.審計與安全發展
審計并非萬靈丹,而且審計的內容總多多少少有點區別,但對于部署任何的DeFi合約之前,進行審計是至關重要的一步。
下面的問題不一定有“正確答案”,但學識淵博的社區群眾們,應該能從項目的回答中看出開發團隊對于安全性的立場。
你們最近一次審計是什么時候?
這次審計投入了多少精力?
哪個機構做的審計?
審計報告公開嗎?
你們系統中有任何部分是沒有被涵蓋在審計的范圍內嗎?
最近一次審計之后,你們有對合約進行更新嗎?如果有,更新了什么?
你們有和哪個安全團隊進行長期合作嗎?
在合并代碼之前,開發者會彼此做codereview嗎?
你們的合約代碼中,做過單元測試的比重是多少?
審計過程中,你們用過其他的安全分析工具嗎?
原文鏈接:?https://diligence.consensys.net/blog/2020/03/questions-defi-users-should-be-asking-defi-developers/作者:?JohnMardlin翻譯&校對:?IANLIU&阿劍
Tags:EFIDEFDEFIALISDEFIDefina FinanceDefi Shopping StakeChalice Finance
總部位于舊金山的專注于去中心化金融的風險投資公司FrameworkVentures已宣布對CommonwealthLabs和FutureSwap進行90萬美元的投資.
1900/1/1 0:00:00作者/JackyLHH 出品/白話區塊鏈 幾乎每隔一段時間,便會傳出量子計算機的“突破性進展”。進而引起業內部分用戶的恐慌:量子計算機的出現會破解比特幣的加密算法,加密世界即將崩塌.
1900/1/1 0:00:00新華網南京3月22日電“你的小麥苗群體數量不夠,在原有施肥基礎上再灑10—15斤尿素試試。”2月14日,南京六合小麥種植戶夏兆宏正通過農業區塊鏈小程序上傳了自家農田的照片和管理步驟,10分鐘后,
1900/1/1 0:00:00比特幣挖礦難度的動態調整機制是這一共識機制獲得成功的關鍵所在,昨日比特幣挖礦難度一次性上調近7%至16.55T,btc.com數據顯示,目前比特幣全網算力為121.95EH/s.
1900/1/1 0:00:00來源:證券日報 記者:邢萌 對于比特幣產業鏈來說,3月中旬是近年來最讓人“信仰”面臨崩潰的“黑暗”時期.
1900/1/1 0:00:00數字數據驗證平臺Attestiv宣布已完成由CastleIslandVentures牽頭的種子輪融資,PlugandPlayVentures和MentorsFund也參與了此次融資.
1900/1/1 0:00:00