引言：OKX Web3錢包特別策劃了《安全特刊》欄目，針對不同型別的鏈上安全問題進行專期解答。透過最發生在使用者身邊最真實案例，與安全領域專家人士或者機構共同聯合，由不同視角進行雙重分享與解答，從而由淺入深梳理並歸納安全交易規則，旨在加強使用者安全教育的同時，幫助使用者從自身開始學會保護私鑰以及錢包資產安全。

DeFi 世界最大的魅力就是，每個人都有成為「巨鯨」的潛力

但即使「巨鯨」也不能逞強，雖然吃肉，但也有「捱打」的時候

所以，鏈上玩耍，安全第一

不然，又要「白手起家」～

本期是安全特刊第 05 期，特邀區塊鏈安全先鋒 BlockSec 與 OKX Web3錢包安全團隊，從實操指南的角度出發，給所有即將成為或者已經成為「巨鯨」的使用者以及專案方，分享一份 DeFi 避險攻略。比如，該如何看審計報告、初步評估 DeFi 專案風險常用的指標和引數、專案方或者巨鯨使用者，如何構建監控感知能力、DeFi 安全防護守則等等...請勿錯過！

BlockSec 安全團隊：BlockSec 是全球領先的「全棧」區塊鏈安全服務商，目前公司已服務超 300 家客戶，包括 MetaMask、Compound、Uniswap Foundation、Forta、PancakeSwap、Puffer 等知名專案方，透過白帽援救挽回了超過 2000 萬美金的資金損失。

BlockSec 的 CEO & Co-Founder 周亞金是浙江大學計算機教授，Aminer 評選的全球最具影響力學者，發表頂尖論文 50 餘篇，獲得超萬次引用。CTO & Co-Founder 吳磊是浙江大學計算機教授，前派盾聯合創始人，帶領團隊發現了多個知名專案的數十個零日漏洞。產品總監 Raymond，先後在騰訊、 360 負責安全產品。

OKX Web3 錢包安全團隊：大家好，非常開心可以進行本次分享。OKX Web3 Security 團隊主要負責 OKX 在Web3領域內各類安全能力的建設，比如智慧合約安全審計，錢包的安全能力建設，鏈上專案安全監控等，為使用者提供產品安全、資金安全、交易安全等多重防護服務，為維護整個區塊鏈安全生態貢獻力量。

Q1：分享幾個使用者真實遭遇的 DeFi 風險案例

BlockSec 安全團隊：DeFi 因其為資產帶來相對穩定的高收益，吸引了很多大戶參與。很多專案方爲了提高流動性，也會主動邀請大戶入駐。例如，我們常常能看到新聞報道，一些大戶存入鉅額資產到 DeFi 中。當然，這些巨鯨在參與 DeFi 專案時，除了獲得穩定的收益，也會面臨一些風險。接下來，我們分享一些行業公開的 DeFi 風險案例：

案例一： 2022 年的 PolyNetwork 安全事件中，總共有超過 6 億美元的資產被攻擊。據傳，神魚也有一億美元在裡面，雖然之後攻擊者還錢，事件圓滿解決，神魚也宣佈要在鏈上建立一座紀念碑來紀念此事，但想必此過程十分煎熬。儘管當前一小部分安全事件得到好結果，但是大部分安全事件就沒這麼幸運了。

案例二：知名的 DEX SushiSwap 在 2023 年被攻擊，大戶 0x Sifu 損失超過 330 萬美元，他一個人的損失就達到了總損失的約 90% 。

案例三：今年 3 月的 Prisma 安全事件中，總損失為 1400 萬美元，這些損失來自 17 個錢包地址，平均每個錢包損失了 82 萬美元，但其中 4 個使用者的損失就佔到了 80% 。這些被盜資產大部分還沒有被追回。

歸根結底， DeFi ，特別是主網的 DeFi， 因為 Gas Fee 不可忽視，只有資產達到一定規模才能真的獲得收益（空投獎勵除外），因此，DeFi 專案的主要 TVL 一般都是由巨鯨貢獻的，甚至在一些專案中 2% 的巨鯨貢獻了 80% 的 TVL。當安全事件發生的時候，這些巨鯨也就必然承擔了絕大部分損失。「不能光看到巨鯨們吃肉，他們也有捱打的時候」。

OKX Web3 錢包安全團隊：隨著鏈上世界的繁榮發展，使用者遭遇的 DeFi 風險案例也與日俱增，鏈上安全永遠是使用者最基本和最重要的需求。

案例一：PlayDapp 特權賬戶私鑰洩漏事件。2024 年 2 月 9 日至 12 日，基於以太坊的 PlayDapp 遊戲平臺由於私鑰洩漏遭受攻擊，攻擊者未經授權鑄造並盜取了 17.9 億 PLA 代幣，損失約 3, 235 萬美元。攻擊者在 PLA 代幣中新增了新的鑄幣者，鑄造了大量 PLA，分散到多個鏈上地址和交易所。

案例二：Hedgey Finance 攻擊事件。2024 年 4 月 19 日，Hedgey Finance 在以太坊和 Arbitrum 上遭遇了重大安全漏洞，導致損失約 4, 470 萬美元。攻擊者利用合約缺乏使用者輸入驗證的漏洞，獲得對易受攻擊合約的授權，從而從合約中竊取資產。

Q2：能否歸納當前 DeFi 領域存在的主要風險型別

OKX Web3 錢包安全團隊：結合真實案例，我們梳理了當前 DeFi 領域常見的 4 類風險型別

第一類：釣魚攻擊。釣魚攻擊是網路攻擊中常見的一種，透過偽裝成合法的實體或個人，誘騙受害者提供敏感資訊，如私鑰、密碼或其他個人資料。在 DeFi 領域，釣魚攻擊通常透過以下方式進行：

1）假冒網站：攻擊者建立與真實 DeFi 專案相似的釣魚網站，誘使使用者簽署授權或轉賬交易。

2）社交工程攻擊：在 Twitter 上，攻擊者利用高仿賬號或者劫持專案方 Twitter 或者 Discord 賬號釋出虛假促銷活動或空投資訊（實為釣魚連結），對使用者實施釣魚攻擊。

3）惡意智慧合約：攻擊者釋出看似有吸引力的智慧合約或 DeFi 專案，誘騙使用者授權其訪問許可權，從而竊取資金。

第二類：Rugpull。Rugpull 是 DeFi 領域中特有的騙局，指專案開發者在吸引大量投資後突然撤出資金並消失，導致投資者的資金被全部捲走。Rugpull 通常發生在去中心化交易所（DEX）和流動性挖礦專案中。主要表現形式包括：

1）流動性撤離：開發者在流動性池中提供大量流動性吸引使用者投資，然後突然撤出所有流動性，導致代幣價格暴跌，投資者損失慘重。

2）偽造專案：開發者建立一個看似合法的 DeFi 專案，透過虛假的承諾和高收益誘騙使用者投資，但實際上並沒有任何實際產品或服務。

3）更改合約許可權：開發者利用智慧合約中的後門或許可權，隨時可以更改合約的規則或撤出資金。

第三類：智慧合約漏洞。智慧合約是自動執行的程式碼，執行在區塊鏈上，一旦部署就不可更改。如果智慧合約存在漏洞，將導致嚴重的安全問題。常見的智慧合約漏洞包括：

1）重入漏洞：攻擊者在上次呼叫未完成之前重複呼叫漏洞合約，導致合約內部狀態出現問題。

2）邏輯錯誤：合約設計或實現中的邏輯錯誤，導致意外的行為或漏洞。

3）整數溢位：合約未正確處理整數運算，導致溢位或下溢。

4）價格操縱：攻擊者透過操縱預言機價格實施攻擊。

5）精度損失：由於浮點數或整數精度問題，導致計算錯誤。

6）缺乏輸入驗證：未對使用者輸入進行充分驗證，導致潛在的安全問題。

第四類：治理風險。治理風險涉及到專案的核心決策和控制機制，如果被惡意利用，可能會導致專案偏離預期目標，甚至導致嚴重的經濟損失和信任危機。常見的風險型別包括：

1）私鑰洩漏

某些 DeFi 專案的特權賬戶由 EOA（Externally Owned Accounts）或者多籤錢包控制，如果這些私鑰被洩漏或盜取，攻擊者可以隨意操縱合約或資金。

2）治理攻擊

某些 DeFi 專案雖然採用了去中心化的治理方案，但仍然存在以下風險：

·借用治理代幣：攻擊者透過借用大量治理代幣，在短時間內操縱投票結果。

·控制多數投票權：如果治理代幣高度集中在少數人手中，這些人可以透過集中投票權控制整個專案的決策。

Q3：有哪些維度或者引數，可以初步評估 DeFi 專案的安全性和風險等級？

BlockSec 安全團隊：在參與一個 DeFi 專案之前，對專案進行一個整體的安全評估非常有必要的。特別是對於資金體量比較大的參與者來說，必要的安全盡職調查可以最大程度保障資金安全。

第一，建議對專案的程式碼安全進行全面評估，包括專案方是否經過審計以及是否具有良好安全聲譽的審計公司審計，是否有多家審計公司參與，最新的程式碼是否經過審計等。通常來說，如果線上執行的程式碼經過多傢俱有良好安全聲譽的安全公司的審計，會大幅降低被安全攻擊的風險。

第二，要看專案方是否部署實時的安全監控系統。安全審計保證的安全是靜態的，並不能解決專案上線後引發的動態安全問題。比如，專案方不適當地調整了專案的關鍵執行引數、增加了新的 Pool 等。專案方如果採用了一些實時的安全監控系統，那麼其執行時的安全係數比沒有采用這樣方案的協議會更高一些。

第三，要看專案方是否具有緊急情況下的自動響應能力。這個能力長期被社羣忽視。我們發現在多個安全事件中，專案方都沒有能做到自動的功能熔斷（或者資金敏感操作的熔斷）。專案方在緊急情況下大多采用手動的方式來處理安全事件，而這樣的方式被證明是低效甚至是無效的。

第四，要看專案方的外部依賴以及外部依賴的魯棒性。一個 DeFi 專案會依賴第三方專案所提供的資訊，如價格、流動性等。因此需要從外部依賴數量、外部依賴專案的安全性、是否有對外部依賴異常資料的監控和實時處理角度來評估專案等安全性。通常來說，外部依賴的專案方是頭部專案方、並且對外部專案異常資料有容錯和實時處理的專案會更安全。

第五，專案方是否具有比較良好的社羣治理結構。這包括專案方對於重大的事件是否具有社羣投票機制，敏感操作是否是多簽完成，多籤錢包是否引入了社羣中立的參與，是否具有社羣安全委員會等。這一些治理結構能提高專案透明性，降低使用者在專案中的資金被 rugpull 的可能性。

最後，專案方過往的歷史也非常重要。需要對專案團隊和專案核心成員進行背景調查。如果專案方核心成員過往專案有過多次被攻擊或者 rugpull 等不良歷史記錄，那麼這樣的專案的安全風險也會相對比較高。

總之，在參與 DeFi 專案前，使用者特別是大額資金參與者要做好研究工作，從專案上線前的程式碼安全審計到專案上線後的實時安全監測和自動響應能力構建方面，考察專案方的安全投入和安全性，並且要從外部依賴、治理結構以及專案方過往歷史等角度做好被調工作，保障投入到專案中的資金安全。

OKX Web3 錢包安全團隊：雖然無法 100% 保證 DeFi 專案的安全性，但使用者可以透過以下維度的交叉結合，來初步評估 DeFi 專案的安全性和風險等級。

一、專案技術安全性

1、智慧合約審計：

1）檢查專案是否經過多個審計公司的審計，審計公司是否具有良好的聲譽和經驗。

2）檢查審計報告中報告的問題個數和嚴重性，確保所有問題都已修復。

3）檢查專案部署的程式碼是否跟審計的程式碼版本一致。

2、程式碼開源：

1）檢視專案的程式碼是否開源，開原始碼允許社羣和安全專家進行審查，有助於發現潛在的安全問題。

2）開發團隊背景：瞭解專案開發團隊的背景和經驗，特別是他們在區塊鏈和安全領域的經驗，以及該團隊的透明度和公開資訊程度。

3）漏洞賞金計劃：專案是否有漏洞賞金計劃，以激勵安全研究人員報告漏洞。

3、財務和經濟安全性

1）資金鎖定量：檢查智慧合約中鎖定的資金量，較高的鎖倉可能意味著專案具有較高的信任度。

2）交易量和流動性：評估專案的交易量和流動性，低流動性可能增加價格操縱的風險。

3）代幣經濟模型：評估專案的代幣經濟模型，包括代幣分配、激勵機制和通脹模型。比如，是否存在過度集中的代幣持有情況等等。

4、操作和管理安全性

1）治理機制：瞭解專案的治理機制，是否有去中心化治理機制，並且社羣能否對重要決策進行投票、並分析治理代幣的分配和投票權的集中程度等等。

2）風險管理措施：專案是否有風險管理措施和應急預案，如何應對潛在的安全威脅和經濟攻擊。另外，在專案透明度和社羣溝通方面，可以看看專案方是否定期釋出專案進展報告和安全更新、以及是否積極與社羣溝通並解決使用者問題等等。

5、市場和社羣評價

1）社羣活躍度：評估專案的社羣活躍度和使用者基礎，活躍的社羣通常意味著專案有廣泛的支援。

2）媒體和社交媒體評價：分析專案在媒體和社交媒體上的評價，瞭解使用者和行業專家對專案的看法。

3）合作伙伴和投資方：檢視專案是否有知名的合作伙伴和投資方支援，信譽良好的合作伙伴和投資方可以增加專案的可信度，但這並能成為判斷其安全的決定性因素。

Q4：使用者該如何看審計報告，以及開源狀態等等？

BlockSec 安全團隊： 被審計過的專案，專案方通常會在官方渠道主動向社羣公佈審計報告。這一些審計報告通常在專案方的文件、Github 程式碼庫等渠道中。另外，還需要對審計報告的真假和鑑別，鑑別的方法包括檢驗審計報告的數字簽名、聯絡審計公司進行二次確認等。

那麼拿到這樣的審計報告，投資者如何去研讀這樣的審計報告呢？

第一，要看審計報告是否被一些安全聲譽比較高的安全公司審計過，比如 Open Zeppelin, Trail of Bits, BlockSec 等頭部審計公司。

第二，要看審計報告中提到的問題是否都已經修復，如果沒有修復，要看專案方不修復的理由是否充分。這裏也需要區分審計報告中的有效漏洞報告和無效漏洞報告。由於審計報告暫無統一的行業標準，因此安全審計公司會根據自己的安全認知來進行專案漏洞風險評級和報告。因此，對於審計報告中發現的漏洞，要重點關注有效漏洞報告。這個過程最好能有自己的安全諮詢團隊引入進行第三方獨立評估。

第三，要看專案方公佈的審計報告中的審計時間和最近專案的升級更新時間是否一致（或者接近），另外也需要注意審計報告中的專案方程式碼是否覆蓋了專案方當前線上的所有程式碼。專案方出於經濟成本和時間成本的考慮，通常會進行部分程式碼審計。因此在這種情況下，需要判斷經過審計的程式碼是否是核心協議程式碼。

第四，要看專案方線上執行的程式碼是否經過驗證（開源），經過驗證的程式碼是否和審計報告中一致。通常審計會基於專案方的 Github 上程式碼（而不是已經部署到線上的程式碼）。如果專案最終部署到鏈上程式碼沒有開源，或者和被審計程式碼具有較大差異，都是需要引起重視的點。

總之，閱讀審計報告本身是一個專業性比較強的事情，建議在過程中引入獨立的第三方安全專家來提供諮詢意見。

OKX Web3 錢包安全團隊：使用者可以透過 DeFi 專案官網或者第三方網站，例如 OKLink 檢視智慧合約的審計報告和開源狀態，下面介紹常見的檢視專案審計報告和開源狀態的步驟：

第一，查詢官方公告或網站。大多數可信的 DeFi 專案都會在其官方網站展示其相關的文件資訊，在專案文件頁面，通常會有一個“安全”、“審計”或者“合約地址”等頁面連結到審計報告及專案方部署的合約地址。除了在專案方官方網站，通常其還會在官方的社交媒體如 Medium、Twitter 等展示審計報告和部署的合約地址資訊。

第二，在閱讀專案方官方網站以後，可以透過 OKLink 瀏覽器，查詢專案方給出的部署的合約地址資訊，並在“合約”一欄中檢視該地址部署合約的開原始碼資訊。

第三，在拿到專案方的審計報告和部署合約的開原始碼資訊後，可以開始閱讀專案方的審計報告，閱讀審計報告的時候有以下注意點：

1）理解審計報告的結構，對審計報告的內容有個總體的概念，審計報告大致分為簡介、發現的問題、解決方案和建議和審計結果。

2）在閱讀簡介相關內容時，我們需要關注審計報告審計的範圍和目標，通常審計報告會標註審計檔案提交的 Github Commit Id，我們需要對比審計報告審計的檔案是否和鏈上部署的開原始碼一致。

3）在閱讀發現的問題、解決方案和建議和審計結果部分時，我們需要重點關注專案團隊是否已經按照建議修復了發現的漏洞，以及專案方是否對修改的內容進行了後續審計，以確保所有問題都得到妥善處理。

4）對比多份報告。如果專案進行了多次審計，檢視每次審計報告之間的差異，瞭解專案的安全改進情況。

Q 5 ：駭客攻擊歷史、賞金計劃，對 DeFi 專案安全性的參考價值？

OKX Web3 錢包安全團隊：駭客攻擊歷史和賞金計劃，對於 DeFi 專案的安全性評估提供了一定的參考價值，主要體現在以下幾個方面：

第一，駭客攻擊歷史

1）揭示歷史漏洞：攻擊歷史可以展示專案曾經存在的具體安全漏洞，讓使用者瞭解過去哪些安全問題被利用過，以及這些問題是否得到了徹底的修復。

2）評估風險管理能力：專案如何響應歷史上的安全事件，能夠體現出其風險管理和危機處理的能力。一個積極響應、及時修復漏洞並賠償受影響使用者的專案，通常被視為更可靠和成熟的投資選擇。

3）專案信譽：頻繁的安全問題可能減損使用者對專案的信任，但如果專案能展示出從錯誤中學習並加強安全措施的能力，這也能夠構建其長期的信譽。

第二，賞金計劃

賞金計劃在 DeFi 及其他軟體專案中的實施，是提高安全性和挖掘潛在漏洞的重要策略。這些計劃對專案的安全性評估帶來了多方面的參考價值：

1）增強外部審計：賞金計劃鼓勵全球的安全研究者參與到專案的安全審計中。這種“眾包”方式的安全測試能夠揭露內部審計可能忽視的問題，從而增加了發現和解決潛在漏洞的機會。

2）驗證安全措施的有效性：透過實際的賞金計劃，專案可以在實戰中測試其安全措施的有效性。如果一個專案的賞金計劃歷時較長但報告的嚴重漏洞較少，這可能是一個表明專案相對成熟和安全的指標。

3）持續的安全改進：賞金計劃提供了一種持續改進的機制。隨著新技術和新攻擊手段的出現，賞金計劃幫助專案團隊及時更新和強化其安全措施，確保專案能夠應對最新的安全挑戰。

4）建立安全文化：專案是否設立賞金計劃，以及該計劃的嚴肅性和活躍度，能夠反映出專案團隊對安全的態度。一個積極的賞金計劃顯示了專案對建立堅實的安全文化的承諾。

5）提升社羣和投資者信心：賞金計劃的存在和效果可以向社羣和潛在投資者證明專案對安全的重視。這不僅可以增強使用者信任，還可能吸引更多的投資，因為投資者傾向於選擇那些顯示出高度安全責任感的專案。

Q 6 ：參與 DeFi 時，使用者如何構建監控感知能力

BlockSec 安全團隊： 以巨鯨使用者為例，巨鯨主要是指個人投資者或小團隊的投資機構，這些使用者的資金規模較大，但通常沒有非常強的安全團隊，也沒有自研安全工具的能力。因此，目前為止，實際上大部分巨鯨都沒有足夠的風險感知能力，否則就不會遭受如此巨大的損失了。

由於面臨巨大損失的風險，一些巨鯨使用者開始有意識地依賴一些公開的安全工具來監控和感知風險。現在，有很多團隊在做監控產品，但是如何選擇非常關鍵。這裏有幾個關鍵點：

首先，是工具的使用成本。許多工具雖然非常強大，但需要程式設計，使用成本並不低。對於使用者來說，搞清楚合約的架構，甚至收集地址都不是容易的事情。

其次，是精準度。沒有人希望在晚上睡覺時連續收到幾個警報，結果發現是誤報，這樣會讓人心態炸裂。因此，準確度也非常關鍵。

最後，是安全性。特別是在這種資金規模下，不能忽視工具研發及其團隊的各種安全風險。最近的 Gala Game 被攻擊事件，據說就是由於引入了不安全的第三方服務商。因此，可靠的團隊和可信的產品至關重要。

截至目前，也有許多巨鯨找到我們，我們會為其推薦專業的資管方案，從而使巨鯨使用者既能保證資金的安全，又能兼顧日常的資金管理如“挖提賣”，感知風險，甚至在緊急狀態下的資金撤退。

Q 7 ：參與 DeFi 的安全建議、以及如何處理安全風險

BlockSec 安全團隊：對於大額資金參與者，參與 DeFi 協議首要是要保證本金安全，在對可能的安全風險進行了比較充分的研究後進行投資。通常可以從以下幾個方面保證資金安全。

首先，要多方位判斷專案方的安全重視和投入程度。包括上面說的是否經過比較徹底的安全審計、專案方是否具有專案安全風險監控和自動響應能力、是否具有比較好的社羣治理機制等。這一些都能反映出專案方對於使用者資金安全是否放在比較重要的方面，是否對使用者的資金安全具有高度負責的態度。

其次，大額資金的參與者也需構建自己的安全監控和自動響應系統。在投資的協議發生安全事件後，大額資金的投資人應該第一時間能感知並且能撤退資金，儘可能地挽回損失，而不是將所有的希望都寄託在專案方身上。在 2023 年我們能看到多個知名專案都被攻擊過，包括 Curve、KyberSwap、Euler Finance 等。很遺憾的是，我們發現在攻擊發生的時候，大額投資者往往缺乏及時、有效的情報，也沒有自己的安全監控和應急撤退系統。

另外，投資人需要選擇比較好的安全合作伙伴來對投資的專案標的安全進行持續的關注。無論是對專案方程式碼的升級、重要的引數改變等都需要能及時感知並且評估風險。而這樣的事情沒有專業安全團隊和工具的參與是很難完成的。

最後，需要保護好私鑰安全。對於需要經常交易的賬戶，最好透過線上多籤和線下私鑰安全解決方案相結合的方法來進行，杜絕單個地址和單個私鑰丟失後的單點風險。

如果一旦投資的專案面臨安全風險，又該如何處理  ？

相信對於任何巨鯨和投資者而言，遭遇安全事件的第一反應一定是先保本，儘快撤資是最優先的動作。但是攻擊者的速度通常很快，手動操作往往來不及，因此最好能夠根據風險自動撤資。當前，我們提供相關的工具，可以實現發現攻擊交易後自動撤資，幫助使用者優先撤離。

其次，如果真的遭遇了損失，除了吸取教訓，還應該積極推動專案方尋求安全公司的幫助，對受損資金進行追溯和監控。隨著整個 Crypto 行業對安全的重視，追回資金的比例在逐步提升。

最後，如果是大戶，還可以請安全公司盤點投資的其他專案是否有類似問題。很多攻擊的 Root cause 是一致的，例如 Compound V2 的精度損失問題，去年許多專案都存在相似的問題並被連續攻擊。因此，可以請安全公司分析投資組合中其他專案的風險，如果發現風險，應該儘快與專案方溝通或撤出。

OKX Web3 錢包安全團隊：參與 DeFi 專案時，使用者可以透過採取多種措施來更安全地參與 DeFi 專案，降低資金損失的風險，享受去中心化金融帶來的收益。我們分別從使用者層面、以及 OKX Web3 錢包 2 個層面來展開。

第一，對於使用者而言：

1）選擇經過審計的專案：優先選擇經過知名第三方審計公司（如 ConsenSys Diligence、Trail of Bits、OpenZeppelin、Quantstamp、ABDK 以及今天我們對話的嘉賓 BlockSec）審計的專案，審閱其公開的審計報告，瞭解潛在風險和漏洞修復情況。

2）瞭解專案背景和團隊：透過研究專案的白皮書、官方網站和開發團隊背景，確保專案具有透明性和可信度。關注團隊在社交媒體和開發社羣中的活動，瞭解其技術實力和社羣支援。

3）分散投資：不要將所有資金投入到單一 DeFi 專案或資產中，分散投資可以降低風險。選擇多個不同型別的 DeFi 專案，如借貸、DEX、Farming 等，以分散風險敞口。

4）小額測試：在大額交易前，先進行小額測試交易，確保操作和平臺的安全性。

5）定期監控賬戶及應急處理：定期檢查自己的 DeFi 賬戶和資產，及時發現異常交易或活動。使用工具（如 Etherscan）監控鏈上交易記錄，確保資產安全。檢測到異常後及時採取應急措施，比如撤銷賬戶的所有授權，聯絡錢包安全團隊獲取支援等。

6）謹慎使用新專案：對於剛上線或未經驗證的新專案，保持謹慎態度。可以先投入少量資金進行試驗，觀察其執行情況和安全性。

7）使用主流Web3錢包進行交易：僅使用主流的Web3錢包與 DeFi 專案互動，主流Web3錢包提供更好的安全防護。

8）防範釣魚攻擊：謹慎點選陌生連結和不明來源的電子郵件，不要在不受信任的網站輸入私鑰或助記詞，確保訪問的連結是官方網站。使用官方渠道下載錢包和應用程式，確保軟體的真實性。

第二，從 OKX Web3 錢包層面而言：

我們提供了很多安全機制以保護使用者資金安全：

1）風險域名檢測：在使用者訪問 DAPP 時，OKX Web3錢包會在域名層面進行檢測分析，如使用者訪問的是惡意 DAPP，則會進行攔截或提醒，防止使用者上當受騙。

2）貔貅盤代幣檢測：OKX Web3錢包支援完善的貔貅盤代幣檢測能力，在錢包中主動遮蔽貔貅盤代幣，避免使用者嘗試跟貔貅盤代幣互動。

3）地址標籤庫：OKX Web3錢包提供了豐富完善的地址標籤庫，在使用者跟可疑地址互動時，OKX Web3錢包會及時給予告警。

4）交易預執行：在使用者提交任何交易前，OKX Web3錢包都會模擬執行該交易，並將資產和授權變化結果展示給使用者參考。使用者可根據該結果評判是否符合預期，以便決定是否繼續提交該交易。

5）整合 DeFi 應用：OKX Web3錢包已經整合了各類主流的 DeFi 專案的服務，使用者透過 OKX Web3錢包可以放心與整合的 DeFi 專案進行互動。另外 OKX Web3錢包也會對 DEX，跨鏈橋等 DeFi 服務進行路徑推薦，以便給使用者提供最優的 DeFi 服務和最優的 Gas 方案。

6）更多安全服務：OKX Web3錢包還在逐步增加更多安全功能，建設更多先進的安全防護服務，將更好更高效地保障 OKX 錢包使用者安全。

Q 8 ：不僅是使用者，DeFi 專案方面臨的風險型別以及如何防護？

BlockSec 安全團隊：DeFi 專案方面臨的風險型別包括：程式碼安全風險、運營安全風險和外部依賴風險。

第一，程式碼安全風險。即 DeFi 專案在程式碼層面可能存在的安全隱患。對 DeFi 專案而言，智慧合約是其核心業務邏輯（前後端處理邏輯等屬於傳統的軟件開發業務，相對而言比較成熟），也是我們關注和討論的重點，包括：

1）首先，從開發角度來說，需遵循業界公認的智慧合約安全開發實踐，比如對於用於防止重入漏洞的 Checks-Effects-Interactions 模式等等；此外，常用的功能儘可能選擇可靠的第三方庫來實現，避免因為重複發明輪子帶來的不可知風險。

2）其次是做好內部測試，測試是軟件開發中的重要環節，能夠幫助發現很多問題。但對於 DeFI 專案而言，僅透過本地測試並不足以暴露問題，更需要在貼近實際上線的部署環境中做進一步測試，這方面可以透過使用類似 Phalcon Fork 這樣的工具來幫助實現。

3）最後，在測試完成之後，接入口碑良好的第三方審計服務。審計雖然不能確保 100% 不出現問題，但系統性的審計工作能夠在很大程度上幫助專案方定位已知常見的各類安全問題，而這些往往是開發者不熟悉或者因為思維方式的不同而較難觸及的部分。當然，由於各家審計公司在專業和方向上存在差異，如果預算允許，在實踐中也推薦 2 家或者多家審計公司參與。

第二，運營安全風險。即專案上線後在運營過程中的產生的安全風險。一方面，程式碼依舊可能存在未知漏洞。即便程式碼已經經過良好的開發、測試和審計，依舊可能存在未被發現的安全隱患，這一點在軟件開發數十年的安全實踐中得到了廣泛證明；另一方面，在程式碼層面的問題之外，專案上線後面臨更多挑戰，比如私鑰洩漏、系統重要引數錯誤設定等等，均可能造成嚴重的後果和巨大的損失。運營安全風險的應對策略建議包括：

1）建立健全私鑰管理：採用可靠的私鑰管理方法，比如可靠的硬體錢包或基於 MPC 的錢包解決方案等。

2）做好執行狀態監控：監控系統實時感知特權操作和專案執行中的安全狀態。

3）構建針對風險的自動化響應機制：比如採用 BlockSec Phalcon，可以在遭遇到攻擊的時候自動實施阻斷，避免（進一步）的損失。

4）避免特權操作的單點風險：如用 Safe 多籤錢包來執行特權操作。

第三，外部依賴風險是指專案存在的外部依賴帶來的風險，比如依賴於其它 DeFi 協議提供的價格預言機，但預言機出現問題導致價格計算產生錯誤的結果。針對外部依賴風險的建議包括：

1）選擇可靠的外部合作伙伴，如業界公認的可靠的頭部協議等。

2）做好執行狀態監控：類似運營安全風險，但這裏的監控物件是外部依賴。

3）構建針對風險的自動化響應機制：類似運營安全風險，但處置方式可能有所區別，比如切換備用依賴而非直接 pause 整個協議。

此外，對於希望構建監控能力的專案方，我們也給出一些監控建議

1）準確地設定監控點：確定協議存在哪些關鍵的狀態（變數）、在哪些位置需要監控，這是構建監控能力的第一步。但監控點的設定很難覆蓋全面，特別是在攻擊監控方面，建議採用外部專業第三方、經過實戰檢驗的攻擊檢測引擎。

2）確保監控的精準性和及時性：監控的精準性是指不能有太多的誤報(FP)和漏報(FN)，缺乏精確性的監控系統實質上是不可用的；及時性是做出響應的前提（比如能否在可疑合約部署後、攻擊交易上鍊前檢測到），否則只能用於事後分析，這對監控系統的效能和穩定有極高的要求。

3）需要自動化響應能力：基於精準和實時的監控可以構建自動化的響應，包括 pause 協議阻斷攻擊等等。這裏需要有可定製、可靠的自動化響應框架支援，可根據專案方的需求靈活地定製響應策略並自動觸發執行。

總體而言，監控能力的構建需有專業的外部安全供應商參與建設。

OKX Web3 錢包安全團隊：DeFi 專案方面臨著多種風險，其中主要包括以下幾類：

1）技術風險：主要包括智慧合約漏洞和網路攻擊。防護措施包括採用安全開發實踐、聘請專業的第三方審計公司對智慧合約進行全面審計、設定漏洞賞金計劃以激勵白帽駭客發現漏洞，以及做好資產隔離來提高資金的安全性等。

2）市場風險：主要包括包括價格波動、流動性風險、市場操縱和組合性風險。防護措施包括使用穩定幣和風險對衝防範價格波動，利用流動性挖礦和動態費用機制應對流動性風險，嚴格審查 DeFi 協議支援的資產型別和使用去中心化預言機防止市場操縱，並透過持續的創新和最佳化協議功能來應對競爭風險。

3）運營風險：主要包括人為錯誤和治理機制風險。防護措施包括建立嚴格的內部控制和操作流程以減少人為錯誤的發生、使用自動化工具提升操作效率，以及設計合理的治理機制，確保去中心化與安全性平衡，如引入投票延遲和多籤機制。並對上線的專案做好監控和應急預案，一旦出現異常可以立即採取措施，將損失降到最低。

4）監管風險：法律合規要求和反洗錢（AML）/瞭解你的客戶（KYC）義務。防護措施包括聘請法律顧問確保專案符合法律和監管要求、建立透明的合規政策以及主動實施 AML 和 KYC 措施以提升使用者和監管機構的信任。

Q 9 ：DeFi 專案方，如何判斷並選擇好的審計公司？

BlockSec 安全團隊：DeFi 專案方如何判斷並選擇好的審計公司，這裏有一些簡單標準的可供參考：

1）是否審計過知名專案：這表明該審計公司被這些知名專案所認可。

2）審計過的專案是否被攻擊過：固然從理論上來講審計並不能保證 100% 的安全，但實踐經驗表明口碑良好的審計公司所審計的大部分專案未曾有過被攻擊記錄。

3）透過過往審計報告判斷審計質量：審計報告是衡量審計公司專業程度的重要標誌，尤其是在同樣的審計專案、同樣的審計範圍可作對比的情況下，可重點關注漏洞發現的質量（危害程度）和數量等，漏洞發現是否通常被專案方採納。

4）專業從業人員：審計公司的人員構成，包括學歷和從業背景等，系統性的教育和從業經驗對於確保審計質量有很大的幫助。

最後，感謝大家看完 OKX Web3錢包《安全特刊》欄目的第 05 期，當前我們正在緊鑼密鼓地準備第 06 期內容，不僅有真實的案例、風險識別、還有安全操作乾貨，敬請期待！

免責宣告

本文僅供參考，本文無意提供 (i) 投資建議或投資推薦；(ii) 購買、出售或持有數字資產的要約或招攬；或 (iii) 財務、會計、法律或稅務建議。 持有的數字資產（包括穩定幣和 NFTs）涉及高風險，可能會大幅波動，甚至變得毫無價值。您應根據自己的財務狀況仔細考慮交易或持有數字資產是否適合您。請您自行負責瞭解和遵守當地的有關適用法律和法規。