今日 KeyFrame

DeFi Security Summit - DSS

• 多簽劫持是最緊迫的未解問題：Radiant Capital 事件早已預示 Bybit 攻擊模式，但業界未能採納 Paco Amorisco 等人開發的交易驗證工具，導致 DPRK 攻擊者得以注入惡意 payload 竊取 $15 億，根本原因是工具有了但採用率為零。
• Lindy 效應不適用於安全領域：65 個五年以上舊合約中有 50% 曾遭重大攻擊，因為攻擊者的工具和技術水平遠超當年審計能力——過去不知道重入攻擊存在，未來也會有現在不知道的漏洞類型。
• 水坑合約攻擊者正在演化成「耐心型」威脅：攻擊者不急於即時獲利，而是植入後門後靜待大額鯨魚授權，讓攻擊 TVL 極低的小協議也具有高回報率，這一心態轉變使傳統監控手段失效。

DeFi Security Summit - DSS

• 現有模式的共同缺陷是「編碼時期決策」：Ownable、AccessControl、Pausable、AccessManaged 雖靈活度遞增，但開發者都必須在寫程式時決定哪些方法受保護、對應哪個角色，部署後無法在不改合約的情況下調整，且將測試複雜度強加到每個方法上。
• 代理攔截取代修飾器：新方案在標準 ERC 代理的委託呼叫前插入 AccessManager 查詢，功能上等同於對所有方法加 `restricted`，但存取邏輯完全與實作合約分離，實作合約得以保持純業務邏輯。
• 部署時期的彈性配置：可在部署代理時傳入「跳過方法」列表（如 view function），讓這些方法繞過權限查詢；對於需要細粒度參數級別控制的場景，可在方法內部構造假選擇器（fake selector）再向 AccessManager 查詢，不改架構即可實現更精細授權。

DeFi Security Summit - DSS

• 安全債務是擴張瓶頸：以太坊已有 5000 億美元擔保、2.8 兆美元月穩定幣交易量，但每年持續的資金損失代表現有安全基礎無法撐起「十億用戶、兆美元機構資金」的下一階段目標，這是推出此計畫的根本動機。
• 盲簽名是當前最大漏洞：大多數用戶在不理解內容的情況下簽署十六進位資料，是現階段帳戶盜用的主因。EIP-7730 提出將合約函數映射成人類可讀文字的標準，配合 TX 模擬預覽結果，可大幅降低用戶被誤導的風險。
• 前端去中心化刻不容緩：智慧合約已去中心化，但 DApp 前端仍依賴中心化托管，成為釣魚攻擊與審查的最大攻擊面，目前 ESP 已開放相關 RFP 徵件。

DeFi Security Summit - DSS

• 通知鏈條失效是最大風險：大多數協議被攻擊時，第一個收到通知的是 Telegram 客服群或第三方安全警報（如 PeckShield），而非核心開發人員，導致響應嚴重延遲。
• 戰情室需要「正確的人」和「準確的資訊」：行銷人員和客服不應出現在戰情室。協議必須事先維護完整的合約部署清單（含所有鏈、所有版本），因為攻擊往往跨鏈蔓延。
• 預先定義的行動清單才能快速決策：在壓力下人容易犯錯，每一步都需要事前規劃。包括：識別協議不變量（invariants）、為常見攻擊向量準備 Runbook、設定誰有權執行哪些操作。

DeFi Security Summit - DSS

• 智能合約不可篡改，但 EVM 可以改變：每次硬分叉都可能讓原本有效的合約行為失效，尤其是依賴特定 gas 成本或輸入格式假設的合約，任何寫死 gas 數值的設計都是危險的。
• mod_exp 的兩項變更合力製造 DoS 風險：輸入大小限制 + gas 成本上調，若現有合約固定傳入大型輸入或固定 gas 呼叫 mod_exp，Fusaka 啟動後將直接 revert，導致合約功能永久癱瘓。
• 交易 gas 上限縮減三倍，高耗能函式需重新設計：批次迴圈操作（如清算多個倉位）若無分頁參數，可能在 Fusaka 後無法完整執行；需改為支援 `startIndex + limit` 的分段呼叫模式。

DeFi Security Summit - DSS

• Bug Bounty 決定了反應時間窗口：第一次事件因為有 Immunefi 白帽回報，團隊有數天時間秘密升級代幣合約並通知大型 LP 撤資，大幅降低損失；第二次事件沒有預警，攻擊發生時已無從介入。
• Immutable 合約是雙面刃：去除升級機制雖然減少治理風險，但漏洞一旦被發現幾乎無法補救。B2 靠著「底層代幣可升級」這個意外出口才找到解法，若連這條路也不存在後果更嚴重。
• 資訊管控是危機處理核心：漏洞確認後應嚴格限縮知情範圍，對外只說「請從這些池子撤資」而不解釋原因，避免黑帽提前獲得足夠資訊。即便如此，5 天後黑帽仍找出剩餘攻擊向量並完成攻擊。

DeFi Security Summit - DSS

• 審計採購流程破碎且低效：建構者通常靠人脈打探審計公司，需與多家供應商進行分散式雙邊溝通，既耗時又分心，根本原因是缺乏透明、集中的需求對接管道。
• 雙邊市場解決供需媒合問題：市場上約有 50–100 家智能合約審計公司，競爭激烈但對建構者而言難以比較；平台將需求公開給已審核的審計商，讓供應商主動報價，建構者獲得市場定價參考與選擇空間。
• 生態系補貼機制是關鍵差異化功能：Uniswap Foundation 等生態系可透過平台對特定建構者提供補貼（如 v4 hooks 開發者），但補貼比例仍在實驗中——全額補貼可能導致建構者缺乏主動安全意識，因此混合模型（生態系＋審計商共同折扣）更受青睞。

DeFi Security Summit - DSS

• 簽名密鑰隔離是 Web3 基礎設施的核心防線：驗證器與 Oracle 的私鑰不應存在於應用層，改用 Web3Signer 集中管理並只在記憶體載入，搭配唯讀檔案系統，即使應用層被攻陷也無法取得私鑰。
• Security Proxy 可在授權動作執行前做最後把關：在 Oracle 或交易 API 的簽名流程前插入輕量代理，驗證合約地址、函數 sig、甚至回報數值是否在合理範圍，異常請求直接丟棄，不讓惡意 payload 傳到簽名層。
• 智能合約的防禦重點是快速暫停而非快速除錯：在鏈上實作可單方面執行的短暫 Pause（例如 30 分鐘），讓 on-call 工程師在確認影響範圍後立即凍結，再視需要升級為需要治理投票的長期暫停。

DeFi Security Summit - DSS

• 安全責任必須有人扛：當所有人都負責安全，等於沒人負責。每個協議團隊都需要一位「安全冠軍」，主動說出「我們需要買這個工具」或「我們需要放慢腳步加安全措施」。
• 預交易模擬是基本配備：在交易上鏈前進行模擬，識別高 Gas 用量、閃電貸等異常信號，並將結果推送至 Slack。Bybit 駭客事件顯示，若能在資金轉移前攔截，影響天差地遠。
• 上下游依賴是高風險盲點：PenPai 被駭但底層 Pendle 完全安全、Griffon AI 被駭但 LayerZero 安全——這些案例說明攻擊者常透過惡意整合或流氓入口進入，必須事先掌握所有依賴關係圖。

徐玉蘭 Master Hsu

• 陳老師通過與老闆面談，用觀察其氣勢、談話方式、眼神、面相等細節，判斷其是否值得輔導。他發現公司體質與經營者的身體和性格高度相關：強勢且願意聽團隊意見的老闆能建立事業；而跋扈、唯我獨尊的老闆則無法突破個人能力的天花板。
• 企業發展遵循五階段曲線：創業期→成長期→擴大期→成熟期→衰退期。只有30%的企業能從創業期進入成長期，關鍵在於老闆肯學習、懂授權分權。台灣中小企業多停留在小微階段，原因是老闆習慣一言堂，員工無法當責。
• 選人和空間配置也有方法。看人先看眼睛（炯炯有神為佳）、眉間（不能太緊）、天庭（不能過低）、耳朵（大耳朵主官運，耳垂大主財富）。辦公室則應進門放業務部、左後方放老闆和財務部，這樣可助公司發展。

DeFi Security Summit - DSS

• 風險格局複雜化，用戶資訊嚴重落後
• 借貸市場從 Maker、Aave、Compound 少數幾個，膨脹至數十個風險管理機構，各自採用不同方法論。用戶在眾多金庫與策展人之間做決策，卻缺乏易懂的工具來評估風險回報比。
• Stream Finance 崩潰揭示鏈下風險盲點

DeFi Security Summit - DSS

• 1. 大多數 L2 團隊在現實中會選擇攔截惡意交易
• 在面對安全事件時，鏈的運營方往往像人一樣做出直覺反應——看到錯誤就想糾正。當一條鏈的 TVL 有 70% 遭竊，幾乎沒有任何團隊能袖手旁觀，這是人性而非意識形態驅動的決策。
• 2. 「審查」語言本身製造障礙，換詞有助於推進討論

DeFi Security Summit - DSS

• 1. Legacy vs Via-IR 管線的根本差異
• Legacy 管線直接將 Solidity 編譯為 EVM assembly 再優化；Via-IR 先轉換為 Yul 中間語言，在 Yul 層做高階優化後才降轉為 EVM assembly，因為 Yul 具有明確的結構化控制流，更易於靜態分析，也讓跨函式的全域優化成為可能。
• 2. Peephole 優化器的等價替換邏輯

DeFi Security Summit - DSS

• 治理漏洞比程式碼漏洞更隱蔽：只要攻擊者在規則範圍內行事，無論代碼多安全，國庫仍可被合法掠奪，因此治理本身需要「安全審計」。
• 法定人數危機是核心問題：代表不活躍、投票率低，導致少量資金就能取得多數控制權。ENS 案例中，2500 萬美元的投票成本可換取 1.2 億美元國庫，熊市來臨時套利會更有利可圖。
• Compound 風險高於 ENS：Compound 的治理合約（Governor）直接掌控協議的 Comet 合約，攻擊者若掌權不只能竊取國庫，還能動用所有用戶資產，是另一個量級的威脅。

DeFi Security Summit - DSS

• 1. 已審計的套件仍可能含有可被利用的邏輯缺陷。
• TimeLock Controller 的排程檢查順序錯誤，導致攻擊者可在同一區塊內安排並執行交易，繞過時間延遲設計，因為「程式碼經過審計」不代表「使用情境也被審計過」。
• 2. 套件本身無誤，錯在使用方式。

DeFi Security Summit - DSS

• MEV Fish 是針對 MEV Bot 的寄生攻擊：MEV 搜索者（MEV Bot）會掃描鏈上套利機會，攻擊者正是利用這個機制，佈下惡意合約當誘餌，讓 MEV Bot 在執行交易時反被榨乾資產。
• 三種攻擊變體逐漸演進：最早期使用惡意 ERC-20 代幣內藏後門；中期改用標準代幣搭配惡意流動池；最新變體則利用 MEV 退款機制中的惡意退款地址，繞過代幣與池子檢查，讓防禦者難以用簡單黑名單攔截。
• MEV Bot 合約的控制流混淆是安全分析的最大障礙：Bot 開發者為保護商業邏輯，刻意引入間接跳轉（tflow）優化，導致主流靜態分析工具將大量合約代碼標記為「不可達」，隱藏漏洞因此逃過檢測。

DeFi Security Summit - DSS

• TEE 的核心保障是記憶體隔離與證明（Attestation）：TEE 在處理器層級隔離記憶體，虛擬機管理程序（Ring 0/1）亦無法存取，而「證明」機制讓外部驗證者能確認 TEE 內部實際執行的程式碼與設定，這是其與普通沙箱最根本的差異。
• 驗證欄位的選擇直接決定安全強度：GCP 的 JSON 報價中，`latest`、`stable`、`usable` 三個版本屬性各有含義；若開發者只驗證 Docker 映像雜湊而未要求 `latest`，攻擊者可透過讓 Operator 保留舊版韌體來利用已修補的漏洞，形成真實的攻擊入口。
• 物理攻擊已被實際展示且門檻極低：研究人員以現成零件（eBay 購入、不到 500 美元）成功對 Intel TDX、AMD SEV 等執行側信道與介入攻擊，Intel 官方立場是「物理攻擊不在威脅模型內」，但這代表雲端部署環境的資料中心安全等級是真正的防線。

DeFi Security Summit - DSS

• 匯率可被外部捐贈操縱：ERC-4626 的 `convertToAssets()` 依賴 `totalAssets / totalShares`，任何人可直接 ERC-20 轉帳增加 totalAssets，而不增加 shares，導致匯率虛高；在 share 供應量極低時，此影響被成倍放大。
• Venus 駭客利用借貸協議的 oracle 整合缺陷：攻擊者刻意壓低 wUSDM 的流通量，再注入 USDM 把匯率從 1.07 拉至 1.7，使借貸協議的抵押品估值失真，同時在 AMM 套利，這說明「已有 Chainlink oracle」並不等同於「oracle 不可操縱」。
• Resupply 駭客利用空 Vault 的精度溢位：空 Vault 加上天文數字匯率（2e18），使協議在計算 LTV 時因整數除法下溢返回 0，攻擊者憑此繞過健康因子檢查，無限制鑄造至最高供應上限。

DeFi Security Summit - DSS

• 模組化架構同時提升效能與安全性：ZISK 將 ROM、記憶體、暫存器、範圍檢查、執行邏輯各自拆成獨立電路，每個元件可並行證明以降低延遲，同時每個元件介面清晰，安全審計時可單獨換入換出測試。
• 邏輯錯誤因 transpiler 未使用問題 opcode 而未被發現：LEQ 高位元缺失與 32/64-bit 不一致問題，在原始 RISC 轉 ZISK 的 transpiler 中因未觸及相關 opcode 而躲過測試，顯示測試套件對路徑覆蓋的盲區。
• Under-constrained 錯誤最難偵測，需形式化方法輔助：初始進位旗標未受約束，允許攻擊者翻轉 0/1，造成 off-by-one 錯誤。這類問題無法靠傳統測試找到，必須透過直接推理、SAT solving 或形式化驗證工具。

DeFi Security Summit - DSS

• ZKVM 的複雜性帶來高風險：為了效能而持續優化的 ZKVM 極易引入漏洞，且它們即將成為以太坊 L1 等區塊鏈正確性與安全性的關鍵基礎，一旦出錯將對生態造成災難性的財務與聲譽損失。
• 兩類漏洞定義清晰：健全性錯誤（ZKVM 接受無效執行）與完整性錯誤（ZKVM 拒絕有效執行）是模糊測試的核心偵測目標，兩者都能透過比對「預期輸出 vs. 實際輸出」和「驗證器反應」來系統性發現。
• 對抗性 ZKVM 是關鍵創新：透過刻意修改現有 ZKVM 在執行中注入細微錯誤、產生無效證明，再讓正常驗證器判斷，能夠揭露傳統測試完全無法察覺的「無聲漏洞」。

DeFi Security Summit - DSS

• 帳戶抽象的演進路徑：從 EIP-7374 的操作碼方案、ERC-4337 的鏈下打包器架構，最終演進到 EIP7702 的原生委託機制，每一代都在試圖解決前一代的安全或架構問題。
• 委託惡意合約是最直接的攻擊入口：使用者若不解碼 calldata 或驗證委託人合約，單次簽名就能將錢包控制權完全交出，資金可被瞬間清空。
• 重新委託引發儲存槽衝突：若使用者頻繁切換不同委託人合約，由於各合約儲存槽位置不同，執行過程中可能讀取到錯誤資料，產生非預期行為或安全漏洞。

DeFi Security Summit - DSS

• 三種 catch 子句各司其職：`error` 捕獲帶原因字串的正常 revert；`panic` 捕獲算術溢位、陣列越界、除以零等程式錯誤；低層級 catch 負責其他所有情況，包括 custom error、out of gas，以及 error/panic 解碼失敗。
• 參數的內部呼叫在 try 外執行：若傳入外部函式的參數本身是一個內部呼叫，該呼叫的 revert 發生在進入 try 區塊之前，因此不受捕獲，整個交易直接失敗。
• Solidity 自動插入的兩種前置檢查不被捕獲：呼叫合約地址前的 EXTCODESIZE 檢查（目標為 EOA 時觸發）以及回傳資料大小驗證，均在進入 try 之前執行，失敗時直接 revert。Solidity 0.8.10 起，若預期有非零回傳資料，EXTCODESIZE 檢查會被跳過。

DeFi Security Summit - DSS

• 代碼覆蓋率是不夠的指標：覆蓋率只告訴你哪些代碼被執行過，但無法說明測試是否真的能抓到那段代碼裡的錯誤，兩者根本上是不同的問題。
• 變異測試的核心邏輯：對代碼庫進行細小改動（替換運算符、修改條件判斷、注釋掉某行等），若測試套件仍然通過，代表測試無法偵測該類型的錯誤，即存在測試盲點。
• 自動化工具 Slither Mutate：Trail of Bits 的 Slither 靜態分析框架內建變異測試模組，只需指定合約目錄與測試指令即可自動產生所有變異體並逐一驗證，輸出每個變異的前後代碼與偵測結果。

DeFi Security Summit - DSS

• 組織成熟度是多維旅程，不是打勾清單：從所有權、文件、流程、工具到創新機制，每個維度都需要從「臨時應付」升級為可重複、可擴展的正式做法，否則認證只是紙上標章。
• 文化由創辦人與早期員工定義，越晚改越難：1inch 維持黑客松文化，但同時為其建立對應的管控流程；領導層必須親自定義文化基調，否則成長後改變的成本將呈指數級上升。
• 責任必須明確化，不能「隱性假設」：公司規模小時「大家都負責」等同「沒人負責」，CI/CD、程式碼測試、身份管理等每個面向都需要指定明確的責任人，Telegram 訊息不等於正式核准流程。

DeFi Security Summit - DSS

• 第四種研究模式：傳統審計以專案為粒度，靜態分析讓研究者改以「整條鏈」為粒度思考，一次查詢可覆蓋鏈上所有合約，大幅提升覆蓋率。
• 靜態分析的本質是模式查詢：撰寫一段程式（Rust 或 Python），描述想找的漏洞模式，工具就能自動掃描——不需要手動逐行閱讀程式碼，查詢可反覆執行。
• 資料流分析（Data Flow Analysis）是核心能力：以追蹤 `get amounts out` 回傳值流向為例，工具能自動判斷該值是否進入 `swap` 函數，這正是人工審計最耗時的步驟。

DeFi Security Summit - DSS

• 協議選型取決於集合大小：集合元素極少時用 Sigma Protocol + OR 組合即可；中等規模（如 200 國國籍）適合 Bulletproof；超大集合才需要 Accumulator Tree（如 Tornado Cash 的 Sparse Merkle Tree），每種方案效能代價不同。
• 成員證明的核心數學：將集合元素寫成向量 `a_L`（秘密的 0/1 指示向量），利用內積關係 `<a_L, s> = v` 表達「v 是集合中某元素」，再加三條約束方程（元素只含 0/1、每個位置乘積為零、恰好一個 1）構成完整的方程式系統，再輸入 Bulletproof。
• 非成員證明的關鍵差異：利用乘法群單位元性質——對每個集合元素 `s_i`，必定存在一個數使得 `(v - s_i) * x = 1`；非成員時此條件對所有元素均成立，將此構造為向量 `a_R` 的約束即可，且 `a_R` 向量本身不需要進一步格式限制。

DeFi Security Summit - DSS

• 認知負荷隨漏洞可能性指數增長：審計時每發現一個潛在問題，需檢查的調用點與場景隨之倍增，將創造性漏洞挖掘變成容易出錯的機械勞動。
• 工具必須能給出可信的「否」：目前多數工具著重「告訴你有問題」，但審計人員更需要的是「確認這個問題不存在」，才能從內部追蹤迴圈中移除該項目。
• 靜態分析應支援自定義查詢而非只有內建檢測器：能用類 SQL 語言精確描述「我要找什麼」與「我要排除什麼」，才能針對具體協議的特定風險提問。

DeFi Security Summit - DSS

• 非技術簽名者是多簽安全的最弱環節。 CFO 需要授權交易，卻無法閱讀 EIP712 字串或原始 calldata，這讓「多簽」的安全性形同虛設，因此必須在流程層面解決可讀性問題。
• 鏈集（chainset）將交易定義與執行分離。 由 LLM 或初級成員以簡單格式撰寫鏈集，經 PR 審核後，GitHub Actions 僅擁有「建立提案」權限，無法簽署，從流程上隔離了建立者與簽名者的權限。
• 交易 hash 是跨系統的人工可驗證錨點。 相較於難以閱讀的 EIP712 字串，hash 可以直接用肉眼比對硬體錢包螢幕、Safe UI、以及 Discord 通知三處的一致性，任一異常即可察覺攻擊。

DeFi Security Summit - DSS

• 洗錢路徑有固定模式可識別：北韓駭客習慣用橋接跨鏈、借貸協議暫存資金，最終走 OTC，因為這條路徑可降低鏈上痕跡的可追蹤性；掌握模式就能在資金移出前介入。
• 合約升級限制讓協議層難以即時反應：多數 DeFi 協議缺乏延遲、凍結、白/黑名單機制，再加上可組合性複雜、地址更替速度極快，單靠口耳相傳的黑名單無法有效防堵。
• 「摩擦設計」比完全封鎖更務實：針對大額連續交易加入時間延遲、對零歷史地址加強審查、對黑名單代幣直接排除——這些措施不需保管用戶資金，卻能讓不法行為者的成本大幅上升並轉向。

DeFi Security Summit - DSS

• Host/Guest 分離是架構核心：主機（Host）是普通 Rust 程式，可存取網路與資料庫，負責準備輸入變數；訪客（Guest）是真正被驗證的邏輯，與 EVM 類似，只能使用主機傳入的資料。驗證者絕不信任主機，主機的任何斷言若未寫入 Guest 並提交到 Journal，驗證者無從確認。
• ZK 壓縮是上鏈的核心收益：數十萬行的訪客程式碼，可壓縮成驗證器端僅 4 行程式碼加上 BLS 數學運算，鏈上驗證成本約 10 萬 Gas。ZK Rollup 正是利用此特性，讓鏈下龐大的執行邏輯只需一個極小的鏈上驗證器。
• 訪客程式碼是最高風險區：所有未在訪客程式碼中驗證的輸入（如地址與餘額的關聯、區塊哈希的正確性），都必須寫入公開 Journal 交由驗證者處理，否則攻擊者可任意偽造。示範案例中連續揭露三層漏洞：RPC 未驗證綁定、缺少 Merkle 帳戶證明、區塊哈希未驗證。