今日 KeyFrame

DeFi Security Summit - DSS

• 外部審計≠安全全部：許多團隊跳過建立內部安全流程，把預算全投入外部審計，但若同時讓五家審計商審同一代碼庫，往往只是付費讓他們重複發現相同漏洞，資源嚴重浪費。
• 審計策略應分層：先用成本較低的安全研究員清理早期常見問題，建立內部團隊後，再委託 OpenZeppelin、Trail of Bits、Spearbit 等頂級機構做最終審計，讓專家精力集中在真正隱蔽的漏洞。
• 優秀安全領導者靠關係網絡：安全研究員找漏洞靠技術，安全領導者靠的是在緊急事件中能直接聯絡到對的人——Seal 911、零影組織、交易所、橋接運營商——預先建立信任關係，才能在資金被盜時幾分鐘內啟動應急。

DeFi Security Summit - DSS

• 漏洞的本質是狀態操控：所有智能合約攻擊最終都是「改變特定儲存槽狀態」再「觸發漏洞函數」，因此模糊測試的核心是找出最優函數序列與輸入參數的組合，兩者缺一不可。
• 現有工具對複雜類型束手無策：傳統 fuzzer（如 Harvey、libAFL）面對動態元組、動態陣列、calldata 嵌套等 ABI 類型時，參數空間爆炸，且無法推導「呼叫者參數」如何影響「被呼叫者參數」的外部呼叫鏈依賴關係。
• LLM 可扮演智能靜態分析器：透過讓 LLM 解析源碼，識別哪條控制流路徑通往潛在漏洞基本塊，再用 assembly 插樁（如 `0x7777F7` 標記）對應到 CFG 的具體節點，讓 fuzzer 知道「要進哪個分支」。

DeFi Security Summit - DSS

• 除法後乘法會放大誤差：Solidity 中 `a/b` 的誤差最多為 1，但若再乘以 c，誤差上限就變成 c。因此運算順序至關重要，應優先乘後除以避免精度損失。
• 巢狀除法的誤差超出直覺：`(a/b * c) / d` 看起來因乘以小於 1 的 `c/d` 應不放大誤差，但實際可能產生 2 的絕對誤差，原因是有兩個不同的截斷機會同時疊加。
• ERC-4626 公式可能向上偏差：OpenZeppelin 的 vault 兌換公式並非總是向下取整，在特定參數下（如 a=189, b=1, c=20）結果為 18，而真實值僅 9.45，幾乎是 2 倍，完全違反「向下取整」的直覺假設。

DeFi Security Summit - DSS

• 理解意圖先於閱讀代碼：Uniswap V3 tick 函數計算的是 `sqrt(1.001^tick) × 2^96`，若不先掌握這個公式就直接看代碼，會陷入細節迷宮而無法建立整體邏輯。
• 定點數與 Q 數的本質相同：Solidity 沒有小數，所以將數值乘以 2^96 或 2^128 進行整數編碼；用 2 的次方作為 scaling factor 的原因是 bit shift 比除法更省 Gas。
• 用最簡單案例反推大常數：選 tick=0、tick=-1、tick=-3 等觸發最少 if 分支的路徑，代入公式算出預期答案，再與代碼中預先計算好的大常數比對，就能還原開發者的設計思路。

DeFi Security Summit - DSS

• 覆蓋率不等於找到 Bug：覆蓋率百分比只是指標，真正的漏洞往往藏在需要 10 個連續交易觸發的事件鏈中，純機器驅動的演算法難以引導至此。
• 人工引導模糊測試的核心是「流程」：審計員在 Wake 框架中定義「Flow」（相當於集成測試的執行路徑），並用 Python 實作協議的狀態模型，模糊測試器負責對所有輸入組合進行隨機化驗證，不變式（Invariant）在每個 Flow 後自動比對 Python 狀態與合約狀態是否一致。
• 撰寫模型本身就能發現 Bug：強制審計員用 Python 重現協議邏輯，這個思考過程本身會打開思維死角，使審計員找到模糊測試器根本不會觸達的邏輯漏洞。

DeFi Security Summit - DSS

• 覆蓋率是指標但不是終點：程式碼覆蓋率（行覆蓋、分支覆蓋）目前是衡量測試進度最好的指標，但它對 Bug 天生不敏感——即使象徵性地窮舉所有輸入組合，仍可能遺漏漏洞，因為 Bug 是數學屬性，不是路徑屬性。
• 隱含程式行是盲點：Solidity 程式碼有大量編譯器自動插入的隱含邏輯，例如 `msg.value` 的帳戶餘額扣減、整數截斷的 mask 操作，現有覆蓋率工具完全看不到這些行，而這些正是溢位和資金計算類漏洞的溫床。
• 萬用符號（星號）呼叫讓覆蓋率爆炸：合約中的任意外部呼叫（arbitrary `call`）理論上需覆蓋無限狀態空間，最佳解法是將整合地址硬編碼，以縮小必須覆蓋的範圍，這也是預編譯旁路（precompile bypass）漏洞的常見成因。

DeFi Security Summit - DSS

• DeFi Summer 的教訓已內化：閃電貸攻擊、市場操縱、過時價格等舊型 Oracle 漏洞，現在已有成熟防範機制，業界選 Oracle 的標準也趨於完整（去中心化程度、TVS、驗證者信譽、Tier-1 數據源）。
• Oracle V1 只適用於加密原生資產：鏈上資產的 TVL、交易量、供給量等元數據完全可觀察、可驗證，但鏈下資產（如代幣化股票、國債基金）本身不透明，缺乏流動性可驗證性，傳統 Oracle 架構無法應對。
• Oracle V2 是鏈下資產的互操作層：不再只是數據管道，而需提供托管狀況、抵押率、殖利率、到期日、資產生命週期狀態等複雜元數據，讓 DeFi 協議能做出有意義的風險決策。

DeFi Security Summit - DSS

• 混合式 AI 安全是當前共識
• 與會者一致認為純推理模型或純工具調用都不夠，必須結合兩者。Expo 的做法是將攻擊面拆成獨立端點單元，讓 Agent 搭配 SQLmap 等工具或自生成 Python 腳本進行測試；推理愈強的模型能更快達到高覆蓋率、低誤報率。
• LLM 對邏輯漏洞的優勢與驗證瓶頸

DeFi Security Summit - DSS

• 高收益必然伴隨高風險，用戶自身責任被長期低估。 許多用戶聲稱無法承受損失，卻持續追逐最高 APR，未誠實面對自身風險承受能力；策展人即使建立了風險框架，也無法替用戶做選擇。
• 鏈下資產的不透明性是 DeFi 當前最大的系統性漏洞。 Stream Finance 在鏈下把用戶資金委託給外部經理卻未揭露策略細節，同時以自鑄代幣作為借貸抵押品放大槓桿，導致損失範圍與深度遠超預期。
• 風險外部化給策展人的模式正在成為主流，但問責機制尚未跟上。 Morpho 等協議將風險管理委外後，策展人是否有義務為損失承擔責任仍無定論；協議前端仍掌控哪些策展人被展示，實質上仍是最後一道篩選關卡。

DeFi Security Summit - DSS

• ABI 規範允許非連續指標：ABI 解碼分靜態區（存指標）與動態區（存實際資料），規範並未要求指標一定連續排列，允許多個欄位共享同一動態資料位置，這給了彈性但也留下安全隱患。
• calldata 與記憶體緩衝區的風險差異：calldata 由使用者完全控制，即使讀到任意位置也只是讀回自己提供的資料；但 `abi.decode()` 作用於記憶體緩衝區，攻擊者若能構造特定 payload，就可能在解碼期間讀到緩衝區外的資料，造成真正的安全問題。
• 指標驗證是唯一真正困難的點：uint256 解碼只是複製 32 bytes，bytes 解碼也只是複製，幾乎不可能出錯；真正的風險集中在「指標是否仍在使用者提供的 payload 範圍內」這一個問題上。

DeFi Security Summit - DSS

• 1. 模組化架構解決資產類別擴展問題
• v3 將流動性供應與借貸策略綁在同一合約，導致新資產類別（如 RWA、LP 代幣）難以接入。v4 將兩者拆開：Hub 只追蹤總供應、總借款與負債，任何符合介面的 Spoke 都可即插即用，從根本上降低了新市場冷啟動的門檻。
• 2. 風險溢價讓借貸成本反映真實風險

DeFi Security Summit - DSS

• 1. 無需許可的系統需要更嚴格的角色邊界
• Gearbox 將 DAO 權限刻意限縮，即使 DAO 被完全攻破，也無法直接影響用戶資金或策展人操作。透過實例管理員（Instance Admin）另設一層白名單過濾，把「靈活性」與「緊急干預權」明確分離，解決了傳統 DAO 管理風險參數難以兼顧效率與安全的困境。
• 2. 鏈上字節碼庫讓部署流程可驗證、可審計

DeFi Security Summit - DSS

• 1. 未初始化代理的搶跑攻擊是核心手法
• 攻擊者透過 frontrun（搶先交易）在部署者之前初始化代理合約，將自己控制的秘密代理設為中間層。受害者的初始化交易表面上成功並發出正確的升級事件，但實際上整個代理已受攻擊者掌控，連 Etherscan 的讀寫介面都會顯示合法的實現地址，幾乎無從察覺。
• 2. CPIMP 具備複雜的自保與偽裝邏輯

DeFi Security Summit - DSS

• 多簽的延遲窗口是攻擊面：交易從建立到執行需等待多個簽名者協調，這段時間交易內容在 mempool 完全公開，讓攻擊者有足夠時間發動夾單或搶先修補漏洞前的攻擊。
• 緊急協議操作風險最高：DeFi 協議緊急修補漏洞的交易可能在隊列中停留數小時乃至數天，惡意行為者看見補丁交易即可推斷出漏洞位置，搶在修補前發動攻擊，潛在損失達數億至數十億美元。
• 加密解決的是「交易內容洩漏」，不是完整隱私：Secret Harbor 加密的是交易細節，但鏈上仍可見誰在簽名、還差幾個簽名、以及最終執行結果，元數據仍然公開——這是明確的設計取捨，非 bug。

DeFi Security Summit - DSS

• 區塊鏈孤島催生跨鏈橋需求
• 275 條鏈各自隔離，ETH 佔 TVL 約 62%，生態碎片化導致流動性分散與體驗不一致，橋接協議是唯一可行的互通方案。
• 三種橋架構決定資產的原生性

DeFi Security Summit - DSS

• V3 核心架構轉變：V2 核心池（輕量級 Core Pool）維持不變，新增 ST Vaults 作為擴展層，讓節點運營商可選擇自訂策略（如循環質押、DVT 配置、restaking 附加功能），使 Lido 從單一中間件演進為可組合的質押基礎設施。
• 無許可設計與安全隔離：任何人可自行建立金庫並自帶驗證器，金庫之間風險完全隔離；金庫所有者可在任何時間帶走全部抵押品而無需 DAO 批准，此設計是為了讓機構合作夥伴能無顧慮地進入。
• 規格設計哲學：為失敗設計：開發團隊刻意識別「不該發生但萬一發生」的場景，例如大規模 slashing 事件、預言機被阻斷等，並因此衍生出 Lazy Oracle、Redeem 機制等具體設計，而非只設計成功路徑。

DeFi Security Summit - DSS

• 多提議者 vs 單一領導者的根本差異：單一領導者在其任期內可以任意審查特定交易；多並發提議者系統讓審查成本大幅提高，因為沒有單一守門人。
• 「Meta-Properties 困境」：類比區塊鏈三難，系統無法同時滿足「合理費用」、「低延遲」與「抗審查」三項屬性——要達到抗審查就必須廣播給所有提議者，代價是費用倍增或吞吐量下降。
• 其他鏈的現有應對方式各有取捨：Filecoin 也是多並發提議者，選擇由系統吸收重複交易成本（犧牲 goodput）；Hedera 則讓用戶自行支付重複費用（等同 DOS 防護），部分鏈則依賴 RPC 端過濾，等於把審查點從共識層移到 RPC 層。

DeFi Security Summit - DSS

• 隱私失效是永久性的：智能合約被駭可能事後修補，但用戶以為私密的資訊一旦公開，就再也無法「收回」，這與資金損失的最終性完全相同。
• 隱私應用具有追溯失效的獨特風險：用戶早已提款並離開隱私池，但若系統多年後出現漏洞，將存款人與提款人連結起來，那些舊用戶依然會受到波及——因為鏈上資訊本身是不可更改的。
• 隱私是光譜，不同資料有截然不同的容忍度：戰艦棋局結束後揭露無妨，購買咖啡的記錄五年後曝光也問題不大；但醫療紀錄、私人訊息、金融交易，用戶在任何時間點都不願接受洩漏。

DeFi Security Summit - DSS

• Rust 是 Web3 的基礎骨幹：Solana 單鏈 TVL 達 820 億美元，多鏈合計超過千億，絕大多數底層基礎設施與智能合約皆以 Rust 撰寫，其記憶體安全與執行效能是主因。
• 不變量（Invariants）是設計安全的錨點：不變量是協議在任何情況下都不應被打破的規則，例如「用戶存入 1 SOL，必定 mint 出對應的 wrapped token」。在撰寫測試前先明確定義不變量，可以讓測試真正守住業務邏輯。
• 威脅建模補完不變量的另一面：威脅建模要求開發者系統性地評估協議的所有交互入口——智能合約、鏈下基礎設施、外部呼叫——並分析每個入口能被惡意操作達成什麼結果，兩者結合才能構成完整的測試設計依據。

DeFi Security Summit - DSS

• 攻擊面從交易級提升至區塊級：傳統閃電貸只能在單筆交易內操作，In-Block Loan 允許攻擊者在一個區塊的開頭借款、中間執行多步策略、結尾還款，大幅拓展可執行的攻擊鏈路。
• 預言機操控攻擊成為可行：攻擊者可在區塊開頭借入十億美元規模的代幣操縱價格，等待中間區塊的預言機更新生效，再用扭曲後的價格執行套利或清算，最後還款——這在過去需要多筆交易才能完成，現在合法地打包成一個區塊。
• DAO 投票權劫持成為新型威脅：若攻擊者知道某個 DAO 快照將在特定區塊發生，可在該區塊開頭大量借入並質押代幣，持倉出現在快照紀錄中取得投票權，之後解質押還款——只花一筆手續費即可影響治理結果。

DeFi Security Summit - DSS

• 執行階段的不確定性是核心風險：4337 對 Validation 階段有嚴格確定性限制，但 Execution 階段完全不確定，因此 Post-op 收費讓用戶有機會在執行中撤銷 ERC20 授權，Paymaster 仍需付費卻收不回代幣，構成可重現的 gas griefing 攻擊。
• Validation 階段預收費是更佳策略，但數學必須精準：預先按 gas limit 上限收費可保證付款，但 ERC20/ETH 匯率換算中，Oracle 精度、小數位處理、5 個 gas limit 之間的關係都是常見審計缺陷。
• 10% 未使用 gas 懲罰必須納入計算：系統對「用戶設定的 gas limit」與「實際消耗」之間的差值課徵 10% 懲罰，若 Paymaster 邏輯未正確反映此懲罰，將系統性地造成少收或多收。

DeFi Security Summit - DSS

• 盲簽是系統性風險，非個人失誤：用戶在硬體錢包簽署的往往只是 4 字節操作碼，無法判斷真實意圖，這正是駭客利用的攻擊面——同一段代碼中隱藏的組合語言區塊已造成 190 萬美元損失。
• 現有標準不足以解決問題：ERC 7730 採用靜態 JSON 描述交易，但合約真正的邏輯藏在 assembly block 裡，靜態描述文件無法捕捉動態執行意圖。
• 需要真正的程式語言層：框架提供 Solidity 型別與介面讓開發者做型別轉換，代碼若能編譯即可固定物理哈希，事後可對照驗證，杜絕中途竄改。

DeFi Security Summit - DSS

• 經濟審查攻擊的運作機制：攻擊者不需控制 50% 以上的 L1 算力，只需對單個區塊提議者出高於防守方優先費的賄賂，即可讓誠實方的移動操作被排除在鏈上，逐步耗盡其挑戰計時器，最終使錯誤狀態被確認。
• G1 博弈基礎模型的結論：在最簡單的對稱競標模型中，攻擊者保證獲勝的條件為 `A > (t−n+1)/n × D`，說明挑戰期 t 越長，攻擊者所需預算越高，驗證了「長挑戰期提升安全性」的直覺，但代入 Arbitrum 參數後攻擊門檻僅需 1,800 萬美元。
• 特殊輪次模型（G1_subk）的改良：約 2-5% 的以太坊提議者使用本地區塊構建，攻擊者若想審查 Bold 交易需填滿 5,950 萬 gas，成本約為防守方的 119 倍（K≈119）。引入此參數後，最低攻擊預算比率降至 2,718，防守方只需 550 萬美元即可抵禦 150 億美元規模的攻擊者。

DeFi Security Summit - DSS

• 帳戶關閉 ≠ 引用消失：Solana 帳戶關閉後其地址仍可重新分配給任意程序，但若其他帳戶仍儲存該地址，程式邏輯會繼續信任它，形成懸空指標，導致 DoS 或資金損失。
• 零 lamport 帳戶被垃圾回收器靜默重置：交易結束時，lamport 為零的帳戶由 runtime 將所有者重置為系統程序，攻擊者可藉此製造外觀合法（屬於 token program、大小正確、可反序列化）但實際已被重置的偽造 mint 帳戶。
• 帳戶關閉後原地址重建是高頻攻擊向量：同一 PDA 地址關閉後以不同配置重建，可使舊的關聯帳戶（如 bug report）指向新帳戶，在審計競賽場景中直接導致資金被盜取。

DeFi Security Summit - DSS

• 基礎設施審計與智能合約審計的核心差異是規模。智能合約幾千行即為完整專案，但 Ethereum/Solana 客戶端動輒數十萬行，加上語言差異（Rust/Go/C++）和不同的威胁模型（鏈分裂、DoS、記憶體耗盡），需要完全不同的審計策略。
• 採用「短週期輪迴審計」比一次性長期審計更有效。6-8 週一輪的集中審計可避免審計員疲勞，同時給開發團隊時間修復上一輪問題，再進入下一輪，形成正向循環。
• 差分模糊測試是發現客戶端實作分歧的高效手段。同時運行同一條鏈的不同客戶端實作，比對所有輸入下的行為是否一致，能識別出若任一節點拒絕有效交易就可能導致鏈分裂的高危漏洞。

DeFi Security Summit - DSS

• 鏈的安全先於協議安全：用戶習慣只看協議審計與收益，卻忽略底層鏈的信任假設。Dydx v3 在 Stark X 關閉後仍讓用戶安全提款，關鍵在於鏈本身內建了強制提款機制，這才是真正的用戶保護。
• 資料可用性決定能否重建狀態：Rollup 將資料發佈至以太坊，任何人都能驗證；Validium 則依賴外部 DA 層加上 DA Bridge，若缺少 Bridge，以太坊根本無從確認資料是否存在，資金安全性大幅降低。
• 退出窗口與排序器失效直接影響資金控制權：升級若可在 7 天內生效，用戶幾乎沒有時間反應。Sonium 的真實案例證明：排序器確實發生過審查事件，但因有強制包含機制，研究員手工構造交易成功繞過審查，綠色評分才有實際意義。

DeFi Security Summit - DSS

• L2 繼承 L1 安全性是關鍵優勢：建立獨立 L1 需要從零啟動去中心化驗證者集，而 L2 可直接利用以太坊 3,000 億美元的經濟安全保障，避免像 Plasma（市值僅 5 億美元）卻需要保護 50 億美元 TVL 的困境。
• 審查抗性是 L1 與 L2 最根本的分歧點：Balancer 事件中，不同鏈的反應揭示哲學差異——L1 理應像「狂野西部」完全抗審查，而 L2 擁有更多主動干預的空間；但干預者的判斷基準（如政府壓力、駭客定義）本身就帶有中心化風險。
• Zircuit 的務實安全觀：在去中心化理想完全實現前，鏈級別的即時安全偵測（整合外部安全廠商、攔截惡意交易）可作為過渡期的「好警察」角色，降低用戶損失，而不是等待完美機制落地。

DeFi Security Summit - DSS

• 當前產業困境：頂級的 20-30% 審計師承接不了所有案件，而普通審計師過度依賴既有的漏洞模板和模板流程，導致無法深入思考攻擊面和協議邏輯，最終 90% 被審計的協議仍然被利用。
• 根本問題是分工缺失：審計師被時間壓力迫使只能找已知模式，無法空出認知資源去理解協議設計意圖、激勵結構誤配和經濟攻擊向量，這些才是人類審計師獨有的價值。
• AI 與工具的角色界定：確定性工具（靜態分析、模糊測試）和代理系統應該承接所有穷举性、重複性工作，讓審計師把時間用在理解協議邏輯、與團隊對話和發現深層設計缺陷。

DeFi Security Summit - DSS

• 多代理協作大幅提升覆蓋率：單一 AI 工具覆蓋率約 53%，但不同代理發現的漏洞高度不重疊，兩個最佳工具合併可達 85%，三個達 92%，原因是各工具的漏洞識別路徑彼此獨立。
• AI 工具定位是輔助工具而非審計員：直接將輸出視為最終報告會有大量誤報；搭配 Cursor 對結果進行人工分類，多次重跑確認可重現性後，在競賽中提交 8 項發現有 7 項被接受，精準度顯著提升。
• 掃描品質取決於輸入品質：大型代碼庫需先用 Cursor 拆分成約 2,000 行的邏輯模組再分別掃描；文檔、問答（Q&A）欄位填越完整，LLM 的上下文越精準，誤報率越低。

DeFi Security Summit - DSS

• 被動合約變主動合約：現有智能合約沒有人觸發就不執行，Drosera 的陷阱持續掃描每個區塊，滿足條件即自動執行鏈上操作，從根本上改變了合約的響應能力。
• 填補事後安全的空白：現有 Web3 安全方案（審計、形式驗證）都是事前預防，而 Drosera 是業界罕見的「部署後安全」工具，能在攻擊發生的當下自動凍結資產或觸發多簽確認。
• 極低 Gas 成本與硬體門檻：持續監控的陷阱所消耗的 Gas 遠低於一次普通主網交易；節點僅需雙核 CPU 與 4GB RAM，讓一般開發者也能參與運作而不被機構級算力排擠。