What Should the Scope of the Web3 Audit Look Like?, Denis Ivanov - DeFi Security Summit 2022
三句話摘要
Web 3 審計服務的定義缺失與利益相關者期望落差問題。 建立統一的審計標準和正確命名是解決 Web 3 審計行業期望落差的關鍵，需透過業界聯盟推動行業規範化。 命名危機與期望管理：行業一致認為"審計"一詞不準確，建議改用"代碼審查"或"風險評估"。社區對審計的理解是項目100%安全，但這在現實中無法達成，導致每次漏洞都被歸咎於審計員，即便漏洞不在工作範圍內。
重點整理
重點- 1
命名危機與期望管理：行業一致認為"審計"一詞不準確，建議改用"代碼審查"或"風險評估"。社區對審計的理解是項目100%安全，但這在現實中無法達成，導致每次漏洞都被歸咎於審計員，即便漏洞不在工作範圍內。
- 2
利益相關者期望衝突：社區期望快速、低成本、無瑕疵的完整保障；開發者只願對自己審核的代碼部分負責；營銷為吸眼球誇大審計重要性，製造不實期望。
- 3
行業標準全面缺失：沒有定義最低工作時數、必檢項目、工具要求或方法論標準，導致任何人都能聲稱進行審計，品質差異巨大卻無人監管。
- 4
責任邊界模糊：安全事件發生時責任歸屬不清，需透過以太坊企業聯盟建立正式標準，明確界定審計員的責任邊界與服務範圍。
實用技巧與重點
乾貨- 各方期望衝突：社區→100%安全、快速、低成本；審計師→只對審核範圍內負責
- 行業標準缺失：無明確最低工作範圍、檢查項目清單、所需時間或工具規定
- 命名問題：建議改用"代碼審查"、"風險評估"取代"審計"
- 現狀：任何人可聲稱提供審計，無資格審查或工具強制要求
- 解決方案：加入以太坊企業聯盟討論小組，制定行業最低標準與正確命名
結論
結論“建立統一的審計標準和正確命名是解決 Web 3 審計行業期望落差的關鍵，需透過業界聯盟推動行業規範化。”
完整解析
詳細Dennis Ivanov 在演講中揭示了 Web 3 審計行業的一個根本性矛盾：連審計師自己都無法定義什麼是"審計"。這個問題的關鍵在於，不同的利益相關者對審計服務有完全不同且互相衝突的期望。
社區對審計最純樸但也最不切實際的期望是：經過審計的項目應該 100% 安全。他們不會深入了解工作範圍或技術限制，只是相信審計公司和項目本身。與此同時，他們期望這一切能快速、低成本完成。但審計師本身的立場不同——他們只想對自己審核的那段代碼負責，並且明確設定工作邊界。營銷團隊則為了製造關注度而誇大審計的意義，將其當作社群新聞事件宣傳，進一步強化了不實期望。
更根本的問題是缺乏行業標準。沒有明確規定什麼是最低工作範圍、應檢查哪些項目、需投入多少時間，也沒有強制使用的工具或方法論。這意味著任何人明天都可以成立自己的審核公司，聲稱花兩分鐘不用任何工具就能完成審核，而沒有人能阻止他們。這導致了一個混亂的局面，每個所謂的"審計"都被等量齊觀地貼上同樣的標籤，儘管品質天差地別。
當安全漏洞出現時，這個問題變得尤其嚴重。社區傾向於自動指責審計員，但如果該漏洞並不在審計的工作範圍內，這種責任指派就不公平。Ivanov 的解決方案是推動行業組織化。他鼓勵審計員加入以太坊企業聯盟，透過正式討論小組來制定行業的最低工作範圍標準，並就如何正確命名這項服務達成一致。透過建立清晰的定義和標準，可以有效調和各方期望，明確責任邊界，提升整個行業的專業性和可信度。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
