DeFi security Summit 2023 - Session 1: DeFi Protocols 1 - Eugene Pshenichnyy

Lido 是以太坊生態最大的液態質押協議，V2 升級代表協議從架構到實現的全面演進。Eugene 的演講重點不在安全代碼撰寫技巧，而在升級過程中的工程管理與風險控制——這些往往決定了升級的真正成敗。

V2 升級的複雜性可從規模數據反映：歷時 7 個月、25 名貢獻者參與、代碼量增長至 V1 的 3 倍。從架構層面，V1 採用 Aragon 框架的 Solidity 0.4，限制了現代安全特性的使用；V2 完全改寫，使用 Solidity 0.8，引入更多合約模組。升級不能部署為獨立協議再遷移流動性，而必須透過代理模式在線升級——單筆交易、DAO 投票控制，確保操作連續性。這筆交易花費 800 萬 gas，最後被 MEV 獵人前置在區塊中。

安全管理的核心是從規範階段開始。Eugene 團隊起初的規範只涵蓋主流程，後來發現了關鍵的邊界情況：MEV 攻擊者可能在升級期間比普通質押者獲得更好的收益。這促使他們引入雙協議模式——Turbo Mode 用於正常狀態，Bunker Mode 用於應急（停止取款直到懲罰社會化）。這種由邊界情況反推規範的方法展現了深度思考的重要性。

測試階段採用多層次策略：驗收測試確保功能符合規範，快照測試驗證升級前後的關鍵指標（如質押 1 ETH 獲得等量 stETH）保持一致。最關鍵的是在本地測試網模擬真實升級流程——運行實際的投票腳本、模擬 DAO 持有者投票、執行升級後再跑驗收測試。這避免了「代碼在開發環境正常但生產環境有問題」的常見陷阱。Certora 的正式驗證補充了這一層，驗證關鍵不變量，副作用是開發團隊開始以不變量思維設計代碼。

安全審計採用並行策略以趕上時間表（在 Shapella 硬分叉後及時部署），但這帶來了協調成本：需要專人轉發不同審計機構的發現、應對重複發現的不同建議、逐輪修復。Eugene 坦言，若有充裕時間應採用順序審計，給團隊空間消化上輪發現再進入下輪。

部署前的驗證包括 Ops 團隊確保外部可驗證性、額外審計檢查部署版本與審計版本匹配、針對未部署代碼的 Bug Bounty，以及自開發的 diviscon 工具。應急層面，團隊開發了 Gate Seal——比傳統多簽簽名更優雅的應急停止機制，限制時間（6 天內只能停止）和次數（一次性），既保留應急能力又限制權力濫用風險。

Eugene 最後提出的「分層蛋糕」模型總結了協議安全的全景：最底層是人員（招聘、教育、文化）——這是被嚴重低估的一層，直接影響所有上層決策；其上是代碼安全、規範安全、測試、部署安全、應急響應各層相互支撐。人員不夠好，其他層都會失效；而最堅實的安全來自把人員當成基礎、把流程當成堡壘、把代碼當成最後防線。