DeFi security Summit 2023 - Session 17: Focused Talks 3 - Ren crypto Fish
三句話摘要
智能合約審計報告與鏈上實際部署代碼的關聯缺失問題，及其對用戶安全決策的影響。 建立統一的審計元數據標準並提高合約升級的透明度，是將安全決策從依賴TVL大小轉變為基於實際審計記錄的關鍵。 審計報告與部署代碼的關聯缺陷：審計通常在部署前進行並存放在GitHub或審計公司網站，但用戶最關心的是實際運行在鏈上的智能合約代碼。將兩者關聯起來成本極高，導致大多數用戶無法有效驗證他們投入資金的協議是否確實接受過審計。
重點整理
重點- 1
審計報告與部署代碼的關聯缺陷：審計通常在部署前進行並存放在GitHub或審計公司網站，但用戶最關心的是實際運行在鏈上的智能合約代碼。將兩者關聯起來成本極高，導致大多數用戶無法有效驗證他們投入資金的協議是否確實接受過審計。
- 2
用戶決策依賴於可靠性指標而非審計：面對複雜的審計資料，用戶傾向於根據協議的TVL（總鎖定價值）和運行時間來判斷安全性。他們假設大型協議已經過充分審查，這實際上是一種信任協議而非信任審計的決策模式。
- 3
可升級合約隱藏的風險重置：DeFi協議頻繁進行代理升級，每次升級都會重置安全指標。用戶看到的TVL線看似穩定增長，但實際上代碼邏輯已多次改變，安全審查應該重新開始，這個風險往往被忽視。
- 4
需要建立元數據標準：解決方案類似於robots.txt或Open Graph等網絡元數據協議，需要建立統一的審計元數據標準，自動化關聯審計報告、代碼倉庫和部署合約之間的映射關係。
實用技巧與重點
乾貨- 收集的數據：
- 自2018年以來以太坊DeFi幾乎所有審計報告
- 代表超過92%以太坊TVL的協議樣本審計報告
- 約71份審計報告上傳至GitHub
- 統計數據：
- TVL超過11億的協議平均有10.6次審計（中位數4次）
- 只有不到2%的審計報告引用了部署地址
- 大多數審計報告引用Git倉庫或提交哈希值
- 使用的工具：
- GPT-4：為PDF審計報告構建嵌入
- Code slaw.app：查詢智能合約實現細節
- tokenflow.live：EVM數據提供者，追蹤合約存儲歷史
- 提出的新指標：
- stvl（Stateful TVL）：在邏輯獨立性升級時重置的TVL指標
- 重點關注代理升級和可升級性透明度
結論
結論“建立統一的審計元數據標準並提高合約升級的透明度，是將安全決策從依賴TVL大小轉變為基於實際審計記錄的關鍵。”
完整解析
詳細Electric Capital工程師Ryan在這場演講中揭示了DeFi生態中一個深層的結構性問題：審計報告與實際運行在區塊鏈上的智能合約之間存在著巨大的信息鴻溝。
傳統的合約開發和安全流程是這樣的：開發者先在部署前完成審計，審計報告通常存放在專門的審計公司網站或GitHub倉庫中。但從用戶的角度看，他們真正關心的是已經部署在以太坊上的實際合約代碼——因為那才是託管真實資產的地方。將兩者關聯起來卻異常困難且成本高昂。Electric Capital團隊收集了自2018年以來以太坊DeFi生態的幾乎所有審計報告，發現只有不到2%的報告明確引用了部署地址，這意味著絕大多數用戶無法確定他們投入的協議是否真的接受過審計。
用戶因此被迫依賴簡化的啟發式方法來評估安全性。他們會查看協議的TVL（總鎖定價值）和運行時間，心想：「這個協議已經存在兩年半，託管著150億美元資產，那肯定是安全的。」但這種思維模式忽視了DeFi協議的一個關鍵特性——高度的可升級性。智能合約經常通過代理模式進行升級，實現邏輯變化。每次升級實際上都應該被視為一個全新的安全評估起點，但用戶的TVL圖表沒有反映這一點。
Ryan用一個借貸協議的案例說明了這個問題的嚴重性。這個協議看起來完全正常：託管著1-2億美元資產，已上線一年。但深入代碼分析後發現，該協議進行了多次代理升級，尤其是在早期階段。當將升級事件與TVL線疊加時，會發現一次升級導致了漏洞利用，但用戶仍然將1.5億美元投入其中，直到協議通過另一次升級暫停才避免了更大損失。
為了解決這個問題，Electric Capital提出了兩個方向。短期內，他們建議提高代理和可升級性的透明度，並引入了stvl（Stateful TVL）這樣的新指標——它在每次邏輯升級時重置，更準確地反映代碼變更帶來的安全風險。長期內，他們認為需要建立一個審計元數據協議，類似於網絡上的robots.txt或Open Graph標準，將審計報告、代碼倉庫和部署合約自動化地關聯起來。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
