Firewalling Decentralized Protocols | Assaf Eli (Ironblocks)
三句話摘要
Iron Blocks 提出首個去中心化鏈上防火牆「V Network」，填補 Web3 智能合約部署後到攻擊發生前的安全空窗期。 去中心化鏈外驗證搭配鏈上 hook 執行，是目前唯一能在不影響用戶體驗的前提下，於攻擊交易上鏈前主動攔截的 Web3 安全範式。 Web3 安全演化存在缺口：從 2015 年無標準，到 2017 年審計成為標準，2021 年引入 fuzzing 與形式驗證，2023 年加入監控工具——但在合約部署後、攻擊交易上鏈前的執行窗口仍完全空白，這正是攻擊者可以在一筆原子交易內完成整個攻擊流程的時間帶。
重點整理
重點- 1
Web3 安全演化存在缺口：從 2015 年無標準，到 2017 年審計成為標準，2021 年引入 fuzzing 與形式驗證，2023 年加入監控工具——但在合約部署後、攻擊交易上鏈前的執行窗口仍完全空白，這正是攻擊者可以在一筆原子交易內完成整個攻擊流程的時間帶。
- 2
純鏈上防火牆有其根本限制：攻擊者可以看到鏈上的偵測邏輯，在本機 fork 鏈反覆測試繞過方式，直到找到漏洞才真正出手，導致鏈上防護形同虛設；此外，AI 模型與跨合約狀態查詢在鏈上代價過高或根本不可行。
- 3
鏈外去中心化驗證 + 鏈上強制執行的混合架構：交易先送至鏈外安全節點網路，各節點用自身邏輯獨立投票，透過 BLS 簽名聚合結果，再將帶有安全批准的 payload 送往 sequencer 或一般節點；整個流程對用戶而言與 `estimateGas` 呼叫體驗相同，透明無感。
- 4
去中心化設計確保可信度與模組化：多家頂級安全審計與監控公司各自運行獨立邏輯並加入網路；協議方可自由選擇啟用哪些安全策略（AND/OR 組合），且防護範圍可延伸至 phishing 與 drainer 攻擊，不限於協議層漏洞。
實用技巧與重點
乾貨- 公司背景：Iron Blocks，Asaf 為共同創辦人兼 CTO；2017 年起投入 Web3 安全研究
- 歷史案例：2018 年首次 DeFi 駭客事件，透過 Benor 成功阻擋，保護金額 35 億美元
- 測試數據集：以太坊 22 個月（2023/01–2024/09），含 60-70 起駭客事件
- 測試目標閾值：漏報率（false negative）<10%、誤報率（false positive）<1%、回應時間 <500ms
- 實際測試結果：漏報率 <5%、誤報率 0.004%、回應時間 <200ms（多數情況遠低於此）
- 技術元件：Pre/Post execution hook、BLS 簽名聚合、私有 mempool 支援
- 攻擊類型覆蓋：協議邏輯漏洞、價格預言機操控、基礎設施攻擊、存取控制漏洞、重入攻擊、phishing 釣魚活動、drainer
- 合作廠商：頂級安全審計公司、監控公司（名稱未揭露）、ChainPatrol（釣魚偵測）
- 整合方式：自動化 CI/CD 工具，數秒內完成協議端整合
結論
結論“去中心化鏈外驗證搭配鏈上 hook 執行，是目前唯一能在不影響用戶體驗的前提下，於攻擊交易上鏈前主動攔截的 Web3 安全範式。”
完整解析
詳細Web3 的安全工具長久以來集中在「部署前」階段：2017 年後智能合約審計成為標準，2021 年 DeFi 爆發後 fuzzing 與形式驗證逐漸普及，2023 年監控與事件回應工具開始被主流協議採用。然而 Asaf 指出，安全時間軸上始終存在一個致命空窗——合約部署完成之後、到攻擊交易實際改變鏈上狀態之前，這個區間完全沒有防護機制。攻擊者可以在同一筆原子交易內完成資金準備、部署攻擊合約、執行漏洞並轉移資金，整個過程甚至可透過私有 mempool 隱藏，讓協議毫無預警。
為了填補這個空窗，V Network 提出「鏈上防火牆」（Onchain Firewall）概念，在協議的智能合約內以 modifier 形式嵌入 pre/post execution hook，每次函式呼叫觸發時，hook 會查詢防火牆策略，由協議自定義需啟用哪些安全規則（可用 AND/OR 邏輯組合）。但純鏈上防護有其先天缺陷：偵測邏輯對攻擊者完全透明，對方可 fork 本機鏈無限次測試繞過方式；AI 模型或需大量跨合約狀態的複雜邏輯也無法在鏈上經濟地運行。
因此，V Network 採用「鏈外去中心化驗證 + 鏈上強制執行」的混合架構。交易送出後，先流向鏈外安全節點網路——各節點（來自不同頂級安全公司）各自以獨立邏輯評估交易是否惡意，透過 BLS 簽名匯總投票結果，並將最終安全批准的 payload 回傳給用戶或直接推送至 sequencer。對終端用戶而言，這個流程與傳統的 `estimateGas` 請求體驗完全相同，無需改變操作習慣。惡意交易即使來自私有 mempool，也在進入鏈前就被攔截。
團隊以 22 個月的以太坊真實數據（2023 年 1 月至 2024 年 9 月，含 60-70 起駭客事件）進行測試，結果全面超越預設目標：漏報率低於 5%（目標 10%）、誤報率僅 0.004%（目標 1%）、平均回應時間低於 200 毫秒（目標 500ms）。防護範圍涵蓋協議邏輯漏洞、預言機操控、重入攻擊，乃至釣魚與 drainer 攻擊。所有測試數據將全部公開，任何人皆可自行驗證。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
