Secure Governance for DeFi Companies
三句話摘要
區塊鏈公司如何透過自定義工具鏈，讓非技術人員也能安全審批多簽交易。 把交易定義人性化、把簽名 hash 多點交叉驗證、把建立與簽署權限分離，三者合一才能讓多簽治理對非技術成員真正安全可信。 非技術簽名者是多簽安全的最弱環節。 CFO 需要授權交易，卻無法閱讀 EIP712 字串或原始 calldata，這讓「多簽」的安全性形同虛設，因此必須在流程層面解決可讀性問題。
重點整理
重點- 1
非技術簽名者是多簽安全的最弱環節。 CFO 需要授權交易，卻無法閱讀 EIP712 字串或原始 calldata，這讓「多簽」的安全性形同虛設，因此必須在流程層面解決可讀性問題。
- 2
鏈集（chainset）將交易定義與執行分離。 由 LLM 或初級成員以簡單格式撰寫鏈集，經 PR 審核後，GitHub Actions 僅擁有「建立提案」權限，無法簽署，從流程上隔離了建立者與簽名者的權限。
- 3
交易 hash 是跨系統的人工可驗證錨點。 相較於難以閱讀的 EIP712 字串，hash 可以直接用肉眼比對硬體錢包螢幕、Safe UI、以及 Discord 通知三處的一致性，任一異常即可察覺攻擊。
- 4
多重獨立系統是防禦逐位攻擊（bit-flip/character substitution attack）的關鍵。 該設計是在分析真實攻擊事件後補強，要求攻擊者必須同時入侵三套獨立系統，大幅提高攻擊成本。
實用技巧與重點
乾貨- 公司：Insuro，CISO 主講，基於區塊鏈運營 4 年
- 核心工具：自定義「鏈集（chainset）」格式 + GitHub Actions 工作流 + 自建 Safe UI App
- 鏈集內容：指定使用哪個 Multisig、Timelock 及延遲時間、合約函數呼叫與參數（地址別名、枚舉值用分母表示而非原始 index）
- 測試可直接寫在鏈集定義內，在送上 Safe 伺服器前自動執行
- GitHub Actions 角色：Timelock Controller 上的 Delegator，僅能 create 提案，不能 sign
- 三道 hash 驗證點：Safe UI App / 硬體錢包螢幕 / Discord 內部通知（三者獨立生成）
- 簽名方式：對 hash 直接文字簽名，而非 EIP712 字串（更易讓非技術者驗證）
- 開源狀態：Safe UI App 已開源；chainset 建立與測試工具計畫開源（需從內部系統抽離）
- 路線圖：瀏覽器端驗證（含直接在瀏覽器跑測試）、IPFS / 靜態主機部署、ENS 地址簿支援
結論
結論“把交易定義人性化、把簽名 hash 多點交叉驗證、把建立與簽署權限分離，三者合一才能讓多簽治理對非技術成員真正安全可信。”
完整解析
詳細區塊鏈公司使用 Safe Multisig 管理鏈上治理是業界常態，但它隱藏了一個棘手問題：Safe 的簽名介面顯示的是原始 calldata 或 EIP712 結構化字串，對於技術背景深厚的 CTO 而言不是障礙，但對必須同樣參與授權的 CFO 來說幾乎無法閱讀。Insuro 的 CISO 指出，這使得「多簽」的安全意義大打折扣——若簽名者根本不知道自己簽的是什麼，多一個簽名者只是多一個可被社工攻擊的入口。
為解決這個問題，他們設計了一套以「鏈集（chainset）」為核心的工作流程。鏈集是一種簡單的結構化格式，用來描述一筆多簽交易的完整定義：走哪個 Multisig、是否經過 Timelock 及其延遲、呼叫哪個合約函數、參數是什麼（地址以別名表示，枚舉值以語意化的分母寫法表示而非 0/1/2）。這個格式門檻極低，初級成員或 LLM 即可撰寫，並透過 GitHub Pull Request 進行程式碼審查。審核通過後，GitHub Actions 工作流自動在 Safe 上建立提案，但此工作流只擁有 Timelock Controller 上的 Delegator 角色，只能建立，不能簽署。建立交易的人對 Multisig 毫無直接權限，從流程上完全切斷了「建立者偽造簽名」的可能性。
簽名環節，他們進一步自建了一套 Safe UI App，整合進 Safe 介面，把鏈集定義翻譯成人類友善的摘要，並逐步展示每個執行步驟。最關鍵的設計是交易 hash 的多點驗證：App 顯示 hash、硬體錢包螢幕顯示 hash、Discord 內部通知也獨立顯示 hash，而這三個來源是完全獨立生成的。任何一個環節被竄改，hash 都會對不上。這套機制是在分析一起真實的逐位替換攻擊事件後追加的——攻擊者要成功偽造簽名，必須同時攻破三套獨立系統，防禦成本被大幅拉高。
目前 Safe UI App 已開源，其餘工具也計畫整理後公開。未來路線圖包含在瀏覽器端直接執行鏈集測試（讓使用者在信任靜態部署的前提下本地驗證）、支援 IPFS 或靜態主機部署以確保 App 本身不可竄改，以及以 ENS 取代內部地址簿，讓地址別名的對應更具去中心化的可信度。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
