DeFi security Summit 2023 - Session 13: Monitoring & Incident Response - Heidi Wilder

這場演講探討了 Web 3 生態中最被忽視的問題——事件應對準備。講者海蒂來自 Coinbase 0x 團隊，該團隊致力於提升整個 Web 3 生態的安全性。為什麼 Coinbase 關心 Web 3 安全？因為任何生態威脅都會損害 Coinbase 的利益，無論是公關形象還是直接的資金風險。過去一週，海蒂與多個項目討論事件響應時發現，大多數團隊只會說「我們需要更好的監控」，但實際詢問他們的監控措施時卻是一片沉默——他們根本沒有為真正的攻擊做好準備。

演講首先澄清什麼是「被攻破」。這個詞經常被濫用。真正的「被攻破」不同於常規的漏洞發現——後者由白帽黑客或開發團隊發現，可能很嚴重，但不會導致用戶資金損失。「被攻破」指的是用戶資金的意外、突然且重大損失。這包括黑客攻擊、智能合約漏洞利用，甚至地毯式跑路。但具體定義很重要，因為它取決於你的風險承受能力，而風險承受能力由你所在的司法管轄區、律師的建議、你的資產池規模、你的流動性提供者決定。項目團隊需要提前明確三個量化問題：什麼對你來說是「意外事件」(如 USDC 去中心化時大家都措手不及)、什麼是「突發損失」(如 100 萬 BNB 在 5 分鐘內被提取兩次)、什麼是「重大損失」(如 Euler 被掏空所有 USDC)。

接著海蒂對比了 Web 2 與 Web 3 事件響應的本質差異。傳統網路安全有五個階段：準備、檢測、修復、恢復、經驗教訓。但 Web 3 環境破壞了這個模式。首先是檢測環節——所有區塊鏈交易完全公開，攻擊無法隱瞞。社區甚至比項目團隊更快發現異常。Nomad 事件中，團隊沒有檢測到，但加密推特社區發現了，並公開傳播，導致複製粘貼攻擊大規模爆發。其次是修復環節——如果你運營一座跨鏈橋，橋被黑了需要修復，但修復意味著用戶會擔心資金安全而立即撤離，流動性枯竭。這與傳統系統中的修復完全不同——傳統系統修復後恢復運營，Web 3 修復後還要面對信心危機。第三是經驗教訓——不僅項目內部要學習，整個生態系統都會從這次事件中學習並構建更好的防護。這種透明性是 Web 3 的獨特之處，也是最大的挑戰。

通過兩個真實案例，海蒂展示了當前項目的實際表現有多糟。Nomad Bridge 去年 8 月被攻擊。首先，團隊沒有監控到異常(他們根本沒建立真實的監控系統)。其次，攻擊被加密社區發現後，因為攻擊代碼簡單到可以複製粘貼，只需更改目標地址就能參與，所以短短3小時內合約就被完全清空。最初攻擊者只攻擊高價值代幣(BTC、ETH)，但一旦那些被清空，他們轉向低價值代幣。團隊花了一天時間才發布恢復地址(期間讓更多人能複製攻擊代碼)。時至今日已經快一年，Nomad 也只追回約 17% 的被盜資金。項目從未真正恢復——團隊幾乎消聲滅跡，像幽靈一樣。

更近的 Multi-Chain 事件(約1.5週前)是該項目第四次遭攻擊。在經歷三次黑客後，我們本期望他們做好準備。但實際情況是：Peck Shield 在 UTC 下午 12:06 發現異常，團隊卻隔了將近12小時才在推特回應說資金被轉移到未知地址。更糟的是，他們隔3分鐘後才發公告告訴用戶「停止使用我們的橋」。如果你試圖交易會失敗，這看起來非常糟糕。後續他們發聲說不確定資金去向，可能被中共拿走了，因為 CEO 仍然失踪。這個應對完全混亂。用流程圖一看就知道問題在哪——他們沒有準備、沒有監控、沒有預先的通訊計畫、沒有清晰的團隊角色分工。

為了填補這個準備空缺，海蒂提出項目必須提前回答十個關鍵問題。監控方面：你們有基本監控嗎？別說推特上的審計工具推文，那只是臨時方案。你需要建立真實的自動警報系統。法律與通訊方面：你們有律師嗎？你們有預先撰寫、經律師審核的溝通稿嗎？當事件發生時，保持沉默是最糟的選擇——即使只是簡單說「我們注意到異常，正調查中」，也好過讓公眾在真空中做出各種假設。保險與通知方面：你們有保險嗎？你們已經通知用戶和流動性提供者了嗎？執法聯繫方面：有些人抗拒與執法部門聯繫，害怕政府干預。但現實是執法部門可能會主動聯絡你，你最好提前建立關係，這對你有利。

事件應對團隊方面：你需要指定一個事件負責人——這不是燙手山芋，必須有人主動承擔，負責記錄和協調。你需要一個技術負責人，與開發人員溝通找出漏洞在哪。你需要一個冷靜理性的法律人員，在作戰室中協助撰寫聲明、管理通訊、與執法部門溝通。基礎設施文檔方面：你的基礎設施文檔有多完善？很多小項目說沒時間做文檔。但當危機來臨時，沒有文檔會讓応對時間翻倍。至少要有最基本的記錄。應急聯絡方面：你有聯絡清單嗎？包括執法部門、事件響應人員、經歷過類似事件的業內人士？經濟影響分析方面：你了解有哪些重要項目依賴你嗎？如果你的系統宕機，會對生態造成什麼威脅？

當實際事件發生時，標準流程應該是這樣：首先接到警報(通常來自加密推特)。進行初步評估——我們真的損失錢了嗎？損失多少？如果判定這不是重大事件，那就解決問題，繼續運營。如果判定是重大事件，則需要同時啟動三個平行的工作流，這是海蒂特別強調要拍照的部分。

第一個工作流是法律和通訊——這是最關鍵的。你必須快速發表聲明。聲明內容可以很簡單，比如「我們注意到異常情況，正在調查，詳細信息稍後發布」。即使這麼簡單也遠好過什麼都不說。重點是要保護你的法律權益，同時防止公眾瞎猜。沉默只會讓人們認為你什麼都沒做，即使你正在奮力應對。

第二個工作流是工程工作——找到漏洞、開發修補方案、部署修復。

第三個工作流是調查工作——追蹤被盜資金、聯絡執法部門、尋求追回。

完成修補後，你還需要評估幾個問題：我們有保險嗎？保險會覆蓋這個損失嗎？如果我們重新啟用系統，會對生態系統造成什麼威脅？用戶會回來嗎？我們真的能追回這些資金嗎？有些人會考慮與攻擊者談判。海蒂的建議很直白：99% 的情況下別浪費時間，不會成功。