Going Beyond 100% Coverage

Alex 是一位專注於 EVM DeFi 有狀態模糊測試的審計公司創辦人，今年因為在以太坊主網發現重大漏洞而阻止了 2000 萬美元被盜。他這場演講的核心問題是：為什麼即使模糊測試器達到了 100% 程式碼覆蓋率，我們仍然會遺漏漏洞？

他首先建立「覆蓋率類別」的框架，將覆蓋率依據結果分為三類：不可回滾類（用於探索狀態組合）、回滾類（用於識別 DoS 攻擊面），以及斷言破壞類（不變性測試的核心目標）。這個框架呼應了學術文獻中的 Extended EPA 和 NASA 所採用的 MC/DC 概念。他並展示了內部視覺化工具「Linearity」，以 Liquid Governance 合約為例，說明如何看見各條執行路徑。但他強調，這套框架的目的是揭示一個根本問題：程式碼覆蓋率是衡量進度的最佳代理指標，卻對 Bug 天生不敏感——就像徒步只顧著完成路線，卻錯過路邊所有蘑菇。

為了解決這個問題，Alex 提出擴展覆蓋率定義的五個新維度。第一是隱含程式行：Solidity 編譯器會自動插入程式碼，例如 `msg.value` 轉帳背後的節點餘額操作、整數截斷時的 mask 指令，這些行存在於執行中卻不出現在原始碼覆蓋率報告裡。如果工具能夠測量這些隱含行，就能捕捉到一大類溢位與資金計算漏洞。第二是約束行為：使用萬用符號（`*`）進行任意外部呼叫，理論上需要覆蓋無限的合約組合，最佳解是將整合地址硬編碼，讓覆蓋範圍可量化。預編譯旁路（precompile bypass）漏洞正是典型的約束缺失案例，一個簽名方案沒有考慮預編譯會返回 true，導致任何地址都能通過驗證。

第三是隱含狀態，以重入攻擊（reentrancy）為例：合約在被重入時處於一種沒有任何 storage 變數能描述的特殊執行狀態，與正常執行語義截然不同。Alex 的解法是在概念上為合約插入布林標誌，測試同一個 `withdraw` 在不同布林標誌下的行為差異，以此捕捉重入類漏洞的覆蓋缺口。第四是元屬性：透過描述系統中兩個變數之間關係的屬性（例如 vault 中 shares 對 assets 的比值），模糊測試器可以感知到覆蓋率本身看不見的「極端狀態」。他昨日在現場示範中，透過加入價格操縱元屬性對 Oracle 進行模糊測試，發現了 5000 萬倍的價格偏差漏洞。第五是世界分裂：整數不是群而是環，EVM 的整數截斷行為與人類直覺中的線性數學不同，正是 Liquidity v2 審計中，批量 debt 與 shares 比率的截斷讓他找到了免費借款漏洞的突破口。

Alex 最後總結：覆蓋率的真正價值不在數字本身，而在於驅動測試套件切入更多面向——隱含行、約束、隱含狀態、元屬性——每一個新維度都是減少遺漏 Bug 機率的機會，而非追求一個永遠無法真正代表安全性的百分比。