DeFi security Summit 2023 - Session 17: Focused Talks 3 - Yaniv Nissenboim
三句話摘要
DeFi 協議安全防御最佳實踐：從定期審計轉向持續威脅監控與應急響應。 DeFi 安全的核心是從被動的事後審計轉向主動的事前威脅監控與完善的事後應急體系，並將「何時被黑」視為必然，在此基礎上最小化損害。 DeFi 獨特的安全困境：不同於傳統軟體的隔離環境，DeFi 協議由 Oracle、智能合約、代幣、多方配置等多個移動部件組成，完全開放透明。攻擊者不需協商贖金，一筆交易就能竊取整個協議的資金，這是傳統網路安全從未面對的直接價值風險。
重點整理
重點- 1
DeFi 獨特的安全困境：不同於傳統軟體的隔離環境，DeFi 協議由 Oracle、智能合約、代幣、多方配置等多個移動部件組成，完全開放透明。攻擊者不需協商贖金，一筆交易就能竊取整個協議的資金，這是傳統網路安全從未面對的直接價值風險。
- 2
從檢測漏洞轉向追踪威脅：單靠定期審計、正式驗證與代碼審查只能映射已知風險，無法應對持續演變的攻擊。新範式是主動監控鏈上惡意活動，在黑客執行漏洞前就偵測並阻止。
- 3
分層應急體系：事件前需建立融資檢測、合約部署檢測、漏洞執行前的防守；事件發生時需暫停協議、開設戰情室、聯絡執法部門與交易所凍結資產。
實用技巧與重點
乾貨- 準備階段三步驟：
- Mapping：映射已知威脅（含審計、形式驗證、零日獵尋、第三方依賴分析）
- Review：審查內部安全程序（人員配置、存取控制、多簽管理）
- Operate：理解協議運作方式（生態風險承受度、協議暫停能力）
- 持續監控三支柱：
- 早期檢測（Early Detection）：資金流動信號、惡意合約部署
- 精準度（Accuracy）：多個威脅源、降低誤報
- 快速響應（Response Time Minimization）
- 應急響應流程：
- 暫停協議
- 開設戰情室（War Room）
- 與社區溝通
- 聯繫執法部門
- 聯繫中心化交易所（Coinbase）、Circle、Feather
- 凍結資產
- 追踪攻擊者資金來源以識別身份
結論
結論“DeFi 安全的核心是從被動的事後審計轉向主動的事前威脅監控與完善的事後應急體系，並將「何時被黑」視為必然，在此基礎上最小化損害。”
完整解析
詳細DeFi 安全的核心困境在於系統複雜性與開放性的矛盾。不同於傳統應用單點部署，DeFi 協議由 Oracle、智能合約、第三方代幣、治理配置等多個相互依賴的部件組成，每個環節都可能成為攻擊入口。更危險的是，所有交易都在鏈上透明執行，攻擊者無需協商贖金或進行勒索談判，只需一筆交易就能竊取整個協議的資金。因此，傳統的「是否被黑」思維已不適用，取而代之的是「何時被黑」的預先準備。
應對這一風險的第一步是獲得可見性。這包括三個層次：首先映射已知威脅，透過審計、形式驗證、代碼獵尋與第三方依賴分析建立風險地圖；其次審查內部安全程序，確保人員配置、存取控制、多簽管理等基礎設施到位；最後理解協議本身的運作特性，評估生態風險承受度與在極端情況下的應變能力（例如是否能暫停合約）。
關鍵轉變是從定期審計轉向持續威脅監控。審計只能找到已知漏洞，但無法應對實時演變的攻擊方式。新範式要求協議團隊從「獵漏洞」轉向「獵黑客」，持續監控鏈上的惡意活動模式。黑客通常分三階段行動：融資階段（轉移資金、準備工具）、部署階段（部署惡意合約）、執行階段（發動漏洞）。協議應在融資階段就開始蒐集信號，在部署階段發送警報給安全團隊，在執行階段前完成阻止。這要求協議預先建立分層的應急對應計畫：自動化應對（例如自動暫停）、半自動化應對、團隊介入應對，以及紅隊演練與戰情室機制。
若漏洞執行無法完全阻止，應急響應流程至關重要。首要步驟是暫停協議，防止連續攻擊。隨後開設戰情室（不是無序的 Telegram 群聊，而是協調的應急中心），與社群溝通現狀，同時聯繫執法部門、中心化交易所（如 Coinbase）、穩定幣發行商（Circle、Feather）等機構凍結資產流動，並追踪攻擊者資金來源以協助身份確認。這整個流程的目標是最小化損失的爆炸半徑（blast radius）。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
