Raising the Bar: Security Leadership for Mass Adoption

Web3 行業的安全預算往往集中在外部審計和漏洞賞金平台，這並非錯誤，但演講者觀察到一個普遍的結構性問題：許多協議團隊跳過建立內部安全流程這一步，既沒有專職安全主管，也沒有安全工程師，通常由 CTO 或某位軟體工程師兼任安全職責。長期下來，修復漏洞、排查問題的內部時間成本累積龐大，卻缺乏系統性管理。更常見的錯誤是將預算同時投入多家審計商對相同代碼庫進行平行審計，結果這些審計商本質上在競爭發現同一批漏洞，付出高額費用卻得到重疊的報告。正確做法應是分層：先用性價比高的安全研究員處理代碼庫中的早期、常見問題，再結合內部安全團隊，最後才委託 OpenZeppelin、Trail of Bits、Spearbit 等頂尖機構做最終審計，讓他們把精力放在真正隱蔽的漏洞上，而非浪費在已被找出的基礎問題。

安全研究員與安全領導者的核心差異，在於能否走出技術隔間、建立外部關係網絡。一位優秀的安全研究員可以在世界任何地方找到漏洞，但若無法在事故發生時立即聯絡到能採取行動的人，技術能力便無法轉化為實際的防護能力。演講者強調，真正有價值的關係包括：Seal 911、零影組織等應急響應機構、相關區塊鏈的其他開發者、節點與橋接運營商，以及各大交易所的安全聯絡窗口。當資金被盜、需要在幾分鐘內啟動凍結程序時，有預先建立信任關係的直接聯絡人，與透過電子郵件填表單等待回覆，兩者的處置速度天差地別。

對於希望推動機構採用的協議而言，展示「實質安全」而非「安全表演」至關重要。羅列審計證書和 ISO 27001 認證只是起點，因為那些審計可能是一年前做的，無法代表今天的代碼庫狀態。真正能打動機構合作夥伴的，是能清楚說明：部署流程如何設計、存取控制如何分離、監控機制如何運作、事件發生時如何溝通與事後分析。演講者指出，大多數 Web2 機構安全負責人並不具備評估 Web3 安全的專業知識，但他們能判斷「對方是否認真對待這件事」。當你能用專業且條理清晰的方式說明你的安全模型，對方即使看不懂細節，也會建立對領導者個人的信任，進而信任這項技術。