The Big Red Button, Emiliano Bonassi - DeFi Security Summit 2022

Web3 協議安全管理面臨的根本問題是：當漏洞被發現或攻擊發生時，如何以最快的速度保護用戶資產並最小化損失？Emiliano Bonassi 在本次演講中介紹了業界稱為「大紅按鈕」的整體解決方案框架。這不是某個單一的技術工具或智能合約函數，而是由多層次、多角色協作組成的機制體系。

「大紅按鈕」機制包含三個層次。首先是鏈上操作，例如 Aave V3 中能夠快速啟動特定資產池的函數，允許協議在區塊鏈上直接執行保護措施。其次是鏈下運維層，包括 24/7 的監控警報、異常事件檢測、團隊通知機制等，這些構成事件響應計劃的基礎。第三層是人工流程，稱為「作戰室」，由不同角色和專業背景的團隊成員組成，負責情況評估、決策制定和跨職能協調。講者用 Primitive Finance 的真實案例說明為什麼需要這樣完整的機制：當協議中的「桶」機制被攻擊者利用來清空用戶資金時，由於該協議的核心邏輯是不可變的，且缺乏緊急保護機制，開發團隊別無選擇只能指導用戶自行修復，最終導致了無法挽回的損失。

Aave、Compound 和 Yearn 等成熟協議採用的最佳實踐為行業樹立了標準。它們通過隔離流動性池的架構設計，使得在面臨風險時可以有針對性地暫停某個特定資產或借貸池，而不必鎖定整個協議。更創新的地方在於它們實現的權限設計：協議被暫停時，用戶依然可以提現他們的資產，但任何新的資金充值都被禁止。這樣既能限制協議可能承受的最大損失（因為沒有新資金進入），同時也保證了協議的可用性（用戶不會陷入完全被鎖定的局面）。關鍵決策的執行採用多重簽名機制，至少需要兩個授權者才能按下紅色按鈕，這既防止了單點失誤，又不會過度減慢反應速度。

為了實現這些目標，講者提出了三級安全級別框架。第一級是最基礎的設計，包含操作員和治理者兩個角色：操作員擁有快速啟動暫停的權限以應對緊急情況，而治理者則需要經過更複雜的多簽程序才能恢復協議到正常狀態。這種不對稱的權限設計確保了按下按鈕的速度（最小化損失），同時要求恢復需要更廣泛的共識（防止草率決定）。第二級增加了條件觸發的自動執行機制：當協議監測到警報或異常時，可以自動執行治理機制預設的特定操作，比如自動提取資金或凍結某些功能。第三級則是最完善的設計，協議在設計階段就完全規劃好兩套運行邏輯——正常狀態下的完整業務功能，以及緊急狀態下的受限操作集合。在緊急狀態下，協議甚至可以自動啟用特殊的資金轉移機制，將用戶資金轉入由代幣持有者控制的安全錢包。

講者最後強調了四個不可或缺的原則。首先，安全必須在協議設計的初期就被嵌入為核心考慮，而不是在完成業務設計後才作為事後補救。其次，協議需要具備正常狀態和緊急狀態的雙重設計，並明確定義在緊急狀態下允許和禁止的每一項操作。第三，必須清晰定義哪些角色和參與方有權觸發狀態之間的轉換。最後也是最關鍵的一點，充分的測試和模擬是必須的。講者指出許多團隊確實設計了應急計劃和安全角色，但在真正的緊急情況下觸發時，這些機制往往無法按預期工作，原因就在於他們沒有進行充分的測試和演練。他給出的時間目標是分諸流程應在 50 分鐘內完成（以確定是否需要採取行動），所有緊急應對操作應在 1 小時內執行。