DeFi security Summit 2023 - Session 16: Audits Conventional vs Community Panel
三句話摘要
智能合約審計的演進：傳統審計公司與社群型競賽審計的對比與互補。 區塊鏈審計不再是單一模式的選擇題，而是傳統專業審計、競賽型眾包與漏洞賞金的分層組合——每層解決不同問題，共同形成真正的「防禦縱深」。 審計的定義差異：傳統審計方強調找出所有漏洞並提供架構諮詢，而競賽型審計則聚焦於最大化發現關鍵漏洞；這反映了不同階段的不同需求。
重點整理
重點- 1
審計的定義差異：傳統審計方強調找出所有漏洞並提供架構諮詢，而競賽型審計則聚焦於最大化發現關鍵漏洞；這反映了不同階段的不同需求。
- 2
傳統審計的優勢與成本：由頂級專家組成的團隊能進行深度的架構與設計評審，但時間長（可達6-9個月）且費用高，適合作為上線前的「期末考」。
- 3
競賽審計的創新價值：通過眾多獨立審計者同時競爭，既提升發現漏洞的廣度，也通過公開報告與算法獎勵機制驅動整體行業安全認知提升。
- 4
人才保留與工作平衡：傳統大型審計公司面臨審計師燒出問題，而新興模式（如Spear）透過靈活工作制與高薪激勵，讓審計者在工作與學習間保持平衡。
實用技巧與重點
乾貨- 傳統審計公司：Consensus Diligence（營運7年）、Sigma Prime（8年）、Trail of Bits
- 競賽審計平台：Code Arena、Sherlock（2.5年前成立）
- 漏洞賞金平台：Immunify
- 混合模式：Spear（20%費用、80%支付審計者）、Sherlock（保留審計者+競賽雙模式）
- Code Arena機制：
- bug越罕見、越嚴重，獎金越高
- 多人發現相同漏洞會降低個人獲獎
- 所有報告公開，形成學習資源
- 引入「Bot Races」先篩掉自動工具可發現的漏洞
- 引入「Analyses」服務供審計者提供顧問諮詢
- Sherlock模式：固定聘請2-3位頂級審計者+開放競賽並行
- Spear補償：頂級研究員每周$20,000基本薪資
- 傳統公司人員配置：平均帳單率50%，非計費時間用於公開貢獻、工具開發、跨領域學習（Shadow Audits）
- Mitchell建議堆棧：
- 內部投資（招人、工具、威脅建模）
- 第一次外部審計→傳統公司（架構與設計）
- 第二輪審計→較年輕或駭客背景的公司（創意與攻擊思維）
- 最終階段→競賽審計（大規模眾包）
- 上線後→漏洞賞金持續監控
結論
結論“區塊鏈審計不再是單一模式的選擇題，而是傳統專業審計、競賽型眾包與漏洞賞金的分層組合——每層解決不同問題，共同形成真正的「防禦縱深」。”
完整解析
詳細這場Panel聚焦智能合約審計生態的分層與多元化。傳統上，審計由Trail of Bits、Sigma Prime等專業公司壟斷，但過去3-4年內出現了兩股新勢力：競賽型審計平台（Code Arena、Sherlock）與混合人才市場（Spear）。
問題背景與現狀：區塊鏈技術的風險極高——涉及資金安全與系統完整性——但人才與時間嚴重短缺。傳統審計動輒花費6-9個月與數百萬美元，且審計師面臨極端工作壓力導致離職。同時，用戶對審計報告期望不符（誤以為「低漏洞數=安全」），而部分Protocol團隊未做好充分準備就倉促上線。
傳統審計的角色：Sigma Prime、Consensus Diligence等公司提供的不只是漏洞檢測，更是完整的架構諮詢。審計過程包含人工複審與自動化測試，審計方會指出設計缺陷、建議重構方案，甚至幫助協議完全重新設計以簡化安全性。這些公司的品牌建立在專業與獨立性上，能吸引業界頂級人才。
競賽型審計的創新：Code Arena推出了革命性的機制——任何人都可參與，根據漏洞稀有度與嚴重程度分配獎金。所有審查報告與代碼公開，使全社群能學習；過去值$10,000的漏洞可能因被廣泛認知而降至$1，這表示行業整體安全認知在提升。Sherlock則結合了兩者：同時聘用頂級保留審計者與開放競賽，形成雙層檢驗。
新興模式的優勢：Spear通過Marketplace方式聚集頂級獨立研究員，給予薪資$20K/週但只在有項目時支付，減少審計師的連續工作壓力。Code Arena推出Bot Races與Analyses服務，既自動化篩掉已知漏洞，也為有諮詢能力的審計者創造收入機會。這些都解決了傳統模式的燒出問題。
最佳實踐堆棧：Mitchell Amador的建議最具洞見——不同階段應選擇不同服務。初期需要傳統公司做架構評審（「我需要紀律與廣域視野」）；中期可選擇年輕或駭客風格的公司（「我需要創意攻擊思維」）；最終階段才啟動競賽審計（「我只需要更多眼睛檢查遺漏」）；上線後才用漏洞賞金持續監控。這不是一個「選邊」的問題，而是堆棧式的多層防禦。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
