DeFi Security 101 2025 - Smart Contract Auditing 101

本次活動是 DeFi 安全峰會的前置培訓，於史丹佛大學舉行，起源四年前的小型社群，如今邀請到三位業界領導者：Jocelyn、Alex、Rajiv。活動錄像，演講者被要求重複觀眾問題以確保音質。整場分享以「101 條建議」為骨幹，三人依序各自講述親身淬煉出的審計心法。

Jocelyn 首先強調學習方法的紀律。她觀察到初學者普遍犯兩個錯誤：一是試圖同時學習所有知識，二是閱讀大量報告卻只是瀏覽而未建立思維模型。她建議應對報告分類——表面漏洞、常見漏洞、新型攻擊——並將更多時間投入新型問題的深度理解。在審計技巧上，她提出「理解模式」與「批判模式」的切換：前者問「這段程式碼做什麼」，後者問「如何破壞它」，並以「如果……會怎樣」作為觸發批判思維的提示詞。她也強調軟技能的重要性：書面報告的清晰度直接影響漏洞是否被重視，而對客戶需求的敏銳感知（例如兩天後上線的團隊只需關鍵風險，而非長期建議）則決定審計的實際價值。

Alex 則從認知策略切入。他提出「蝙蝠思維」——對程式碼建立信心地圖，知道哪些部分已充分理解、哪些仍存疑，從而有效分配注意力，而非試圖覆蓋所有可能性。他特別指出，市場上大多數人會在同一批競賽中扎堆，真正的機會往往在人跡罕至之處。他也主張先深入理解系統再嘗試破壞，並將工具（如快速撰寫 Python 腳本畫出函數行為圖）定位為「思考的延伸」而非替代品。關於 AI，他的立場是：AI 適合在審計思路耗盡後作為腦力激盪工具，而非一開始的主力，因為它產出的結果缺乏可操作性。他以 Rari Capital 事件為例，說明「一個被充分理解的低嚴重性錯誤永遠優於未測試的修復方案」，並強調沒有測試的程式碼幾乎必然出問題——他從未見過例外。

Rajiv 從審計的本質與協作維度收尾。他將審計簡化為三個核心：資產（Assets）、行為者（Actors）、行動（Actions），並對應計算機科學中的存取控制矩陣。他強調審計員要學會「看見缺失的東西」——缺失的檢查、缺失的條件——而非只看到存在的程式碼。他對術語的嚴謹性提出批評：業界過度混用 Anomaly、Bug、Vulnerability，導致對風險的認知扭曲；真正的 Vulnerability 是直接造成資金損失的問題，不應與一般 Bug 混為一談。在協作方面，他指出責任分散（Diffusion of Responsibility）是多人審計的隱患，每個成員必須保有個人責任感。他也強調審計絕非萬能，即便是五次、十次審計過的協議仍可能被攻破，因此一致性與嚴謹性才是真正的護城河。