DeFi Security 101 2023 - 01 - Rajeev
三句話摘要
Securium 舉辦的以太坊智能合約安全 CTF 競賽詳解，8 個漸進式挑戰涵蓋核心漏洞與防禦概念。 Securium 透過「月度競賽 + 精英工作坊」的社群教育模式，將真實安全漏洞案例與漸進式技術挑戰相結合，有效將對安全感興趣的人才快速轉化為實踐型專家，成為填補以太坊生態專家缺口的可複製機制。 Securium 的雙軌教育模式結合月度競賽與工作坊，專為引導 Web 2 安全專家或 Web 3 開發者進入智能合約安全領域而設計，建立了一個自我迴圈的人才培養系統。
重點整理
重點- 1
Securium 的雙軌教育模式結合月度競賽與工作坊，專為引導 Web 2 安全專家或 Web 3 開發者進入智能合約安全領域而設計，建立了一個自我迴圈的人才培養系統。
- 2
CTF 挑戰的層級設計精心遞進——初級挑戰聚焦基礎代幣標準與合約邏輯，中級引入 Flash Loan 與工廠模式的交互，高級則涵蓋簽名機制驗證、價格操縱與清算邏輯，讓學習者逐步建立完整認知。
- 3
每個挑戰都繫結真實安全事件，如 ERC20 銷毀漏洞源自 2020 年百萬級黑客事件、Crystal DAO 靈感來自 Optimism 代幣分配失敗，這使理論學習具有切實的威脅感和動機。
- 4
社群支援基礎設施完善，包括 GitHub 代碼庫、Telegram 頻道、Discord 社區及志願者隨時提示，3 天競賽期間降低進入門檻，前 16 名並獲次年 DSS 大會免票，形成持續的學習激勵閉環。
實用技巧與重點
乾貨- Securium 組織架構：
- 完全線上 Discord 社區，關注以太坊與智能合約安全
- 成立於 2 年前（從 2024 年回推），應是 2022 年左右
- 月度競賽機制：
- 免費、開放所有人，16 分鐘內 8 道選擇題
- 每月 200+ 人參加
- 排名前 16 名獲 NFT 證書（含成績、排名、參與人數）
- 排名前 16 名獲邀參加下月工作坊
- 工作坊內容：
- 與 Sartorius、Sherlock、Trailer Bits、Verities 等項目合作
- 主題：工具教學、Fuzzing、靜態分析工具、審計技術
- 時長：一週研討
- CTF 8 個挑戰及核心概念：
- C20 代幣熱身 — ERC20 標準、銷毀漏洞（目標：回收 1000 MR20 代幣）
- 鎖定合約解救 — 增強版 ERC20（類似挑戰 1，附加功能）
- Create2 地址恢復 — 工廠合約、Create2 操碼、未認領地址、消息發送者 (msg.sender) 上下文
- ERC1155 代幣漏洞 — ERC1155 標準、工廠合約部署
- Flash Loan + DEX — ERC3156 標準、常數乘積公式 (Uniswap V2)、閃電貸交互（目標：抽空至少 100 個代幣）
- Crystal DAO — ERC1167 最小代理標準、EIP712 簽名、ERC 恢復函數、管理員簽名驗證（靈感：Optimism 代幣分配失敗）
- Oracle 操縱 — 價格操縱、抵補品清算、市場操縱
- 高難度挑戰 — MEV、進階攻擊向量（詳情未完全揭示）
- DeFi 核心概念清單：
- ERC20 代幣標準與 ABI
- 閃電貸 (Flash Loan)
- 自動做市商 (AMM)
- 重入攻擊 (Re-entrancy)
- 借貸協議
- Oracle 操縱
- 抵補品清算
- Create2 與代理模式
- EIP712 簽名
- 參與資源：
- GitHub 代碼庫：內含 8 個挑戰代碼
- Telegram 頻道：實時支援與公告
- Discord 社區：深度討論與社群交流
- Wi-Fi 密碼：TSS2023!
- 競賽時間與獎勵：
- 開放期間：3 天
- 獎勵：排名前 16 名獲 2024 年下屆 DSS 大會免費門票
- 專業紀念品（由赞助商提供，聯絡 Lucas 領取）
- 志願者/講者背景：
- Eugene：Securium 訓練營校友，現為全職安全審計員
- Lucas：應用數學博士，現為 Spirit 公司審計員
- Pablo：用戶體驗研究背景，現從事滲透測試與紅隊工作
- Patrick：EVM 安全研究員，參與多場競賽編碼與黑客馬拉松
- Lared：計算機科學碩士生，在 Sigma Prime 實習
結論
結論“Securium 透過「月度競賽 + 精英工作坊」的社群教育模式，將真實安全漏洞案例與漸進式技術挑戰相結合，有效將對安全感興趣的人才快速轉化為實踐型專家，成為填補以太坊生態專家缺口的可複製機制。”
完整解析
詳細Securium 是一個為期 4 年（從 2021 年創辦迄今）的以太坊安全教育機構，其成立背景源於一個生態危機——儘管以太坊及其上的數千個協議掌握著數十億美元資產，但維護這些系統的專家數量極度稀缺，僅數百名專家支撐著整個生態。為了解決這一人才瓶頸，Securium 創始人 Rajiv 設計了一套創新的、社群驅動的教育模式。
最初在 2021 年第四季度推出的 Epoch Zero 是一個為期三個月的訓練營，之後演進為現在的 Epoch Infinity——一個持續運營的線上訓練營，完全基於 Discord 社區。這個模式的核心創新在於其雙軌結構。一方面，Securium 每月舉辦免費的線上競賽，設計簡潔卻高效：16 分鐘內完成 8 道選擇題，涵蓋當月選定的安全主題。競賽完全開放，每月吸引超過 200 名參與者，這個數字本身就說明了市場對安全教育的迫切需求。另一方面，排名前 16 的競賽者獲得邀請參加為期一週的工作坊，與 Sartorius、Sherlock、Trailer Bits、Verities 等業界領先項目合作，學習 Fuzzing、靜態分析工具和實務審計技術。所有參賽者都獲得 NFT 證書，記錄其成績和排名，這既是激勵也是身分象徵。
此次 DSS 大會舉辦的 CTF 競賽是 Securium 教育理念的最佳實踐展示。8 個挑戰的設計遵循漸進式難度曲線。初級挑戰（1-3）聚焦基礎概念：第一個挑戰涉及 ERC20 代幣標準中的銷毀漏洞，這個看似簡單的概念卻源於 2020 年導致數百萬美元損失的真實黑客事件；第二、三個挑戰分別涉及鎖定資金的解救與 Create2 地址恢復，後者要求深刻理解 Create2 操碼如何生成地址以及 msg.sender 在不同執行上下文中的含義。
中級挑戰（4-6）涉及更複雜的交互與模式。第四個挑戰引入 ERC1155 代幣標準與工廠合約，要求攻擊者從零初始資金開始層層遞進；第五個挑戰將 Flash Loan（閃電貸）的強大力量與自動做市商結合，參賽者必須在同一筆交易內利用閃電貸短暫獲得資本優勢，透過常數乘積公式的數學特性抽空資金池，這是現實 DeFi 攻擊中最常見的技術；第六個 Crystal DAO 挑戰考驗 ERC1167 最小代理標準、EIP712 簽名驗證與 ERC 恢復函數，靈感來自 Optimism 代幣分配失敗的著名事件，這個挑戰強調了簽名驗證的關鍵性。
高級挑戰（7-8）進入專家領域，涉及 Oracle 價格操縱、抵補品清算邏輯與 MEV（礦工可提取價值）等難度最高的概念。這些挑戰要求參賽者理解 DeFi 的經濟激勵機制、價格發現機制的脆弱性，以及如何利用交易排序權重獲利。
Securium 為競賽提供了完善的支援基礎設施。所有代碼、提示與說明都托管在 GitHub 上，Telegram 頻道與 Discord 社區在 3 天競賽期間保持活躍，由 Eugene、Lucas、Pablo、Patrick、Lared 等志願者和安全導師隨時提供提示。這些志願者本身都是 Securium 訓練營的成功案例——Eugene 花了六年時間成長為全職安全審計員，Lucas 在攻讀博士學位期間透過訓練營轉入安全領域，他們的成功故事既是激勵也是證明 Securium 模式的可行性。
最後的獎勵設計進一步形成了學習的閉環——排名前 16 的參賽者獲得 2024 年下屆 DSS 大會的免費門票，這不僅降低了下一輪參與的成本，也強化了社群的黏著力。Securium 還為此次 CTF 特製了專業紀念品，由 Lucas 負責發放。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
