DeFi security Summit 2023 - Session 7: Monitoring Panel

本場討論聚焦一個核心問題：在智能合約已部署至生產環境、擁有所有監控工具的狀況下，能否阻止區塊鏈攻擊？八位來自頂級 Web3 安全公司的代表各自分享其實踐與洞察。

問題的複雜性

表面上看，檢測攻擊很簡單——只要把所有可疑交易都標記為惡意即可達到 100% 檢測率。但這樣做會產生大量誤報，最終導致協議團隊忽視警報系統。Bloxek 的 Andy 指出，核心挑戰在於在誤報與有效檢測間維持平衡。Cybers 的 Mir 進一步強調，真正有價值的不是簡單的警報，而是「可操作的洞察」——既要精準檢測，又要提供足夠的上下文讓協議迅速決策。

為何 Web3 特別容易遭攻擊？原因有三。其一，智能合約源碼完全開放，攻擊者可直接檢視代碼尋找漏洞，而傳統金融系統的後端代碼對外保密。其二，區塊鏈機制如閃電貸讓攻擊者無需投入真實資本即可撬動巨額資金發起攻擊，大幅降低攻擊成本。其三，合約邏輯漏洞（如計算錯誤）難以用自動工具檢測，因為需要理解業務邏輯的複雜依賴關係。

及早檢測的實際效益

討論中反覆強調及早檢測的價值。運行協議（Running Protocol）曾遲到 7 天才發現被攻擊；相比之下，即使 2 小時後才檢測出攻擊也有意義，因為能為協議爭取反應時間啟動防禦。Pessimistic Security 的 Alex 提出一個計較直觀的比較：寧可有 10% 誤報率在 5 秒內反應，也勝過零誤報率但需 5 分鐘反應。這啟示設計者應優化速度而非追求完美精確度。

多層防禦架構的必要性

傳統金融早已建立成熟的多層安全體系：安全設計階段→代碼審計→正式驗證→應用安全→實時監控→安全編排→紅隊演練（模擬攻擊測試反應流程）。而 Web3 生態才開始學習這套模式。監控工具應與協議設計緊密結合，包括時間鎖（讓 DAO 審視並投票）、分層反應機制（不直接冷凍整個協議，而先限制提款額或轉賬金額，讓普通用戶不察覺）。

檢測與阻止的實踐策略

Lossless 的 Mantas 分享，其檢測系統結合啟發式規則與 AI 模型來識別威脅。檢測到可疑交易後，協議可採漸進式反應——例如暫時限制某個位址的提款額度，而非直接凍結資產。對分叉協議（fork），監控的關鍵在於與原版協議進行差異分析，若差異足夠大就可能隱藏漏洞。

在隱私交易領域，攻擊者常借助 Flashbot 等服務隱藏攻擊意圖。一個新方向是在去中心化交易池中植入基於社區的事件系統，允許延遲發送可疑交易，雖非完全解決但可緩解威脅。抢先交易檢測的技術步驟包括：監聽 mempool → 複製攻擊交易到自有合約 → 修改攻擊者地址為防禦地址 → 利用 Flashbot Builder 自動執行防禦交易。

跨組織協作的必要性

與會者一致認為單一公司無法覆蓋所有攻擊類型，未來趨勢是多家檢測公司共享數據、協調反應。Hexagate 的 Yaniv 指出，過去兩年人才快速增長，現在有足夠多的安全專家投身此領域。長期展望，應建立類似開源 Zeppelin 防禦庫的標準化框架，讓協議輕鬆集成監控機制。

目前的現狀與未來發展

現階段大多攻擊還相對「懶惰」——攻擊者直接部署攻擊智能合約再廣播交易，缺乏隱蔽性和複雜度。但隨著監控工具成熟，一年內會出現更老練的攻擊者試圖混淆或隱藏行為。這會演變成「貓捉老鼠」的持續競賽：防禦者發現新攻擊手法，攻擊者又開發規避方式，循環往復。Alex 指出，關鍵是像抢銀行成本上升導致英國銀行搶劫停止一樣，提高攻擊難度和風險讓「不值得一試」，最終改變攻擊者的成本效益計算。

---