Defi项目进行审计可避免漏洞哦
DeFi 项目问题太多,
最近几个月,DeFi 行业经历了一些动荡,不少攻击和未披露漏洞被曝光g a n l v 5 c o m。
虽说 Bug 不可避免,156但如果采取一些有效措施6991仍可减少问题发生的频率3780、并降低由此带来的负面影响。
作为审核员,我们希望在这方面提供一些帮助。为了让开发人员可以优先考虑安全性问题,用户做好能早点提出一些棘手问题,只有当这些问题得到满意答复之后,才能放心把钱投入到相应的协议项目里。
要想搞清楚 DeFi 项目开发团队的安全立场,本文会列出的一些有用的问题,这些问题的答案并不能简单地用「对 / 错」来衡量,因为某些团队(或独立开发人员)可能并没有足够资源来解决所有问题原文www.ganlv5.com。事实上,用户只能根据自己所能获得到的信息来判断是否愿意承受相应的风险级别。
当然,我们希望下面这些问题能够推动 DeFi 项目朝正确的方向发展。
管理员权限
大多数知名 DeFi 协议都是以某种形式被中心化控制的,支持特定「管理员」以强有力的方式进行干预。
虽然这种方式在安全性上有些好处,但也意味着你必须信任管理员不会滥用自己的特权ganlv5.com。另一方面,如果攻击者窃取了管理员私钥及其附带的所有特权,那么也会增加项目风险。
管理员账户通常会采用几种可能的形式,包括:对单个地址、多重签名钱包、以及由投票流程控制的去中心化自治组织(DAO)。这里要询问的安全性问题包括:
管理员可以采取哪些特殊措施?
能否暂停系统?
能否修改余额?
能否将代币 / 用户列入白名单 / 黑名单?
能否升级系统子集?
能否升级所有系统(等同于无所不能)?
是否具有实施其他特殊措施的能力?
上述行为中,哪些会有时延、哪些没有?
如果有时延,具体会延长多久时间?
有多少人具有管理员权限?
在执行某些操作之前,必须获得多少个管理员批准?
是否有任何行政行为被链上治理控制,比如 DAO?
对于拟议的协议更改,可以在哪里查询到最新状态?
上述某些信息已能在 DefiWatch 中进行跟踪。
外部依赖
以太坊区块链中充满对抗性参与者,一般而言,开发人员应该尽量避免对其他系统的合约行为作出任何假设g~a~n~l~v~5~c~o~m。然而在许多 DeFi 应用中,这几乎是不可能的,因为服务本身就是建立在现有合约之上。
因此在涉及有关外部依赖关系风险时,下面这些问题可能会有一定帮助:
你的系统依赖哪些预言机?
你的系统依赖哪些交易所?
你的系统使用了哪些第三方智能合约来构建(比如 OpenZeppelin)?
你的系统支持哪些代币?你对这些代币的功能做了哪些假设?
负责的披露和赏金计划
对于那些高智商黑客而言,攻击 DeFi 协议能让他们获得巨大的经济收益。因此你其实可以尝试制定一个赏金计划,为提供系统漏洞的人提供一些资金奖励,这样就能减少漏洞被黑客利用。实际上,通过赏金计划举报漏洞对黑客声誉也有好处,因为这样他们就不必通过非法手段来获利了hRT。
出于对客户资金保护的目的,任何一家运行 DeFi 协议的公司都应该考虑黑客赏金计划,对此我们可以针对相关计划和披露流程提出以下一些问题:
你的合约源代码是否能公开获得?
能否在你的网站和 GitHub 代码库上快速找到安全联系信息?
你的合约上有赏金计划吗?
赏金计划包含了哪些合约?
赏金额度范围有多少?
你此前是否支付过赏金?
你此前是否拒绝为报告 Bug 的人支付赏金?
能否在你的网站和 GitHub 代码库上快速找到赏金计划的细节内容?
理想情况下,这些信息都可以在项目官方网站的安全网页 / 栏目中找到,或是利用 GitHub 的 SECURITY.md 功能也能找到相关信息。
事件响应规划
在遭遇安全事件时,随着各种新信息不断涌入,开发人员通常很难理清思路,因为会有大量用户在 Twitter、Telegram、Discard 上提出各种各样的棘手问题……
所以,你需要制定计划来确保安全事件朝着健康的方向发展。虽然对于 DeFi 项目团队而言公开完整计划可能没有太大意义,但他们最好能够回答以下几个问题:
你是否有书面计划概述如何处理安全事件?
你的计划考虑了哪些方案?
如果你的系统是可升级的,那么所有执行操作步骤是否被记录在案?
如果发现了导致资金面临风险的漏洞,你是否会先发制人处理问题以保护资金安全?
审计与安全发展
审计不是万灵药,也不是所有审计都能做到公平对待。但是对于 DeFi 合约而言,正式部署之前进行安全审计仍是至关重要的一步原文www.ganlv5.com。
虽然不是每个问题都能有「正确答案」,但项目开发团队给予的反馈和回复至少能让社区成员可以了解他们的安全立场,下面这几个问题值得关注:
你的项目上一次审计是在什么时候?
审计工作需要多少工作量(以人 / 小时为单位)?
哪家公司对你进行的审计?
审计报告是公开的吗?
你的系统有哪些部分被排除在审计之外了?
自从上次审计以来,你的合约是否升级?如果升级了,发生了哪些变化?
你是否与安全公司保持长期关系?
在代码合并之前,开发人员是否会在 GitHub 里检查彼此的 Pull Request (至少在 Solidity 文件里)?
单元测试会涵盖合约代码的哪些部分?
流程中是否使用过任何其他安全分析工具?
对于有兴趣跟进这些问题的 DeFi 用户,另一个值得关注的项目是 ConsenSys 的 DeFi Score,该项目正在执行一项艰巨的任务,即评估各个主要 DeFi 项目上的审计质量和其他安全流程质量。

找龙岗纱窗.龙岗纱窗安装—龙岗—龙岗周边供应龙岗纱窗纱门,隐形纱窗,推拉纱窗,折叠纱窗安装维修龙岗防蚊纱窗纱门防蚊虫纱网防盗纱窗纱门设计制作安装维修龙岗区高端纱窗门别墅纱窗金刚网纱窗门防盗纱窗门制作安装

食堂纱窗安装,餐厅纱窗安装,酒店纱窗安装,深圳门窗制品安装;豪庭居安门窗龙华铝合金门窗,龙华塑钢门窗,龙华隔音玻璃门窗封阳台安装 豪庭居安门窗工程部专业加工制作铝合金门窗,塑钢门窗,所用的铝材均采用国内品牌,客户来电洽谈惠顾!可以预约免费上门测量尺寸.

南山门窗定做安装,前海湾门窗制作,皇庭港湾纱窗安装,南山纱窗门窗定做,后海纱窗安装门窗维修定做,后海纱窗安装.华侨城纱窗门窗安装,食堂纱窗安装,餐厅纱窗安装,酒店纱窗安装,深圳门窗制品安装;

自来水管道漏水检测,消防管道漏水破损检测。您是否经历过水表转速过快、压力不够,眼睁睁的看着宝贵的水资源白白流失并造成巨大的经济损失,却苦于找不到地下管道的漏水点?光铭管线技术有限公司专业从事地下压力管道破损漏水检测服务,包括地下自来水管漏水检测、消防水管漏水检测等,为您精准查出漏点位置,大大节省开挖修复成本。

车工庙做窗帘安装提供福田窗帘安装。深圳福田办公窗帘,深圳福田办公室窗帘,福田窗帘_深圳岗厦窗帘,深圳窗帘,深圳南山窗帘定做,深圳福田窗帘定制窗帘,福田窗帘福田窗帘安装-福田窗帘安装

深圳窗帘安装;南山前海窗帘订做,前海家居窗帘定做,前海窗帘上门安装南山区前海地铁站附近厂房遮阳窗帘、百叶窗帘垂直帘订做

深圳市全国殡仪接送,深圳运遗体,运骨灰,殡仪馆租车

澳头纱窗安装制作,惠阳纱窗西区防盗门惠阳木门阳台推拉门纱窗上门设计,惠阳淡水金刚网纱窗- 惠州大亚湾建材服务防蚊纱窗总汇,惠阳纱窗主营:纱窗,窗花,护栏,铝艺制品惠阳区防蚊纱窗找纱窗纱门窗花纱窗厂,主要经营:惠阳窗花纱窗批发、淡水铝焊窗花

前海湾门窗制作,皇庭港湾纱窗安装,南山纱窗门窗定做,后海纱窗安装门窗维修定做,后海纱窗安装.华侨城纱窗门窗安装,食堂纱窗安装,餐厅纱窗安装,酒店纱窗安装,深圳门窗制品安装

光铭管线技术有限公司是专业从事地下自来水消防管道漏水,进行查漏技术服务的队伍。地下管道年久失修,产生漏水怎么办?如果考虑经济利益原因的话,漏水检测就是解决管道漏水的唯壹方法。漏水检测,即通过应用专业设备和仪器,查找地下供水管道漏水的一种方法,也是目前地下管道已经产生漏水问题解决的唯壹办法。

光铭管线技术有限公司提供专业漏水检测技术服务,主要从事广东各地大小物业单位和市政的地下水管漏水检测服务及管网普查服务;公司引进的各类探测仪器均属国际壹流的同行类仪器,配合技术壹流、经验丰富的工程师队伍,可在蕞短的时间内准确定位漏水点。

西乡窗帘安装;安装窗帘平台_师傅在线接单西乡家庭窗帘安装西乡遮光窗帘安装_家居布艺窗帘_办公百叶窗帘定做西乡写字楼布艺窗帘安装上门安装 办公窗帘安装哪里有西乡窗帘店做窗帘安装、工业园窗帘、写字楼别墅窗帘,广东深圳福永沙井松岗公明西乡宝安上门安装窗帘,卷帘,布艺窗帘,豪庭居安家窗饰窗帘产品有手动和电动窗帘系列。

深圳南山窗帘,深圳南山百叶窗帘,深圳百叶窗帘安装深圳南山区窗帘专业做窗帘、南山办公室窗帘定做深圳南山窗帘、南山做窗帘、南山科技园窗帘~南山科技园会议室垂直窗帘

食堂纱窗安装,餐厅纱窗安装,酒店纱窗安装,深圳门窗制品安装;豪庭居安门窗龙华铝合金门窗,龙华塑钢门窗,龙华隔音玻璃门窗封阳台安装 豪庭居安门窗工程部专业加工制作铝合金门窗,塑钢门窗,所用的铝材均采用国内品牌,客户来电洽谈惠顾!可以预约免费上门测量尺寸.

石岩窗帘安装遮光窗帘,石岩安装窗帘;石岩窗帘工厂订做?石岩那里有订做办公卷帘呢!你是否为了在石岩这繁华地段寻找窗帘店面呢,亲、没有的的。石岩这周围都是办公楼的,没有做窗帘的。

深圳南山窗帘,深圳南山百叶窗帘,深圳百叶窗帘安装深圳南山区窗帘专业做窗帘、南山办公室窗帘定做深圳南山窗帘、南山做窗帘、南山订做定制窗帘

食堂纱窗安装,餐厅纱窗安装,酒店纱窗安装,深圳门窗制品安装;豪庭居安门窗,宝安铝合金门窗,宝安纱窗门窗,宝安隔音玻璃门窗封阳台安装 豪庭居安门窗工程部专业加工制作铝合金门窗,塑钢门窗,所用的铝材均采用国内品牌,客户来电洽谈惠顾!可以预约免费上门测量尺寸.

深圳市回收冬虫夏草 地点福田丶罗湖丶南山丶宝安区价格高

岗头纱窗安装门窗定做岗头纱窗安装;深圳装修公司_深圳装饰公司_办公室装修_厂房装修深圳装修安装公司

龙岗窗帘订做厂家_电动窗帘|深圳电动窗帘厂|深圳办公窗帘|深圳窗帘|深圳办公窗帘厂家深圳窗帘,深圳龙岗窗帘,深圳电动窗帘,深圳办公窗帘龙岗窗帘智能窗帘 _智能窗帘控制系统龙岗周边窗帘批发|龙岗窗帘|龙岗家居窗帘|龙岗窗帘厂家|龙岗电动窗帘阳光房|户外遮阳帘-电动天棚帘批发-办公窗帘生产厂家龙岗周边窗帘

深圳卓权知识产权代理有限公司拥有一批经验丰富、专业能力强、效率高效的服务团队,更有广泛良好的社会关系和专业指导力量,从而能够为客户提供较全面、较优质的专业服务。 工商代理业务: 1、企业工商注册登记(...
联系人:张经理 深圳鹏盛专业服务集团(以下简称鹏盛)系经国家有关部门批准成立的专业服务机构,具有深圳市财政局颁发的会计师事务所执业许可证书;国家税务总局颁发的税务师事务所执业证书;广东省财政厅颁发的资...
深圳市敏智财务咨询有限公司致力于打造一家专业的财税公司,每一家客户都是专人负责,会根据当时的政策给客户提供政府补助申请。根据每家公司不同的情况提供税务规划,有效的进行合理避税,做到客户满意,服务至上的...
深圳卓权知识产权代理有限公司由广东卓权律师事务所知识产权部人员组成,卓权律师事务所是经过多级司法部门批准的律师机构,因为公司业务需要,因此成立了深圳卓权知识产权代理有限公司,是一家经深圳市财政局批准、...
深圳市敏智财务咨询有限公司代理范围:小规模企业、一般纳税企业、无财务、无会计的中小型企业、个体经营者等;成本核算;整理帐目,可一条龙服务也可单项服务。会计具备为外资企业、内资企业、外资企业代表处及事业...
深圳卓权知识产权代理有限公司由广东卓权律师事务所知识产权部人员组成,卓权律师事务所是经过多级司法部门批准的律师机构,因为公司业务需要,因此成立了深圳卓权知识产权代理有限公司,是一家经深圳市财政局批准、...
深圳卓权知识产权代理有限公司是中国一体化企业财税服务平台,为中小企业提供包括代理记账、工商注册、工商变更、税务审计、税务代办、商标注册等高效的一体化财税服务。 【服务内容】 1、工商注册:各类新企业注...
深圳市敏智财务咨询有限公司专业为中小企业提供办理公司注册、代理记账、代理报税、整理乱账、内部审计、财务咨询等服务。为您解决注册过程中所能遇到的所有疑难问题,让您无忧无虑地畅游于商海之中。 公司业务范围...
深圳卓权知识产权代理有限公司自成立以来,已为上百家企业提供了注册、变更、注销、验证、摆账、代账、税务筹划等专业服务,并以优质的服务获得了客户与各级政府的好评。 记账服务内容: 1、记账、报税。 2、每...
深圳市敏智财务咨询有限公司专业为中小企业提供办理公司注册、代理记账、代理报税、整理乱账、内部审计、财务咨询等服务。为您解决注册过程中所能遇到的所有疑难问题,让您无忧无虑地畅游于商海之中。 公司业务范围...