DeFi 用户应该向开发者提出的质询

过去几个月来,DeFi 生态经历了巨大的动荡,数次攻击之下,许多未被利用过的缺陷也被报道出来。

虽然代码中无可避免会有 bug,但还是有很多方法能降低缺陷发生的频率,以及降低缺陷带来的负面影响。

作为一个审计员,我们想要帮助 DeFi 用户问一些比较尖锐的问题;问这些问题的目的,一方面是让开发人员认真去考虑系统安全性的优先级,另一方面,让用户能分辨出回答得好的协议,然后把钱投入这些协议。

以下问题能帮助用户了解 DeFi 开发团队对于安全性的立场,答案不一定有对错之分,而且也不是每个团队(or 独立开发者)都有资源全盘顾及所有方面。但不论如何,用户有权利知道这些信息,来决定自己愿意承受的风险。

我们希望通过以下提问,促使后续开展更多正面的讨论。

管理员权限

大部分的主流 DeFi 协议都存在一些中心化的机制——允许特定的 “管理员” 地址以强硬的手段干预协议的运行。

这样做虽然在安全上有好处,但这意味着你必须相信这些 “管理员” 不会滥用他们的特权;而且但凡这些管理员遭到黑客攻击,他们的私钥泄露所带来的后果会更加严重。

萨尔瓦多总统:比特币法案中第 7 条仅针对大公司:金色财经报道,去年9月使比特币在萨尔瓦多成为法定货币,其中包含了一个具体的规定,当任何获得商品或服务的人向他提供比特币时,每个经济代理人都必须接受比特币付款。该法案推出后,加密社区中包括以太坊创始人V神在内的多位联合创始人批评第 7 条,并称该条款违背了自由的理想。

而在最近的一次采访中,萨尔瓦多总统Nayib Bukele澄清说,该规定只适用于大公司,小商家可以做任何他们想做的事情。这项法律甚至没有被执行,也没有任何计划在短期内执行。但是,它确实提供了在需要时对 \"大公司 \"或 \"大银行 \"执法的能力。[2022/5/26 3:42:24]

管理员账户可以是以下几种形式:单一地址、多重签名钱包,或是由 DAO 管理的投票过程。那么,

1.管理员能采取哪些措施?

暂停整个系统?

修改账户余额?

设置 代币/用户 的 白名单/黑名单 ?

升级某个子系统?

升级整个系统?(等同于万能...)

其他权限?

2.如果采取上述行为,是否有延迟执行机制?

3.如果有延迟时间,那是多长?

BTC突破31600美元关口:火币全球站数据显示,BTC短线上涨,突破31600美元关口,现报31602.2美元,日内涨幅达到0.67%,行情波动较大,请做好风险控制。[2021/1/22 16:47:02]

4.多少人有管理员权限?

5.采取上述行为前,需要经过多少管理员同意?

6.有哪些权限是由链上治理程序(即 DAO)来掌控的吗?

7.我该去哪里了解提议更新协议的提案?

以上某些问题的回答已经可以通过 DefiWatch 跟踪了解。

外部依赖

因为是公开的网络,以太坊上充斥着不怀好意的攻击者,因此开发者不能假设本系统外的合约一定会采取什么样的行为。但在许多 DeFi 应用中又不得不作出这样的假设,因为服务本身就是在已有的一些合约上建构出来的。

这些问题能帮助用户了解该项目在外部依赖上存在的风险。

1.你的系统依赖什么预言机(Oracle)?

2.你的系统依赖什么交易所?

3.你用什么第三方智能合约(如,OpenZeppelin)来建立系统?

4.你的系统支持哪些代币,你对这些代币(合约)的行为模式有怎样的预期?

可靠的的披露系统和奖励计划

对于才华横溢的黑客来说,攻击 DeFi 协议对他们有着强大的金钱诱惑。制定奖励计划能激励大家发现并揭露漏洞,而非钻漏洞。对于白帽黑客来说,通过激励系统揭露代码漏洞也是提高自身声誉的好方法 —— 既有好处又不违法。

任何公司要运行 DeFi 协议,或是涉及在线托管金钱的业务,都应该设有奖励系统。你可以就他们的奖励计划及披露流程提出以下问题:

1.你们的合约代码能够被所有人看到吗?

2.从你们的网站和 git 代码库,能够很容易找到安全的联系方式吗?

3.你们的合约有没有设置奖励计划?

4.哪些合约在奖励计划内?

5.奖励计划具体金额是?

6.你们是否支付过奖励计划的奖金?

7.对于 bug 报告,你们是否曾拒绝支付过?

8.从你们的网站和 git 代码库,能够很容易地找到奖励计划的详细信息吗?

理想情况下,这些信息应该放在 “website.com/security” 页面下,而且能搭配 Github 的 SECURITY.md 功能使用。

应急预案

当面对某些安全突发状况的时候,新消息如潮水般涌来,用户持续在 Twitter、Telegram、Discord 上提出棘手的问题......,这时候开发者很难头脑清楚地应对突发状况。

所以如果有应急预案的话,就能证明项目正朝着安全方向发展。要求项目公开他们完整的计划可能不太现实,但我们还是能提出以下基础的问题去侧面了解:

1.你们是否有处理突发安全事件的计划提纲?

2.你们的应急预案适用于哪些紧急情况?

3.如果你们的系统是可升级的,这些升级步骤是否记录在案?

4.如果你们发现某个系统漏洞可能让资金面临风险,你们是否能通过应急预案先发制人,保护资金安全?

审计与安全发展

审计并非万灵丹,而且审计的内容总多多少少有点区别,但对于部署任何的 DeFi 合约之前,进行审计是至关重要的一步。

下面的问题不一定有 “正确答案”,但学识渊博的社区群众们,应该能从项目的回答中看出开发团队对于安全性的立场。

1.你们最近一次审计是什么时候?

2.这次审计投入了多少精力(以标准开发者的一小时来做单位)?

3.哪个机构做的审计?

4.审计报告公开吗?

5.你们系统中有任何部分是没有被涵盖在审计的范围内吗?

6.最近一次审计之后,你们有对合约进行更新吗?如果有,更新了什么?

7.你们有和哪个安全团队进行长期合作吗?

8.在合并代码之前,开发者会彼此做 code review 吗(至少检查 Solidity 文件)?

9.你们的合约代码中,做过单元测试的比重是多少?

10.审计过程中,你们用过其他的安全分析工具吗?

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

比特币黄金三连跌 比特币问世以来首次跌破对数趋势线

当地时间3月11日晚间,世界卫生组织总干事谭德塞在日内瓦召开的新闻发布会上宣布,新冠肺炎(Covid-19)疫情已经构成“全球性大流行”。 截至发布会召开时,按照世卫组织收到的各国通报,全球已确诊11.8万例新冠肺炎,波及110多个国家,导致近4300人失去生命。 疫情的加速蔓延也进一步挫伤了全球股市。

Bitcoin澳大利亚税务监管机构将提醒加密货币持有者报税

在未来几周内,成千上万的澳大利亚加密货币投资者将收到来自澳大利亚税务局(ATO)的通知以提醒他们申报加密收益。 据news.com.au报道,ATO在2019年发布了关于加密货币征税的指导框架,将比特币和其他加密资产定义为应税财产。此外该机构还发布了一种加密货币数据匹配协议,用于从加密交易所获取交易数据。

币安app下载金色深度丨给暴跌的比特币找个新出路:DeFi

金色财经  区块链3月16日讯  2020年二月初,去中心化金融协议(即DeFi协议)创造了一个值得关注的里程碑:其中锁定资产总价值达到了10亿美元。实际上,作为一种新型交易工具的去中心化金融协议和去中心化金融平台为不过是在一、两年前刚刚出现在加密货币市场上,所以取得这样的成绩的确令人惊叹。

火币网下载官方app新冠疫情冲击美国本土:CME暂停线下交易 Coinbase等开启远程办公

随着新冠疫情在全球范围的大爆发,与加密货币相关的公司和组织也在改变其业务方式。 根据CNBC今日报道称,已推出比特币期货交易的芝加哥商品交易所(CME)宣布将从3月13日起暂停交易大厅的交易。 CME表示,这一决定是为应对新冠疫情而做出的。目前美国各地的金融市场都遭受了疫情的严重影响,截至发稿时,道琼斯工业平均指数在24小时内下跌1500点。

[0:31ms0-3:816ms