文：Ignas|DeFiResearch
编译：Zion??????
责编：karen
来源：medium
FTX的崩溃证明了自我托管和风险管理的重要性。
但是，在DeFi中，有许多漏洞、rugpull、合约bug，如果你不小心，就很容易赔钱。
本文将分享如何评估DeFi协议的安全性，保护你的资产。
如果你是一个经验丰富的智能合约开发者，并且能够自己验证代码，那就太好了。但我们大多数人都不是。
这让我们别无选择，只能根据其他数据来评估项目，这涉及到一定程度的信任。
总锁定价值是安全的终极证明？
大多数人对DeFi项目的评估依据是存入智能合约的价值，这已经不是什么秘密了。因此，TVL是信任的终极证明。
Genesis Mining运营主管：无论交易费用如何，比特币都是很好的价值存储手段:针对比特币及其区块链网络是否能在不需要第二层解决方案的情况下作为一种价值储存手段被主流采用，比特币采矿公司Genesis Mining运营主管Philip Salter表示，无论交易费用如何，比特币都是一种很好的价值存储手段。费用越高，能够有效转移的最小价值也就越大。然而，如今比特币被更多地视为一种价值储存手段，而非数字现金。Philip Salter认为，这种观念的转变仍可能引发一些问题。他说：“几年前，由于交易费用实际上为零，所以1美元的存储和传输是可行的。目前，发送一笔交易很容易花费15美元，所以再发送1美元是不明智的。如果这一趋势继续下去，由于更多的比特币使用和更高的比特币价格，它将禁止普通金额的价值转移，它将只会成为非常大金额的有效价值存储。”Salter补充道：“这就是为什么我认为第二层解决方案不仅对于比特币作为货币的使用是必要的，而且对于比特币作为价值储存手段的长期可行性也是必要的。”（Cointelegraph）[2021/1/22 16:48:07]
总锁定价值越高，协议的隐含安全性就越高。如果有大量的钱被存入，这意味着“有人”做了尽职调查，该协议是安全的。
币情观察室 | 我是如何在18年4月带群友赚到上千万:4月15日19:00，行情大V 贝吉塔做客《币情观察室》直播间，将分享《我是如何在18年4月带群友赚到上千万》敬请关注，欲观看直播扫描下图二维码即可！[2020/4/15]
不幸的是，它给人一种虚假的安全感。高TVL协议容易遭黑客攻击。同时，低TVL并不意味着协议不安全。
看看按TVL排名的头部DeFi协议。
你认为TVL代表安全/保障水平吗？
是否有任何协议你不放心存入你的资金？为什么？
如果基于你在网上读到的内容做判断，你可能会产生偏见。
信任，但要验证？
大咖零距离 | 疫情行情下 如何使用缠论量化交易:2月15日9:00，金色盘面邀请缠论大师琛实投资做客金色财经《大咖零距离》直播间，将分享《疫情行情下 如何使用缠论量化交易》，敬请关注，欲进群观看直播扫描海报二维码报名即可！[2020/2/14]
“不信任，要验证”是我们进行智能合约审计的原因。
如果不是这样，我们可能不需要审计，因为代码是开源的，社区可以发现代码中的所有问题。然而，社区可能没有正确的动机、激励或专业知识来验证代码。
审计人员应该具备正确的技术专长，但最终，我们也必须相信他们会把工作做好。
还记得推特对Certik的抵制吗？因为经过他们审计的一些协议最终被黑客入侵了。
声音 | 阿里云研究中心战略总监：需思考如何让数据更充分 有效有序的流动起来:据腾讯科技报道，在人民网举办块链技术秋季论坛上，在谈及区块链与治理结构的关系时，阿里云研究中心战略总监杨军表示，从农业时代走来，如今更多人的精力是放在如何用数据提升大家的服务体验。在未来的数字经济时代，需要思考如何让数据更充分、更有效有序的流动起来，这又涉及到数据确权、数据隐私等方面。[2018/10/23]
审计公司也在建立自己的声誉。如果他们审计并评估为安全的协议被攻击了，那就说明缺乏专业性。事实上，Certik已经审计了3422个项目，因此难怪其中一些项目遭黑客攻击或出现漏洞。
仅仅进行审计并不意味着协议是安全的。我见过一些项目自豪地宣布“已完成审计”，但当你阅读审计报告时，安全评分实际上很低。
经验教训是不要盲目相信公告，而是通过阅读实际的审计报告来验证结果。
BM：对代理如何运作和“dApp开发者”如何计费的理解可能需要调整:北京时间今日凌晨，BM在开发者群发表对代理如何运作和“dApp开发者”如何计费的理解：
??1）所有CPU/带宽都是“执行操作的用户”；
??2）所有存储都按照dApp的选择向用户或dApp付费；
??3）dApp开发人员希望授权用户将带宽委托给用户；
??4）授权带宽理论上可以用于任何dApp。
现在想象一下，你是一个社交媒体公司，希望为用户提供免费账户。用户在您的网站上注册，您为他们创建一个区块链账户，然后将一些带宽委托给他们。您的应用可以选择为每个授权用户支付有限的存储空间，这使他们能够在他们需要携带自己的存储空间之前，拥有N份杰出的帖子和V张投票。如果您的应用不想为用户支付存储费用，则该应用可能完全是BYOS（注：Bring your own storage，使用你自己的存储）和BYOB（注：Bring your own Bandwith，使用你自己的带宽）应用。如果用户不继续他们的订阅或停止使用您的服务，那么您可以将带宽重新分配给其他用户。[2018/4/30]
如果不看审计报告呢？
大多数人都不看审计报告。
Certik有一个包含所有审计项目的仪表板。你可以查看“信任得分”，数字越高意味着越安全。
https://www.certik.com/
Hacken等其他审计机构也有类似的仪表板，或者你可以简单地阅读审计摘要。看看这个示例，由Paladin完成的TraderJoe的审计。
你可以在这里看到，TraderJoe修复了高、中等严重性问题，但并非所有低严重性问题都已解决。
https://paladinsec.co/projects/trader-joe-launchpeg/
审计只是一个开始
评估安全性还需要更多：
?充分测试
?赏金活动
?文档透明
?管理员控制
?Oracle文档
还有更多……亲自验证这一切简直是噩梦。
我真的很喜欢DefiSafety正在做的事情。其ProcessQualityReview对协议进行验证，并对其进行安全评分。
https://www.defisafety.com/app?orderBy=finalScore
根据PQR的结果，LiquityProtocol、Synthetix和AngleProtocol是所有经过验证的DeFi协议中最安全的。
在DefiSafety上，您可以检查每个元素，并查看协议得分最高/最差的地方。
例如，Liquidy仍需要形式化验证(FormalVerification)。
此外，你可以从在ExponentialDeFi上对你的投资组合安全进行评级开始。
它的“评估我的钱包”功能为你提供当前投资的自定义风险分析。例如，Tetranode的450万美元资产存入在风险较高的协议。
ElementalDeFi根据项目评估打分。评估考虑了资产风险、代码质量和资产存放的区块链的安全。
我喜欢他们简单易懂的风险解释。
例如，看看Abracadabra的MIM。它警告说，SPELL被用作抵押品，可能导致坏账。
如果有疑问，就问吧！
最后，我建议加入项目社区群组，并询问以下问题：
他们有保险基金吗？
他们会回避问题吗？
他们在做什么来提高安全性？
我问过Stargate团队是否有保险基金，以防他们被黑客攻击，但有时比我想象的更难得到答案，这是危险信号。
但无论发生什么，DeFi还很年轻，所以最好不要将所有资产都放在一个协议中。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。