文：Ignas | DeFi Research
编译：Zion
责编：karen
来源：medium
FTX的崩溃证明了自我托管和风险管理的重要性。
但是，在DeFi中，有许多漏洞、rug pull、合约bug，如果你不小心，就很容易赔钱。
本文将分享如何评估DeFi协议的安全性，保护你的资产。
如果你是一个经验丰富的智能合约开发者，并且能够自己验证代码，那就太好了。但我们大多数人都不是。
这让我们别无选择，只能根据其他数据来评估项目，这涉及到一定程度的信任。
大多数人对DeFi项目的评估依据是存入智能合约的价值，这已经不是什么秘密了。因此，TVL是信任的终极证明。
韩国金融监管局今日将与各交易所开会讨论如何判断加密资产的证券属性:6月2日消息，韩国金融监管局（FSS）将于今日召集Gopax、Bithumb、Upbit、Korbit、Coinone等5家加密交易所与数字资产交易所协会DAXA举行非公开会议，就判断个别虚拟资产的证券属性的细节问题等进行讨论。FSS计划在审查虚拟资产证券时提出注意事项，并分享Upbit和Korbit等虚拟资产交易所自行判断证券的例子。[2023/6/2 11:53:48]
总锁定价值越高，协议的隐含安全性就越高。如果有大量的钱被存入，这意味着“有人”做了尽职调查，该协议是安全的。
不幸的是，它给人一种虚假的安全感。高TVL协议容易遭黑客攻击。同时，低TVL并不意味着协议不安全。
看看按TVL排名的头部DeFi协议。
谷歌搜索趋势：如何购买黄金和比特币的搜索量激增:金色财经报道，在美国银行业动荡期间，谷歌趋势显示与黄金收购相关的搜索量显着激增，搜索查询在 2023 年 4 月的第一周达到满分 100。同样，搜索两周前，即 2023 年 3 月 20 日，术语“如何购买比特币”达到了相同的分数。除了黄金，谷歌趋势数据还显示，人们对黄金的兴趣在搜索词“如何购买比特币”中的排名也有所上升，根据 90 天的统计数据，在 2023 年 3 月 20 日达到了 100 的高分。Bitcoin.com News数据显示，从 3 月中旬到 4 月，搜索查询“比特币”也在增加。[2023/4/28 14:32:37]
你认为TVL代表安全/保障水平吗？
是否有任何协议你不放心存入你的资金？为什么？
如果基于你在网上读到的内容做判断，你可能会产生偏见。
“不信任，要验证”是我们进行智能合约审计的原因。
听证会 | 扎克伯格：还未确定如何处理错误交易的最终政策:金色财经直播报道，在今日听证会上，议员Bil Foster询问了有关如何处理错误交易。扎克伯格说，他不确定是否已经为此制定了政策。已对此有所考虑，但还没有确定”最终政策。[2019/10/24]
如果不是这样，我们可能不需要审计，因为代码是开源的，社区可以发现代码中的所有问题。然而，社区可能没有正确的动机、激励或专业知识来验证代码。
审计人员应该具备正确的技术专长，但最终，我们也必须相信他们会把工作做好。
还记得推特对Certik的抵制吗？因为经过他们审计的一些协议最终被黑客入侵了。
审计公司也在建立自己的声誉。如果他们审计并评估为安全的协议被攻击了，那就说明缺乏专业性。事实上，Certik已经审计了3422个项目，因此难怪其中一些项目遭黑客攻击或出现漏洞。
声音 | 埃森哲报告：银行目前正评估如何使用区块链支付:据bitcoinexchangeguide消息，埃森哲(Accenture)最近进行的一项调查发现，近90%受访银行高管表示，他们各自的银行目前正在评估使用区块链技术执行支付的想法。大多数高管认为区块链必须提供的长处包括：降低加工成本、错误数量减少、业务处理速度更快。报告还指出，中国26家上市银行中有12家已经在治理框架内实施了区块链技术，其中包括中国银行和招商银行等大银行。[2018/11/3]
仅仅进行审计并不意味着协议是安全的。我见过一些项目自豪地宣布“已完成审计”，但当你阅读审计报告时，安全评分实际上很低。
经验教训是不要盲目相信公告，而是通过阅读实际的审计报告来验证结果。
大多数人都不看审计报告。
Certik有一个包含所有审计项目的仪表板。你可以查看“信任得分”，数字越高意味着越安全。
英国央行希望了解实时总结算服务如何与分布式账本技术进行交互:据英国央行的声明显示：英国央行正在进行一项概念验证，并希望了解实时总结算服务(RTGS)如何与分布式账本技术进行交互。2017年5月时，英国央行曾发布了RTGS蓝图，表示新服务将提供“多样化和灵活的结算模式”，随后，央行宣布要开发一种与区块链技术兼容的支付服务，但在最近的声明中，英国央行拒绝了要将业务迁移至分布式账本的提议。[2018/3/29]
https://www.certik.com/
Hacken等其他审计机构也有类似的仪表板，或者你可以简单地阅读审计摘要。看看这个示例，由Paladin完成的Trader Joe的审计。
你可以在这里看到，Trader Joe修复了高、中等严重性问题，但并非所有低严重性问题都已解决。
https://paladinsec.co/projects/trader-joe-launchpeg/
评估安全性还需要更多：
?充分测试
?赏金活动
?文档透明
?管理员控制
?Oracle文档
还有更多……亲自验证这一切简直是噩梦。
我真的很喜欢DefiSafety正在做的事情。其Process Quality Review对协议进行验证，并对其进行安全评分。
https://www.defisafety.com/app?orderBy=finalScore
根据PQR的结果，Liquity Protocol、Synthetix和Angle Protocol是所有经过验证的DeFi协议中最安全的。
在DefiSafety上，您可以检查每个元素，并查看协议得分最高/最差的地方。
例如，Liquidy仍需要形式化验证(Formal Verification)。
此外，你可以从在Exponential DeFi上对你的投资组合安全进行评级开始。
它的“评估我的钱包”功能为你提供当前投资的自定义风险分析。例如，Tetranode的450万美元资产存入在风险较高的（C级）协议。
Elemental DeFi根据项目评估打分。评估考虑了资产风险、代码质量和资产存放的区块链的安全。
我喜欢他们简单易懂的风险解释。
例如，看看Abracadabra的MIM。它警告说，SPELL被用作抵押品，可能导致坏账。
最后，我建议加入项目社区群组，并询问以下问题：
他们有保险基金吗？
他们会回避问题吗？
他们在做什么来提高安全性？
我问过Stargate团队是否有保险基金，以防他们被黑客攻击，但有时比我想象的更难得到答案，这是危险信号。
但无论发生什么，DeFi还很年轻，所以最好不要将所有资产都放在一个协议中。
CT中文
个人专栏
阅读更多
金色早8点
金色财经
去中心化金融社区
CertiK中文社区
虎嗅科技
区块律动BlockBeats
念青
深潮TechFlow
Odaily星球日报
腾讯研究院
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。