欢迎光临
币圈最新消息

为什么通过安全审计的项目还是会被攻击?

原文作者: Haotian(Twitter:@tmel0211),区块链安全从业者

年底安全事件一个个接踵而至,黑客估计是怕市场熊的没钱了,以亿为单位先把年终奖领了。有人要问了,Rabby、TempleDAO、Mango 这些被攻击的项目,都是被安全审计过的,为何还被攻击了?有人甚至借此非议安全审计没意义,作为多年区块链安全行业的从业者,简单说两句:

1、各位看官得先调整预期,安全审计不可或缺,但审计完了也绝不可能一劳永逸。攻击和防御工事完全不是一个量级。我们看安全公司的 audit report 会发现,几乎每一个项目都能找出 1 个严重漏洞,2-4 个高风险漏洞,还有若干中等以及低级别的漏洞。你能说,这些漏洞发现没意义吗?有,但更多是降低安全风险!

2、有人会在东窗事发后说,漏洞这么简单,为何没被发现?这个问题很复杂,安全审计基于已有的工具,已有的经验进行逻辑审查,扫除代码缺陷,排查诸如溢出、重放、验签等常规漏洞。但 defi 等协议难的并非代码,而是复杂的金融业务逻辑,比如流程管控,外部组合嵌套,市场操纵等,超出安全公司的业务范畴。

3、区块链生态存在形形色色的组合,开源+非开源,已审计项目+非审计项目,链下 validator+链上执行等等,很多项目给安全公司的审计也都只是模块化展开,比如审计开源的部分,那未开源的部分呢?因链下流程影响到链上执行呢,因市场交易深度问题导致市场被操纵呢?出了事,不可能全部让安全公司背锅。  

4、可怕的是很多项目方,找安全审计的目的并不纯,只是希望拿到一份所谓的「安全背书」,抱有这样的心态做项目,其在自身安全防备上的投入可想而知。出了问题又一副我找 xx 头部安全公司审计过的无辜嘴脸,试问,项目本身在安全防御+加固+应急响应上的投入有多少呢?我想这才是安全事件屡见不鲜的根本原因;  

5、其实,行业生态大的威胁并不全是黑客攻击,更多是安全意识薄弱造成的「人祸」,比如某些项目一旦遭攻击就会传出 rug 消息,我们司空见惯的网络钓鱼受诈骗等等,这些压根就没法统计,如果把人为 rug、网络钓鱼、网络勒索、资金盘诈骗等等一系列安全损失都统计起来呢?其安全威胁丝毫也不逊色于黑客;  

6、在我看来,加密行业安全问题路漫漫其修远兮,我们预期的生态是,项目自身安全防护+第三方安全审计预防协助+用户人人皆有安全意识,行业从根本上变得更「安全」。但事实上,安全公司压根不是 security 建设者身份,安全公司能作为修理工,桥塌修桥,路断补路就不错了。安全生态需要每一个参与者共同守护。  

赞(0)
本文版权归原作者所有,不代表BT268(BT268.com)观点和立场;如有关于内容、版权等问题,请与我们联系。币圈最新消息 » 为什么通过安全审计的项目还是会被攻击?