区块链安全何去何从？CertiK为你在线答疑！

北京时间1月20日下午13:00， CertiK与DuckDAO联合举办AMA在线问答活动。

CertiK嘉宾——商务主管Marco Calicchia、CertiKShield项目主管Connie Lam和产品经理Aaron Leibowitz出席活动，共同探讨区块链安全应该何去何从。

嘉宾介绍：

DuckDAO社区代表——Limmy

大家好，我是Connie!

我是CertiKShield项目主管。

我的区块链职业生涯始于2017年。我最初加入CertiK时是一名高级软件工程师，当时参与了大量的DeepWallet也就是我们CertiK钱包的开发以及项目安全审计等工作。

在加入CertiK之前，我曾在美国Comcast，也就是相当于中国移动，担任高级全栈工程师，负责Comcast广告定位平台，当时所参与的项目影响了400多家机构。‍‍‍‍‍大家好，我是Aaron Leibowitz！

2013年我开始进入区块链领域，在2014年成立了区块链教育网络中的第一批俱乐部之一（杜兰大学）。近期加入了CertiK团队，担任产品经理。

大家好，我是Marco Calicchia，CertiK商务主管，主要负责审计和CertiKShield。2016年我作为社区经理加入了一些ICO，也因此创办了一个社区管理团队。在2017-2019年间，我协助管理了40多个项目。

DuckDAO整理了一系列各位观众高质量的疑问，CertiK嘉宾为大家解答了疑问，并且分享了CertiK在区块链安全领域内做出的努力和创新。

相信在屏幕前的大家也都有同样的疑问，让我们一起回顾本期⚡AMA问答活动⚡吧：

Limm

我们都知道CertiK针对安全，开发了一系列的服务和产品。其中包括：CertiK预言机、CertiKShield、Skynet天网扫描系统、CertiKOS、CertiK虚拟机（CVM）、DeepSEA语言及其编译器。

可以为我们简单介绍一下吗？

Connie Lam

当然可以。

CertiK的去中心化安全预言机提供的安全分数可用于帮助用户获取安全情报，从而做出重要决策。

CertiKShield是一个基于会员资格的去中心化资产保障计划，旨在为区块链网络上丢失或被盗的加密资产提供补偿。

Skynet天网扫描系统作为一项CertiK独立开发的最新安全工具，由静态与动态双重技术提供支持，并通过安全基元生成安全评分。

CertiKOS作为世界上第一个完全被验证的并发式多核操作系统，被证明能够完全抵御黑客攻击。

CertiK虚拟机 (CVM)是由CertiK Chain开发的智能合约平台。可以公开智能合约和区块链的安全信息，以动态方式确保区块链和智能合约安全性，同时其可与以太坊虚拟机完全兼容。

DeepSEA是用于编写可验证智能合约的新语言，它是一种新型函数式编程语言。目前1.1版本的DeepSEA编译器也已经正式发布。

Limmy

CertiK已经对很多优秀的区块链项目进行了审核。

那么如果用户想要找到CertiK审核过的项目列表应该怎么做？CertiK审计的流程是怎样的呢？

Marco Calicchia

区块链的核心本质之一是透明，我们的审计工作也完全贯彻这一点。

多数经过审计的项目可以在我们的安全排行榜门户网站上进行查找：

https://certik.foundation/

CertiK的审计目标是审查项目代码的实施情况，审核其总体设计和架构，研究其潜在的安全漏洞，发现可能危及项目的错误。

审核过程中特别注意以下几个方面的考虑：

1. 针对常见和不常见的攻击载体测试智能合约。

2. 评估代码库，以确保符合当前的最佳做法和行业标准。

3. 确保合同逻辑符合客户的规格和意图。

4. 将合同结构和执行情况与行业领军企业发布的类似智能合约进行交叉对比。

5. 对整个代码库进行彻底的逐行人工审查。

Limmy

我曾见过许多项目被审计过后，投资者一看到被审计就匆匆忙忙的投入项目。

但是我们都知道安全审计是一个持续的过程，那么在这个过程中，人工审计是否重要呢？

Aaron Leibowitz

这是一个很好的问题。

人工审计是非常重要的。

许多漏洞都集中在业务逻辑的漏洞上，而这些信息是自动代码审查无法捕捉到的。

一个优秀的审计过程必然需要理解业务逻辑并对代码进行彻底的人工审计。

人工审计也是优秀安全审计师和普通审计师的最大区别。

Limmy

关于CertiK安全预言机，你们是直接与Chainlink这样的去中心化预言机网络竞争，还是有可能合作或是利用彼此的优势？

Connie Lam

我们先来看一下预言机是什么。

你可以把预言机看作是全球安全专家的共识。

他们分析和评估智能合约的源代码，从而实现对合约安全性的审查。

Marco Calicchia

简单的对Chainlink和CertiK进行区分的话：

Chainlink是一个去中心化针对价格数据的预言机，而CertiK的的预言机是为安全服务的，它所体现的数据是安全洞察。

打个比方，对于电动轿车来说，大家都会选择特斯拉，是因为丰田不做电动车吗？

不是，只是因为特斯拉这个名字代表的就是电动轿车。

而CertiK同样，作为以安全为核心的安全公司，安全体现在CertiK每一项业务的方方面面。

Aaron Leibowitz

CertiK基金会的使命是通过推动采用可证明的安全软件从而让区块链得到用户的信任。

我们鼓励所有期望为区块链安全生态出力的人才加入CertiK团队，一起为提高整个区块链领域的安全标准而努力。

Limmy

当CertiK获取安全数据时，是否有与其他大型专业审计公司合作的计划，像普华永道、毕马威等？

还是说这些实体参与这个领域还为时过早？

Aaron Leibowitz

这个问题问得很好。

我们曾与四大公司之一进行过商谈。

他们的审计部门当时还没有为区块链领域做好准备。

这些大型的审计公司目前依旧专注于机构及私人的金融状况，但我们专注于去中心化世界。

Limmy

CertiK领先于竞争对手的一些关键功能是什么？

平台的竞争优势是什么？

Connie Lam

CertiK的端到端安全和业内领先的安全技术为区块链项目提供了唯一且全面的安全解决方案，出具的审计报告被大多数交易所所认可。

Marco Calicchia

我们的三步流程可以全方位保护项目方的资产：

1. 在部署前，针对项目进行全方位的审计。

2. 在合约上链交互时，安全预言机为其提供动态监控。

3. 以防任何意外发生， CertiKShield随时可为项目提供灵活的保障。

Limmy

如何保持安全认证者内部的去中心化？

一个新的安全认证者可以由其他验证者投票加入。同样，也可以通过安全认证者的投票来移除一个安全认证者。

那么第一批安全认证者是如何被选中的？他们是CertiK基金会的一部分吗？

Aaron Leibowitz

安全认证者的权力下放将通过三种主要方法实现。

一、必须通过链上治理进行认证者投票及删除。

这个过程中，认证者的投票权重是由股权价值决定的。这也保证了认证者不会偏离链的根本利益。

其次，在其他认证者一致同意的情况下，会根据认证者的能力和贡献，以及链上的需求，进行认证者的删除和添加。这可以保证各认证者之间的平衡。

第三，随着形式化验证技术的发展，以及与CertiK Chain的整合。

安全治理将越来越多地被扩展引入，以补充甚至取代认证者的人工操作，可以大大提高认证者的工作质量和效率。

首批安全认证师是基金会根据该组织对基金会和产业链的参与度和贡献度，以及未来可能做出的贡献来选择的。

他们中的一些人也可能同时担任基金会董事会的职位。

Limmy

当CertiKShield会员因合约失误而蒙受损失，想要获得赔偿时，需要提交一份理赔提案。

如果这个会员是非技术性的，在对这个损失发生的原因一无所知的情况下，怎么能提出有根据的索赔呢？会很容易被拒绝索赔吗？

Connie Lam

CertiKShield并不要求会员提交理赔提案时详细说明事故的起因，安全理事会的成员负责调查以确认造成损失的主要原因。

但理赔提案必须提出可以证明其损失的有力证据。

当然，在事件发生时，必须是在你所购买的CertiKShield时间期限内。

Limmy

能否详细说明CertiKOS的创新？

今天有哪些人在使用CertiKOS，你认为这项技术将会对我们产生什么深远的影响？

Connie Lam

CertiKOS最初是由我们的创始人在耶鲁大学开发的。

目前它是世界上第一个，也是唯一一个通用并发操作系统和管理程序，它的安全性和正确性得到了完全的验证。

CertiKOS从数学层面上保证了操作系统的无缺陷状态和功能，使其免受基于软件缺陷的攻击。

它已经在自动驾驶汽车、无人机、认证验证等学术、政府和商业场景中投入使用。

当然，它也一直运用于CertiK Chain，并将能够服务于其他区块链。

如DeepSpec和并发认证抽象层，CertiKOS背后的方法论已经被广泛采用。

它创造了许多认证系统软件，如认证KVM管理程序、认证CPU固件、认证飞地、认证文件系统等。

当然，还有认证区块链软件。

这些都是真正的突破性技术，将引起世界计算基础设施的可信度、安全性和动力的格局的飞跃式发展。

Limmy

在币安的私有网络上分享你的项目对社区有什么影响？

CTK币与CTK BEP20，这两个网络的成交量如何？

Aaron Leibowitz

币安社区为CertiK带来了越来越多的优秀人才，促使更多的优秀项目与我们进行合作。

相当于CTK的BEP20增加了额外的一层灵活性、实用性和开放性，CTK暂时还做不到这一点。

Limmy

区块链的开源、透明性，无意中创造了一个容易被恶意利用代码的环境。

能否分享一下关键的bug和漏洞，以及我们在部署代码时应该注意的事项。

Aaron Leibowitz

我们在2020年发现的关键bug分为三类。

逻辑错误，闪电贷和项目方欺诈。

一、逻辑错误只是底层代码中的缺陷。

这些错误出现会导致毁灭性的后果，尽管它未必是恶意设计的。最著名的例子可能就是去年的YAM finance事件了。

二、闪电贷允许黑客在没有任何初始资金的情况下初始化攻击。

通过利用闪电贷，黑客通过操纵去中心化交易所的LP代币价格来获利，而LP代币价格是通过价格预言机决定的。

三、项目方欺诈是最常见的。项目方可能会故意调用智能合约的显性或隐性后门功能来获利。

Connie Lam

因此，我们建议：

使用强大的、被广泛采用的模板和第三方库来构建项目，例如openzeppelin库。

开发代码时，必须使用本地环境。必须检查并执行编译器版本和单元测试。

在部署之前，代码都应该进行良好而彻底的测试和注释，从而提高代码的质量。

在testnet上先用Remix、truffle或其他广泛采用的部署环境部署代码，将代码迁移到mainnet之前，要极其谨慎地检查testnet部署。Limmy

智能合约审计主要是查找已知的漏洞，那么如何评估潜在或是新型漏洞的风险？

有什么实用简单的技巧和建议可以给社区以及投资者们？

大家在投资项目时，需要注意什么样的警示？

Marco Calicchia

要评估漏洞的风险，必须考虑多方面的因素，包括：

1. 团队背景

2. 代码质量——在测试项目时是否采用形式化验证？

3. 项目是否依靠价格预言机确定代币价格？——项目的经济模型的质量、设计和执行情况。

Aaron Leibowitz我补充一下，还需要警示：

1. 合约所有人是否权限过大？

2. 项目是否被允许修改委托合约的地址？

3. 对合约所有者进行一个快速的背景调查——是否可以找到他们在链上的地址或是其他信息？

4. 项目的流动资金是否在一定时间内安全锁定？

5. 项目的初始资金来源？

Limmy

今天的访谈告一段落。

现在我们将开放AMA，让各位观众看看是否有问题想要询问CertiK团队。观众问答

Limmy

接下来是各位观众的时间。@S4dew4

预言机网络在使用时一般都有集中式瓶颈。

CertiK的去中心化预言机网络是否也有集中式瓶颈？

Aaron Leibowitz正如我们上面谈到的链式治理与强大的、去中心化的安全工程师相结合，让我们避免了本来会面临的集中式瓶颈。@Idee01

CertiK是币安智能链上唯一的保险项目。

如何评价币安生态圈对项目发展的贡献？

在支持下，CertiK能否成为世界顶级的审计公司？

Marco Calicchia我们的目标必然是成为安全领域的佼佼者。

币安实验室的支持使得我们生态系统和项目的发展具备了更大的优势。@Zidan30

CertiK的网络、社区、合作关系等拓展战略是什么？

如何确保CertiK基金会在未来2到5年及以后的时间里，保持顶级平台的地位，并与竞争对手保持同步？

Marco Calicchia目前，我们正在投入大量的时间来建设我们的去中心化社区、资金池，维护与各类企业的合作关系。

我们在发展步伐上一定会与竞争对手保持一致甚至更加超前。

我们计划开发并组建强大的去中心化解决方案，从而引领区块链安全建设。@QuyenCao93

CTK的必要性是什么？

CTK对于CertiK来说，它的主要作用是什么？

Aaron LeibowitzCTK作为CertiK Chain的原生代币，可以用于支付审计、参与社区治理和所有链上活动。

关于这个问题，可以在白皮书中找到详细解答。@ineed688btc

CertiK有什么即将到来的重大更新吗？

Aaron Leibowitz大家可以通过关注CertiK的官方媒体平台账号，来及时获取最新更新消息。@jlaudybell

用户在使用CertiK服务之前需要进行KYC吗?

Marco Calicchia

为了让用户的注册过程更加顺利，我们目前没有KYC。@kartika84

目前区块链上的智能合约开发面临哪些问题，CertiK如何解决这些问题？

双节点和跨链的区别是什么？

Aaron LeibowitzCertiK为不同的安全问题提供多种解决方案。

例如DeepSEA作为一种可证明的安全语言，在处理智能合约相关问题时，是一个非常好的解决方案。

而关于跨链部分，我们目前正在为该领域制定一些互操作性的安全解决方案。@Idee01

CertiKShield为因黑客或漏洞造成的资金损失提供补偿，补偿资金从哪里来？

Marco Calicchia

资金来自于CertiKShield的流动性提供者。他们质押CTK作为担保，将资金注入CertiKShield。

流动性提供者在质押的同时可以获得14%以上的年化收益，这会鼓励他们持续不断的为CertiKShield提供资金。

@aksakayak

能否提供一些关于CertiKShield的更多信息？

比如它是如何工作的，系统中需要包含哪些内容？

Aaron Leibowitz

CertiKShield是一个去中心化的链上资金池，用于补偿丢失或被盗的资产。在我们的微信公众号，有关于CertiKShield工作原理的完整解释。

@QuyenCao93

CertiK在2021年的计划是什么？

Marco Calicchia

2021年，CertiK将促使更多的区块链项目使用更多的安全服务和工具，为提高整个区块链生态的安全标准所作出努力。

同时，我们会和更多的业内领军项目进行合作。

2021年，CertiK也将欢迎更多的优秀人才加入我们的团队和社区，延续2020年的成功！

总结

在烽烟四起的加密领域，投资永远需要规避风险。

CertiK团队给大家提供以下几点安全隐患防范建议，作为参考：

首先，投资前评估自己的风险偏好和资金实力。切勿因项目火热并且出新频繁就在短时间内忽略自己对风险偏好的判断以及对风险承受能力的评估。

在投资前尽量做好项目的调研。

比如关注相关社区及媒体消息，是否有人对合约的安全性提出过质疑。兼听不同来源的不同声音，同时独立思考、积极辨识消息的真实性。

最直接的方法则是检查项目及其合约是否由著名安全团队进行过专业审计并取得较高安全评价。

除审计以外，投资者们应学会使用安全预言机等实时安全检测工具，做到对项目的安全情况了然于心。

最后，也需要关注项目是否购买了相关的保险计划，评估项目的风险承受能力是否达到标准。

无论是对于投资者还是项目方。

谨慎，会在某一天给你满意的答案。