獨家 | 如何讀審計報告之每個風險等級的實際案例_BTC:IBTC幣

前面我們和大家介紹了靈蹤安全對風險等級的劃分，有讀者看了一定會好奇：每種風險分別都是什么樣的呢？

在這篇文章里我們就每個等級的風險具體舉出一些案例來說明致命風險、高危風險、中度風險和低風險分別是什么樣的。

致命風險是所有風險中等級最高的、最危險的，它需要項目方即刻解決，不能拖延。

這類風險最常見的就是合約中一些明顯可能導致編譯無法成功、或者在邏輯中出現明顯錯誤導致代碼的運行邏輯無法正確完成的地方。這種風險不處理，項目方的合約幾乎不可能通過編譯運行或不可能正常運行。

舉例來說，在合約實現中，變量賦值類型的不匹配，編譯器版本定義導致的編譯問題等都屬于這類風險。

由于靈蹤安全在后期的報告中已經很少把這類風險寫在報告中，而是一旦發現就要求項目方立即解決，所以在我們后期的報告中很難直接看到這類風險，只在我們早期的報告中有這類風險的羅列。

獨家 | BTC 24h鏈上交易量上升65.62%:金色財經報道，據歐科云鏈OKLink數據顯示，BTC 24h鏈上活躍地址數總計1076438，較前日上升13.22%；鏈上交易量總計686023.6BTC，較前日上升65.62%；鏈上交易筆數總計333264，較前日上升15.83%；BTC鏈上活躍度上升。

截至上午10時，BTC全網算力約為121.68EH/s，較前日上升0.75EH/s，全網算力呈上升趨勢。[2020/8/4]

高危風險在危險程度上僅次于致命風險，它極有可能給項目帶來嚴重問題，也需要項目方解決。

這類風險最常見的就是合約實現中的邏輯錯誤，比如計算錯誤等。

舉例來說，質押挖礦是很多DeFi合約中都有的功能，質押挖礦的基本邏輯是用戶將某個數字資產抵押進礦池，然后合約會根據用戶抵押的資產占總抵押資產的比例來核算用戶該拿到多少獎勵。如果這個比例計算錯誤或者實現有誤，用戶無法拿到正確的獎勵，就會嚴重影響項目的聲譽。

獨家 | 李煉炫：暫未觀察到中國市場利率變化會對比特幣價格產生明顯影響:2月4日，針對“央行開展1.2萬億元公開市場逆回購對市場的影響”問題，OKEx高級研究員李煉炫在接受金色財經專訪時表示，逆回購可以增加市場流動性，降低市場利率，從而刺激經濟增長。中國市場利率的變化目前暫未觀察到會對比特幣價格產生明顯影響。[2020/2/4]

高危風險現在也很少會被我們羅列在報告中，而是我們一旦發現這類風險就會要求項目方立即修正。讀者可以在我們早期出具的報告中看這類風險的詳細舉例。

中度風險相較于高危風險等級又次一級，它有可能給項目帶來潛在問題，最終還是要項目方解決。

這類風險比較常見的有管理員權限控制的問題。

獨家 | 智能合約權利集中在一人手中還是去中心化嗎:近期有部分智能合約具有“上帝賬戶”的話題在網上被熱炒，引起用戶的廣泛關注。降維安全（www.johnwick.io）站在第三方的角度對此熱點事件進行了分析。

1、事件起因：7月9日，Bancor去中心化交易所Token被盜，平臺方為了追回被盜資產，利用管理員權限鎖定了被盜資產，從而引發了平臺方管理員權限過高的討論。部分安全公司對此行為進行聲討，認為高權限賬戶完全背離了區塊鏈去中心化的核心思想，對眾多用戶資產安全造成了嚴重的安全威脅。

2、降維安全認為：

1）拋開業務談安全是沒有意義的。比如：有些項目方在升級智能合約時，確實需要通過新的智能合約高權限賬戶為舊合約的用戶進行空投，在升級完成后再將此賬戶禁用。要開展此類業務就無法離開高權限賬戶。

2）權限應與業務發展相匹配。隨著業務發展，初期的高權限賬戶應該逐步降低權限，做到真正的去中心化，以保證用戶的資產安全、樹立項目方良好的商譽。高權限賬戶有些的確是業務需求，完成相應需求后，應該關閉此賬戶權限。

降維安全僅從7月1日開始至今審計過的近200份智能合約中，已為合作交易所攔截擁有此類權限的智能合約18個，其中17個已經在降維安全的協助下進行整改。大部分項目方還是積極的配合了整改工作，將用戶的資產安全放在了第一位。[2018/7/19]

比如在DeFi協議中通常都會有發行代幣的功能。而通常控制代幣發行的地址就是管理員，所以在這類合約中，管理員的權限是相當大的。在一些代碼實現中，由于項目功能復雜以及運維方面的需要，管理員不僅自己有權決定是否發行代幣甚至還有權力決定是否賦予其它的地址這樣的權力，讓其它地址也能發行代幣。

獨家 | Joseph (Joe) Fanelli：應對閃電網絡持有質疑態度:針對近日閃電網絡遭受Diar詬病無法處理大額交易事宜，EOS Asia co-founder Joseph (Joe) Fanelli 喬峰在接受金色財經獨家采訪時表示：“在我看來，如果比特幣核心團隊計劃將比特幣作為某種支付系統，那么他們離現在的比特幣發展藍圖還遙遙無期，這樣的系統所導致的問題也會多于它所能解決的。況且，真正的問題是：為什么他們會以這種方式來定位比特幣呢？很多業內和支持比特幣的人都沒有讀過中本聰的白皮書，但仍然采納這個領域重要人物的建議和看法，并將其視為真理的唯一來源。但是，在下定論之前，我們始終應該質疑一切，哪怕它可能是錯的，因為至少這樣一來，我們將所有能促成最終那個決定的可能因素都考慮了個遍。對待閃電網絡，我們應持有同樣的質疑態度。”

喬峰進一步解釋：Diar 分析了閃電網絡的問題， 指出在交易運行的每個通道中必須有足夠的比特幣加載，并且人們想要發送的比特幣越多，成功的概率就越小。因此閃電網絡必須另辟蹊徑。[2018/7/2]

這就產生了安全隱患：如果項目管理員的權限被盜或者管理員自己出現道德風險、濫用這個權力，那代幣的發行就不受控制了。

這類風險是由合約邏輯引入的，但邏輯的實現又不得不如此，并且有時在合約部署初期，為了讓項目能高效運轉，還要保持這種管理員權限運作一段時間，這都給項目帶來了潛在的風險。

項目方帶著這種風險進行操作也是小心翼翼、如履薄冰，它就像達摩克里斯劍一樣懸在項目方和用戶的頭頂，隨時有掉落的風險。

對這類風險我們會強烈建議項目方在運作一段時間后，將管理員權限轉交社區或者多簽錢包，以規避這類風險。

低風險是所有風險中級別最低的，通常它表現為一些細節問題、警告信息等，暫時來說這個等級的問題可以不用解決，但項目方最后在未來某個新版本中解決這類問題。

這類風險涉及的細節和具體問題比較零散和瑣碎，我們常見的有函數或變量命名方面的問題。

對函數或變量的命名如何通常普通用戶是不會感知的，但對項目方自己維護代碼或其它合約調用這些函數在某些情況下會產生一定困擾。

通常函數或便令命名出現的問題就是“詞不達意”，即命名和它實際在合約中起的邏輯作用不同，比如一個函數是要設置某個變量的值，我們通常會將這個函數命名為“setXXX”，但由于筆誤或其它原因，項目方將其命名為“getXXX”，這就讓函數的名字和它的真實作用讀起來南轅北轍了。

這樣的代碼時間一久，當項目方自己再回頭來維護或修改時，如果不仔細看代碼就會誤解函數的功能，從而錯誤地調用它。

因此靈蹤安全對這類風險也建議項目方在方便的時間修改。

作者：

靈蹤安全CEO譚粵飛

美國弗吉尼亞理工大學(VirginiaTech,Blacksburg,VA,USA)工業工程碩士(Master)。曾任美國硅谷半導體公司AIBTInc軟件工程師，負責底層控制系統的開發、設備制程的程序實現、算法的設計，并負責與臺積電的全面技術對接和交流。自2011至今，從事嵌入式，互聯網及區塊鏈技術的研究，深圳大學創業學院《區塊鏈概論》課程教師，中山大學區塊鏈與智能中心客座研究員，廣東省金融創新研究會常務理事?。個人擁有4項區塊鏈相關專利、3本出版著作。

關于靈蹤安全：

靈蹤安全科技有限公司是一家專注區塊鏈生態安全的公司。靈蹤安全科技主要通過“代碼風險檢測邏輯風險檢測“的一體化綜合方案服務了諸多新興知名項目。公司成立于2021年01月，團隊由一支擁有豐富智能合約編程經驗及網絡安全經驗的團隊創建。

團隊成員參與發起并提交了以太坊領域的多項標準草案，包括ERC-1646、ERC-2569、ERC-2794，其中ERC-2569被以太坊團隊正式收入。

團隊參與了多項以太坊項目的發起及構建，包括區塊鏈平臺、DAO組織、鏈上數據存儲、去中心化交易所等項目，并參與了多個項目的安全審計工作，在此基礎上基于團隊豐富的經驗構建了完善的漏洞追蹤及安全防范系統。

Tags：比特幣區塊鏈BTC以太坊比特幣價格今日行情價格美元如何使用區塊鏈技術IBTC幣以太坊交易時間

火幣下載