獨家 | 審計報告怎么記錄審計文件的存證? 又該如何去審讀_ITH

本文由“靈蹤安全”原創，授權“金色財經”獨家首發，轉載請著名出處。

?一份審計報告是對一套智能合約的“質量檢測報告”，那報告就要告訴用戶所審計的對象是誰。

?和普通的有形商品不同，智能合約這種特殊的商品是摸不著的，那怎么才能讓用戶知道它呢？

?區塊鏈領域的絕大多數項目包括鼎鼎大名的比特幣和以太坊都有一個共同的特點：它們的源代碼都是”開源”的。所謂的“開源”就是它們的代碼都是公開的，放在某個公開、所有人都可以訪問的網站上，任何人都可以看到它的內容。

?我們所審計的智能合約絕大多數也是這樣，它們都是開源的，放在一些知名的、供所有人存放文件的網站比如github等。

?如果我們所審計的智能合約是開源并且放在了github上，我們要讓用戶知道它、看到它的源代碼，就會在審計報告中列出合約所存放的github的網址。這就好比一件商品存進了一個大倉庫，存在倉庫中的某個庫房，我們要讓用戶能找到這件商品就要告訴用戶倉庫的地址和庫房的門牌號碼。存放合約的github網址就等于倉庫地址門牌號碼。

獨家 | 孔劍平：數字貨幣是人類文明進化的必然選擇:2020年5月23日，在由百團大戰、節點咨詢、金色財經主辦，萊比特、算力360聯合主辦的百團大戰礦業峰會·豐水期之戰上，嘉楠科技聯席董事長孔劍平發言指出：2020年的新冠有點突如其來，現在回過頭去看，礦業是影響比較小的行業，因為礦業用的是相對偏遠地區的過剩電力資源，計算都在鏈上完成，屬于數字經濟產業，這次疫情期間也體現了獨特的行業優勢。數字貨幣是人類文明進化的必然選擇，目前來看比特幣最后可能成為數字貨幣之錨。當然很多人對于312可能還心有余悸，其實在金融危機來的時候，還能賣的都是好資產，說明比特幣是能充分自由流動的好資產。礦業也依然會是接下來最有機會的行業之一。[2020/5/26]

可是如果合約的編寫者在給審計機構審計時用的是放在github上的一套合約，但審計后尤其是項目上線后，用戶又修改了它的智能合約，我們怎么知道放在github上的合約就是審計時看到的合約而不是后來修改過或者其它“魚目混珠”的合約呢？

獨家 | 金色財經2月23日挖礦收益數據播報:金色財經報道，據印比特數據顯示，按照BTC參考價格69500元、電價0.38元/kWh計算，當前在售主流BTC礦機的市場價格及回本周期為：芯動T3+-57T（全新現貨9700元，296天回本）、阿瓦隆1066-50T（全新現貨6180元，224天回本）、神馬M20S-68T（全新現貨12600元，266天回本）、螞蟻S17Pro-56T（全新現貨12500元，327天回本）。[2020/2/23]

這就涉及到github這個倉庫的一個特性了。

當項目方往github中存放代碼時，github會給這次存放動作產生一個版本號。這就好比我們在比特幣、以太坊中申請一個新錢包時，這個錢包會有一個獨一無二的地址一樣，這個版本號也是唯一的。

當項目方之后對任何文件有了任何改動：小到一個字的修改，大到文件的刪除、添加等，當把這些改動提交到github中，github又會給這次動作產生一個新的版本號。

獨家 | 杜文康：USDT資產的不透明性實際上是有意為之:針對今天USDT導致比特幣大漲一事，金色財經特采訪到OnFund合伙人杜文康，杜文康表示：這次所謂所謂“穩定幣”USDT大跌，來源無非是受到政府對于Tether公司的調查。USDT作為錨定美元充當衡量價值標尺，來做交易對，但卻沒有遵循規則和底線，也沒有響應的監管和公開透明。去年9.4之后，很長一段時間內BTC的價格就是通過BTC/USDT來回不斷交易對敲來推升拉高的，這就是所謂的真空泡沫，這種真空泡沫是難以為繼的，加上做空的開通，因此砸下來也非常快。

另外，自從與其合作的審計公司終止合作之后，USDT公司沒有提供詳細的審計報告（最近一份為去年9月），也未證明資產是否全部為美元。這也是人們質疑 USDT 超發的一個原因。Tether 官網說明: 所有USDT的背后都有100%真實資產。

實際上，USDT公司的這種不透明性實際上是有意為之。僅提供加總的信息更有利于 USDT 的流動性。資產儲備是一個模糊的詞語，我并不清楚 USDT 背后的真實資產代表著什么，但同樣其他人也不知道。因此，市場上的“對稱無知” 達成了均衡 。

在我們看來，穩定幣應該是具有權威性、公正性，并且有真實資產做映射的加密資產，它的價值暫不會消失，就像區塊鏈行業不會因為幣價的漲跌受影響一樣。[2018/10/15]

所以github中的版本號就是對所存放的文件的一份唯一存證，它保證了這個版本號所對應的文件就是某時某刻放進倉庫中的文件，而不是之前或之后放進去的文件。

獨家 | 梓岑：并沒有所謂的BM多次修改EOS憲法事件:金色財經在獨家專訪HelloEOS創始人梓岑，就BM多次修改EOS憲法的事件，梓岑表示： 其實沒有所謂的“BM多次修改憲法”，他做的是把自己關于憲法的觀念和思路提出來，在社區討論。決定權始終在社區，在持幣人投票，只不過BM號召力足夠強，看起來像BM直接修改憲法。DPOS，沒有所謂的中心治理，決定權永遠在持幣人手里。

另外，EOS將主網上線交給社區的行為，梓岑也認為：將主網上線交給社區，只是Block.one為合規審查不得不做的，實際上，EOS做了一個堪稱范本的、滴水不漏合規審查方案。理論上講，會導致無數個分叉，但實際上，因為DPOS體系的治理特性，持幣人會用投票做出選擇，支持唯一主鏈是持幣人認可的方向，那么分叉就不可能發生。相較而言，POW由礦工決定分叉方案，即使持幣人不認可，也根本無力阻止分叉行為。

在關于ECAF凍結27個EOS地址的行為，梓岑表示：首先需要明確，EOS的治理的最基本原則，是“私有財產神圣不可侵犯”。沒有“隨意凍結”，凍結的地址均是存在欺詐盜幣行為的地址，在這件事情上，存在某些大V和媒體刻意曲解的情況。[2018/6/30]

所以我們在審計報告中除了羅列被審計合約的github網址，還要羅列被審計合約在github中的版本號。

這兩個要素就保證了讀者看我們報告時能準確知道我們所審計的內容。

除了放在github上，還有的項目方在審計時已經把合約部署在區塊鏈網絡上了。由于智能合約一旦部署到區塊鏈網絡上，它就是無法篡改和撤銷的，因此智能合約所部署的區塊鏈地址也可以作為合約的存證地址。

對這樣的合約，我們通常也會記錄下它在區塊鏈上的地址作為唯一存證。

我們前面說絕大多數項目的智能合約是開源的，這也就意味著還有一些項目的合約在審計時是未開源的，在這種情況下，我們怎么記錄這份合約的存證呢？

我們會用SHA-256的值來標記合約文件的存證。

有些讀者尤其是數字貨幣的玩家看到“SHA-256”這個詞會覺得很眼熟：這不是數字貨幣加密算法中常用的一個技術嗎？

確實是這樣，更準確的說，它是一種經過“哈希函數”運算得出的值，這個值也被稱為“哈希值”，它有256位。

所謂的哈希函數又稱散列函數，是一種從任何一種數據中創建小的數字“指紋”的方法。哈希函數把消息或數據壓縮成摘要，使數據量變小，將數據的格式固定下來。該函數將原有的數據打亂混合，重新創建一個結果叫做哈希值。

我們為什么要用這個值來記錄合約文件的存證呢？因為一個SHA-256的值所對應的文件內容是唯一的。這就和上面我們用github中的版本號來保證github中的文件是唯一的一樣。

那我們怎么用這個值來記錄合約文件的存證呢？

我們自己編寫了一套這樣的工具，對所審計的每個合約文件的內容都用這個工具進行一次運算，所得到的值就是一個SHA-256的值。這個值就代表了我們所審計的文件內容的唯一。

我們會羅列每個文件及其所對應的SHA-256值，這就記錄了文件的存證。

當用戶或讀者要檢測他看到的合約文件是否是我們所審計的合約時，將他看到的文件用我們的工具計算一下，將所得出的SHA-256值與我們所得到的值進行比較，如果一樣就證明是，如果不一樣就證明不是。

所以總結起來說，我們會用github網址版本號、區塊鏈地址或SHA-256值這三種方式中的一種或幾種來記錄文件的存證。

謝謝

------------------------------------------------------------------

作者：

靈蹤安全CEO譚粵飛

美國弗吉尼亞理工大學(VirginiaTech,Blacksburg,VA,USA)工業工程碩士(Master)。曾任美國硅谷半導體公司AIBTInc軟件工程師，負責底層控制系統的開發、設備制程的程序實現、算法的設計，并負責與臺積電的全面技術對接和交流。自2011至今，從事嵌入式，互聯網及區塊鏈技術的研究，深圳大學創業學院《區塊鏈概論》課程教師，中山大學區塊鏈與智能中心客座研究員，廣東省金融創新研究會常務理事。個人擁有4項區塊鏈相關專利、3本出版著作。

關于靈蹤安全：

靈蹤安全科技有限公司是一家專注區塊鏈生態安全的公司。靈蹤安全科技主要通過“代碼風險檢測邏輯風險檢測“的一體化綜合方案服務了諸多新興知名項目。公司成立于2021年01月，團隊由一支擁有豐富智能合約編程經驗及網絡安全經驗的團隊創建。

團隊成員參與發起并提交了以太坊領域的多項標準草案，包括ERC-1646、ERC-2569、ERC-2794，其中ERC-2569被以太坊團隊正式收入。

團隊參與了多項以太坊項目的發起及構建，包括區塊鏈平臺、DAO組織、鏈上數據存儲、去中心化交易所等項目，并參與了多個項目的安全審計工作，在此基礎上基于團隊豐富的經驗構建了完善的漏洞追蹤及安全防范系統。

Tags：ITHHUB區塊鏈USDZenith ChainHubble Protocol區塊鏈證據保全怎么操作流程USD ZEE

火幣網下載官方app