CertiK CEO顧榮輝：安全審計是高質量DeFi項目的標配_DEF

過去8個月，DeFi正以快速突擊的態勢發展壯大。截止9月1日，Debank數據顯示，DeFi總鎖倉金額近8個月由7億美元左右上漲至116.14億，約16.3倍；DeFi總市值近8個月由15億美元上漲至186億美元，約12.4倍；DEX交易量近8個月由464萬美元左右上漲至11億美元，約236.8倍；抵押借貸市場總借款量由1.49億美元上漲至16億美元，約10.7倍。

DeFi市場飆升的同時，越來越多的DeFi協議諸如YamFinance、SpaghettiMoney、SushiSwap以及KimchiFinance等強勢吸引了數十億美元的資產。

Balancer、Compound、Synthetix、Ampleforth、UWA等協議引發的流動性挖礦更是掀起一波熱潮。盡管有諸多項目未經審計，但眾多用戶仍將大額資金投入其中，對于挖礦樂此不疲。

如何看待這一波DeFi流動性挖礦浪潮？普通投資者應該如何參與？需要注意的風險有哪些？金色財經由此對話CertiK聯合創始人&CEO顧榮輝，探討其中的風險與機會。

派盾：Balancer損失已超過210萬美元，以太坊、Fantom和Optimism上多個資金池受影響:8月28日消息，派盾分析表示，DeFi協議Balancer損失已超過210萬美元，以太坊、Fantom和Optimism上多個資金池受到影響。派盾稱，Balancer團隊在提醒社區從受影響的金庫中移除流動性方面做得非常出色，但最初估計僅有總TVL的0.08%（565,199美元）處于風險之中的數據似乎嚴重錯誤。

金色財經此前報道，Balancer稱其多個V2池存在漏洞，建議用戶立即撤回受影響的LP。[2023/8/29 13:02:23]

金色財經：如何看待這一波DeFi流動性挖礦浪潮？

CertiK聯合創始人&CEO顧榮輝：最近DeFi流動性挖礦熱潮，可以說是展示出了DeFi在新實踐上的成功。在DeFi基礎上，流動性挖礦將金融的特性拓展開來，以挖礦獲得高額利潤來吸引區塊鏈投資者，并將巨額資金鎖住，從而為DEX提供海量流動性。

從金融市場角度來說，流動性挖礦的本質是為當前各DEX提供大量的流動性。流動性挖礦，為DEX減少了交易滑點，增強了交易深度，也增強了流動性。流動性越強，則金融系統中的投資者在市場中買賣資產越容易。

CertiK：NEO TOKYO項目Discord服務器遭到攻擊:金色財經消息，據CertiK監測，NEO TOKYO項目Discord服務器遭到攻擊，并發布了一條釣魚鏈接。請社區用戶在頻道修復之前不要點擊任何鏈接。[2022/12/18 21:52:23]

從資本市場角度來說，這些DeFi流動性挖礦項目的接踵而至，也正是因為背后有大量資金涌入其中。比如Sushiswap是社區資金支持，側面反映出大眾普遍對DeFi市場看好；UniSwap則是由VC資金支持，這側面說明了資本對區塊鏈，特別是對DeFi的未來有十足的信心。

但與此同時，這種熱潮也反應出了群體面對利益的追逐以及趨利性的社會價值觀。很多大眾認為只要有足夠的利潤，風險都是可以忽略不計的。項目方過度炒作以及部分媒體的大肆渲染也容易導致群眾盲目跟風而進行非理性投資。特別是大眾投資者看到某些人因此賺到了錢，就會有“幸存者偏差”，僥幸地認為壞事不會發生在他們身上。

對于區塊鏈本身，當前DEX和諸如SushiSwap的項目雖然為DeFi系統注入了巨大的活力，但目前仍無法找到足夠讓這個龐大的金融系統獲利的應用場景，即KillerApplication。而這個應用場景，能讓DeFi甚至區塊鏈項目都進行落地，并且愿意讓市場主動埋單。

CertiK：TRUMPCoin項目存在高風險，請勿交互:金色財經報道，區塊鏈安全公司CertiK發推稱，監測到一個名為TRUMPCoin的項目存在高風險，特權功能出現在了具有無限鑄幣特權的合約中。CertiK提醒用戶不要進行交互。[2022/1/9 8:35:52]

交易細節上，由于在交易過程中交易確認時間較慢(可高達幾分鐘)以及交易費用較高等特點，也體現了以太坊的不足之處。

最重要的是，由于DeFi發展過快過熱，很多投機者為了賺錢而快速上線，跟風發布項目，甚至赤裸裸的地模仿其他項目。代碼世界的版權問題暫且不說，這些項目有不少都沒有經過專業審計，更有甚者未經測試就急于上線，項目安全和大眾的資金安全十分令人擔憂。

金色財經：諸多SushiSwap仿盤出現，是否有安全隱患或者技術風險？這些風險、漏洞為什么擋不住瘋狂的用戶？

CertiK聯合創始人&CEO顧榮輝：未經審計的合約會有較高概率存在漏洞，進而成為安全隱患。并且由于當前DeFi挖礦熱潮，未經過審計的合約中存在的漏洞會有極大可能被新出現的挖礦項目繼承。為了讓大家看的更清晰一些，以下我將對風險進行分類闡述。

ETHST已通過CertiK審計:據官方消息，ETHST已完成美國CertiK安全審計。 現ETHST已通過美國Certik、成都鏈安雙審計。據悉，CertiK是區塊鏈網絡安全公司，于2017年由耶魯大學計算機系主任邵中教授與哥倫比亞大學計算機系顧榮輝教授共同創建。旨在使用最嚴密和最徹底的網絡與軟件安全技術來識別并消除安全漏洞。截至目前，CertiK已進行了超過700次審計，審計了超過39.6萬行代碼，保護了超過300億美元的資產免受損失。[2021/6/2 23:04:42]

一、智能合約風險

舉個最簡單的例子，就是寫代碼的時候出現失誤。比如眾所周知的YAM項目，將基本計算公式寫錯從而造成了不可挽回的局面。

針對智能合約相關漏洞，這里我用最近大火的幾個項目舉例：比如SushiSwap項目有重入攻擊安全漏洞；再比如SushiSwap的仿盤項目Yuno與Kimchi，擁有類似的“無限增發漏洞”，即智能合約擁有者擁有絕對的權利可以無限增發代幣。這種情況下一旦沒有外力限制，則有可能造成代幣的瘋狂發布從而代幣通脹進而貶值。當然目前SushiSwap和Kimichi項目已經由Timelock進行管理，問題暫時得到了緩解。??????

Balancer回應“計劃在Algorand上擴展”：未參與項目構建，仍致力于推出Balancer V2:基于以太坊的DeFi協議Balancer在推特上就“Balancer計劃在Algorand上擴展”一事回應稱：“我們想要明確的是，Balancer Labs向Algorand發放了5000美元的小額贈款以表支持，但Balancer Labs團隊沒有參與這個項目的開發。我們的注意力只集中在以太坊和即將發布的Balancer V2上。換言之，Balancer Labs并沒有在Algorand上進行任何構建。相反，Reach（由Algorand基金會資助的區塊鏈應用構建解決方案）正努力在Algorand上部署。我們仍在按照計劃推進開發，Balancer Labs繼續致力于推出V2。”此前外媒報道稱Balancer計劃在Algorand上擴展，基于Algorand的Balancer版本將由Algorand基金會資助的區塊鏈應用構建解決方案Reach開發。Algorand首席運營官W. Sean Ford表示，一旦在Algorand區塊鏈上啟動（預計將在2021年第三季度），Balancer用戶將能夠與任何Algorand標準資產（ASA）建立流動性池或交易對。[2021/4/7 19:54:16]

智能合約一旦出現問題并被惡意利用，則有可能影響LP(liquiditypool)的資金安全。合約漏洞也可導致市場價格變動劇烈，如上文所說的YAM項目，短時間內價值從100$跌到了1$。無論哪種情況，對于大眾投資者來說都是“血虧”。

二、其他風險

除了智能合約風險外，還存在但不限于鎖倉折損風險、操作風險、交易摩擦風險以及私鑰風險等等。比如對于普通用戶來說，挖礦過程相對復雜，如果操作失誤，資金會不慎丟失；對于散戶來說，每一筆gas費用較為昂貴，并且有可能交付了幾筆gas費用，然而交易本身還未成功。

至于這些風險為何依然抵擋不住蜂擁的用戶：

首先，我想這種新型金融模式的出現，民眾都普遍愿意“嘗鮮”。其次，部分民眾會有從眾心理。特別是現在DeFi流動性挖礦的新聞鋪天蓋地地充斥這個圈子。當然這些項目最吸引大眾的地方，還是他們短時間內能夠獲取的超高收益。這樣驚人的收益率打破了數年來傳統金融的固有年化收益局限。比如SushiSwap項目一開始最高APY(年化)為20000%，Kimchi一開始的最高APY(年化)為400000%。很多時候，利潤率只要足夠高，民眾就有可能被利益蒙蔽從而忽略了其中的風險甚至寧可冒險也要一試。

金色財經：普通人想要參與，應該重點關注哪些指標來防止相關風險？

CertiK聯合創始人&CEO顧榮輝：首先，每個人的風險偏好和資金實力不同。進入項目前，不妨先評估一下自己的風險承受能力。我想這是所有投資者在進入任何的項目前都需要做的事情。而DeFi項目太過火熱、出新頻繁等特點，容易導致大眾在短時間內忽略風險偏好的判斷以及對風險承受能力的評估。

其次，用戶應該在投資前盡量對項目進行調研，比如社區中媒體上不同的聲音，是否有人對合約的安全性提出質疑。當然我們也要擦亮雙眼去辨識消息的真實性。因為社會中各個群體利益不同，其中不乏有帶節奏者。因此建議大家寧可多花時間觀察清楚，晚一點“入場”，也不要貿然進入有風險的項目。

最后，如果有能力和精力，可以檢查這個項目的合約是否有進行過專業審計。安全審計現在已經是高質量DeFi項目的標配。若項目沒有被審計，對于用戶來說，投資行為則要格外慎重；對于項目方來說，則需要找專業并且聲譽好的審計公司進行審計。若項目被審計過，則需盡量了解審計公司背景以及其審計報告中的各項指標，其中包括但不限于：

安全審計的范圍，方法，及結論

合約是否有漏洞或者安全隱患？如果有，需要了解這些問題的嚴重程度及可能影響

合約整體的代碼質量

審計公司的專業性和獨立性

雖然憑借代碼不能完全能判斷項目的好壞，但是代碼是否solid可以側面反映出團隊水平及項目質量。

我們可以關注項目在社區中的口碑。比如社區中是否大部分人都看好這個項目，是否有人對合約的安全性提出質疑。當然我們也要擦亮雙眼去辨識消息的真實性。因為社會中各個群體利益不同，其中不乏有帶節奏者。當然長期控制集體大眾的輿論是很難的。因此建議大家寧可多花時間觀察清楚，晚一點“入場”，也不要貿然進入有風險的“場”。晚一點到達安全的項目也許會比一開始進入少賺一些，但是一旦進入了有風險的項目，則可能造成資金重大損失。

再有，如果有能力和精力，可以對項目的經濟模型進行獨立的了解和研究。不要人云亦云，“聽說”某項目好、利潤高，就盲目進入或者盲目加倉。

最重要的是，你需要檢查這個項目的合約是否有進行過專業審計。若項目沒有被審計，對于大眾來說，投資行為則要小心謹慎；對于項目方來說，則需要找專業并且聲譽好的審計公司進行審計。若項目被審計過，則需盡量了解審計公司背景以及其審計報告中的各項指標，其中包括但不限于：

審計公司的專業性和口碑

合約是否有漏洞或者安全隱患？如果有，是否得到了解決？

整體代碼質量是否優質。雖然憑借代碼不能完全能判斷項目的好壞，但是代碼是否solid可以側面反映出團隊水平及項目質量。

Tags：CERDEFIDEFEFIDEFILANCER幣DEFI價格Defi GoldModefi

Fil