原文标题：《安全特刊 05｜OKX Web3 & BlockSec ：@ 所有巨鲸，DeFi 世界最新避险攻略》原文来源：OKX

引言 ｜ OKX Web3 钱包特别策划了《安全特刊》栏目，针对不同类型的链上安全问题进行专期解答。通过最发生在用户身边最真实案例，与安全领域专家人士或者机构共同联合，由不同视角进行双重分享与解答，从而由浅入深梳理并归纳安全交易规则，旨在加强用户安全教育的同时，帮助用户从自身开始学会保护私钥以及钱包资产安全。

DeFi 世界最大的魅力就是，每个人都有成为「巨鲸」的潜力

但即使「巨鲸」也不能逞强，虽然吃肉，但也有「挨打」的时候

所以，链上玩耍，安全第一

不然，又要「白手起家」～

本期是安全特刊第 05 期，特邀区块链安全先锋 BlockSec 与 OKX Web3 钱包安全团队，从实操指南的角度出发，给所有即将成为或者已经成为「巨鲸」的用户以及项目方，分享一份 DeFi 避险攻略。比如，该如何看审计报告、初步评估 DeFi 项目风险常用的指标和参数、项目方或者巨鲸用户，如何构建监控感知能力、DeFi 安全防护守则等等… 请勿错过！

6）更多安全服务：OKX Web3 钱包还在逐步增加更多安全功能，建设更多先进的安全防护服务，将更好更高效地保障 OKX 钱包用户安全。

Q8：不仅是用户，DeFi 项目方面临的风险类型以及如何防护？

BlockSec 安全团队：DeFi 项目方面临的风险类型包括：代码安全风险、运营安全风险和外部依赖风险。

第一，代码安全风险。即 DeFi 项目在代码层面可能存在的安全隐患。对 DeFi 项目而言，智能合约是其核心业务逻辑（前后端处理逻辑等属于传统的软件开发业务，相对而言比较成熟），也是我们关注和讨论的重点，包括：

1）首先，从开发角度来说，需遵循业界公认的智能合约安全开发实践，比如对于用于防止重入漏洞的 Checks-Effects-Interactions 模式等等；此外，常用的功能尽可能选择可靠的第三方库来实现，避免因为重复发明轮子带来的不可知风险。

2）其次是做好内部测试，测试是软件开发中的重要环节，能够帮助发现很多问题。但对于 DeFI 项目而言，仅通过本地测试并不足以暴露问题，更需要在贴近实际上线的部署环境中做进一步测试，这方面可以通过使用类似 Phalcon Fork 这样的工具来帮助实现。

3）最后，在测试完成之后，接入口碑良好的第三方审计服务。审计虽然不能确保 100% 不出现问题，但系统性的审计工作能够在很大程度上帮助项目方定位已知常见的各类安全问题，而这些往往是开发者不熟悉或者因为思维方式的不同而较难触及的部分。当然，由于各家审计公司在专业和方向上存在差异，如果预算允许，在实践中也推荐 2 家或者多家审计公司参与。

第二，运营安全风险。即项目上线后在运营过程中的产生的安全风险。一方面，代码依旧可能存在未知漏洞。即便代码已经经过良好的开发、测试和审计，依旧可能存在未被发现的安全隐患，这一点在软件开发数十年的安全实践中得到了广泛证明；另一方面，在代码层面的问题之外，项目上线后面临更多挑战，比如私钥泄漏、系统重要参数错误设置等等，均可能造成严重的后果和巨大的损失。运营安全风险的应对策略建议包括：

1）建立健全私钥管理：采用可靠的私钥管理方法，比如可靠的硬件钱包或基于 MPC 的钱包解决方案等。

2）做好运行状态监控：监控系统实时感知特权操作和项目运行中的安全状态。

3）构建针对风险的自动化响应机制：比如采用 BlockSec Phalcon，可以在遭遇到攻击的时候自动实施阻断，避免（进一步）的损失。

4）避免特权操作的单点风险：如用 Safe 多签钱包来执行特权操作。

第三，外部依赖风险是指项目存在的外部依赖带来的风险，比如依赖于其它 DeFi 协议提供的价格预言机，但预言机出现问题导致价格计算产生错误的结果。针对外部依赖风险的建议包括：

1）选择可靠的外部合作伙伴，如业界公认的可靠的头部协议等。

2）做好运行状态监控：类似运营安全风险，但这里的监控对象是外部依赖。

3）构建针对风险的自动化响应机制：类似运营安全风险，但处置方式可能有所区别，比如切换备用依赖而非直接 pause 整个协议。

此外，对于希望构建监控能力的项目方，我们也给出一些监控建议

1）准确地设置监控点：确定协议存在哪些关键的状态（变量）、在哪些位置需要监控，这是构建监控能力的第一步。但监控点的设置很难覆盖全面，特别是在攻击监控方面，建议采用外部专业第三方、经过实战检验的攻击检测引擎。

2）确保监控的精准性和及时性：监控的精准性是指不能有太多的误报 (FP) 和漏报 (FN)，缺乏精确性的监控系统实质上是不可用的；及时性是做出响应的前提（比如能否在可疑合约部署后、攻击交易上链前检测到），否则只能用于事后分析，这对监控系统的性能和稳定有极高的要求。

3）需要自动化响应能力：基于精准和实时的监控可以构建自动化的响应，包括 pause 协议阻断攻击等等。这里需要有可定制、可靠的自动化响应框架支持，可根据项目方的需求灵活地定制响应策略并自动触发执行。

总体而言，监控能力的构建需有专业的外部安全供应商参与建设。

OKX Web3 钱包安全团队：DeFi 项目方面临着多种风险，其中主要包括以下几类：

1）技术风险：主要包括智能合约漏洞和网络攻击。防护措施包括采用安全开发实践、聘请专业的第三方审计公司对智能合约进行全面审计、设置漏洞赏金计划以激励白帽黑客发现漏洞，以及做好资产隔离来提高资金的安全性等。

2）市场风险：主要包括包括价格波动、流动性风险、市场操纵和组合性风险。防护措施包括使用稳定币和风险对冲防范价格波动，利用流动性挖矿和动态费用机制应对流动性风险，严格审查 DeFi 协议支持的资产类型和使用去中心化预言机防止市场操纵，并通过持续的创新和优化协议功能来应对竞争风险。

3）运营风险：主要包括人为错误和治理机制风险。防护措施包括建立严格的内部控制和操作流程以减少人为错误的发生、使用自动化工具提升操作效率，以及设计合理的治理机制，确保去中心化与安全性平衡，如引入投票延迟和多签机制。并对上线的项目做好监控和应急预案，一旦出现异常可以立即采取措施，将损失降到最低。

4）监管风险：法律合规要求和反洗钱（AML）/了解你的客户（KYC）义务。防护措施包括聘请法律顾问确保项目符合法律和监管要求、建立透明的合规政策以及主动实施 AML 和 KYC 措施以提升用户和监管机构的信任。

Q9：DeFi 项目方，如何判断并选择好的审计公司？

BlockSec 安全团队：DeFi 项目方如何判断并选择好的审计公司，这里有一些简单标准的可供参考：

1）是否审计过知名项目：这表明该审计公司被这些知名项目所认可。

2）审计过的项目是否被攻击过：固然从理论上来讲审计并不能保证 100% 的安全，但实践经验表明口碑良好的审计公司所审计的大部分项目未曾有过被攻击记录。

3）通过过往审计报告判断审计质量：审计报告是衡量审计公司专业程度的重要标志，尤其是在同样的审计项目、同样的审计范围可作对比的情况下，可重点关注漏洞发现的质量（危害程度）和数量等，漏洞发现是否通常被项目方采纳。

4）专业从业人员：审计公司的人员构成，包括学历和从业背景等，系统性的教育和从业经验对于确保审计质量有很大的帮助。

最后，感谢大家看完 OKX Web3 钱包《安全特刊》栏目的第 05 期，当前我们正在紧锣密鼓地准备第 06 期内容，不仅有真实的案例、风险识别、还有安全操作干货，敬请期待！