ETC:慢霧合伙人啟富：NFT或是下一個方向 但落地需要時間

DeFi很火，這個夏天業內仿佛打入雞血一般地參與到這個生態，創新、革命，各類項目此消彼長。不過，熱鬧背后，卻是暗流涌動。

2020年4月18日，Uniswap爆出智能合約漏洞，該漏洞被人利用盜取了數十萬美金的資產；次日，Lendf.me因相同漏洞，被一位程序員盜取了數千萬美金的資產；因為智能合約漏洞，上線36小時，紅極一時的Yam迅速消亡。?

安全，已經是懸在DeFi頭上的達摩克利斯之劍。有痛點就有市場，在這場狂歡中，“慢霧蓋章”成了保障的標志。

近日，在廈門舉辦的“共為創業者大會”上，金色財經就DeFi安全采訪了慢霧科技合伙人Keywolf啟富。

慢霧余弦：攻擊者花費不菲得到ETC，但恐怕不容易洗出來:慢霧科技創始人余弦昨日發微博稱，ETC算力相比太低是個很尷尬的事，差不多10 TH左右，而ETH有190 TH，再看看BTC有120,000,000 TH（BTC倒不是ETC的算力威脅，寫在這是方便對比）。一樣挖礦算法的ETH與ETC，如果ETH里的大算力打ETC就是個降維打擊了（我說的是“如果”）。51%攻擊不是技術門檻，是成本對抗門檻，攻擊者費了不少錢最終得到ETC，這些ETC恐怕也不容易完美不留痕跡地洗出來，不明白攻擊者是怎么想的，估計并沒怎么想。另外還有個有意思的，ETC社區覺得這是犯罪行為，不知道各國法律是怎么看的。[2020/8/7]

以下為采訪實錄。

動態 | 慢霧安全團隊發布Mosaic 匿名幣市場研究報告:慢霧安全團隊今日發布Mosaic匿名幣市場研究報告，其中暗網里的結論和我們的研究有些差距，不過整體可做參考（和覆蓋面及暗網的理解有關），比如這里的分析是暗網里的商戶網站（大概 44 個流行的）98% 都接收比特幣，10 家（23%）接收門羅幣，9 家接收比特幣現金，7 家接收萊特幣，4 家接收達世幣，4 家接收以太坊，2 家接收大零幣(Zcash)。這只是暗網商戶的數據統計。

暗網還有類、獨立研究類、黑客組織類、暗網服務類等等。暗網不一定都在 Tor 里，也有在 I2P 里，在獨立的匿名協議應用里，甚至有的表面掛在明網里（但背后許多操作走了 Tor 以保證匿名不可追溯）。

暗網和明網并非都是完全隔離，已經存在許多組合和銜接。暗網的生態應該把這些都考慮進去。如果把惡意蠕蟲的地下世界也考慮進去，會發現有一類蠕蟲叫挖礦蠕蟲，主要挖的幣就是門羅幣，這是因為門羅幣的生態價值及 GPU/CPU 挖礦友好性，導致許多服務器、個人電腦、嵌入式設備都可以拿來挖門羅幣。挖礦出來產生的交易也考慮在內的話，門羅幣在暗網世界的活躍度與生態是第一。Mosaic的研究報告詳情可見原文鏈接。[2019/7/18]

金色財經：慢霧審計一個項目主要有哪些流程？系統是否安全的最終標準有哪些？?

聲音 | 慢霧：EOS假充值紅色預警后續:慢霧安全團隊今早發布了 EOS 假充值紅色預警后，聯合 EOSPark 的大數據分析系統持續跟蹤和分析發現：從昨日開始，存在十幾個帳號利用這類攻擊技巧對數字貨幣交易所、錢包等平臺進行持續性攻擊，并有被真實攻擊情況。慢霧安全團隊在此建議各大交易所、錢包、DApp 做好相關防御措施，嚴格校驗發送給自己的轉賬交易在不可逆的狀態下確認交易的執行狀態是否為 executed。除此之外，確保以下幾點防止其他類型的“假充值”攻擊： 1. 判斷 action 是否為 transfer 2. 判斷合約賬號是否為 eosio.token 或其它 token 的官方合約 3. 判斷代幣名稱及精度 4. 判斷金額 5. 判斷 to 是否是自己平臺的充幣賬號。[2019/3/12]

慢霧科技合伙人啟富：對于DeFi，我們更關心的是資產的安全，簡單來說就是本金的安全。用戶的收益如何與項目的經濟模型有關，所以，我們首先關注的是智能合約里在計算用戶收益時，會不會存在溢出等問題，這也是合約里普遍存在的通用性問題。其次，我們會關注項目方是否留有后門，是不是作惡，是否盜取用戶資金。

聲音 | 慢霧安全團隊：門羅幣不小心創造了一個網絡和平世界:據火訊財經報道，慢霧安全團隊表示：“門羅幣不小心創造了一個網絡和平世界，因為其CPU/GPU算力友好，對抗職業礦機（比如ASIC芯片），且門羅是最早的一批，算是匿名幣的龍頭，地下黑客入侵大量服務器，以前是勒索、竊取機密，現在大規模做CPU挖礦，所發布的典型蠕蟲病修補了相關漏洞入口，殺掉了蠕蟲對手，安全加固了相關機制，然后它僅挖礦，不少企業入侵事件的發現不是因為發現蠕蟲，而是發現服務器或主機卡了，這些蠕蟲挖的主要就是門羅。”[2018/7/3]

當收到用戶項目審計訴求時，我們會先通過項目官網、介紹等資料了解項目，在初步審核通過之后，會去評估其智能合約代碼的復雜度，并進入到商務流程，報價、排期等溝通沒問題之后，開始項目審計。

審計的過程當中發現了任何的問題，都會馬上去告訴對方并告知解決方案，改完之后、復查，最后會出具一個審計報告。同時我們現在要求對方一定把代碼開源。在審計中除了關注常規的安全漏洞，還要關注代碼和業務邏輯設計是否一致，以及組合性引入的外部風險，找出薄弱點提高攻擊者的門檻從而整體提升安全性。?

基于對慢霧的認可，大家覺得慢霧審計過的項目會比較放心，所以我們現在都是盡可能的把有可能存在風險的，包括一些admin權限等，現在流行用時間鎖的方式，想要有進一步動作，必須要經過24小時或者48小時。上鏈之后，大家都能夠去看到。這方面現在大家都關注，我們也特別關注。

金色財經：現在有相關數據統計，8月份有大概8起DeFi相關的安全事件。從安全的角度，您怎么看DeFi的發展？

慢霧科技合伙人啟富：DeFi相對于公鏈是一個比較新的東西，在發展的過程當中，肯定會有一些風險和未知的事情，畢竟面對一個新興事物，大家都不是那么有經驗。從DeFi安全性角度來說，新事物在發展的過程當中，出現這樣的安全問題，算是可以理解的事情。

像比特幣、以太坊它早期也有發生過安全問題，比特幣之前也曾有增發漏洞，以太坊也有著名的TheDAO事件，還分叉出了ETC。

所有人并不是一開始就有豐富的經驗，包括那些試圖攻擊它的人，也不是很快就能知道攻擊方法，也是做了一些自己的研究、嘗試。所以在早期時候，去關注、參與一定會有風險，但是我們不能因為它發生過這些問題，去否定一個新的方向。整個行業或者DeFi方向肯定會越來越完善，包括安全公司或者優質的項目方，優質的技術團隊參與到其中，就能夠把整體水平提升上來。?

另外一個就是說大家對安全問題的一個規避的方式，就是項目方一定要有自己的安全的意識，盡可能有一些預算找安全公司，例如我們慢霧，去做一些相應的安全審計，至少現在已經知道的一些攻擊的手法都給它規避掉。

金色財經：您接下來會看好哪一些項目？?

慢霧科技合伙人啟富：現階段挖礦的應該不會太長久，這種玩法大家可能都已經比較熟悉了，幣圈其實很多時候都講究一個新鮮感或者畫餅的能力，如果接下來沒有更多新的玩法，大家都還是繼續去搞這樣的流動性挖礦，可能到后期就沒什么人玩了。從以太坊到波場到幣安智能鏈，或者到其他的一些新的公鏈如本體、NEO，這些國產公鏈都開始加入到這個賽道，但是大部分玩法還是一樣的。資金就這么多，現在出來這么多項目，就會有均分或者轉移，最后如果沒有一些新的玩法，大家就會審美疲勞，而且年化有可能越來越低。

現在很多人都在聊另外一個熱點NFT，大家關注到NFT，就是因為現在它能交易。在我看來，這是一個方向，真正的落地還要有一定的距離。

在這個行業，熱點有時候并不是技術驅動的，很多時候是因為能賺錢而帶來的。

Tags：DEFIEFIETCDEFDeFi11ChargeDeFietc幣價Modefi

火幣APP