samczsun：加密协议安全，关键在主动重新审计

如今行业已形成共识，加密货币安全防护需遵循三大关键步骤：开发阶段编写测试用例以排查基础错误；部署前通过审计与竞赛开展全面审查；设立漏洞赏金计划，对负责任披露漏洞以防范攻击的研究人员给予奖励。这些最佳实践的普及，大幅减少了链上漏洞数量，迫使攻击者将目标转向私钥盗窃、基础设施入侵等链下漏洞。

然而，即使是经过全面审计并提供丰厚漏洞赏金的协议，仍不时遭遇黑客攻击。此类事件不仅影响涉事协议本身，还会动摇整个生态系统的信任根基。近期的 Yearn、Balancer V2 黑客攻击，以及年初的 Abracadabra、1inch 安全事件均表明，即便是久经考验的协议也并非绝对安全。加密行业是否本可避免这些攻击？抑或这只是去中心化金融的必然代价？

评论人士常提出，提高漏洞赏金本可保护这些协议。但即便抛开经济现实不谈，漏洞赏金本质是被动安全措施，将协议命运交由白帽黑客掌控，而审计才是协议主动采取的自我防护行动。提高漏洞赏金无法阻止黑客攻击，因为这无异于加倍下注，赌的是白帽黑客能比黑帽黑客更早发现漏洞。若协议想要真正保护自身，就必须主动开展重新审计。

财库资金与锁仓价值（TVL）

有时黑客会同意归还大部分被盗资金，仅保留一小部分（通常为 10%）作为回报。遗憾的是，行业将这部分回报称为 「白帽赏金」，这不禁让人疑问：协议为何不直接通过漏洞赏金计划提供同等金额，从而避免谈判的麻烦？但这种想法混淆了攻击者可窃取的资金与协议可支配的资金。

尽管从表面看，协议似乎可动用这两笔资金用于安全防护，但协议仅对自身财库资金拥有合法支配权，无权动用用户存入的资金。用户也极不可能提前授予协议此类权限，只有在危机时刻（例如存款人需在损失 10% 存款与损失 100% 存款之间做出选择），才会允许协议利用存款进行谈判。换句话说，风险会随锁仓价值（TVL）同步扩大，但安全预算却无法随之增加。

资本效率

即便协议资金充足（例如拥有庞大的资金库、盈利能力强，或者已经实施了安全费用政策），如何合理分配这些资金用于安全防护，仍是一个难题。与投资进行重新审计相比，提高漏洞赏金往好里说是资本效率极低，往坏里说会导致协议与研究人员之间的激励错位。

如果漏洞赏金与 TVL 挂钩，那么当研究人员怀疑协议的 TVL 会增长且重复漏洞出现的概率很低时，他们显然更有动机隐瞒关键漏洞。这最终会让研究人员与协议直接对立，损害用户利益。单纯提高关键漏洞赏金也难以达到预期效果：自由职业研究人员群体规模庞大，但将大部分时间投入漏洞赏金、且具备足够技能在复杂协议中发现漏洞的人寥寥无几。这些精英研究人员会将时间集中在最有可能获得投资回报的赏金项目上。对于规模庞大、久经考验的协议，由于默认始终受到黑客和其他研究人员的密切关注，发现漏洞的概率被认为微乎其微，因此无论提供多少赏金，都不足以吸引他们投入精力。

与此同时，从协议角度来看，漏洞赏金是预留用于支付单个关键漏洞的资金。除非协议愿意赌绝对不会出现关键漏洞，同时向研究人员隐瞒自身流动性状况，否则这笔资金无法挪作他用。与其被动等待研究人员发现关键漏洞，不如将同等金额用于多年内开展多次重新审计。每次复审都能确保获得顶尖研究人员的关注，并且不会人为地限制于发现单个漏洞，同时也能使研究人员和协议之间的利益保持一致：如果协议被利用，双方都会遭受声誉损害。

现有先例

在软件和金融行业，年度到期审计是经过验证的成熟实践，也是判断企业是否能应对不断演变的威胁环境的最佳方式。SOC 2 Type II 报告被 B2B 客户用于评估供应商是否维持适当的安全控制措施；PCI DSS 认证表明企业已采取妥善措施保护敏感支付信息；美国政府则要求接触政府信息的相关方必须获得 FedRAMP 认证，以维持高标准安全防护。

智能合约本身虽具有不可变性，但运行环境并非一成不变。配置设置可能随时间变更，依赖项可能被升级，原本被认为安全的代码模式实则可能存在风险。协议审计是对审计当时安全状况的评估，而非对协议未来安全性的前瞻性保障。更新这一评估结果的唯一方式，就是开展新的审计。

2026 年，加密行业应将年度审计作为协议安全防护的第四步。拥有大量 TVL 的现有协议应针对其部署情况开展重新审计；审计公司应提供专注于评估整体部署情况的专业重新审计服务；整个生态系统应集体转变对审计报告的认知，它们只是对特定时间点安全性的评估，可能会过期，而非永久安全保障。