项目代码审计如何去做？

元宇宙项目不做第三方代码审计日后出现风险如何把控

什么是代码审计

源代码审计（Code Review）是由具130备丰富9370编码经6165验并对安全编码原则及应用安全具有深刻理解的安全服务人员对系统的源代码和软件架构的安全性、可靠性进行全面的安全检查。

源代码审计服务的目的在于充分挖掘当前代码中存在的安全缺陷以及规范性缺陷，从而让开发人员了解其开发的应用系统可能会面临的威胁，并指导开发人员正确修复程序缺陷

最近，随着YFI的推出，去中心化金融(DeFI)出现了一个趋势，即发布未经代码审计的项目供用户访问。但正如我们从Yam Finance的事件中看到的那样，在项目的智能合约中发现的bug会对未经审计的项目的用户和投资者造成经济上的损害。

虽然审计绝不意味着项目的完全安全，但正如Hegic的bug所表明的那样，智能合约审计师在生态系统中继续发挥着重要作用。通过让第三方审计师仔细检查代码并采取行动修复漏洞，项目向其用户发出信号，表明他们认真对待资金的安全性。

在这篇报道中，The Block对加密货币审计公司的数据进行了研究，并特别关注了DeFi项目，因为在当前的环境下，大部分用户资金都流向了那里。我们还研究了DeFi项目设立的bug赏金计划。我们的数据集由68个DeFi项目组成，这些项目已经处理和管理了数十亿美元的加密货币。

DeFi审计机构

根据我们的研究，至少有29家网络安全公司为加密货币项目提供审计服务，并延伸到DeFi项目。按审计的项目数量计算，领先的DeFi审计机构是OpenZeppelin、TraiofBits和ConsenSys Diligence。certik.

这三家审计公司总共审计了我们数据集中一半以上的项目。在我们的数据集中，每家公司单独审计了近五分之一的项目。

DeFi项目聘请的审计师平均人数约为两名。下图显示的是已经聘用了三个或更多审计师来检查其项目的项目。Gnosis以最多样化的审计师队伍领先。拥有一套多样化的审计师可以使项目获得不同审计师所特有的更广泛的技能组合

但是这背后有俩问题：项目方要直接跑路呢？大家赚的是谁的钱？项目方跑路和代码是挂钩的，这也和18年的交易挖矿，有着本质上的区别，只要代码在，稳定币体系就会正常流转，币就在。

很多人根本不怕项目方跑路，反而怕项目方“做事情”，一旦推出新版本，就会让老版本的币种贬值，只要代码安全性合格，保证去中心化的机制，项目方也拿这些币没办法。当然最怕的是代码不合格，最后币全让黑客端走了，比如YAM深夜爆出漏洞，目前还调整呢。

基于以太坊的一DeFi项目YFV发文称遭到勒索。攻击者利用staking的合约漏洞，可以任意重置用户锁定的YFV。并表示，此次事件可能和不久前的“pool0”事件相关，勒索者极有可能是在“pool0”事件中未取回资金的“愤怒的农民”。成都链安分析称，合约存在一个stakeOnBehalf函数使得攻击者可以为任意用户进行抵押，此函数中的 lastStakeTimes[stakeFor] = block.timestamp; 语句会更新用户地址映射的laseStakeTimes[user]。而用户取出抵押所用的函数中又存在验证，要求用户取出时间必须大于lastStakeTimes[account] 72小时。

本次事件的根本原因在于，没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。根据成都链安在代码审计方面的经验，个别项目方在进行代码审计时，未提供完整的项目相关资料，使得代码审计无法发现一些业务漏洞，导致上线后损失惨重。在此提醒各项目方：安全是发展的基石，做好代码审计是上线的前提条件。可想而知项目上线之前做好代码审计工作有多重要！

针对于本次事件，究其根本原因，还是没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。

代码审计一般都是以代码的行数来计费的～

代码审计是从安全的角度对代码进行的安全测试评估，全面了解代码内部逻辑结构、对所有逻辑路径进行测试，通过分析当前应用系统的源代码，充分挖掘当前代码中存在的安全缺陷以及规范性缺陷。

以太坊和yfi有什么关系？

以太坊（英语：Ethereum）是一个开源的有智能合约功能的公共区块链平台。通过其专用加密货币以太币（Ether，又称“以太币”）提供去中心化的虚拟机（称为“以太虚拟机”Ethereum Virtual Machine）来处理点对点合约。

Yearn.finance是为分散式金融（DeFi）投资者提供的汇总服务，它使用自动化使他们从收益农业中获得最大利润。

它的目标是为不熟悉技术或希望以比认真交易者更少投入的方式进行互动的投资者简化不断扩大的DeFi空间。

该服务于2020年2月推出，前身为iEarn，近几个月来随着新产品的首次亮相以及开发人员发布内部代币YFI的发展而取得了巨大的增长。

yfi币是哪个国家的？

美国，Yearn.finance是Andre Cronje的创意。2020年2月离开iEarn项目后，Cronje返回监督重生，出现了新工具，YFI于7月上线。

从那时起，它的命运开始扭转，截至2020年9月，总资产锁定价值略高于10亿美元。

Cronje在加密货币领域拥有很长的职业生涯，尤其已经成为DeFi的代名词。他还曾在智能合约生态系统Fantom和CryptoBriefing担任职务，这是专门用于初始代币发行（ICO）和加密媒体的资源。

nhbtc币什么来头？

nHbtC 是 NEST Protocol 上 nHbtC /ETH价格预言机的报价凭证，是标准的 ERC20 Token。

HbtC/ETH为NEST Protocol近日刚刚激活的预言机轨道（备注：HbtC是火币推出以太坊区块链上的比特币代币，HbtC 可与 btC 1:1兑换），但是其报价密度已经超过YFI/ETH，据NEST Protocol官网最新数据，当前NEST网络中，YFI/ETH 是31区块，而HbtC/ETH的报价密度仅为19区块。

据官方消息，火币全球站“全球观察区”将于12月17日16：00开放NHbtC（nHbtC）交易，目前火币已开放NHbtC充值。火币全球站将在开放交易后5分钟内限制限价交易的挂单价格，且价格不得高于开盘价格的5倍，5分钟后恢复正常交易。新资产上线早期，请注意价格波动带来的风险。

标签: