2025年6月10日
来自领域内部的观察。
Web3 的发展步伐是无情的。新的协议每天都在上线。DAO 管理着数十亿美元。桥连接着链。DeFi 不断突破界限。但在这所有创新背后，隐藏着一个残酷的现实：如果你的代码库不安全，其他一切都无关紧要。
在 ImmuneBytes，审计智能合约是我们每天所做的事情。我们与在 Web3 中构建的团队密切合作，并且亲眼目睹了一个被忽视的错误如何导致整个项目崩溃。这不是理论。这是现实。
仅在过去一年中，Web3 领域就因黑客攻击和漏洞损失了超过 17 亿美元。有些是由于协议级别的错误，另一些是由于有缺陷的假设或实施不力的逻辑。其中大多数可以通过适当的审计和测试来避免。
那么让我们来谈谈审计员实际上做什么，为什么我们的角色比以往任何时候都重要，以及这个行业的发展方向。
审计员是最后一道防线
在传统的软件中，如果出现问题，团队会推送补丁。在 Web3 中，合约通常是不可变的。一旦部署，代码就会在那里，处理资金，响应用户，执行治理，永不停歇。
作为审计员，我们的工作是确保它一旦上线，其行为完全符合预期，并且不会被扭曲成其他东西。
我们超越了显而易见的事物。一个简单的 transferFrom 调用可能看起来很安全，直到你意识到它之后无限制的外部调用可以重新进入合约。一个 DAO 提案函数可能看起来是经过授权的，直到你发现一个逻辑路径，允许恶意行为者偷偷获得执行权。
审计不是遵循一个清单。而是要了解用户和攻击者如何与系统交互，以及系统在极端情况下如何响应。
审计员无处不在，但我们并不都一样
在过去的两年里，审计公司和自由审计员的数量呈爆炸式增长。有些是老手。有些是新手，只使用自动化工具。整个行业格局是分散的。
以下是审计员目前正在合作的地方：
- Code4rena，Cantina 和 Sherlock: 这些平台运行审计竞赛，白帽研究人员通过寻找错误来获得奖励。他们帮助发现了传统审计有时因时间限制或范围限制而错过的漏洞。
- Github + Discord + Telegram: 是的，仍然是最活跃的行业工具。大多数审计讨论、分类报告和客户协调仍然通过这些媒介进行。
- 私有社区: 像 Immunefi 的精英研究员小组这样的地方汇集了该领域一些最聪明的人。在这些地方，零日漏洞以负责任的方式披露，共享知识可以防止广泛的漏洞利用。
- AI 辅助平台: 最近，我们看到了一些 AI 辅助的审计工具，这些工具可以在某种程度上帮助加快初步审查。但它们仍然是助手，而不是替代品。关键是要理解自动化工具可以帮助发现模式。但是解释这些模式呢？这仍然是非常人为的工作。
2025 年，什么才能算有效的审计？
在 ImmuneBytes，我们开发了一个随着领域发展而演进的流程：
- 范围对齐
我们不只是阅读代码，我们还要理解协议的意图。这包括代币经济学、治理、访问控制模型、可升级性模式和链下依赖项。
- 威胁建模
我们演练可能的攻击。不仅仅是通常的重入或溢出错误。我们会询问攻击者可能会如何行动。鲸鱼会操纵矿池吗？有人会通过 gas griefing 来 DOS 一个函数吗？
- 手动审查 + 自动化分析
我们将深入的手动检查与自动化分析技术相结合。两者不能相互替代。Fuzzing、属性和不变性测试，以及像 Slither 这样的静态分析工具，以及我们内部的脚本，都是我们日常工具包的一部分。
// 这是一个示例代码块
function transfer(address recipient, uint256 amount) public {
// 检查余额
require(balanceOf[msg.sender] >= amount, "余额不足");
// 执行转账
balanceOf[msg.sender] -= amount;
balanceOf[recipient] += amount;
// 触发事件
emit Transfer(msg.sender, recipient, amount);
}
- 客户合作
我们不会把一个 PDF 扔给开发人员然后走开。我们会一起审查发现，提供修复方案，测试补丁，并验证实现。这是一个来回的过程。
- 审计后验证
修复完成后，我们会重新审查。即使在应用修复后，我们也发现了关键的回归。在最后检查点之前，任何东西都不能上线。
展望未来
随着 L2 的成熟，模块化区块链的兴起，以及 zk 技术的普及，智能合约的复杂性只会增加。随之而来的是更多的风险，以及对周到、彻底的审计的更多需求。
审计员将在以下方面发挥更大的作用：
在编写第一行代码之前就参与进来，从一开始就帮助设计安全模式。
将审计与警报系统配对，以捕获部署后链上发生的意外行为。
特别是对于像稳定币或多重签名钱包这样的高风险合约，必须在数学上解释每种极端情况。
我们定期为想要建立安全至上思维的项目举办研讨会、网络研讨会和内部开发培训。
简而言之
如果你今天在 Web3 中构建，风险很高。你的用户信任你的代码。市场变化很快。错误的代价是高昂的，不仅在经济上，而且在声誉上。
在 ImmuneBytes，我们认为审计不应该只是一份清单。它应该是一场对话、一种伙伴关系，以及一个持续学习和改进的过程。
安全不会在部署时结束。我们作为审计员的角色也不会结束。如果你想讨论你的协议架构，集思广益安全升级路径，或者只是在启动前获得第二双眼睛的审查，我们随时待命。
让我们一起构建更安全的系统。
