大门安全课 03｜Gate & GoPlus：审计报告解读与合约漏洞排查

正文：

安全是一个持续变化的状态，而不是一份静态的证明。今年，许多被盗项目的合约虽然经过审计，且部分甚至多次审计，但这并不意味着审计毫无价值，而是表明审计能够回答的问题远比大多数人想象的要有限。

审计报告所反映的是某一天、某个团队对特定版本的检查。然而，合约可能会进行升级，权限也会发生变化，项目所依赖的预言机和跨链桥也会变动，新型攻击手法每周层出不穷。审计报告交付的瞬间，它便开始失效。更令人担忧的是，那些几年前部署并顺利通过审计的旧合约，如今正被自动化工具重新扫描，可能在短短十几分钟内就被发现潜在的深层漏洞。

这是 Gate 特别策划的《大门安全课》第三期。我们邀请了 Web3 安全服务商 GoPlus Security 和 Gate 安全团队，从安全服务商和交易平台的双重视角探讨审计与漏洞排查：为何审计过的项目仍会出现问题，一份审计报告该如何解读，平台在上币前后分别进行哪些检查，以及普通用户如何在签名之前进行自查。

GoPlus 合伙人 Adam：Adam 是 GoPlus 的合伙人及安全研究院的负责人。

GoPlus Security 正在构建 Web3 和 AI 的首个去中心化安全层，利用区块链和先进的人工智能安全解决方案，向用户提供智能、高效且去中心化的安全产品与服务。自 2022 年以来，GoPlus 实现了迅猛增长，日均 API 调用量达到 3000 万次，为用户防止了近千亿美元的潜在损失。

Gate 安全团队：Gate 安全部门专注于平台账户、交易及资产安全体系的建立，同时长期处理用户的异常账户申诉和协查请求。

Gate 成立于 2013 年，是行业内首个推出 100% 储备金证明的交易平台，目前服务全球超过 6000 万用户。安全是这一商业模式得以成立的基础，我们希望通过《大门安全课》，阐明这些真实风险背后的共通机制。

GoPlus 合伙人 Adam 表示：「单次审计」并不等同于「永远安全」，传统合约审计服务目前存在四个结构性缺陷：

1）快照式检查。审计本质上是审计工程师在特定时刻进行的半人工检查，效果依赖于工具的质量、个人的能力以及工作状态。但合约代码会随时升级，管理权限会变化，参数配置会调整，审计报告自交付之时起便开始过时。

2）无法预见未来。新型漏洞和攻击手法层出不穷，历史审计无法涵盖未来的风险。

3）外部依赖失控。项目普遍依赖于预言机、跨链桥和第三方协议，这些依赖项的风险变化并不在传统审计的覆盖范围内。

4）旧合约集中暴雷。数年前部署并当时已通过审计的合约，正被自动化工具批量扫描出漏洞，例如像 Balancer 和 Yearn 这样的项目，深层漏洞在上线多年后仍未被发现。

至于权限滥用，更多发生在运营阶段而非合约代码本身，原因包括：Owner 权限过大（可随意增发、拉黑名单、暂停交易）、管理员私钥泄露、多签管理不当、恶意提案和治理攻击等。这些都是运营阶段容易出现的安全问题。即使审计报告中标注了权限风险，后续又由谁来监控呢？操作是否安全、合理都无法得出明确答案。

合约审计后的上线只是安全工作的起点，而非终点。项目需要的是覆盖合约全生命周期的持续安全，而非一份一次性的审计报告。

Gate 安全团队指出：审计能够告诉用户代码的功能，但无法揭示项目方的真实意图。

这是我们在上币审核中最深刻的体会。许多事故的根源在于项目方的决策。一个合约在技术上可能完全合规，所有者权限的设计也在正常范围内，但项目方依然可以在某个特定时刻利用这些权限：修改交易规则、拉黑名单、增发代币。这些操作在代码层面都是合法的，审计报告也不会将其标记为漏洞，因为它们本就是设计的一部分。

因此，除了技术审计外，还需要更多的约束措施。Gate 的做法是在上币环节严格筛选和审核项目，同时与项目方签署不作恶声明，并对履约情况进行监督。这一层旨在解决审计无法覆盖的问题：代码无漏洞并不意味着团队不会做出损害用户的决策。

对于已上架的项目，我们会进行定期安全审计，同时通过链上事件监控合约状态，用户也可以随时查看某个合约当前的风险项。

Gate 安全团队表示：加密行业的一个结构特征是，许多业务，尤其是 DeFi，运作模式类似于模块化金融。各类平台由共享组件构成，包括合约、软件库、钱包、价格预言机、跨链桥、连接服务商、网页界面，以及用于推送更新的系统。

因此，除了自身合约的安全性，更需要关注每个依赖环节的可靠性。上游某个组件出现故障，损失会沿着链条传递。回顾那些重大攻击事件，问题往往源于协议逻辑之前的环节：供应商、开发工具、软件如何触达用户，或者用户批准转账的流程。

GoPlus 合伙人 Adam 提到：黑客利用自动化工具高效挖掘漏洞的攻击方式已然形成并迅速扩散，攻击从「专家手工研究」转变为「流水线作业」。如果行业仍停留在「上线前找审计公司出一份报告」或在发现风险后再找安全公司「亡羊补牢」，这就像用弓箭对抗机关枪。仅有同样高效的工具去对抗攻击，才是唯一有效的解决方案。

行业调整的方向应从「一次性审计」或「事后求助专家」转变为「全生命周期的持续安全」。以 GoPlus DeepScan 的「合约安全三件套」为例，这是一个可实现的闭环：

上线前，Token 安全自查：快速自检合约中的潜在风险，包括恶意增发、黑名单、异常交易税、Owner 权限等；

上线时，AI 合约审计：深入分析源码、权限管理和业务逻辑，扫描语法层和业务逻辑层的漏洞，并交付结构化审计报告；

上线后，持续安全监控与定期体检：实时追踪新增漏洞情报、攻击事件及外部依赖（如预言机、跨链桥、第三方协议）的风险，持续评估项目是否受到影响，并进行常态化预警。定期对合约进行安全体检，实现持续审计。

GoPlus 合伙人 Adam 直言，短期内攻击方挖漏洞的方式变得更加多样化，原因有三：

1）自动化工具显著降低了挖掘漏洞的门槛，过去需要顶级安全研究员数周的工作，现在攻击流水线几分钟就能完成；

2）链上积累了大量「曾经审计过」的旧合约，对攻击者而言是一个巨大的「金矿」；

3）攻击是一种单向变现，找到「一个」漏洞就足够，而防御者则需要守住「所有」漏洞。

黑客在几分钟内就能挖走资金，而防御方若要发现同样的漏洞，其实也只需几分钟。关键在于，项目方是否在黑客之前正确运用工具。

来源：Odaily星球日报