DeFi 安全 101 - Web3 运营安全

视频 AI 总结： 该视频主要讨论了 Web3 领域的运营安全问题，强调了社交工程攻击的普遍性和危害性，并分享了五个案例，揭示了攻击者如何利用 Telegram 冒充身份、通过钓鱼邮件传播恶意软件、以及利用 Google 账户漏洞窃取信息。视频强调了安全意识的重要性，并给出了具体的防范建议，例如使用 YubiKey 进行双因素认证、不在同一平台存储所有信息、以及及时报告安全事件。 关键信息： * Web3 领域 99% 的资金盗窃并非源于智能合约漏洞，而是运营安全问题，其中 99% 的攻击始于社交工程。 * 攻击者可以通过 Telegram 冒充熟人进行诈骗，利用虚假 OTC 交易窃取资金。 * 钓鱼攻击可能来自受信任的来源，例如官方邮件列表或被黑的博客，需要时刻保持警惕。 * 将所有信息（邮件、密码、验证码）都存储在 Google 账户中存在风险，一旦账户被盗，所有关联账户都可能失窃。 * 传统的双因素认证方式（如 Google Authenticator）容易被钓鱼，推荐使用 YubiKey 进行硬件认证。 * 电脑被感染是不可避免的，重要的是及时报告并采取措施，避免更大的损失。 * Web3 组织中可能存在威胁行为者，需要保持警惕。 * 如果从未出现过误判，说明安全意识还不够。

DeFi 安全 101 - 智能合约审计 2025

视频 AI 总结： 该视频是 DeFi 安全峰会的一部分，旨在为智能合约审计提供实用技巧。演讲者分享了超过 100 条关于学习、审计方法、个人策略以及在公司或团队中作为安全研究员的建议。核心强调了持续学习、专注、沟通、挑战既定观念以及道德的重要性。视频旨在帮助新手和有经验的安全研究员提升技能，并强调了安全审计在 DeFi 领域的重要性。 关键信息： * **学习方面：** 强调深入学习特定领域，阅读代码而非仅教程，战略性地选择项目，专注，以及不要过度依赖 AI。 * **审计方面：** 强调在理解和破坏之间切换思维，提出“如果...会怎样”的问题，优先考虑重要性而非完整性，制定审查计划，以及构建轻量级的威胁模型。 * **个人策略：** 建议从自身角度出发思考可能犯的错误，使用视觉辅助工具，从核心组件或隔离组件入手，关注资金流和用户流程，以及先处理表面问题。 * **职业发展：** 强调软技能、沟通、写作能力，适应客户需求，团队合作，以及关注学习机会而非仅薪资。 * **个人特质：** 建议限制社交媒体使用，培养成长型思维，对安全研究充满热情，持续学习，关注心理健康，以及思考道德伦理。 * **其他建议：** 优先考虑最大影响或最大收益的代码，简化代码逻辑，寻找人迹罕至的路径，寻求真相，先理解系统再破坏它，以及尊重开发者。 * **测试与 AI：** 强调测试的重要性，将 AI 作为头脑风暴工具，以及逐步升级测试方法。 * **实用技巧：** 形式化验证无状态库，面对挑战时不断提升自己，重写代码进行比较，以及享受并准备好迎接巅峰体验。 * **报告与沟通：** 缓慢而清晰地撰写报告，认真对待每一个漏洞，从终点出发，以及与优秀的人一起工作。 * **审计基础：** 审计是阅读代码，围绕资产、行动者和行动展开，挑战一切，以及区分异常、问题和漏洞。 * **协作审计：** 强调沟通、信任、严谨、清晰和责任的重要性，以及审计不是银弹。