DeFi

四种外部调用攻击 | Web3 安全 101

视频的核心内容是关于在智能合约审计中可能遗漏漏洞的28种方式，并提供了相应的反向策略，以帮助审计人员更有效地发现漏洞。视频的讲解者Owen是Guardian Audits的创始人，拥有丰富的智能合约审计经验，旨在分享他在审计过程中积累的知识和经验。 关键论据和信息包括： 1. **外部调用的风险**：强调每个外部调用都可能引发重入攻击，审计人员应全面检查所有相关函数，而不仅仅是外部或公共函数。 2. **协作的重要性**：单独审计可能导致遗漏，团队合作可以提高审计质量，分享不同的视角和想法。 3. **开发者的信任问题**：审计人员应保持怀疑态度，假设代码中存在问题，而不是盲目相信开发者的实现。 4. **文档和注释的价值**：阅读代码中的注释和文档可以加速理解过程，帮助审计人员更快地掌握上下文。 5. **测试的重要性**：编写测试用例可以发现开发者未考虑到的边缘情况，从而揭示潜在漏洞。 6. **持续思考**：在审计过程中，审计人员应在离开代码时继续思考可能的攻击向量，以便在日常生活中也能激发灵感。 7. **关注合约间的交互**：审计时应考虑合约之间的相互作用，而不是孤立地分析每个合约。 8. **高层次的激励和代币经济学**：审计人员应关注可能导致治理攻击或其他风险的高层次激励机制。 9. **社区和学习**：参与Web3安全社区和实践审计可以提升审计人员的能力，避免孤立。 10. **保持健康的生活方式**：良好的睡眠和饮食习惯对审计人员的思维清晰度至关重要。 通过这些论据，Owen提供了一系列实用的建议，帮助审计人员在智能合约审计中更全面地发现和理解潜在的安全漏洞。

成为一名优秀安全研究员的四个步骤

视频的核心内容是介绍成为顶级安全研究员的四个简单但不易执行的步骤。讲者Owen分享了他在安全审计领域的经验，并强调了坚持和投入时间的重要性。 关键论据和信息包括： 1. **写大量的Solidity代码**：通过自己编写智能合约，建立对合约设计的直觉和理解，从而更好地识别潜在的设计缺陷和漏洞。 2. **阅读和理解代码库**：快速深入地理解不同代码库的结构和功能，掌握用户交互流程，以便在审计中发现细微的漏洞。 3. **学习特定的漏洞类别**：掌握各种常见的安全漏洞和攻击方式，建立一个“工具箱”，以便在审计时能够灵活运用这些知识。 4. **积极参与审计**：通过实际审计经验来提升技能，尽早参与审计项目，逐步积累经验和信心。 Owen强调，成功的关键在于持续的努力和时间投入，初期可能会感到困难，但随着经验的积累，审计工作会变得越来越容易。

如何找到关键漏洞 ｜ Web3 安全 101

视频的核心内容是介绍了一种名为GTDA的方法，用于审计区块链协议并发现关键漏洞。讲者Owen分享了他在Guardian Audits的经验，并希望通过这个方法帮助观众提高审计效率，找到更多的高危漏洞。 视频中提出的关键论据和信息包括： 1. **GTDA方法的步骤**：GTDA代表目标（Goals）、标签（Tags）、图示（Diagrams）和攻击（Attack）。每个步骤都有其重要性，尤其是在理解代码基础和发现漏洞的过程中。 2. **审计的高效性**：强调在审计过程中，理解代码的上下文是最重要的。审计者需要深入理解协议的功能和逻辑，而不仅仅是记忆漏洞类型。 3. **设置目标和去除干扰**：在审计时，设定明确的目标并消除干扰（如关闭社交媒体通知）可以显著提高工作效率。 4. **使用标签和图示**：在审计过程中，使用标签记录潜在漏洞和问题，并通过图示化的方式帮助理解复杂的代码结构。 5. **攻击阶段**：在完成前面的步骤后，审计者可以开始使用他们的工具箱进行攻击，寻找实际的漏洞和逻辑错误。 6. **实践中的应用**：视频还提供了如何在准备审计中应用GTDA方法的具体步骤，包括如何设定时间、理解系统功能、记录发现等。 总之，GTDA方法为区块链安全审计提供了一种系统化的框架，帮助审计者更有效地识别和解决潜在的安全问题。

DeFi 讲座 14：DeFi 的监管问题

在本学期的最后一堂DeFi课程中，客座讲师Aaron Wright教授探讨了去中心化金融（DeFi）的监管问题。他强调，尽管DeFi旨在减少对中心化中介的依赖，但现有的金融法规仍然适用，尤其是在涉及证券和商品交易的情况下。Wright教授指出，监管机构如美国证券交易委员会（SEC）和商品期货交易委员会（CFTC）对DeFi项目的透明度和用户身份的匿名性表示担忧，并可能对开发者和参与者施加责任。此外，他还讨论了去中心化自治组织（DAO）的法律地位及其与DeFi的关系，认为DAOs可能会被视为普通合伙企业，面临潜在的法律责任。整体而言，Wright教授呼吁在促进创新的同时，建立合理的监管框架，以保护消费者利益。

DeFi 讲座 13：DeFi 安全性

本次讲座深入探讨了去中心化金融（DeFi）的安全性，强调了安全在金融生态系统中的重要性。内容涵盖了DeFi的多个层面，包括硬件层、网络层、区块链层、智能合约层及应用层，分析了各层可能面临的攻击及其后果。特别提到的攻击方式包括重入攻击、回放攻击、三明治攻击和矿工可提取价值（MEV）等，强调了这些攻击对用户和整个DeFi生态系统的潜在威胁。此外，讲座还探讨了如何通过设计更安全的智能合约、使用去中心化的预言机和优化交易路由等方式来减轻MEV的影响，以提高DeFi的安全性和可持续性。

DeFi 讲座 12：实用智能合约安全

本讲座由Sam主讲，重点讨论智能合约安全的学习方法和实践。Sam强调，与专家交流是学习智能合约安全的最佳方式，并通过六个案例研究展示了智能合约中的安全漏洞及其影响。案例包括ERC-721和ERC-1155标准的演变，展示了安全转移函数如何引入新的安全风险，以及如何通过不当的外部调用导致漏洞。此外，讲座还探讨了跨链协议的复杂性和安全性问题，特别是在比特币和以太坊之间的交互中。最后，Sam分享了在发现漏洞后如何有效协调救助资金的经验，包括身份验证和法律责任等重要考虑。整体而言，讲座强调了在DeFi安全中，发现漏洞只是第一步，后续的协调和处理同样重要。

DeFi 讲座 11：去中心化身份

在本次讲座中，Andrew探讨了去中心化身份（Decentralized Identity）在去中心化金融（DeFi）中的重要性，重点关注了三个主要方面。 首先，去中心化身份在DeFi应用中的实际作用，包括如何将外部账户（如Twitter或电子邮件地址）与智能合约或DeFi应用连接。Andrew介绍了证明模型（attestation model），即身份提供者（issuer）对用户（subject）进行身份验证，并将信息传递给依赖方（relying party）。他还提到了去中心化标识符（Decentralized Identifiers）和基于零知识证明（zk-SNARKs）的匿名凭证（anonymous credentials），这些技术在保护隐私和安全性方面至关重要。 其次，Andrew讨论了真实姓名和权威身份（如政府颁发的身份证件）在DeFi中的必要性，尤其是在合规性方面。他提到了一项名为Candid的研究项目，该项目旨在通过传统身份提供者生成匿名凭证，以解决身份验证的鸡蛋与鸡的问题。 最后，Andrew提出了一些未来DeFi身份的替代方案，这些方案不依赖于中心化的身份发行者，而是通过信任网络（webs of trust）和个人身份证明（proofs of personhood）等方式实现身份验证。他强调，去中心化身份的未来可能会涉及更具创造性的身份管理方法，利用低权威标识符和物理事件等新方式。 总结来说，本次讲座强调了去中心化身份在DeFi中的多样性和灵活性，探讨了如何在保护隐私的同时实现身份验证，以及未来可能出现的创新身份解决方案。

DeFi 讲座 10：区块链上的隐私

在本次讲座中，Dan Bonnet探讨了区块链上的隐私问题，特别是如何在公共区块链上实现私密交易。以下是视频的核心内容和关键论据总结： 1. **核心内容概述**： - 视频讨论了在公共区块链上实现私密交易的可能性，强调了区块链的基本特性是普遍可验证性，即任何人都可以验证交易的有效性。尽管直观上看，所有交易数据必须公开以支持这一特性，但实际上可以通过加密技术实现私密交易，同时保持普遍可验证性。 2. **关键论据和信息**： - **零知识证明**：视频介绍了零知识证明（ZKP）作为实现私密交易的主要工具，允许一方（证明者）向另一方（验证者）证明某个声明的真实性，而无需透露任何额外信息。 - **承诺机制**：承诺机制与零知识证明结合使用，允许用户在区块链上提交交易的承诺，而不公开具体的交易数据。承诺是一个短字符串，能够隐藏实际状态。 - **隐私需求**：隐私在金融系统中的重要性被强调，企业和个人都需要保护交易金额和其他敏感信息，以防止竞争对手或公众获取这些信息。 - **不同隐私级别**：视频讨论了伪匿名性和完全匿名性两种隐私类型，指出以太坊和比特币等系统提供的是伪匿名性，用户的交易可以被追踪到特定地址。 - **混合机制**：介绍了混合机制（如Tornado Cash），通过将资金与其他用户的资金混合来增强隐私，确保交易的来源和去向不易被追踪。 - **合规性工具**：Tornado Cash还提供了合规性工具，允许用户在需要时去匿名化地址，以满足金融监管要求。 总的来说，视频深入探讨了如何通过加密技术和零知识证明在公共区块链上实现私密交易，强调了隐私在现代金融交易中的重要性及其实现的复杂性。

DeFi 讲座 9：合成资产与衍生品

本视频主要讨论了传统金融（TradFi）和去中心化金融（DeFi）中的衍生品，特别是期货、远期合约、期权及其在市场中的作用和风险。 ### 核心内容概括 1. **衍生品定义**：衍生品是基于其他资产未来价格的合约，其价值依赖于基础资产的表现。主要类型包括期货、远期合约和期权。 2. **合约设计目的**：衍生品合约的设计旨在促进市场中自然买卖双方的互动，并允许杠杆使用以放大收益和风险。 3. **对手方风险**：衍生品的支付依赖于合约对手方的履约能力，因此存在对手方风险。 ### 关键论据和信息 1. **期货与远期合约**： - **远期合约**：是双方约定在未来以固定价格交易某资产的合约，通常是定制化的，存在较高的对手方风险。 - **期货合约**：是标准化的远期合约，通常在交易所交易，具有每日结算（标记到市场）机制，降低了对手方风险。 2. **杠杆使用**： - 杠杆可以放大收益，但也增加了风险。期货合约的初始保证金和维持保证金机制使得交易者可以以较小的资金控制较大的资产。 3. **合成资产与DeFi**： - DeFi中的合成资产（如Synthetix协议）允许用户创建和交易跟踪真实资产的合成资产，利用链上预言机来确保价格的准确性。 - 这些协议通过去中心化的方式消除了传统金融中的中介角色，降低了成本和风险。 4. **清算机制**： - 在DeFi中，清算机制确保在极端市场波动时，仍能保护投资者的利益，避免因对手方违约而导致的损失。 5. **主动投资组合管理**： - 传统金融中的主动投资组合管理（如对冲基金）存在透明度低、费用高等问题，而DeFi中的资产管理协议（如SET协议）通过智能合约实现了更高的透明度和效率。 ### 总结 视频深入探讨了衍生品在传统金融和去中心化金融中的应用，强调了合约设计、风险管理和市场机制的重要性。通过对比，展示了DeFi在降低中介成本、提高透明度和灵活性方面的优势，同时也指出了潜在的风险和挑战。

DeFi 讲座 8：预言机

本视频由康奈尔科技学院的教授Ari Jules主讲，主要探讨区块链预言机（oracles）的概念、功能及其在去中心化金融（DeFi）中的应用。以下是视频的核心内容和关键论据总结： 1. **核心内容概述**： - 预言机是连接区块链与外部数据源的工具，能够将链外数据传递到链上智能合约中。视频详细介绍了预言机的工作原理、技术挑战以及未来可能的应用，尤其是在DeFi领域。 2. **关键论据和信息**： - **预言机的定义**：预言机被定义为一个将链外数据（如市场价格、事件状态等）传递到链上智能合约的系统。它们在许多DeFi应用中至关重要，尤其是那些需要外部数据的合约，如借贷、保险和交易所。 - **技术挑战**：构建预言机并非易事，主要挑战包括数据的准确性、节点的可靠性、外部数据源的可用性等。视频中提到，单一节点获取数据可能导致中心化问题，因此采用多个节点共同获取数据并达成共识是解决方案之一。 - **去中心化与安全性**：通过使用多个节点和冗余机制，可以提高数据传递的安全性和可靠性。此外，视频还讨论了如何通过中位数计算来避免恶意节点对数据的影响。 - **隐私保护**：预言机在未来可能会引入隐私保护机制，例如使用可信执行环境（TEE）和零知识证明，以确保用户数据的安全性和隐私性。 - **未来应用**：视频展望了预言机在未来DeFi应用中的潜力，包括隐私保护的DeFi合约、去中心化身份验证和数字资产的代币化等。 总的来说，视频深入探讨了预言机在区块链生态系统中的重要性及其面临的技术挑战，同时展望了未来可能的隐私保护和应用场景。

DeFi 讲座 7：稳定币

本次讲座的核心内容是关于稳定币的定义、重要性及其运作机制。稳定币是一种旨在稳定价格或购买力的加密货币，通常通过智能合约构建。讲座中提到，稳定币的设计和运作涉及多个经济模型和变量，包括利率、价格波动、抵押比率等。 关键论据和信息包括： 1. **经济模型**：稳定币的理解需要掌握经济模型的基本概念，包括外生变量（如抵押资产价格）和内生变量（如协议内部的代币价值）。外生变量是模型外部的影响因素，而内生变量则是模型内部的结果。 2. **储备系统**：稳定币可以采用全储备或部分储备的方式运作。全储备意味着每个发行的稳定币都有相应的资产支持，而部分储备则允许银行将部分存款用于贷款，这可能带来更高的风险。 3. **稳定币的类型**：讲座中提到几种主要的稳定币，包括基于储备的稳定币（如USDC和USDT）和基于抵押的稳定币（如DAI）。USDC和USDT依赖于公司持有的银行账户，而DAI则通过抵押以太坊生成。 4. **稳定性问题**：稳定币的稳定性是相对的，通常通过波动率来衡量。尽管稳定币相较于其他加密货币波动性较小，但在长期内，法定货币的通货膨胀也可能影响其稳定性。 5. **风险与挑战**：稳定币面临多种风险，包括技术安全风险（如智能合约漏洞）、经济安全风险（如市场操纵）和经济稳定性问题（如去杠杆化螺旋）。这些风险在不同类型的稳定币中表现各异。 6. **算法稳定币的设计**：讲座还探讨了算法稳定币的设计问题，强调了资产支持和经济使用价值的重要性，以及如何通过设计良好的市场机制来维持稳定性。 总之，稳定币在去中心化金融（DeFi）中扮演着重要角色，但其设计和运作面临复杂的挑战和风险，需要深入理解其经济模型和市场机制。

DeFi 讲座 6：借贷

本次讲座由Arthur主讲，重点讨论了去中心化金融（DeFi）中的借贷机制。借贷在传统金融和DeFi中都是基本构建块，允许借款人通过抵押资产获得资金以创造价值，同时也伴随一定的风险，如清算风险。讲座介绍了链上借贷的架构，包括借款人、贷方、清算人和价格预言机等角色，并探讨了超额抵押和不足抵押的借贷方式。超额抵押要求借款人提供高于贷款价值的抵押物，而不足抵押则允许借款人借入超过抵押物价值的资金。讲座还深入探讨了清算机制及其对借款人的影响，强调了流动性风险和市场波动对借贷行为的影响。此外，介绍了闪电贷款的概念，强调其在套利和清算中的应用，展示了DeFi中借贷的复杂性和潜在机会。

DeFi 讲座 5：去中心化交易所（DEX）

本次讲座主要讨论了去中心化金融（DeFi）中的去中心化交易所（DEX）及其运作机制，特别是交易匹配引擎和流动性提供者的角色。讲座介绍了传统金融市场的交易匹配和结算过程，并深入探讨了自动化市场制造商（AMM）的工作原理，包括常数乘积公式和流动性池的概念。还讨论了流动性挖掘、套利机会的识别以及无常损失的风险，强调了在提供流动性时可能面临的潜在损失。此外，讲座还介绍了如何利用Bellman-Ford算法和SMT求解器来寻找DeFi中的盈利交易机会，展示了如何通过图形化的方式分析市场动态。整体而言，讲座为理解DeFi生态系统中的交易机制和风险管理提供了全面的视角。

DeFi 讲座 4：传统金融简介

这段视频主要讨论了传统金融系统的核心问题、运作方式以及其面临的摩擦，特别是与去中心化金融（DeFi）相关的内容。 1. **核心内容概括**： 视频探讨了传统金融系统的目标，即帮助人们在不同时间和状态下积累财富，并为企业提供所需的资本。它强调了金融市场和银行在资源分配中的重要性，以及当前系统的摩擦和局限性。视频还介绍了金融资产的概念及其在资源分配中的作用，并讨论了监管机构在维护市场稳定和保护投资者方面的角色。 2. **关键论据和信息**： - **金融问题的定义**：金融的核心问题是如何在不同的时间和状态下有效分配资源，以帮助个人和企业积累财富。 - **金融市场和银行的角色**：金融市场通过提供交易平台，帮助资金从闲置者流向需要资本的企业；银行则提供存储和支付服务。 - **金融资产的种类**：包括债券、股票、衍生品等，这些资产的现金流和风险特征各不相同。 - **监管的必要性**：监管机构通过设定规则来保护投资者，防止市场失灵和系统性风险，例如反洗钱和客户身份识别（KYC）要求。 - **市场摩擦和成本**：传统金融系统的高成本主要源于监管负担和市场摩擦，这些因素可能导致资源配置效率低下。 - **DeFi的潜力**：去中心化金融旨在重新设计金融市场和银行的功能，降低成本，提高效率，提供更灵活的金融服务。 总的来说，视频深入分析了传统金融系统的结构和功能，并为后续讨论DeFi的优势和应用奠定了基础。

DeFi 讲座 3：智能合约简介

本次讲座由Andrew Miller主讲，主要介绍智能合约的基本概念及其在区块链上的应用。智能合约被视为区块链上的程序对象，而非传统意义上的合同。讲座内容包括Solidity编程基础、CryptoKitties拍卖机制案例分析、智能合约与法律合同的比较，以及代币的概念，涵盖可替代代币（如ERC20）和不可替代代币（如ERC721）的特点。通过实例，Miller强调了智能合约的自动执行特性及其在去中心化金融（DeFi）中的重要性，鼓励学习者理解和应用这些技术。