区块链安全性到底靠谱吗？干了5年安全审计说句大实话

从事区块链安全审计工作已经持续了五年之久。在这期间, 我接触并分析了超过两百个智能合约中的漏洞问题。从实际 experience 来看, 区块链技术的安全状况从来都没有所谓的绝对性可言。

它本质上是一个基于概率进行判断的游戏过程。目前还有大量人员停留在一个比较片面的认知状态中, 他们认为所谓去中心化属性天然就等于安全性保障。

区块链安全性怎么保障

保障这个东西, 靠的根本就不是哪一单单的一种技术, 而是必须得用多层冗余叠加这种方式来做。在共识这一层, 是用算力的比拼或者是质押的经济模式, 来想办法把作恶的成本给提高上去；而在密码这一层, 则是通过使用哈希算法和数字签名这些方法, 把数据的完整性给牢牢地锁死。

不过, 应用层这一块, 最终还是得依靠智能合约审计来给整个方案托底。

根据我实际审核过的那些项目情况来看, 存在这么三个案例, 这三个案例的前两层基础工作做得非常扎实且稳固, 可是, 它们却在升级逻辑的层面上,遗留出了一个权限溢出的问题, 最终导致在仅仅一晚上的时间里, 就有八千万美元的资金被对方轻易地提走了。

区块链安全性够不够用

至于它到底够不够用, 这要看你拿来做什么事情了。如果你是打算用来存资产, 或者是用来跑支付业务, 那么在当下的这个时间点, 其在安全性方面的表现是绰绰有余的。绰绰有余。

然而, 一旦你涉足跨链桥这个领域, 并且大量堆放金融衍生品相关的金融产品, 那么你面临的潜在风险敞口就会立刻出现明显变大的情况, 2022年发生的那几件关于跨链桥被非法入侵的事件, 其根本原因实际上在于验证环节中使用的智能合约内部存在明显的逻辑缺陷问题, 这种现象跟底层的共识机制是没有半毛钱关系的。

所以请不要去询问关于安全与否的问题, 而是要把具体的应用场景说清楚, 明确需要对抗什么级别的网络攻击者, 并且确认其是否能够承受得住相应的压力。当这些问题被问对了之后, 最终的答案就会自然而然地浮出水面了。