PANews特约作者：Leo，DeFi项目联合创始人
在加密职业中，审计是保证项目完整性和安全性的不可或缺的部分，细心观察不难发现，比较优秀的项目比如Lido、Compound在审计方面的投入是7位数美金起步的「天文数字」，而且往往会就同一批产品代码，雇佣多个审计服务商介入审计。
这一方面可以看出DeFi夏天以来，链上头部事务/产品所获颇丰，有足够弹药继续打出，构筑更纵深的竞赛壁垒；另一方面其实也为同行中的许多项目、创业者展开了审计的一个切面：审计作业并不会仅仅「花钱-雇人-出陈述-宣发」的流程化简略作业，而是应该有一套完整的「审计观」和方法论——什么样的产品交给需求审计？怎么选择供货商？怎么最大程度保证审计作业的有效醒？怎样可以最经济实惠又安全齐备地完结审计作业？
笔者将在下边的文章中，结合自身经历，从详细做项目，搞创业的视点出发，与各位读者评论下我心中理想的「审计观」是怎么。
安全服务商纵览，货比N家
审计供货商的可选性在近2-3年的光景中可谓是喷涌式增长，盘点下来市面上比较常见的审计供货商大概有15-20家左右（排名不分先后）。
就笔者经历和其他同行的交流，国内的 Peckshield、SlowMist, 海外 Trail of bits, OpenZeppelin的综合美誉度、技能才干和掩盖完整度归于榜首队伍。
全体上，华人主导的供货商（主要是榜首行）仍然是加密职业中文项目的主要选择，时差为零且语言疏通，报价上也比较高性价比，国产供货商的报价基本上是12K-15K USD/人/周的水平，跟着商场的淡季/旺季会有所波动；
相比之下，海外的供货商在中文职业存在度比较低，但这些供货商或因品牌溢价，或因创始团队资源关系，或因掩盖度/技能才干，普遍定价还是显着高于华人供货商，基本上是1.5-2倍的报价差异，而且往往可以出一批巨额的订单，比如OpenZeppelin从前被Compound以单季度上百万美金的价格聘请进行审计。
与市面上主流的审计供货商平行存在的还有一类服务商，比如Immunefi、PwnedNoMore。笔者界说为「白帽社区」，在传统的安全圈子中应当归于比较老练的业态，在加密职业中，归于新近两年冒出来的，不过依然吸引了不少项目进驻选用，基本的运作形式就是项目方去该平台发布希望被审计/debug的模块（前端、后端、合约等），界说bug的严重度以及对应的赏金，以期吸引「白帽」自动report bug，处理问题。这种形式应该视为「公司制审计商」的一种有利弥补，需求项目方可以精准，清晰有效地界说bug的分类、层级和需求对方掩盖的规模，并大方地给出悬赏金，往往能取得意外的惊喜。
审计流程、方法论和省钱攻略
关于项目方而言，首次要请审计商review前，需求一定的设计和安排，一般主张要保证做到这几个点：
1-送审的代码在内部要进行过2轮以上的测验，如果时刻答应，最好是再有一轮社区的公测后再送审，防止「显而易见」的问题需求付费处理；
2-送审的代码要尽量保证依照项目方的milestone，批量打包，一次性交给审计，防止拉高本钱；
3-保证送审的对接人清楚产品全体的运行原理、大致的代码量以及主要模块的散布，防止在initial setup阶段需求传达不清，给项目拿回一份不合适的报价单；
4-排期要比较，重要产品节点有必要付费确认排期。
虽然市面上的供货商许多，可是每家的排期差异巨大，送审人有必要就同一段代码向至少3个审计商发出评价请求，取得排期、报价和作业量评价，重要的产品节点务必预付费一部分（一般主张30%-50%），锁住审计商的排期，防止影响进展。
就笔者的经历，中文供货商的预定主张至少提早2-4个周（相较于希望陈述产出的日期），海外供货商的预定至少提早1个月（这里主要是考虑时差、对接人转介以及老外普遍不996的耗时）。
在秉承上边的送审原则后，确认排期、报价，项目代码交给审计商开始review，过程中，比较负责任的审计商一般都会就review中的疑问和项目方进行评论，详细的对接人 & 项目方的技能人员有责任也有必要多和审计商交流排解问题，对接人在过程中需求保证：
1）审计的中间进展如期进行；
2）审计商提供的初版审计陈述需求让项目团队中的2位不同技能人员去交叉review，再同步审计商定稿与否；
3）审计对接人要做好勾联同步的效果，保证本团队要害技能、产品人员，与审计商中实践进行代码review的人树立群聊，而不是被动地等候审计商出陈述和签字；
4）【如虎添翼】对接人可以在审计过程中对市面上其他家审计商发的「安全事情review陈述」坚持关注，对或许匹配自家项目的情况，自动提出和审计商交流，前置地把或许没掩盖的问题给debug。
项目方要有明显的「偏见」，保存后门有必要
审计公司大多可以完结的作业是代码本身的质量、逻辑、安全性是否齐备、十足，关于代码和事务关联触碰很少。往往会呈现代码逻辑/安全性上调整到位了，事务逻辑受到了影响的情况。
比如关于合约权限晋级，费率调整、token增销等要害module，从事务前期发展来说，其实需求一个项目方内能做决议计划的core member单签控制，应对商场变化/突发安全事情及时调整，而不是一味地追求多签控制，影响危机时刻项目的应变才干。
合理的「后门保存」/「超级权限」不只事关项目，亦或许攸关职业生死，试想，如果BitMex不曾拔网线，Circle不曾停换回，BNB Chain不曾「停链保护」，职业如今又是什么光景？
继续交流和同享才干推动长线安全
审计商的服务只能debug而不能保证100%安全，安全事故总有或许在某个点引发。
一方面项目方要自动和审计公司交流，参议怎么处置（或许是赔付、免费二审、退款，或许其他计划）
另一方面，每一个安全漏洞的发现 & 补足其实也都事关职业全体的前进，在不涉及项目方要害商业利益的情况下，鼓舞一切项目方积极与审计公司一起，公开化地recap每个相似的问题，能更好地让职业同享一套更高的安全标准，其实也是在长时间地下降每家项目方审计的本钱。
项目方决议计划层应具有hakcer思维，重视社区力量
审计是一场长年累月的资金战争，是项目方竞赛的重要壁垒。
一方面应该在每一个产品的milestone之间都继续地投入资金，雇佣知名、牢靠的外部审计商来掩盖或许的安全漏洞；另一方面也应该重视社区的力量，鼓舞比如Immunefi、PwnedNoMore这样子白帽社区介入项目的安全buidl。
笔者曾以约30K美金的赏金，成功请到以为社区中的白帽人员，debug并协助修复布置了一个保管百万美金的合约。
少另辟蹊径，多复用老练合约，也是降本增效的好手法。
加密职业的创业门槛已然大幅提高，数百万美金的融资额即便在眼下的市面上，也归于屡见不鲜的存在。从前边的评论可以看出，要真实支撑一整套牢靠、安全、稳定的dApp十分困难，哪怕是Compound、Lido、Uniswap等职业顶流应用也无法保证十足安全。
所以，从本钱集约的视点触发，每个初创项目在合约、模型的选用上要最大或许嵌套入已有的老练设施，防止另辟蹊径，常见的DEX、Lending、收益聚合器、流动性质押 & 再质押，乃至衍生品买卖、组成财物等品类，其实都有一批老练、可用的基础设施给新晋项目方复用、嵌套，这在给项目方下降安全本钱的一起，也有效地增强了项目本身的安全性，而且可以保证系统的安全跟着复用对象的晋级而进化。
从职业的全体视点来讲，要做到十足的安全，其实需求商场上一切主体的参与和奉献。
关于审计商而言，1）防范项目的小心思。部分项目的常见操作是把真实去审计的代码，和面向社区交给上线的代码搞成两套，这样子审计商其实是白白挂了牌子和责任，所以在项目正式布置后，一般主张审计商再去二次查验下实践版别的代码；2）有必要探究和「保险」的结合，关于收购服务到一定量以上的客户，理应在安全事故产生后有赔付机制，保障项目方的权益；3）更广泛地和同行发布审计事例经历。审计商其实和医疗职业相似，全体的前进一方面依靠长线的技能、科研投入，另一方面高度依赖事例量的积累。从这个视点看，时常被用户调侃的「PR式审计」其实也是推动职业前进的一种动能，至少更多的审计事例被职业同享。
关于用户而言，1）冷热钱包分离，专门dApp用专门的钱包地址，常常清理生疏授权，不操作莫名的空投token等，degen的时分永久要安全生产；2）高净值的用户有必要养成常常翻阅各家审计商发布的安全事情陈述的习惯，对常见的安全危险做到心中有数。
此时快讯
【Trezor：在Ledger宣布其恢复服务后，其销售额增长了900%】金色财经报道，加密货币钱包Trezor表示，在竞争对手Ledger宣布其恢复服务后，其销售额增长了900%。
