北京时间1月20日下午13:00，?CertiK与DuckDAO联合举办AMA在线问答活动。
CertiK嘉宾——商务主管MarcoCalicchia、CertiKShield项目主管ConnieLam和产品经理AaronLeibowitz出席活动，共同探讨区块链安全应该何去何从。
嘉宾介绍：
1.?Limmy?——?DuckDAO社区代表
2.?ConnieLam——?CertiKShield项目主管
3.?AaronLeibowitz——?CertiK产品经理
4.?MarcoCalicchia——?CertiK商务主管
DuckDAO整理了一系列各位观众高质量的疑问，CertiK嘉宾为大家解答了疑问，并且分享了CertiK在区块链安全领域内做出的努力和创新。
相信在屏幕前的大家也都有同样的疑问，让我们一起回顾本期?AMA问答活动?吧：
Limmy
我们都知道CertiK针对安全，开发了一系列的服务和产品。其中包括：CertiK预言机、CertiKShield、Skynet天网扫描系统、CertiKOS、CertiK虚拟机、DeepSEA语言及其编译器。
可以为我们简单介绍一下吗？
ConnieLam
当然可以。
CertiK的去中心化安全预言机提供的安全分数可用于帮助用户获取安全情报，从而做出重要决策。
CertiKShield是一个基于会员资格的去中心化资产保障计划，旨在为区块链网络上丢失或被盗的加密资产提供补偿。
Skynet天网扫描系统作为一项CertiK独立开发的最新安全工具，由静态与动态双重技术提供支持，并通过安全基元生成安全评分。
CertiKOS作为世界上第一个完全被验证的并发式多核操作系统，被证明能够完全抵御黑客攻击。
CertiK虚拟机?(CVM)是由CertiKChain开发的智能合约平台。可以公开智能合约和区块链的安全信息，以动态方式确保区块链和智能合约安全性，同时其可与以太坊虚拟机完全兼容。
DeepSEA是用于编写可验证智能合约的新语言，它是一种新型函数式编程语言。目前1.1版本的DeepSEA编译器也已经正式发布。
Limmy
美众议院数字资产新草案提出将成立CFTC-SEC数字资产联合咨询委员会:金色财经报道，美国众议院金融服务委员会主席 Patrick McHenry 和农业委员会主席 Glenn “GT” Thompson 分享了数字资产立法的讨论草案。该立法草案侧重于证券或商品等数字资产，该提案提到了当前的私人证券豁免以及新的定制豁免。将成立 CFTC-SEC 数字资产联合咨询委员会。当前的草案为发行商出售满足以下条件的数字资产创造了证券法豁免：
1) 发行人过去 12 个月数字资产的总销售额不超过 7500 万美元；
2) 非合格投资者在过去 12 个月内从发行商处购买的数字资产少于购买者年收入的 5% 或净资产的 5%，以较高者为准；
3) 购买方在交易完成后拥有不超过数字资产 10% 的单位；
4) 本次交易不涉及股权或债务证券。
根据证券法，数字商品和支付稳定币被排除在证券定义之外，SEC 还需要颁布允许在数字分类账上保存记录的规则。虽然 NFT 不是草案的一部分，但需要进一步研究由美国商务部管理的 NFT。[2023/6/4 11:56:34]
CertiK已经对很多优秀的区块链项目进行了审核。
那么如果用户想要找到CertiK审核过的项目列表应该怎么做？CertiK审计的流程是怎样的呢？
MarcoCalicchia
区块链的核心本质之一是透明，我们的审计工作也完全贯彻这一点。
多数经过审计的项目可以在我们的安全排行榜门户网站上进行查找：
https://certik.foundation/
CertiK的审计目标是审查项目代码的实施情况，审核其总体设计和架构，研究其潜在的安全漏洞，发现可能危及项目的错误。
审核过程中特别注意以下几个方面的考虑：
1.针对常见和不常见的攻击载体测试智能合约。
2.评估代码库，以确保符合当前的最佳做法和行业标准。
3.确保合同逻辑符合客户的规格和意图。
4.将合同结构和执行情况与行业领军企业发布的类似智能合约进行交叉对比。
5.对整个代码库进行彻底的逐行人工审查。
Limmy
我曾见过许多项目被审计过后，投资者一看到被审计就匆匆忙忙的投入项目。
但是我们都知道安全审计是一个持续的过程，那么在这个过程中，人工审计是否重要呢？
哥伦比亚参议院正推进加密监管法案:5月25日消息，哥伦比亚参议院议员Gustavo Moreno就2021年第139号法案进行首次辩论，该法案旨在规范通过数字平台提供的加密资产交易服务。该法案已于去年底在哥伦比亚众议院获得一致通过。不过，如果该法案在6月20日之前没有获得批准，它将在国会沉没。
该法案的监管要点包括，必须在哥伦比亚注册、进行身份验证、客户自己和公司资金分离、遵循自由竞争和自由市场原则、平台有责教育用户、确保区块链安全性等。[2023/5/25 10:38:55]
AaronLeibowitz
这是一个很好的问题。
人工审计是非常重要的。
许多漏洞都集中在业务逻辑的漏洞上，而这些信息是自动代码审查无法捕捉到的。
一个优秀的审计过程必然需要理解业务逻辑并对代码进行彻底的人工审计。
人工审计也是优秀安全审计师和普通审计师的最大区别。
Limmy
关于CertiK安全预言机，你们是直接与Chainlink这样的去中心化预言机网络竞争，还是有可能合作或是利用彼此的优势？
ConnieLam
我们先来看一下预言机是什么。
你可以把预言机看作是全球安全专家的共识。
他们分析和评估智能合约的源代码，从而实现对合约安全性的审查。
MarcoCalicchia
简单的对Chainlink和CertiK进行区分的话：
Chainlink是一个去中心化针对价格数据的预言机，而CertiK的的预言机是为安全服务的，它所体现的数据是安全洞察。
打个比方，对于电动轿车来说，大家都会选择特斯拉，是因为丰田不做电动车吗？
不是，只是因为特斯拉这个名字代表的就是电动轿车。
而CertiK同样，作为以安全为核心的安全公司，安全体现在CertiK每一项业务的方方面面。
AaronLeibowitz
CertiK基金会的使命是通过推动采用可证明的安全软件从而让区块链得到用户的信任。
我们鼓励所有期望为区块链安全生态出力的人才加入CertiK团队，一起为提高整个区块链领域的安全标准而努力。
Limmy
当CertiK获取安全数据时，是否有与其他大型专业审计公司合作的计划，像普华永道、毕马威等？
基于比特币主网Ordinals协议的NFT项目Bitcoin Punks已完成铸造:2月9日消息，据官方消息，基于比特币主网Ordinals协议的NFT项目Bitcoin Punks已完成铸造，共计1万个。据官方介绍，Bitcoin Punks是第一个使用Ordinals将原始以太坊CryptoPunks成功上传到比特币区块链的项目。
此前1月30日消息，软件工程师Casey Rodarmor在比特币主网上创建了NFT协议“Ordinals”，让加密社区对它是否有利于比特币生态系统产生了分歧。昨日消息，比特币网络NFT协议Ordinals的“铭文”正消耗50%的比特币区块空间。[2023/2/9 11:57:25]
还是说这些实体参与这个领域还为时过早？
AaronLeibowitz
这个问题问得很好。
我们曾与四大公司之一进行过商谈。
他们的审计部门当时还没有为区块链领域做好准备。
这些大型的审计公司目前依旧专注于机构及私人的金融状况，但我们专注于去中心化世界。
Limmy
CertiK领先于竞争对手的一些关键功能是什么？
平台的竞争优势是什么？
ConnieLam
CertiK的端到端安全和业内领先的安全技术为区块链项目提供了唯一且全面的安全解决方案，出具的审计报告被大多数交易所所认可。
MarcoCalicchia
我们的三步流程可以全方位保护项目方的资产：
1.在部署前，针对项目进行全方位的审计。
2.在合约上链交互时，安全预言机为其提供动态监控。
3.以防任何意外发生，CertiKShield随时可为项目提供灵活的保障。
Limmy
如何保持安全认证者内部的去中心化？
一个新的安全认证者可以由其他验证者投票加入。同样，也可以通过安全认证者的投票来移除一个安全认证者。
那么第一批安全认证者是如何被选中的？他们是CertiK基金会的一部分吗？
AaronLeibowitz
安全认证者的权力下放将通过三种主要方法实现。
一、必须通过链上治理进行认证者投票及删除。
Alameda Research仍持有约26万美元的NFT:金色财经报道，据Dune Analytics最新数据显示，Alameda Research仍持有四个NFT系列，总价值约26万美元，分别是81个Sandbox Land，价值约合204,299美元；2个MAYC，价值约合41,797美元；2个Otherdeed，价值约合15,612美元；1个MFER，价值约合5,431美元。[2022/11/12 12:55:36]
这个过程中，认证者的投票权重是由股权价值决定的。这也保证了认证者不会偏离链的根本利益。
其次，在其他认证者一致同意的情况下，会根据认证者的能力和贡献，以及链上的需求，进行认证者的删除和添加。这可以保证各认证者之间的平衡。
第三，随着形式化验证技术的发展，以及与CertiKChain的整合。
安全治理将越来越多地被扩展引入，以补充甚至取代认证者的人工操作，可以大大提高认证者的工作质量和效率。
首批安全认证师是基金会根据该组织对基金会和产业链的参与度和贡献度，以及未来可能做出的贡献来选择的。
他们中的一些人也可能同时担任基金会董事会的职位。
Limmy
当CertiKShield会员因合约失误而蒙受损失，想要获得赔偿时，需要提交一份理赔提案。
如果这个会员是非技术性的，在对这个损失发生的原因一无所知的情况下，怎么能提出有根据的索赔呢？会很容易被拒绝索赔吗？
ConnieLam
CertiKShield并不要求会员提交理赔提案时详细说明事故的起因，安全理事会的成员负责调查以确认造成损失的主要原因。
但理赔提案必须提出可以证明其损失的有力证据。
当然，在事件发生时，必须是在你所购买的CertiKShield时间期限内。
Limmy
能否详细说明CertiKOS的创新？
今天有哪些人在使用CertiKOS，你认为这项技术将会对我们产生什么深远的影响？
ConnieLam
CertiKOS最初是由我们的创始人在耶鲁大学开发的。
目前它是世界上第一个，也是唯一一个通用并发操作系统和管理程序，它的安全性和正确性得到了完全的验证。
CertiKOS从数学层面上保证了操作系统的无缺陷状态和功能，使其免受基于软件缺陷的攻击。
Nexo联合创始人：Nexo不会遭遇与Celsius和Voyager Digital类似的流动性危机:金色财经报道，Nexo 联合创始人兼管理合伙人Antoni Trenchev表示，Nexo不会遭遇与Celsius和Voyager Digital类似的流动性危机，Nexo和他们完全不同，并且不必采取任何相同的措施来维持生计。此外，Nansen首席执行官Alex Svanevik提供数据显示，Nexo的几个钱包内资产价值达到8.38亿美元（包括1.69亿美元链上资产），其中一半持有ETH，四分之一持有其原生 NEXO 代币。 另外，Nexo 已将价值5.79亿美元的Wrapped Bitcoin ( wBTC ) 作为抵押品存放在MakerDAO保险库中，并有 5000 万美元的DAI未偿余额。另外Antoni Trenchev声称，Nexo 没有利用投资者的资金来履行其客户义务。[2022/6/29 1:39:18]
它已经在自动驾驶汽车、无人机、认证验证等学术、政府和商业场景中投入使用。
当然，它也一直运用于CertiKChain，并将能够服务于其他区块链。
如DeepSpec和并发认证抽象层，CertiKOS背后的方法论已经被广泛采用。
它创造了许多认证系统软件，如认证KVM管理程序、认证CPU固件、认证飞地、认证文件系统等。
当然，还有认证区块链软件。
这些都是真正的突破性技术，将引起世界计算基础设施的可信度、安全性和动力的格局的飞跃式发展。
Limmy
在币安的私有网络上分享你的项目对社区有什么影响？
CTK币与CTKBEP20，这两个网络的成交量如何？
AaronLeibowitz
币安社区为CertiK带来了越来越多的优秀人才，促使更多的优秀项目与我们进行合作。
相当于CTK的BEP20增加了额外的一层灵活性、实用性和开放性，CTK暂时还做不到这一点。
Limmy
区块链的开源、透明性，无意中创造了一个容易被恶意利用代码的环境。
能否分享一下关键的bug和漏洞，以及我们在部署代码时应该注意的事项。
AaronLeibowitz
我们在2020年发现的关键bug分为三类。
逻辑错误，闪电贷和项目方欺诈。
一、逻辑错误只是底层代码中的缺陷。
这些错误出现会导致毁灭性的后果，尽管它未必是恶意设计的。最著名的例子可能就是去年的YAMfinance事件了。
二、闪电贷允许黑客在没有任何初始资金的情况下初始化攻击。
通过利用闪电贷，黑客通过操纵去中心化交易所的LP代币价格来获利，而LP代币价格是通过价格预言机决定的。
三、项目方欺诈是最常见的。项目方可能会故意调用智能合约的显性或隐性后门功能来获利。
ConnieLam
因此，我们建议：
使用强大的、被广泛采用的模板和第三方库来构建项目，例如openzeppelin库。
开发代码时，必须使用本地环境。必须检查并执行编译器版本和单元测试。
在部署之前，代码都应该进行良好而彻底的测试和注释，从而提高代码的质量。
在testnet上先用Remix、truffle或其他广泛采用的部署环境部署代码，将代码迁移到mainnet之前，要极其谨慎地检查testnet部署。
Limmy
智能合约审计主要是查找已知的漏洞，那么如何评估潜在或是新型漏洞的风险？?
有什么实用简单的技巧和建议可以给社区以及投资者们？
大家在投资项目时，需要注意什么样的警示？
MarcoCalicchia
要评估漏洞的风险，必须考虑多方面的因素，包括：
1.团队背景
2.代码质量——在测试项目时是否采用形式化验证？
3.项目是否依靠价格预言机确定代币价格？——项目的经济模型的质量、设计和执行情况。
AaronLeibowitz
我补充一下，还需要警示：
1.合约所有人是否权限过大？
2.项目是否被允许修改委托合约的地址？
3.对合约所有者进行一个快速的背景调查——是否可以找到他们在链上的地址或是其他信息？
4.项目的流动资金是否在一定时间内安全锁定？
5.项目的初始资金来源？
Limmy
今天的访谈告一段落。
现在我们将开放AMA，让各位观众看看是否有问题想要询问CertiK团队。
观众问答
Limmy
接下来是各位观众的时间。
@S4dew4
预言机网络在使用时一般都有集中式瓶颈。
CertiK的去中心化预言机网络是否也有集中式瓶颈？
AaronLeibowitz
正如我们上面谈到的链式治理与强大的、去中心化的安全工程师相结合，让我们避免了本来会面临的集中式瓶颈。
?@Idee01
CertiK是币安智能链上唯一的保险项目。
如何评价币安生态圈对项目发展的贡献？
在支持下，CertiK能否成为世界顶级的审计公司？
MarcoCalicchia
我们的目标必然是成为安全领域的佼佼者。
币安实验室的支持使得我们生态系统和项目的发展具备了更大的优势。
@Zidan30
CertiK的网络、社区、合作关系等拓展战略是什么？
如何确保CertiK基金会在未来2到5年及以后的时间里，保持顶级平台的地位，并与竞争对手保持同步？
MarcoCalicchia
目前，我们正在投入大量的时间来建设我们的去中心化社区、资金池，维护与各类企业的合作关系。
我们在发展步伐上一定会与竞争对手保持一致甚至更加超前。
我们计划开发并组建强大的去中心化解决方案，从而引领区块链安全建设。
@QuyenCao93
CTK的必要性是什么？
CTK对于CertiK来说，它的主要作用是什么？
AaronLeibowitz
CTK作为CertiKChain的原生代币，可以用于支付审计、参与社区治理和所有链上活动。
关于这个问题，可以在白皮书中找到详细解答。
@ineed688btc
CertiK有什么即将到来的重大更新吗？
AaronLeibowitz
大家可以通过关注CertiK的官方媒体平台账号，来及时获取最新更新消息。
@jlaudybell
用户在使用CertiK服务之前需要进行KYC吗?
MarcoCalicchia
为了让用户的注册过程更加顺利，我们目前没有KYC。
@kartika84
目前区块链上的智能合约开发面临哪些问题，CertiK如何解决这些问题？
双节点和跨链的区别是什么？
AaronLeibowitz
CertiK为不同的安全问题提供多种解决方案。
例如DeepSEA作为一种可证明的安全语言，在处理智能合约相关问题时，是一个非常好的解决方案。
而关于跨链部分，我们目前正在为该领域制定一些互操作性的安全解决方案。
@Idee01
CertiKShield为因黑客或漏洞造成的资金损失提供补偿，补偿资金从哪里来？
MarcoCalicchia
资金来自于CertiKShield的流动性提供者。他们质押CTK作为担保，将资金注入CertiKShield。
流动性提供者在质押的同时可以获得14%以上的年化收益，这会鼓励他们持续不断的为CertiKShield提供资金。
@aksakayak
能否提供一些关于CertiKShield的更多信息？
比如它是如何工作的，系统中需要包含哪些内容？
AaronLeibowitz
CertiKShield是一个去中心化的链上资金池，用于补偿丢失或被盗的资产。在我们的微信公众号，有关于CertiKShield工作原理的完整解释。
@QuyenCao93
CertiK在2021年的计划是什么？
MarcoCalicchia
2021年，CertiK将促使更多的区块链项目使用更多的安全服务和工具，为提高整个区块链生态的安全标准所作出努力。
同时，我们会和更多的业内领军项目进行合作。
2021年，CertiK也将欢迎更多的优秀人才加入我们的团队和社区，延续2020年的成功！
总结
在烽烟四起的加密领域，投资永远需要规避风险。
CertiK团队给大家提供以下几点安全隐患防范建议，作为参考：?
首先，投资前评估自己的风险偏好和资金实力。切勿因项目火热并且出新频繁就在短时间内忽略自己对风险偏好的判断以及对风险承受能力的评估。?
在投资前尽量做好项目的调研。
比如关注相关社区及媒体消息，是否有人对合约的安全性提出过质疑。兼听不同来源的不同声音，同时独立思考、积极辨识消息的真实性。?
最直接的方法则是检查项目及其合约是否由著名安全团队进行过专业审计并取得较高安全评价。
除审计以外，投资者们应学会使用安全预言机等实时安全检测工具，做到对项目的安全情况了然于心。
最后，也需要关注项目是否购买了相关的保险计划，评估项目的风险承受能力是否达到标准。
无论是对于投资者还是项目方。
谨慎，会在某一天给你满意的答案。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。