网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

　　根据欧科云链 H1 安全报告显示，今年上半年的安全事件(以 REKT(被外部攻击)和 Rug-Pull(内部跑路)为主)达到了247起，虽然被盗资金规模由于市场原因同比下滑，但是数量却在稳步上升。安全问题在未来会是区块链整个行业的巨大痛点。

　　欧科云链邀请 CertiK 的首席安全官——李康教授，来解答关于安全事件防护以及后续资金追踪等问题。

　　李康教授在计算机网络与系统安全领域有丰富的科研和管理经验。近期他的团队在多个区块链基础架构实现中发现严重安全问题，覆盖 Layer One, RPC 节点，MPC，TEE 钱包等方向。

　　Matthew Lee：您好李教授，感谢您从百忙之中抽出时间进行这次对话。我知道您在计算机网络安全与系统安全领域都有非常丰富的经验，所以非常期待向您咨询 Web3 安全事件相关的问题。

　　我们研究院团队一般把安全事件划分为两种，一种是由内部发生的 Rug-Pull 事件；另一种是由外部主导的REKT(项目被攻击)事件，主要由闪电贷攻击，逻辑漏洞利用，价格操控三种为主。针对这三种外部主导(REKT)的攻击，普通用户应该如何进行安全预警，防护自己的资产呢？

　　李康教授：对于普通人来说，由于缺少专业知识和工具，很难对安全事件进行预警。用户应该考虑使用一些比较成熟的工具，例如 CertiK 的 Skynet天网动态扫描系统，或者 OKLink 的链上审计功能等 。

　　这些工具都是基于以往安全事件，结合代码的安全性，项目健康程度，运营情况，市场稳定性等综合给出的对项目的评分，可以作为非常重要的参考依据。

　　Matthew Lee：我们预计 REKT 类引起的资产损失将继续扩大，从技术的角度出发，项目方有没有什么方法可以更好的防范这三种攻击(闪电贷攻击，逻辑漏洞利用，价格操控)么？

　　李康教授：项目方需要做的是将安全风险的考虑到融合到整个项目开发维护流程中，同时寻找合适的安全合作伙伴，比如 CertiK 或其他安全公司进行长期合作。

　　Matthew Lee：安全事件发生前，用户或者项目都难以预警，那么安全事件发生后，用户或者项目方如何进行资金追踪挽回损失呢？

　　李康教授：对于已经发生过的项目，由于区块链的匿名属性，用户或项目方对损失资金进行追查也比较困难。当安全事件发生后，我们可以第一时间通知长期合作的安全公司，利用专业的链上的资产追踪服务追缴资产。我们近期和欧科云链合作推出的安全标准可以有助于用户描述事件，加速资金追缴速度，减少仅仅因为沟通不畅导致的时间耽搁。

　　Matthew Lee：CertiK 最近联合欧科云链推出冻结资产和标签分类标准(统称安全标准)具体如何能够帮助用户进行资金追缴或者防范被盗事件呢？

　　李康教授：在出台安全标准后，比如目前的冻结资产标准(FAR)，用户可以清楚下一步具体应该如何处理，应该提供怎样的证据证明该地址的资金属于被盗资金。这些流程化的步骤会让用户或者项目方更清楚具体的下一步，就好像向保险公司索赔一样提交保单即可。用户在这套框架下提交的标准也会更加清晰，逻辑性更强，而交易所也更容易理解。

　　Matthew Lee：我大概看了一些咱们这边出台的资产的标准，我对冻结资产标准其中一条：用户需要告诉交易所确切的需要的冻结交易账户，有些疑惑。因为一般“攻击者”实施攻击后，都会用大量的账户作为掩护，甚至进行跨链，使得资金痕迹变得模糊，那么普通用户在向交易所确认“攻击者“的交易所账户这一步骤上会不会难以实施呢？

　　李康教授：确实有一定难度。在这一方面就需要找到我刚刚提及的长期合作的链上监测服务商，类似于欧科云链。如果有些资金进入了混币器(比如，Tornado Cash)，服务商在有些情况也有方法对资金进行穿透，虽然成功率不是100%。

　　再者，个人提交的分析报告或者穿透报告，交易所一般是不会认可。如果有专业公司，比如安全公司或者欧科云链出具证明，根据分析欧科云链有足够的证据证明该地址里面的资金属于用户，对比于用户个人出具的报告会更有说服力。

　　Matthew Lee：目前市场有非常多的链上数据公司可以选择，为什么最终选择和欧科云链一块合作来推出这一套安全标准呢？

　　李康教授：标准需要整个行业来推动，不限于我们两家公司。也欢迎更多同行加入我们。而且Web3安全相关的工作，可以推动的标准有很多，这次我们主要在推动两个框架：1. 冻结资产标准；2. 标签标准。