慢雾出品 | Web3 项目安全手册
随着 Web3 的快速发展,区块链技术和加密货币逐渐成为全球金融体系的重要组成部分。然而,伴随而来的安全问题也给这个新兴领域带来了诸多挑战。因此,慢雾安全团队特别推出「Web3项目安全手册」(https://www.slowmist.com/redhandbook/),简称“红手册”,旨在为 Web3 项目和开发者提供全面的安全指导和实用技能。红手册为中英双语版本,主要包括四部分:Web3 项目安全实践要求、慢雾智能合约审计技能树、基于区块链的加密货币安全审计指南以及加密资产安全解决方案。
Web3 项目安全实践要求
现如今针对 Web3 项目的攻击手法层出不穷,且项目之间的交互也越发复杂,在各个项目之间的交互经常会引入新的安全问题,而大部分 Web3 项目研发团队普遍缺少的一线的安全攻防经验,并且在进行 Web3 项目研发的时候,重点关注的是项目整体的商业论证以及业务功能的实现,而没有更多的精力完成安全体系的建设。因此,在缺失安全体系的情况下很难保证 Web3 项目在整个生命周期的安全性。
通常项目方团队为了确保 Web3 项目的安全会聘请优秀的区块链安全团队对其代码进行安全审计,但是区块链安全团队的审计仅仅是短期的引导,并不能让项目方团队建立属于自己的安全体系。
因此,慢雾安全团队开源 Web3 项目安全实践要求,以持续帮助区块链生态中的项目方团队掌握相应的安全技能,希望项目方团队能够基于 Web3 项目安全实践要求建立和完善属于自己的安全体系,在审计之后也能具备一定的安全能力。
Web3 项目安全实践要求包含如下内容:
Web3 项目安全实践要求目前属于 v0.1 版本,可通过该链接阅读完整内容:
https://github.com/slowmist/Web3-Project-Security-Practice-Requirements。
智能合约安全审计技能树
该技能树是慢雾安全团队智能合约安全审计工程师的技能集合,旨在为团队成员列出智能合约安全审计的所需技能并驱动团队成员形成研究、创造、工程的自我进化思维,主要分为四个部分:寻门而入、倚门而歌、融会贯通、破门而出,由浅至深地列出在各个阶段所需掌握的专业技能,具体如下图:
可通过该链接阅读完整内容:https://github.com/slowmist/SlowMist-Learning-Roadmap-for-Becoming-a-Smart-Contract-Auditor。
基于区块链的加密货币安全审计指南
加密资产作为一种具有内在价值的资产,具有不可逆、难溯源等特点,这让黑客有了强烈的作案动机。红手册中的这一部分不仅涵盖了常见的安全漏洞,还提供了详细的安全研究,包括以下内容:
加密货币威胁建模
慢雾安全团队使用多种模型来识别加密货币系统存在的威胁,如 CIA 三元组、STRIDE 模型、DREAD 模型和 PASTA。
测试方法
在黑盒测试和灰盒测试中,我们使用模糊测试、脚本测试等方法,通过提供随机数据或构建特定结构的数据来测试接口或组件的鲁棒性,挖掘一些边界条件下的系统异常行为,如 bug 或性能异常。在白盒测试中,我们通过代码审查等方法分析代码的对象定义和逻辑实现,结合安全团队在已知区块链安全漏洞上的相关经验,确保代码中的关键逻辑和关键组件没有已知漏洞;同时,进入新场景和新技术的漏洞挖掘模式,发现可能的 0day 错误。
漏洞严重性
根据 CVSS 方法,慢雾安全团队开发了区块链漏洞严重性级别:
公链安全研究
-
慢雾科技的区块链威胁情报系统(https://bti.slowmist.com/) 持续追踪正在发生的安全事件,并将威胁情报应用于安全咨询与审计服务。
-
慢雾安全团队对公开已知的区块链安全漏洞进行分析研究,汇编整理出了区块链常见漏洞列表(https://github.com/slowmist/Cryptocurrency-Security-Audit-Guide/blob/main/Blockchain-Common-Vulnerability-List.md)。
公链安全审计
慢雾安全团队的公链安全审计综合使用了黑盒、灰盒、白盒三种测试方法,根据审计需求不同,推出了以黑灰盒审计为主的主网安全审计、layer2 安全审计,和以白盒审计为主的源代码安全审计,同时还为一些开发框架定制应用链安全审计方案。
区块链应用审计
-
智能合约安全审计
-
其他应用
可通过该链接阅读完整内容:https://github.com/slowmist/Cryptocurrency-Security-Audit-Guide。
加密资产安全解决方案
本方案是慢雾安全团队多年一线服务甲方的实践经验沉淀,旨在为加密世界的参与者提供全方位的资产安全解决方案。我们将加密资产安全整理划分为以下五大部分,并针对每一部分做出详细解读,包括各类风险及相关的解决方案。
线上热资产安全解决方案
线上热资产主要是指加密货币私钥放置在线上服务器中对应的资产,需要频繁使用来进行签名交易等操作,如交易所的热、温钱包等都属于线上热资产。这类资产由于放置在线上服务器中,被黑客攻击的可能性大大增加,是需要重点防护的资产。由于私钥的重要性,提高安全存储等级 (如硬件加密芯片保护)、去除单点风险等都是防范攻击的重要手段。慢雾推荐从“协同存管方案”和“私钥/助记词安全配置方案”两个方向来提升线上热资产的安全性。
冷资产安全解决方案
加密世界的冷资产主要是指不会经常进行交易的大额资产,并且私钥保存在断网隔离的状态下。理论上来讲,冷资产越“冷”越好,即保证私钥永不触网,并且尽量少交易,尽量避免暴露地址信息等。我们建议一方面要注意私钥存储的安全性,做到尽可能的“冷”;另一方面要注意使用上的管理流程,尽可能避免私钥泄漏、不在预期内的转账或其他未知行为。
DeFi 资产安全解决方案
当前大多数区块链参与方是参与 DeFi 项目,如挖矿、借贷及理财等。而参与 DeFi 项目本质上是把手中的资产转移或授权给 DeFi 项目方,这存在极大程度上个人不可控的安全风险。本方案列出了 DeFi 项目的风险点,并且整理出规避这些风险的方式。
资产所有权安全备份解决方案
加密资产所有权备份即对私钥或助记词的备份,私钥或助记词承载着对加密货币的完整所有权,一旦被盗或丢失则会损失所有资产。对于加密资产领域来说,私钥/助记词的备份是个短板。
资产异常监控及追踪解决方案
在做好加密资产安全存管系列措施后,为了应对诸如“黑天鹅”之类的意外情况,也需要对相关钱包地址进行监控及异常告警,让每一笔资产转移都能被内部团队确认、验证。
该方案是慢雾科技在区块链生态数年一线安全攻防实践积累下,推出的第一个完整的针对加密资产安全的解决方案。可通过该链接阅读完整内容:https://github.com/slowmist/cryptocurrency-security。
写在最后
「Web3 项目安全手册」是一本内容详实、结构清晰的安全指南,适用于所有 Web3 项目和开发者。在这个快速发展的领域,安全永远是至关重要的一环,掌握这些安全知识和技能,将有助于建设一个更加安全可靠的 Web3 生态系统。未来慢雾会继续输出安全研究内容,专注区块链生态建设,努力为区块链生态构建一个“黑暗森林”中的安全区域。
Ps. 如需购买限量纪念版红手册,请前往 https://1337.slowmist.io/redhandbook.html,点击阅读原文可直接跳转;如需 PDF 版本,请前往 https://www.slowmist.com/redhandbook/RedHandbook.pdf 下载。
比推快讯
更多 >>- Yat Siu:香港是 Animoca Brands 潜在 IPO 的首选地点,当下并未积极寻求新的融资
- 杰米·戴蒙:摩根大通“可能是区块链的最大用户之一”
- SEC 指控 NanoBit 和 CoinW6 利用社交媒体进行“关系投资诈骗”
- 前Alameda首席执行官Caroline Ellison可能会得到宽大处理
- 美联储本周降息50个基点的概率为63%
- Circle 计划在L1区块链 Sui 上推出其 USDC 稳定币
- 美共和党议员致信SEC主席,敦促该机构澄清其如何对待加密空投
- 数据: Layer 2 Base 单日交易量超过 450 万笔,创下新高
- 美股收盘:三大股指涨跌不一,纳指涨0.2%
- 金融时报:贝莱德和微软计划成立一只300亿美元的基金投资人工智能
- 彭博分析师:“Coinbase向贝莱德发行比特币 IOU ”的说法是谣言和阴谋论
- CleanSpark 斥资 577.5 万美元收购密西西比州两个比特币挖矿场
- Solana 生态游戏项目 MagicBlock完成 300 万美元 pre-seed 融资,a16z参投
- 开源 Web3 数据路由协议Lumerin推出新的 AI 图像生成功能
- 美财政部对涉嫌杀猪盘骗局的柬埔寨富豪Ly Yong Phat及其多家企业实施制裁
- Wolters Kluwer:绝大多数经济学家预测将降息25个基点,17%的经济学家预测降息50个基点
- 审计公司 Prager Metis 同意以195 万美元与美SEC就其对 FTX 的调查达成和解
- 今日美国现货比特币ETF净流入240枚BTC,以太坊ETF净流出2756枚ETH
- 美国共和党议员表示今年仍不会放弃加密货币立法
- Wintermute 将推出预测市场 OutcomeMarket ,并上线 TRUMP 和 HARRIS meme币
- CryptoQuant:CEX的比特币存款地址处于 2016 年以来最低水平,抛压或已缓解
- 币安重申其不以任何方式拥有、控制或运营印度加密货币交易所 WazirX
- 美CFTC主席表示将继续就预测市场Kalshi进行调查
- Coinbase 提醒用户 Polygon 转账可能会延迟
- USDT稳定币市场份额增至约75%,市值突破1180亿美元
- 经济学家Hyman预计美联储本周降息50个基点 经济将实现软着陆
- BTC突破61000美元
- MoviePass 利用 Layer 1 网络 Sui 推出 USDC 稳定币支付
- 去中心化清算网络Yellow Network完成1000万美元种子轮融资,Ripple联创Chris Larsen领投
- 彭博社:加密风险投资公司 Dragonfly Capital 正寻求为其第四支基金筹集 5 亿美元
- 标普500指数上涨0.7%,再次创下盘中历史新高
- Winklevoss兄弟的父亲向其母校捐赠 400 万美元的比特币,用于资助新的商业项目
- Circle 的 USDC 稳定币将在巴西和墨西哥上市
- 比特币站上60000美元,日内涨3.07%
- 何一:币安上币由商务、研究组、委员会、合规审核四个环节构成
- 机构:美联储可能注意到消费强劲,但在降息幅度上仍有选择空间
- 特朗普:如果他未当选,美国加密货币初创企业将如“生活在地狱中”
- 特朗普:将提高对加密行业的能源供应
- 特朗普家族的加密项目 WLFI 直播已开始
- 比特币恐惧与贪婪指数由39降至33
- Hedera 将整个代码库捐赠给 Linux 基金会的去中心化信任计划
- RealVision首席执行官:比特币走势与全球M2高度一致
- Arkham Intelligence :不丹持有超过 13,000 枚比特币,价值约7.8亿美元
- LogX 在最新一轮战略融资中筹得400 万美元
- 美联储本周降息50bp的概率高于25bp
- Gemini 创始人Winklevoss兄弟为本届美国大选最大的个人加密捐赠者, 共捐赠 1010 万美元
- Flyfish Club 就 NFT 与 美SEC 达成和解,并同意支付 75 万美元罚款
- 挖矿公司Cathedra Bitcoin将改变业务模式,转向开发数据中心和购买比特币
- OpenAI:安全和安保委员会将成为独立的董事会监督委员会
比推专栏
更多 >>观点
项目
比推热门文章
- Yat Siu:香港是 Animoca Brands 潜在 IPO 的首选地点,当下并未积极寻求新的融资
- Token 2049重要观点速览
- 杰米·戴蒙:摩根大通“可能是区块链的最大用户之一”
- SEC 指控 NanoBit 和 CoinW6 利用社交媒体进行“关系投资诈骗”
- 前Alameda首席执行官Caroline Ellison可能会得到宽大处理
- 【比推每日新闻精选】CryptoQuant:CEX的比特币存款地址处于 2016 年以来最低水平,抛压或已缓解;彭博社:加密风险投资公司 Dragonfly Capital 寻求为其第四支基金筹集 5 亿美元; Layer 2 Base 单日交易量超过 450 万笔,创下新高
- 美联储本周降息50个基点的概率为63%
- 【比推每日市场动态】比特币上破6.1万美元,创8月初以来最大盘中涨幅
- Circle 计划在L1区块链 Sui 上推出其 USDC 稳定币
- 美共和党议员致信SEC主席,敦促该机构澄清其如何对待加密空投