北京时间1月20日下午13:00，?CertiK与DuckDAO联合举办AMA在线问答活动。
CertiK嘉宾——商务主管MarcoCalicchia、CertiKShield项目主管ConnieLam和产品经理AaronLeibowitz出席活动，共同探讨区块链安全应该何去何从。
嘉宾介绍：
1.?Limmy?——?DuckDAO社区代表
2.?ConnieLam——?CertiKShield项目主管
3.?AaronLeibowitz——?CertiK产品经理
4.?MarcoCalicchia——?CertiK商务主管
DuckDAO整理了一系列各位观众高质量的疑问，CertiK嘉宾为大家解答了疑问，并且分享了CertiK在区块链安全领域内做出的努力和创新。
相信在屏幕前的大家也都有同样的疑问，让我们一起回顾本期?AMA问答活动?吧：
Limmy
我们都知道CertiK针对安全，开发了一系列的服务和产品。其中包括：CertiK预言机、CertiKShield、Skynet天网扫描系统、CertiKOS、CertiK虚拟机、DeepSEA语言及其编译器。
可以为我们简单介绍一下吗？
ConnieLam
当然可以。
CertiK的去中心化安全预言机提供的安全分数可用于帮助用户获取安全情报，从而做出重要决策。
CertiKShield是一个基于会员资格的去中心化资产保障计划，旨在为区块链网络上丢失或被盗的加密资产提供补偿。
Skynet天网扫描系统作为一项CertiK独立开发的最新安全工具，由静态与动态双重技术提供支持，并通过安全基元生成安全评分。
CertiKOS作为世界上第一个完全被验证的并发式多核操作系统，被证明能够完全抵御黑客攻击。
CertiK虚拟机?(CVM)是由CertiKChain开发的智能合约平台。可以公开智能合约和区块链的安全信息，以动态方式确保区块链和智能合约安全性，同时其可与以太坊虚拟机完全兼容。
DeepSEA是用于编写可验证智能合约的新语言，它是一种新型函数式编程语言。目前1.1版本的DeepSEA编译器也已经正式发布。
Limmy
观点：机构突然对以太坊的关注可能表明ETH不会被SEC标记为证券:金色财经报道，由于以比特币为首的机构采用加密货币，以太坊目前表现出看涨势头。贝莱德（BlackRock）和富达（Fidelity）等几家TradFi巨头已申请现货比特币ETF。
Bloomberg Intelligence显示，此前各机构申请比特币现货交易的次数多达30次，但都被SEC拒绝。因此，顶级市场监管机构的批准可能对包括以太坊在内的整个加密行业非常有利。在美国证券交易委员会官员声称最近的文件不充分后，加密货币市场暴跌。经纪公司Bernstein认为，由于富达等机构已经重新提交申请，美国证券交易委员会批准的可能性相当高。以太坊也受到了机构的广泛关注。由嘉信理财(CharlesSchwab)、Citadel和Fidelity等巨头支持的新加密货币交易所EDX已向其用户提供以太坊交易服务。专家认为，机构突然对以太坊的关注可能是一个信号，表明该代币不会被SEC标记为证券。[2023/7/4 22:16:18]
CertiK已经对很多优秀的区块链项目进行了审核。
那么如果用户想要找到CertiK审核过的项目列表应该怎么做？CertiK审计的流程是怎样的呢？
MarcoCalicchia
区块链的核心本质之一是透明，我们的审计工作也完全贯彻这一点。
多数经过审计的项目可以在我们的安全排行榜门户网站上进行查找：
https://certik.foundation/
CertiK的审计目标是审查项目代码的实施情况，审核其总体设计和架构，研究其潜在的安全漏洞，发现可能危及项目的错误。
审核过程中特别注意以下几个方面的考虑：
1.针对常见和不常见的攻击载体测试智能合约。
2.评估代码库，以确保符合当前的最佳做法和行业标准。
3.确保合同逻辑符合客户的规格和意图。
4.将合同结构和执行情况与行业领军企业发布的类似智能合约进行交叉对比。
5.对整个代码库进行彻底的逐行人工审查。
Limmy
我曾见过许多项目被审计过后，投资者一看到被审计就匆匆忙忙的投入项目。
但是我们都知道安全审计是一个持续的过程，那么在这个过程中，人工审计是否重要呢？
AaronLeibowitz
观点：BTC价格可能在未来30天内上涨11%，触及3万美元:6月8日消息，加密分析师Phyrex发文称，美国SEC针对主要加密货币交易所提起的诉讼引发的BTC动荡，可能是BTC短期收益的先兆。BTC在周一下跌超过 5%，然后在周二回升超过5%；根据彭博汇编的数据，在过去两年中，类似的至少5%的连续拉锯式波动发生了五次，并预示着在随后的30天内平均上涨近11%。
根据历史数据，只要SEC起诉并造成BTC连续有5%或者超过5%的波动，随后30天BTC的价格往往都会反弹11%。按照目前的价格来看，七月初以前BTC的价格可以触及30,000美金。[2023/6/8 21:22:55]
这是一个很好的问题。
人工审计是非常重要的。
许多漏洞都集中在业务逻辑的漏洞上，而这些信息是自动代码审查无法捕捉到的。
一个优秀的审计过程必然需要理解业务逻辑并对代码进行彻底的人工审计。
人工审计也是优秀安全审计师和普通审计师的最大区别。
Limmy
关于CertiK安全预言机，你们是直接与Chainlink这样的去中心化预言机网络竞争，还是有可能合作或是利用彼此的优势？
ConnieLam
我们先来看一下预言机是什么。
你可以把预言机看作是全球安全专家的共识。
他们分析和评估智能合约的源代码，从而实现对合约安全性的审查。
MarcoCalicchia
简单的对Chainlink和CertiK进行区分的话：
Chainlink是一个去中心化针对价格数据的预言机，而CertiK的的预言机是为安全服务的，它所体现的数据是安全洞察。
打个比方，对于电动轿车来说，大家都会选择特斯拉，是因为丰田不做电动车吗？
不是，只是因为特斯拉这个名字代表的就是电动轿车。
而CertiK同样，作为以安全为核心的安全公司，安全体现在CertiK每一项业务的方方面面。
AaronLeibowitz
CertiK基金会的使命是通过推动采用可证明的安全软件从而让区块链得到用户的信任。
我们鼓励所有期望为区块链安全生态出力的人才加入CertiK团队，一起为提高整个区块链领域的安全标准而努力。
律师观点：“Archer诉Coinbase”一案再次佐证了“不是你的私钥，就不是你代币”:律师Justin Wales概述了近期加密货币行业内部发生的案件，并指出该案的判决再一次佐证了一句真理——“不是你的私钥，就不是你代币”。
Justin Wales给出的例子为“Archer诉Coinbase”一案。在本案中，原告Darrell Archer起诉Coinbase违反了用户协议，原因是该公司拒绝向其提供此前由比特币分叉而生成的比特币黄金（BTG）。在分叉发生时，Archer在Coinbase上存储了350枚比特币，Archer表示这将产生价值约15.9万美元的BTG。但由于Archer已将其比特币的控制权委托给了Coinbase，因此其无法自行获取分叉而出的BTG。在本案的判决中，加州第一上诉法院认为，Coinbase的用户协议中没有规定交付BTG的义务，因此无需向Archer交付BTG。（Decrypt）[2020/8/23]
Limmy
当CertiK获取安全数据时，是否有与其他大型专业审计公司合作的计划，像普华永道、毕马威等？
还是说这些实体参与这个领域还为时过早？
AaronLeibowitz
这个问题问得很好。
我们曾与四大公司之一进行过商谈。
他们的审计部门当时还没有为区块链领域做好准备。
这些大型的审计公司目前依旧专注于机构及私人的金融状况，但我们专注于去中心化世界。
Limmy
CertiK领先于竞争对手的一些关键功能是什么？
平台的竞争优势是什么？
ConnieLam
CertiK的端到端安全和业内领先的安全技术为区块链项目提供了唯一且全面的安全解决方案，出具的审计报告被大多数交易所所认可。
MarcoCalicchia
我们的三步流程可以全方位保护项目方的资产：
1.在部署前，针对项目进行全方位的审计。
2.在合约上链交互时，安全预言机为其提供动态监控。
3.以防任何意外发生，CertiKShield随时可为项目提供灵活的保障。
Limmy
如何保持安全认证者内部的去中心化？
一个新的安全认证者可以由其他验证者投票加入。同样，也可以通过安全认证者的投票来移除一个安全认证者。
金色首发 EOS超级节点竞选投票率达6.49%:金色财经数据播报，截止北京时间6月13日15:50，EOS投票率达6.49%。EOS引力区和EOS佳能作为两个来自中国的超级节点竞选团队暂居第五和第六名。其中EOS引力区的得票总数为903万，占比2.96%；EOS佳能的得票总数为877万，占比2.87%。此前异军突起的EOSflytomars暂居第17位，得票总数为630万，占比2.07%。目前跻身前30名的超级节点竞选团队中，有八个团队来自中国。[2018/6/13]
那么第一批安全认证者是如何被选中的？他们是CertiK基金会的一部分吗？
AaronLeibowitz
安全认证者的权力下放将通过三种主要方法实现。
一、必须通过链上治理进行认证者投票及删除。
这个过程中，认证者的投票权重是由股权价值决定的。这也保证了认证者不会偏离链的根本利益。
其次，在其他认证者一致同意的情况下，会根据认证者的能力和贡献，以及链上的需求，进行认证者的删除和添加。这可以保证各认证者之间的平衡。
第三，随着形式化验证技术的发展，以及与CertiKChain的整合。
安全治理将越来越多地被扩展引入，以补充甚至取代认证者的人工操作，可以大大提高认证者的工作质量和效率。
首批安全认证师是基金会根据该组织对基金会和产业链的参与度和贡献度，以及未来可能做出的贡献来选择的。
他们中的一些人也可能同时担任基金会董事会的职位。
Limmy
当CertiKShield会员因合约失误而蒙受损失，想要获得赔偿时，需要提交一份理赔提案。
如果这个会员是非技术性的，在对这个损失发生的原因一无所知的情况下，怎么能提出有根据的索赔呢？会很容易被拒绝索赔吗？
ConnieLam
CertiKShield并不要求会员提交理赔提案时详细说明事故的起因，安全理事会的成员负责调查以确认造成损失的主要原因。
但理赔提案必须提出可以证明其损失的有力证据。
当然，在事件发生时，必须是在你所购买的CertiKShield时间期限内。
Limmy
能否详细说明CertiKOS的创新？
今天有哪些人在使用CertiKOS，你认为这项技术将会对我们产生什么深远的影响？
IMEOS首发 EOS Go公布新增两条复选条件 :据金色财经合作伙伴IMEOS报道：今日，EOS Go在 steemit上公布新增的两条复选条件为：
1. 保证安全的计划：候选节点是否在steemit上发布文章介绍该节点的安全方法和计划，“安全方法”标准是向EOS选民展示安全最佳实践知识和组织实施计划的机会；
2. 立场：描述该节点分享通胀奖励和/或向EOS代币持有人派发股息的立场（候选节点在steemit发布）。主要阐述以下两个问题：
该组织是否会出于任何原因向EOS令牌选民提供支付，包括BP选举和社区建议？
该组织是否有书面的无票付款政策？如果是这样，请提供一个链接。[2018/4/27]
ConnieLam
CertiKOS最初是由我们的创始人在耶鲁大学开发的。
目前它是世界上第一个，也是唯一一个通用并发操作系统和管理程序，它的安全性和正确性得到了完全的验证。
CertiKOS从数学层面上保证了操作系统的无缺陷状态和功能，使其免受基于软件缺陷的攻击。
它已经在自动驾驶汽车、无人机、认证验证等学术、政府和商业场景中投入使用。
当然，它也一直运用于CertiKChain，并将能够服务于其他区块链。
如DeepSpec和并发认证抽象层，CertiKOS背后的方法论已经被广泛采用。
它创造了许多认证系统软件，如认证KVM管理程序、认证CPU固件、认证飞地、认证文件系统等。
当然，还有认证区块链软件。
这些都是真正的突破性技术，将引起世界计算基础设施的可信度、安全性和动力的格局的飞跃式发展。
Limmy
在币安的私有网络上分享你的项目对社区有什么影响？
CTK币与CTKBEP20，这两个网络的成交量如何？
AaronLeibowitz
币安社区为CertiK带来了越来越多的优秀人才，促使更多的优秀项目与我们进行合作。
相当于CTK的BEP20增加了额外的一层灵活性、实用性和开放性，CTK暂时还做不到这一点。
Limmy
区块链的开源、透明性，无意中创造了一个容易被恶意利用代码的环境。
能否分享一下关键的bug和漏洞，以及我们在部署代码时应该注意的事项。
AaronLeibowitz
我们在2020年发现的关键bug分为三类。
逻辑错误，闪电贷和项目方欺诈。
一、逻辑错误只是底层代码中的缺陷。
这些错误出现会导致毁灭性的后果，尽管它未必是恶意设计的。最著名的例子可能就是去年的YAMfinance事件了。
二、闪电贷允许黑客在没有任何初始资金的情况下初始化攻击。
通过利用闪电贷，黑客通过操纵去中心化交易所的LP代币价格来获利，而LP代币价格是通过价格预言机决定的。
三、项目方欺诈是最常见的。项目方可能会故意调用智能合约的显性或隐性后门功能来获利。
ConnieLam
因此，我们建议：
使用强大的、被广泛采用的模板和第三方库来构建项目，例如openzeppelin库。
开发代码时，必须使用本地环境。必须检查并执行编译器版本和单元测试。
在部署之前，代码都应该进行良好而彻底的测试和注释，从而提高代码的质量。
在testnet上先用Remix、truffle或其他广泛采用的部署环境部署代码，将代码迁移到mainnet之前，要极其谨慎地检查testnet部署。
Limmy
智能合约审计主要是查找已知的漏洞，那么如何评估潜在或是新型漏洞的风险？?
有什么实用简单的技巧和建议可以给社区以及投资者们？
大家在投资项目时，需要注意什么样的警示？
MarcoCalicchia
要评估漏洞的风险，必须考虑多方面的因素，包括：
1.团队背景
2.代码质量——在测试项目时是否采用形式化验证？
3.项目是否依靠价格预言机确定代币价格？——项目的经济模型的质量、设计和执行情况。
AaronLeibowitz
我补充一下，还需要警示：
1.合约所有人是否权限过大？
2.项目是否被允许修改委托合约的地址？
3.对合约所有者进行一个快速的背景调查——是否可以找到他们在链上的地址或是其他信息？
4.项目的流动资金是否在一定时间内安全锁定？
5.项目的初始资金来源？
Limmy
今天的访谈告一段落。
现在我们将开放AMA，让各位观众看看是否有问题想要询问CertiK团队。
观众问答
Limmy
接下来是各位观众的时间。
@S4dew4
预言机网络在使用时一般都有集中式瓶颈。
CertiK的去中心化预言机网络是否也有集中式瓶颈？
AaronLeibowitz
正如我们上面谈到的链式治理与强大的、去中心化的安全工程师相结合，让我们避免了本来会面临的集中式瓶颈。
?@Idee01
CertiK是币安智能链上唯一的保险项目。
如何评价币安生态圈对项目发展的贡献？
在支持下，CertiK能否成为世界顶级的审计公司？
MarcoCalicchia
我们的目标必然是成为安全领域的佼佼者。
币安实验室的支持使得我们生态系统和项目的发展具备了更大的优势。
@Zidan30
CertiK的网络、社区、合作关系等拓展战略是什么？
如何确保CertiK基金会在未来2到5年及以后的时间里，保持顶级平台的地位，并与竞争对手保持同步？
MarcoCalicchia
目前，我们正在投入大量的时间来建设我们的去中心化社区、资金池，维护与各类企业的合作关系。
我们在发展步伐上一定会与竞争对手保持一致甚至更加超前。
我们计划开发并组建强大的去中心化解决方案，从而引领区块链安全建设。
@QuyenCao93
CTK的必要性是什么？
CTK对于CertiK来说，它的主要作用是什么？
AaronLeibowitz
CTK作为CertiKChain的原生代币，可以用于支付审计、参与社区治理和所有链上活动。
关于这个问题，可以在白皮书中找到详细解答。
@ineed688btc
CertiK有什么即将到来的重大更新吗？
AaronLeibowitz
大家可以通过关注CertiK的官方媒体平台账号，来及时获取最新更新消息。
@jlaudybell
用户在使用CertiK服务之前需要进行KYC吗?
MarcoCalicchia
为了让用户的注册过程更加顺利，我们目前没有KYC。
@kartika84
目前区块链上的智能合约开发面临哪些问题，CertiK如何解决这些问题？
双节点和跨链的区别是什么？
AaronLeibowitz
CertiK为不同的安全问题提供多种解决方案。
例如DeepSEA作为一种可证明的安全语言，在处理智能合约相关问题时，是一个非常好的解决方案。
而关于跨链部分，我们目前正在为该领域制定一些互操作性的安全解决方案。
@Idee01
CertiKShield为因黑客或漏洞造成的资金损失提供补偿，补偿资金从哪里来？
MarcoCalicchia
资金来自于CertiKShield的流动性提供者。他们质押CTK作为担保，将资金注入CertiKShield。
流动性提供者在质押的同时可以获得14%以上的年化收益，这会鼓励他们持续不断的为CertiKShield提供资金。
@aksakayak
能否提供一些关于CertiKShield的更多信息？
比如它是如何工作的，系统中需要包含哪些内容？
AaronLeibowitz
CertiKShield是一个去中心化的链上资金池，用于补偿丢失或被盗的资产。在我们的微信公众号，有关于CertiKShield工作原理的完整解释。
@QuyenCao93
CertiK在2021年的计划是什么？
MarcoCalicchia
2021年，CertiK将促使更多的区块链项目使用更多的安全服务和工具，为提高整个区块链生态的安全标准所作出努力。
同时，我们会和更多的业内领军项目进行合作。
2021年，CertiK也将欢迎更多的优秀人才加入我们的团队和社区，延续2020年的成功！
总结
在烽烟四起的加密领域，投资永远需要规避风险。
CertiK团队给大家提供以下几点安全隐患防范建议，作为参考：?
首先，投资前评估自己的风险偏好和资金实力。切勿因项目火热并且出新频繁就在短时间内忽略自己对风险偏好的判断以及对风险承受能力的评估。?
在投资前尽量做好项目的调研。
比如关注相关社区及媒体消息，是否有人对合约的安全性提出过质疑。兼听不同来源的不同声音，同时独立思考、积极辨识消息的真实性。?
最直接的方法则是检查项目及其合约是否由著名安全团队进行过专业审计并取得较高安全评价。
除审计以外，投资者们应学会使用安全预言机等实时安全检测工具，做到对项目的安全情况了然于心。
最后，也需要关注项目是否购买了相关的保险计划，评估项目的风险承受能力是否达到标准。
无论是对于投资者还是项目方。
谨慎，会在某一天给你满意的答案。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。