CertiK創始人談區塊鏈安全：一季度損失16.6億美元，安全應作爲基礎原則

近日，某知名科技媒體對CertiK聯合創始人兼CEO進行了專訪。雙方圍繞該公司最新發布的一季度安全報告，就黑客攻擊手法的演變和安全防御技術的創新等話題展開了深入探討。

該CEO強調，安全不應被視爲事後補救措施，而應作爲項目啓動之初就需要考慮的基礎原則。他提倡主動採用形式化驗證、零知識證明、多方計算等前沿技術，全面提升區塊鏈協議和智能合約的安全性。這也正是他創立公司的初衷和願景——通過嚴謹的形式化驗證技術，爲Web3.0世界構建更可靠的安全基礎。

這種對安全的堅持並非短期市場趨勢的產物，而是源自他對技術理想的長期探索與實踐。從參與研發被譽爲"無懈可擊"的操作系統，到如今爲超5300億美元的數字資產提供安全保障，他一直致力於守護行業安全，提升整體信任度。

該CEO多次強調，安全不是競爭優勢，而是共同責任。他不僅將學術成果轉化爲行業實踐，也將"共同責任"的理念融入行業協作中。作爲從頂尖學院走出的技術領袖，他正以數學邏輯的可驗證性來對抗黑客攻擊的不確定性，爲Web3.0時代的安全發展指明方向。

一季度安全報告關鍵發現

2025年第一季度，鏈上詐騙事件造成的損失約爲16.6億美元，較上一季度激增303%。這主要是由於2月底某交易所遭遇黑客攻擊，約14億美元資產被盜。以太坊仍是主要受攻擊目標，3起安全事件共造成15.4億美元的損失。更令人擔憂的是，本季度僅有0.38%的被盜資產成功追回。

攻擊趨勢分析

2025年第一季度延續了2024年末的趨勢，以太坊仍是攻擊重災區。2024年第四季度以太坊上發生99起安全事件，而第一季度爲93起。這一趨勢在2024年全年都很明顯，預計2025年仍將持續。

以太坊成爲攻擊焦點的原因在於其生態中DeFi協議衆多，鎖倉資產規模巨大；另一方面，以太坊上的智能合約中存在不少漏洞。

應對復雜攻擊的安全策略

面對日益復雜的攻擊手法，區塊鏈安全行業正積極應對。攻擊者越來越多地利用社會工程學、AI技術、智能合約操縱等復雜策略來繞過現有安全機制。隨着數字資產應用範圍擴大和估值提升，行業必須與時俱進，確保項目完整性和用戶資產安全。

業界正在推動零知識證明（ZKP）和鏈上安全等創新技術的發展。這些技術爲日益嚴峻的安全問題提供了前景廣闊的解決方案，可在保護隱私的同時實現交易可審計、攻擊溯源以及資產追回。多方計算（MPC）則通過分散私鑰控制權，進一步增強了密鑰管理的安全性，消除單點故障風險，大幅提高了未經授權訪問錢包的難度。

給開發者的安全建議

將安全作爲首要考慮因素，應該是一項不可妥協的原則。在開發的每個階段都融入安全考量，而非事後補救，有助於及早發現潛在漏洞，從長遠來看能節省大量時間和資源。這種"安全優先"的主動策略，對於構建可信的Web3.0應用至關重要。

此外，尋求專業安全機構進行全面、公正的第三方審計，也能提供獨立視角，發現內部團隊可能忽視的潛在風險。這類外部評估提供了關鍵的審查環節，有助於及時識別並修復漏洞，從而增強項目整體的安全性，進一步提升用戶信任。

AI在區塊鏈安全中的雙重角色

AI已成爲區塊鏈安全體系的重要工具。一些公司利用AI技術分析智能合約中的漏洞和潛在安全缺陷，幫助更高效地完成全面審計，但它並不能完全取代人工專家審計團隊。

然而，攻擊者同樣可以利用AI來強化攻擊手段。例如，AI可被用來識別代碼弱點、規避共識機制、防御系統。這意味着安全對抗的門檻被抬高，隨着AI應用的日益普及，行業必須投入更強大的安全解決方案。

形式化驗證的作用

形式化驗證是一種通過數學手段證明計算機程序按預期運行的方法。它通過將程序的屬性表達爲數學公式，並借助自動化工具進行驗證。

該技術可廣泛應用於技術行業的各個領域，包括硬件設計、軟件工程、網路安全、AI以及智能合約審計。但需要強調的是，形式化驗證並非用於取代人工審計。對於智能合約而言，形式化驗證依賴自動化方法來評估合約邏輯和行爲，而人工審計則由安全專家對代碼、設計和部署進行全面檢查，以識別潛在的安全風險。兩者相輔相成，共同提升智能合約的整體安全性。

傳統金融機構進入帶來的安全挑戰

隨着傳統金融機構進入區塊鏈領域，安全威脅的類型和復雜程度正在發生變化。在Web3.0和區塊鏈行業早期，攻擊者通常以個人用戶或小型項目爲目標，手段包括釣魚攻擊、RugPull和錢包漏洞利用等。這些挑戰依然存在，但隨着大型機構的加入，網路完整性的安全風險也將進入新階段。

這一轉變不僅涉及項目資產規模的增長，還包括企業級應用的特殊安全需求、監管要求，以及區塊鏈與傳統金融體系的深度融合帶來的挑戰。

考慮到大多數傳統機構具備應對網路威脅的經驗，預計惡意行爲者也將提升攻擊手段的復雜性。攻擊目標可能從通用錢包漏洞轉向更具針對性的企業級弱點，例如配置錯誤、自定義智能合約漏洞，以及與傳統系統集成接口中的安全缺陷。