CertiK创始人谈区块链安全：一季度损失16.6亿美元，安全应作为基础原则

近日，某知名科技媒体对CertiK联合创始人兼CEO进行了专访。双方围绕该公司最新发布的一季度安全报告，就黑客攻击手法的演变和安全防御技术的创新等话题展开了深入探讨。

该CEO强调，安全不应被视为事后补救措施，而应作为项目启动之初就需要考虑的基础原则。他提倡主动采用形式化验证、零知识证明、多方计算等前沿技术，全面提升区块链协议和智能合约的安全性。这也正是他创立公司的初衷和愿景——通过严谨的形式化验证技术，为Web3.0世界构建更可靠的安全基础。

这种对安全的坚持并非短期市场趋势的产物，而是源自他对技术理想的长期探索与实践。从参与研发被誉为"无懈可击"的操作系统，到如今为超5300亿美元的数字资产提供安全保障，他一直致力于守护行业安全，提升整体信任度。

该CEO多次强调，安全不是竞争优势，而是共同责任。他不仅将学术成果转化为行业实践，也将"共同责任"的理念融入行业协作中。作为从顶尖学院走出的技术领袖，他正以数学逻辑的可验证性来对抗黑客攻击的不确定性，为Web3.0时代的安全发展指明方向。

一季度安全报告关键发现

2025年第一季度，链上诈骗事件造成的损失约为16.6亿美元，较上一季度激增303%。这主要是由于2月底某交易所遭遇黑客攻击，约14亿美元资产被盗。以太坊仍是主要受攻击目标，3起安全事件共造成15.4亿美元的损失。更令人担忧的是，本季度仅有0.38%的被盗资产成功追回。

攻击趋势分析

2025年第一季度延续了2024年末的趋势，以太坊仍是攻击重灾区。2024年第四季度以太坊上发生99起安全事件，而第一季度为93起。这一趋势在2024年全年都很明显，预计2025年仍将持续。

以太坊成为攻击焦点的原因在于其生态中DeFi协议众多，锁仓资产规模巨大；另一方面，以太坊上的智能合约中存在不少漏洞。

应对复杂攻击的安全策略

面对日益复杂的攻击手法，区块链安全行业正积极应对。攻击者越来越多地利用社会工程学、AI技术、智能合约操纵等复杂策略来绕过现有安全机制。随着数字资产应用范围扩大和估值提升，行业必须与时俱进，确保项目完整性和用户资产安全。

业界正在推动零知识证明（ZKP）和链上安全等创新技术的发展。这些技术为日益严峻的安全问题提供了前景广阔的解决方案，可在保护隐私的同时实现交易可审计、攻击溯源以及资产追回。多方计算（MPC）则通过分散私钥控制权，进一步增强了密钥管理的安全性，消除单点故障风险，大幅提高了未经授权访问钱包的难度。

给开发者的安全建议

将安全作为首要考虑因素，应该是一项不可妥协的原则。在开发的每个阶段都融入安全考量，而非事后补救，有助于及早发现潜在漏洞，从长远来看能节省大量时间和资源。这种"安全优先"的主动策略，对于构建可信的Web3.0应用至关重要。

此外，寻求专业安全机构进行全面、公正的第三方审计，也能提供独立视角，发现内部团队可能忽视的潜在风险。这类外部评估提供了关键的审查环节，有助于及时识别并修复漏洞，从而增强项目整体的安全性，进一步提升用户信任。

AI在区块链安全中的双重角色

AI已成为区块链安全体系的重要工具。一些公司利用AI技术分析智能合约中的漏洞和潜在安全缺陷，帮助更高效地完成全面审计，但它并不能完全取代人工专家审计团队。

然而，攻击者同样可以利用AI来强化攻击手段。例如，AI可被用来识别代码弱点、规避共识机制、防御系统。这意味着安全对抗的门槛被抬高，随着AI应用的日益普及，行业必须投入更强大的安全解决方案。

形式化验证的作用

形式化验证是一种通过数学手段证明计算机程序按预期运行的方法。它通过将程序的属性表达为数学公式，并借助自动化工具进行验证。

该技术可广泛应用于技术行业的各个领域，包括硬件设计、软件工程、网络安全、AI以及智能合约审计。但需要强调的是，形式化验证并非用于取代人工审计。对于智能合约而言，形式化验证依赖自动化方法来评估合约逻辑和行为，而人工审计则由安全专家对代码、设计和部署进行全面检查，以识别潜在的安全风险。两者相辅相成，共同提升智能合约的整体安全性。

传统金融机构进入带来的安全挑战

随着传统金融机构进入区块链领域，安全威胁的类型和复杂程度正在发生变化。在Web3.0和区块链行业早期，攻击者通常以个人用户或小型项目为目标，手段包括钓鱼攻击、RugPull和钱包漏洞利用等。这些挑战依然存在，但随着大型机构的加入，网络完整性的安全风险也将进入新阶段。

这一转变不仅涉及项目资产规模的增长，还包括企业级应用的特殊安全需求、监管要求，以及区块链与传统金融体系的深度融合带来的挑战。

考虑到大多数传统机构具备应对网络威胁的经验，预计恶意行为者也将提升攻击手段的复杂性。攻击目标可能从通用钱包漏洞转向更具针对性的企业级弱点，例如配置错误、自定义智能合约漏洞，以及与传统系统集成接口中的安全缺陷。