聯盟分析-政策法規 | DeFi閃電貸遭攻擊背後——DeFi智能合約安全...

|合規聯盟原創出品 |

11月的DeFi市場就像經歷了一場「浩劫」，多起攻擊輪番「轟炸」，造成了巨大的資產損失。僅11月DeFi項目就發生了5起典型的安全事故。DeFi項目的安全問題令人堪憂，這可能與對協議的核心環節缺乏足夠重視有關。拋開這些，黑客的攻擊並不會停歇，面對嚴峻的安全形勢，主動防範的心態和行動至關重要。DeFi安全事件主要是由於其智能合約安全漏洞的問題，在此大背景下，本文對DeFi智能合約安全漏洞的相關法律問題進行研究。

01

DeFi與DeFi產品的定義  

DeFi，即Decentralized Finance，被稱作分布式金融或者去中心化金融，去中心化交易所、網絡借貸平臺、保險平臺、去中心化錢包等都是屬於DeFi範疇。DeFi產品主要是散布於世界各地的人以點對點的方式參與金融活動的平臺，如消費、借款、貸款、交易，甚至賭博，在不依賴銀行和政府等中介機構下完成，因此備受去中心化擁護者的追捧，尤其是去年到今年，它一度成為活躍於金融領域的關鍵力量。DeFi產品在區塊鏈平臺上運作，大量且頻繁的交易主要依賴於部署在鏈上智能合約進行自動化處理。比如在以太坊上，數字貨幣的發行和流通、借貸、投票、拍賣等，都使用已有現成的智能合約模塊，當然各種新的智能合約也由程式設計師不停編寫和部署。

02

DeFi智能合約的安全漏洞  

DeFi 智能合約的本質就是計算機代碼，主要部署於區塊鏈上，在交易達成預設條件時自動執行。DeFi 智能合約在自動化執行、效率等方面具備了其他執行方式所不可比擬的優越性。但是，基於其計算機代碼的本質，DeFi 智能合約也存在一定的局限性，主要有代碼漏洞與執行的問題。

（一）代碼漏洞問題

由於計算機代碼人類編寫，就不可避免存在漏洞。這些漏洞，就會成為黑客攻擊的切入點，用戶財產損失和信息洩露的問題就會發生。

（二）執行問題

DeFi 智能合約與普通合同最大的區別是其能夠做到不可逆地自動執行。憑藉區塊鏈不易篡改的技術特點，部署於區塊鏈的智能合約所儲存和運行的方式也是不易修改的。但是這一優點也帶來了一些弊端：一方面，自動執行增加了相較於傳統合同雙方當事人更高的違約成本；另一方面，一旦存在安全漏洞，智能合約的漏洞修補將會非常困難。即使有管轄權的司法機關作出有效的裁決或判決，由於部署在區塊鏈的智能合約由區塊鏈自動運行，法院或其他第三方也無法強制修改。換言之，區塊鏈的智能合約，其數據被分布記載於全鏈節點，如若修改某一個節點上的數據，是無法實現全鏈記錄的變動的，無異於隔靴止癢。

（三）DeFi智能合約的安全審計分析

如前文所述，DeFi智能合約存在安全漏洞問題有很大的概率，此時，一些區塊鏈安全服務商隨及推出了智能合約安全審計服務。在智能合約上線運行前，由區塊鏈安全服務商對於智能合約的安全性進行審查，評估是否存在代碼安全漏洞問題，並出具報告。

實際上智能合約的安全審計作用有多大呢？

1. 從技術角度來說。專業區塊鏈安全服務商對於智能合約的安全審計確實能夠發現安全漏洞，但實際具體發現數量多少與改進建議主要取決於審計人員的專業水平和時間的充裕度。應當注意到，安全審計人員是不可能在很短的時間內窮盡發現所有漏洞的。

2.從成本角度來說。聘請區塊鏈安全服務商提供安全審計業務，必然會增加項目的經濟成本，最終轉嫁給用戶。但是DeFi產品的最大的優越性就是成本低，這種額外的成本項目方與用戶是否願意承擔呢？再者安全審計後，修改安全漏洞必然推遲項目上線，諸如DeFi閃電貸這種系列產品，唯快不破。項目方不一定願意修改全部已知漏洞。一些DeFi產品只是在修改了部分安全漏洞後為了趕時間匆忙上線。。

可見，在唯快不破、低成本的DeFi產品界，DeFi智能合約的安全審計業務並不能發揮出其真正的作用。下期文章，筆者與大家分享DeFi智能合約的安全漏洞法律責任與救濟措施。

全球區塊鏈合規聯盟

「設立區塊鏈行業標準，加強行業自律，共同維護良好的市場秩序和行業環境，為行業健康發展提供理論指導，推動行業健康可持續發展」。

全球區塊鏈合規聯盟提供相關企業業務合規資質服務，歡迎通過郵箱[e-mail]或公眾號BC_ComplianceUnion與我們進行更詳細的業務溝通。

聲明：本文由入駐金色財經的作者撰寫，觀點僅代表作者本人，絕不代表金色財經贊同其觀點或證實其描述。

提示：投資有風險，入市須謹慎。本資訊不作為投資理財建議。