CertiK聯合創始人探討Web3.0安全威脅與防御策略

近日，一家知名科技媒體對CertiK聯合創始人兼CEO進行了專訪。雙方就該公司最新發布的安全報告，深入探討了黑客攻擊手法的演變以及安全防御技術的創新路徑。

這位CEO強調，安全應被視爲一項基礎原則，而非事後的補救措施。他倡導在項目啓動之初就將安全融入整體戰略，認爲"安全優先"的主動策略對於構建可信的Web3.0應用至關重要。具體而言，他建議積極運用形式化驗證、零知識證明、多方計算等前沿技術，全面增強區塊鏈協議和智能合約的防護能力。

這種對安全的堅持並非短期市場趨勢的產物，而是源自該CEO對技術理想的長期探索與實踐。從參與研發被譽爲"無懈可擊"的操作系統，到如今爲超5300億美元的數字資產築起安全護城河，他始終致力於守護行業安全，提升行業信任。

這位CEO多次表示，安全不是競爭優勢，而是共同責任。他將實驗室的學術成果轉化爲行業落地的安全實踐，也將"共同責任"的理念融入行業協作。這位從頂尖學院走出的技術領袖，正以數學邏輯的可驗證性對抗黑客攻擊的不確定性，在技術理想與現實之間錨定Web3.0時代的安全坐標。

專訪內容：守護Web3.0前沿陣地——區塊鏈安全威脅與防御解析

在快速發展的Web3.0領域，區塊鏈安全已成爲重中之重。CertiK由一位哥倫比亞大學計算機科學教授領導，致力於全面強化區塊鏈生態系統的安全防護。該公司通過形式化驗證技術提升區塊鏈和智能合約的安全性，已成爲Web3.0安全的行業領跑者。

最新發布的安全報告揭示了數字資產盜竊和安全威脅的新趨勢。報告還探討了零知識證明、多方計算等前沿技術，向區塊鏈開發者提供實用建議，並分析了AI在安全領域的雙重角色。隨着傳統金融機構逐步涉足區塊鏈，安全挑戰也隨之升級，主動措施保護用戶和維護生態系統的完整性變得至關重要。

Q：請簡單介紹一下您自己以及CertiK的核心使命。

A：我是CertiK的聯合創始人兼CEO，同時也是哥倫比亞大學的教授。我與CertiK的使命都深深植根於加強Web3.0生態系統的安全性。

CertiK成立於2017年，核心理念是利用形式化驗證技術，持續監控和強化區塊鏈協議與智能合約的安全，確保其安全、正確的運行。我們整合來自學術界與產業界的前沿方案，助力Web3.0應用在保障安全的前提下實現可持續擴展。至今，我們已爲超過4,900家企業客戶提供服務，累計保護超5,300億美元的數字資產，識別出超過11.5萬個代碼漏洞。

Q：CertiK最近發布的安全報告有哪些關鍵發現？

A：2025年第一季度，鏈上詐騙事件導致的損失約爲16.6億美元，較上一季度暴漲了303%。這主要歸因於2月底某交易所被黑事件，黑客從中竊取了約14億美元。與前幾個季度類似，本季度以太坊仍是主要遭受攻擊的目標，3起安全事件共造成15.4億美元的資產損失。更令人震驚的是，我們發現第一季度僅有0.38%被盜資產被成功追回。

Q：相比之前的季度，區塊鏈攻擊的主要目標是否發生了變化？

A：2025年第一季度的趨勢延續了2024年末的態勢，以太坊仍是攻擊重災區。2024年第四季度以太坊上共發生99起安全事件，而第一季度爲93起。這是一個持續的主題：在整個2024年，基於以太坊的項目經歷了最多的安全事件；展望2025年，這個情況似乎還在持續。

某交易所被黑事件也是一例典型案例：基於以太坊生態的錢包遭到入侵，蒙受重大損失。以太坊成爲攻擊焦點的原因在於其DeFi協議衆多，鎖倉資產規模巨大；另一方面，以太坊上衆多的智能合約中，不少都存在漏洞。

Q：面對愈加復雜的攻擊手法，區塊鏈安全行業如何應對？

A：攻擊者越來越多地利用社會工程學、AI技術、智能合約操縱等復雜的策略，來繞過現有的安全防護機制。隨着數字資產的廣泛應用和估值提升，行業必須適應新的形勢，確保項目完整性與用戶資產安全。

行業正積極應對挑戰，推動包括零知識證明（ZKP）和鏈上安全等創新技術的發展，這些技術爲日益嚴峻的安全問題提供了富有前景的解決方案，可在保護隱私的同時實現交易可審計、攻擊溯源以及資產追回的可能性。多方計算（MPC）則通過將私鑰的控制權限分散至多個參與方，進一步強化了密鑰管理，從而消除了單點故障風險，並顯著提升了攻擊者未經授權訪問錢包的難度。隨着這些安全技術的不斷演進，在抵御黑客攻擊、維護去中心化生態系統完整性方面將發揮至關重要的作用。

Q：您會給區塊鏈開發者和項目團隊哪些安全建議？

A：從一開始就將安全放在優先位置，應該是一項不可妥協的原則。將安全融入開發的每一個階段，而不是事後補救，有助於提早發現潛在漏洞，從長遠來看能夠節省大量時間和資源。這種"安全優先"的主動策略，對於打造可信Web3.0應用的基礎至關重要。將安全融入開發全流程，有助於提前發現漏洞，節省後期修復成本。

此外，尋求區塊鏈安全機構進行全面、公正的第三方審計，也能提供獨立視角，發現內部團隊可能忽視的潛在風險。這類外部評估提供了關鍵的審查環節，有助於及時識別並修復漏洞，從而增強項目整體的安全性，進一步提升用戶的信任。

Q：AI在區塊鏈安全中扮演怎樣的角色？是積極的影響還是帶來了新風險？

A：AI是我們安全體系的重要工具，我們也已將其納入保障區塊鏈系統安全的核心戰略之一。我們利用AI技術分析智能合約中的漏洞和潛在的安全缺陷，幫助我們以比以往更高效的方式完成全面審計，但它並不能取代人工專家審計團隊。

然而，攻擊者同樣可以利用AI來強化其攻擊手段。例如，AI可被用來識別代碼弱點、規避共識機制、防御系統。這意味着安全對抗的門檻被抬高，隨着AI應用的日益普及，行業必須投入更強大的安全解決方案。

Q：什麼是形式化驗證？它如何提升區塊鏈審計的效果？

A：形式化驗證是一種通過數學手段證明計算機程序按預期運行的方法。它通過將程序的屬性表達爲數學公式，並借助自動化工具對其進行驗證。

該技術可廣泛應用於技術行業的各個領域，包括硬件設計、軟件工程、網路安全、AI以及智能合約審計。但需要強調的是，形式化驗證並非用於取代人工審計。對於智能合約而言，形式化驗證依賴自動化方法來評估合約邏輯和行爲，而人工審計則由安全專家對代碼、設計和部署進行全面檢查，以識別潛在的安全風險。兩者相輔相成，共同提升智能合約的整體安全性。

Q：隨着傳統金融機構進入區塊鏈賽道，您認爲安全威脅的類型或復雜程度會發生變化嗎？

A：在Web3.0和區塊鏈行業的早期階段，攻擊者通常以個人用戶或小型項目爲目標，手段包括釣魚攻擊、RugPull和錢包漏洞利用等。據我們發布的最新季度報告顯示，這些挑戰依然存在。然而，隨着傳統機構和大型企業的加入，網路完整性的安全風險也將進入新階段。這一轉變背後，既有項目資產體量的上升，也涉及企業級應用的獨特安全需求、監管要求，以及區塊鏈與傳統金融體系的深度融合。

鑑於大多數傳統機構具備應對網路威脅的經驗，我們預計惡意行爲者也將提升攻擊手段的復雜性，從以往對通用錢包漏洞的攻擊，轉向更具針對性的企業級弱點，例如配置錯誤、自定義智能合約漏洞，以及與傳統系統集成接口中的安全缺陷。