谁来监管审计公司?
前两天,一个C字打头的区块链安全审计公司审计过的项目Merlin DEX卷款200万美刀跑路,在业内引起了不大不小的震动。从跑路节奏的掌握上看,这个项目方是懂跑路的:第一天,宣布完成安全审计;第二天,宣布达成200万美刀流动性TVL;第三天,卷款跑路 [1]。而C审计公司给出的审计意见,竟然是安全无虞。
略显讽刺的是,就在M项目卷款跑路的同一时间,C审计公司的专访稿“对话Web3安全超级独角兽”放了出来[2]。对话中,记者问到了2月份卷款300万美刀跑路的项目Orion Protocol,当时C审计公司给予的评分是满分。受访人给出的回答是,出事的代码没有提交审计,过错全在项目方想省钱,“对安全的重视程度还是不够。大家虽然在安全上花了钱,但花得还不够,应该做完整的代码审计。”因此受访人认为,是他们替项目方“背了锅”。
但是真金白银的事儿,靠背锅甩锅毕竟不能解决。安全审计这个行当,至少面临下述四个方面的难题:
一、内在矛盾
所谓安全审计这个事情,从逻辑上是不符合区块链精神的。区块链精神是什么?不要信任,要验证。但是安全审计所做的事情,恰恰是让用户不去验证,去信任审计公司写的审计报告。
是的,很多人会辩护说,大多数用户根本没有技术能力,自己又看不懂智能合约代码,而且就算懂一点儿,也很难有那么专业的安全知识,能够看得出来代码里的问题和猫腻。审计公司,就是用户的守护神,替用户审查了这些代码,避免了用户遭受损失的风险。
但是,一个始料未及的结果出现了。审计公司以它的专业性,拍着胸脯告诉用户没问题。这削弱了用户的风险意识,增强了用户的投机力度,最终给用户造成了更大的损失。
如果一个土狗项目,没有任何背书。你在冲进去的时候一定会哆哆嗦嗦,不敢投入太大——因为你生怕一不小心,土狗卷款跑路,或者代码bug,或者黑客盗币,凡此种种。但是现在,土狗还是那只土狗,可是却穿上了“黄马褂”,掏出了盖着几个红戳的安全审计报告。土狗你不认识,审计公司明晃晃的金字招牌你是认识的。于是你重仓梭哈。土狗跑路。你损失惨重。
安全审计报告,就像一个隐形的杠杆,无形之中,放大了你的亏损。当然,也倍增了土狗跑路的收益。
二、立场问题
回头再看一眼辩护词。审计公司真的是全心全意站在用户的立场上,为了用户的安全在审查那些代码吗?
若谁认为是。那么请问,谁付钱给审计公司?审计公司挣谁的钱?
拿谁钱财,替谁办事。你永远可以相信,屁股决定脑袋,利益决定立场。
就像靠车商养活的测评工作室不可能对用户全掏一片真心,而只会是更高级的营销工具,挣项目方钱的审计公司,屁股绝对不可能坐在用户这一边。说白了,它们的审计报告,不过就是一种更高级的市场营销材料罢了。
更糟糕的是,车商毕竟最终还是要靠用户买它们的汽车才能赚钱,因此测评工作室也不能完全抛弃用户立场,但是Web3项目则不同,很多时候,营销就是它们唯一的“产品”,营销完毕,钱圈到手,就可以和用户说拜拜了。这种模式就注定了,审计公司的屁股必然就会坐的更歪,甚至沦为项目方的“帮凶”。
也许,正是这种心态,让审计在看到M项目的代码里赫然把用户存入的资金全部授权给项目方控制的时候,觉得这应该也没有什么问题吧。
三、道德风险
若客观上注定了审计公司的立场必然偏向于项目方,那么主观上就无法撇清有意为之的动机问题而自证清白。
就像一个项目卷款跑路之后,拥有超级权限的项目方也很难自证,究竟是真的不小心泄露了私钥,还是监守自盗。监守自盗的话,一起分个赃,绝非不可能。又或者干脆黑吃黑。夜黑风高,套上黑衣,变身黑客。漏洞在心,屡屡得手。
即便是作为一个组织,没有作恶的动机,可是依然无法防范,经手的一线人员不会见钱眼开。
一个审计人员,看到代码有漏洞,告诉自己的小舅子,小舅子再把漏洞线索卖给X国黑客,这也不是不可能的事情。
道德风险如果有条件发生,它就总是一定发生。这个叫做“墨菲定律”。
四、责任缺位
谁最明白这种矛盾和纠结?当然是审计公司自己。
但是,放着白花花的银子不赚,那是自己智商有问题。毕竟,这世界上能够媲美看一行代码赚几十美刀的暴利生意,哪个不是需要把脑袋别在裤腰带上干的?
审计公司所做的,和项目方自己的测试人员所做的,从技术上讲,有什么不同?都是最大程度的保障代码的可靠性、安全性。但是费用成本上,可是天上地下。超高的溢价来自于什么?来自于它本就是披着技术外衣的营销。每100块里,1块钱是为技术付费,99块钱是为营销付费。Web3营销,就是用品牌站台,用专业包装,用报告喊单。目的很单纯,就是让韭菜大胆地把兜里的仨瓜俩枣全都掏出来。
这安全审计,解决的就是怎么解放思想、放开胆子大胆干的问题。
如果这一行有监管,有追责,这事儿它其实也应该是一个脑袋别在裤腰带上的生意。
2001年安然丑闻曝光,一系列追查、追责下来,为安然出具审计报告的全球五大审计会计事务所之一的安达信轰然解体。该抓的抓,该判的判。自此,“五大”永远变成了“四大”,直到今天。
这边风景独好,因为没有监管。看看今天很多Web3审计公司出具的安全审计报告,居然连审计员的姓名都不敢签上去进行公开披露。
那就更不要提,出了事要它们负责了。
参考资料:
- [1] https://twitter.com/3orovik/status/1651380667710595074
- [2] https://mp.weixin.qq.com/s/6VVhOn47jVCEo0UzjZb1nw
* * * 刘教链 出品 * * *
(公众号:刘教链。知识星球:公众号回复“星球”)
(免责声明:本文内容均不构成任何投资建议。加密货币为极高风险品种,有随时归零的风险,请谨慎参与,自我负责。)
比推快讯
更多 >>- 美国会议员Tom Emmer:国会将于本周通过反 CBDC 法案
- 纽约总检察长与Genesis达成 20 亿美元和解
- 分析师:在本周现货 ETF 决策截止日期之前,ETH价格波动将加剧
- Upbit:因网络问题暂停ONT、ONG、MovieBloc(MBL)充提业务
- Optimism Superchain四月和五月日均交易量超400万笔
- Prometheum Capital “软启动”以太坊托管服务,并将其视为一种证券
- Grayscale CEO Michael Sonnenshein 离职,前高盛高管Peter Mintzberg将从 8 月 15 日接任
- DMZ.Finance完成种子轮融资
- 尼日利亚证券监管机构:全球加密货币交易所已将货币奈拉下架
- 贝莱德IBIT持有超27.6万枚BTC
- Sorbet完成新一轮融资
- CoinShares:上周数字资产投资产品流入9.32亿美元
- 松下将参与测试基于DCJPY数字货币的旅游通票项目
- COPA诉Craig Wright裁决已公布,后者对法院反复撒谎
- OKX Ventures宣布战略投资比特币Layer 2网络Bitlayer
- Skybridge Capital创始人:如果不做多比特币,就是做空比特币
- 币安Web3钱包推出Yield Plus和Simple Yield收益模式
- Genesis发布索赔比例,账户金额超1000万美元的索赔率在97-110%之间
- Aave社区初步通过“在Celo上部署Aave V3”提案
- Telegram创始人:已收到Notcoin代币捐款,收益达100倍后将用于购买更多服务器
- 以太坊现货ETF获批关键一票或将来自Gary Gensler
- Pitchbook分析师:今年晚些时候加密行业合并将大幅增加,尤其是在交易所、托管方等领域
- 10x Research:比特币若能突破67,500或将创下历史新高
- Coinbase:加密货币市场即将到来的主要催化剂或由监管驱动
- 衍生品交易平台Hyperliquid L1将支持原生EVM
- Magic Eden疑似利用Coinbase为其处理小额输出,以减少麻烦并节省整合成本
- 以太坊基金会核心研究员:若EigenLayer发展方向与以太坊利益相悖,将随时准备终止顾问职位
- 数据:价值约13亿美元的代币将于下周解锁,其中PYTH约占9.43亿美元
- 彭博社:加密行业已为2024年美国大选捐款9400万美元,创历史最高纪录
- Ripple Q1 XRP市场报告:链上交易量增长 108%,每笔交易的平均成本下降 45%
- IntoTheBlock:持有超1000枚BTC的地址余额已接近FTX破产前水平
- NFT借贷平台Blend总交易额超60亿美元
- Anchorage Digital向Cumberland DRW转移1000万枚ARB
比推专栏
更多 >>观点
项目
比推热门文章
- 纽约总检察长与Genesis达成 20 亿美元和解
- 分析师:在本周现货 ETF 决策截止日期之前,ETH价格波动将加剧
- Upbit:因网络问题暂停ONT、ONG、MovieBloc(MBL)充提业务
- Optimism Superchain四月和五月日均交易量超400万笔
- Prometheum Capital “软启动”以太坊托管服务,并将其视为一种证券
- Grayscale CEO Michael Sonnenshein 离职,前高盛高管Peter Mintzberg将从 8 月 15 日接任
- 苏富比竟成小丑?CyptoPunks卖家戏耍纽约名流新贵
- DMZ.Finance完成种子轮融资
- 尼日利亚证券监管机构:全球加密货币交易所已将货币奈拉下架
- 贝莱德IBIT持有超27.6万枚BTC