翡翠項目方攜千萬資產跑路，送你一份EOS DeFi避險指南

阿华区块链

特邀专栏作者

2020-09-10 10:30 (UTC+8)

本文約3620字，閱讀全文需要約6分鐘

帶上指南走路少踩坑。

AI總結

展開

帶上指南走路少踩坑。

翡翠項目方在巨大的利益面前最終還是選擇了跑路，無論是對於EOS DeFi，還是整個公鏈生態來說，都造成了極壞的影響，尤其是對於EOS 生態的傷害比較大，EOS DeFi 剛有點成績，項目本來就比較少，10個手指頭都可以數得過來，從概率來看，這齣事的概率有些大。

雖然ETH、TRON 生態中也經常出現跑路，但從市場反應來說，貌似大家都盯住了EOS，EOS 公鏈一有問題，就會被市場無限放大做文章，弄得好像只有EOS DeFi 有問題一樣，可能是許多人都曾被EOS 傷過的原故吧。

二級標題

一、項目方層面

1、合約代碼審計

我們參與的DeFi 項目，合約代碼至少是需要經過安全機構的審計，常見的比較靠譜的安全審計機構有慢霧和派盾等，一般項目都需要經過兩個或更多安全機構的交叉審計，越多安全機構參與交叉審計，合約出現漏洞的機率當然就越小。

智能合約本質是一段運行在區塊鍊網絡中的代碼，它完成用戶所提交的功能需求。合約代碼畢竟是由人所編寫的，由人編寫的程序難免是會出現一些錯誤和缺陷的，所以合約經過第三方安全機構的審計是很有必要的。

項目方合約代碼寫好後，通過安全審計公司對智能合約的全面檢查，並針對合約的潛在安全風險進行審核並提供改進方案，以確保上線項目的智能合約代碼安全，這應該是所有項目方都應該做的，也是最基本的安全要求了。

如果合約沒有經過安全機構審計，一旦合約代碼出現漏洞並被黑客發現，合約賬戶裡邊的資金很容易被黑客一窩端。

經過安全機構審計過的代碼，雖然也不能保證代碼100% 是沒有漏洞的，但對於用戶來說還是要放心許多，經過審計的總是比沒有經過審計的要靠譜多了，項目方合約代碼參與審計至少可以讓我們看到項目方的態度。

所以，對於一個項目來說，合約要經過安全機構審計，這是最起碼的要求，用戶相應來說還是比較相信安全審計公司的。

2、合約賬戶多簽

無論是合約代碼經安全機構審計，還是審計後的代碼開源，這些都是在合約代碼層面所做的。合約經過審計後，某種程度上阻止了黑客，但並不能阻止項目方跑路，因為合約賬號的私鑰是在項目方的手裡的，如果沒有設置多簽，項目方單方面就可以轉走合約賬號裡邊的資產。

如果合約經過審計後，再加上設置多簽，那當然就安全多了。如果說合約審計主要是為了防黑客，那麼多簽主要就是為了防止項目方跑路的。

對於EOS DeFi 項目來說，"合約審計+多簽"應該是標配，雖然這並不能保證100% 不會出事，但至少可以在很大程度上降低出事的概率了。

合約賬戶設置了多簽功能，就一定安全嗎？

即使合約賬號開啟了多簽功能，也未必一定能達到我們想要的多簽功能，關鍵要看多簽具體是怎麼設置的，正如鯨交所俊總所提醒的那樣：

多簽要注意門限規則，如果項目方可以直接或者間接控制多方簽名達到門限要求，就可以任意控制帳戶，與其他多簽方無關。

所以，即便是多簽功能，也是要注意避坑的。

1）打開賬戶權限看看多簽設置是否合理

對於合約賬戶的多簽設置，我們還是要打開看看是否設置合理，看看是否存在控製或串通的跡象。如果項目方可以控制其他簽名方，那多簽形同虛設，本質上就是個騙取韭菜的幌子，千萬不要被障眼法給迷惑了。

例如一個多簽賬號參與簽名的節點有10個，而且採用的是"1+3"的多簽模式，即項目方和其他任意3方都簽名同意即可。

但是在這10個節點中，其中有3個節點賬號實質上是受項目方控制的，或者和項目方能夠串通，那這樣的多簽就是沒有意義的，參與簽名的節點數量再多也沒用，因為無論參與簽名的節點數有多少個，只要能夠和其中3個達成共謀就可以了，其他節點也都是擺設。

因此，對於多簽賬戶，我們要看每一個參與簽名的節點，看看是不是相互獨立的，是不是能夠受到項目方的控制。當然了這很難判斷，但是，如果參與簽名的節點都是EOS 社區中比較出名的超級節點，相對來說風險就會大大下降，畢竟EOS 超級節點相對來說還是靠譜的，哪個超級節點是誰做的，基本上都是公開的，都是能找到人的。

目前來看，大寶和大豐收的多簽設置還算是比較合理的。

大豐收的多簽採用的是"1+3"的模式，即如果大豐收要改合約或轉賬，除了大豐收簽名名，還需要3個其他的參與方一同簽名才可以執行相關的操作。

根據大豐收的多簽設置，假如出現了一種極端的情況，即大豐收自己的私鑰丟失了，那麼其它的5個參與方（包括b1）可以一起簽名從而執行某些操作，比較巧妙的是這裡邊還包括了Block one 的b1，也就是當大豐收的私鑰丟失時，必須得有b1 參與簽名才能執行相關的操作，沒有b1的參與，其他節點聯合起來因達不到閾值而不能執行相關的操作。

參與大豐收多籤的賬戶中，除了b1之外，還有鯨交所、EOS佳能和TP 錢包，它們都是EOS 生態中可信的、有名的節點，而且都是彼此獨立的，相互之間串通的可能性基本上沒有。所以大豐收的多簽還是比較合理的，我個人覺得參與簽名的節點有些少了，可以適當再增加一些可信節點。如果出現一種極端情況例如有兩個節點都不能簽名，那合約也是執行不了的。

我們再看下Defibox 的多簽設置。

同樣的，Defibox 也是採用了"3+1"的多簽模式，如果要修改合約或者發起轉賬操作，除了Defibox 之外，還需要另外3個節點都參與簽名才可以執行相關的操作。

Defibox 的多簽設置也比較合理，有權參與簽名的節點比較多，多達11個，遠多於大豐收的5個，參與簽名的節點多則會比較靈活一些，如果一些節點出現問題不能簽名，那麼可以找其他節點，總之只要湊齊11個節點中的3個簽名就可以了。

在Defibox 的多簽賬戶中，雖然有權參與簽名的節點比較多，但並不是僅僅追求參與簽名的節點數量的，這11個節點其實是比較具有代表性的，例如可以參與簽名的節點有安全公司、知名錢包、知名交易所以及超級節點等，節點的地理位置分散也比較廣，有國內的節點，也有國外的節點，而且節點間串通的可能性也幾乎是沒有的。

和大寶的多簽設置相比，大豐收考慮到瞭如果自己的私鑰丟失，那麼其他節點聯合B1 是可以發起請求的，但在defibox 的多簽設置中，並沒有考慮到這種極端的情況，如果defibox 自己的私鑰丟失，那麼其他節點即使全部都聯合起來，也不能進行相關的操作。因為達不到閾值，關於defibox 的這種多簽設置，我也請教了下大寶的工作人員。