闪电贷款攻击背后——defi智能合约安全漏洞的法律问题

11月份的DeFi市场似乎经历了一场“灾难”，多起袭击轮番“轰炸”，造成巨额资产损失。仅11月，DEFI项目就发生了5起典的安全事故。DeFi项目的安全问题令人担忧，这可能与对协议核心环节缺乏关注有关。面对严峻的安全形势，积极防范的心态和行动非常重要。在此背景下，本文主要研究与DeFi合同安全相关的安全问题。

01

DeFi及其产品的定义

Defi，即去中心化金融，称为分布式金融或去中心化金融。去中心化交易所、网上借贷平台、保险平台、去中心化钱包等都在DeFi的范围之内。Defi产品主要是为世界各地的人们提供的以点对点的方式参与金融活动的平台，比如消费、借贷、交易，甚至赌博。它们是在不依赖银行和政府等中介机构的情况下完成的。因此，他们受到去中心化支持者的追捧。从去年到今年，它一度成为活跃在金融领域的一支重要力量。Defi产品在区块链平台上运行，大量频繁的交易主要依赖于部署在链上的智能合约的自动处理。例如，在以太坊，现有的智能合约模块用于数字货币的发行和流通、借贷、投票、拍卖等，当然，各种新的智能合约都是程序员不断编写和部署的。

02

DeFi智能合约的安全漏洞

DeFi智能合约的本质是计算机代码，它主要部署在区块链上，当交易达到预设条件时自动执行。德福智能合约在自动化、效率等方面具有无可比拟的优势。然而，基于其计算机代码的性质，DeFi智能合约也有一些局限性，主要包括代码漏洞和执行问题。

（1） 代码漏洞

由于计算机代码是由人类编写的，因此不可避免地存在漏洞。这些漏洞将成为黑客攻击的突破口，出现用户财产损失和信息泄露等问题。

（2） 实施问题

DeFi智能合约与普通合约**的区别在于它可以自动执行不可逆转。由于区块链不易被篡改的技术特点，区块链中部署的智能合约的存储和操作模式不易修改。然而，这种优势也带来了一些弊端：一方面，自动执行增加了传统合同双方的违约成本；另一方面，一旦出现安全漏洞，智能合约的漏洞将很难修复。即使有管辖权的司法机关做出了有效的决定或判决，因为区块链中部署的智能合约是由区块链自动操作的，法院或其他第三方也不能强制修改。也就是说，区块链智能合约的数据分布并记录在整个链的节点上。如果修改某个节点上的数据，则无法实现整个链记录的更改，这与在启动的另一端停止瘙痒没有区别。

（3） DeFi智能合约的安全审计分析

如上所述，DeFi智能合约中存在安全漏洞的可能性很大。此时，一些区块链安全服务提供商已经推出智能合约安全审计服务。在智能合约投入运营前，区块链安全服务商将对智能合约的安全性进行审核，评估是否存在代码安全漏洞，并出具报告。

事实上，智能合约的安全审计功能有多重要？

1从技术角度来看。专业区块链安全服务提供商确实可以在智能合约的安全审计中发现安全漏洞，但实际数量和改进建议主要取决于审计师的专业水平和时间的充分性。应当指出，安全审计人员不可能在短时间内发现所有漏洞。

2从成本的角度来看。聘请区块链安全服务提供商提供安全审计服务，必然会增加项目的经济成本，最终会转嫁给用户。但是，该产品**的优势是它的低成本。项目方和用户是否愿意承担额外的费用？而且，安全审计结束后，安全漏洞的修改必然会推迟项目的启动。例如，DeFi flash loan等系列产品不会尽快被打破。项目方不一定愿意修改所有已知的漏洞。一些DeFi产品只是在修改了一些安全漏洞后匆忙上线。。

由此可见，智能合约的安全审计业务并不能在快速但低成本的DeFio产品领域发挥其真正的作用。在下一期中，笔者将与大家分享DeFi智能合约安全漏洞的法律责任和救济措施。