1. 智能合约安全概述：Web3安全现状、常见攻击类型、审计流程与标准
大家好，欢迎来到这门实战课。我是你们的老朋友，一个在区块链安全领域摸爬滚打了五六年的工程师。
说实话，每次开新班，我都要先讲这一章。为什么？因为很多人一上来就急着学「怎么找漏洞」，却忽略了最根本的东西——我们到底在防谁？
Web3 的世界，说白了就是「代码即法律」。但法律也有漏洞，对吧？我见过太多项目，代码写得花里胡哨，结果上线第一天就被盗走几百万美金。嗯，这章我们就来聊聊这些事。
1.1 Web3 安全现状：一个残酷的现实
先看一组数据。根据 Rekt 和 SlowMist 的统计，2023 年链上安全事件造成的损失超过 20 亿美元。注意，这只是公开报道的。很多小项目被盗了，根本不敢声张。
为什么会这样？我个人觉得，核心原因有三个：
- 代码不可篡改：合约一旦部署，想修 bug？对不起，只能硬分叉或者祈祷。
- 资金流动性极高：一个漏洞可能瞬间卷走几千万，黑客跑路比谁都快。
- 开发者经验不足：很多项目方是「半路出家」，Solidity 写了三个月就敢上主网。
一个真实的案例：2022 年，某知名跨链桥被攻击，损失 6 亿美元。原因是什么？一个签名验证的逻辑漏洞。我在审计时遇到过类似的情况——开发者以为「只要用了 OpenZeppelin 的库就安全了」，结果自己写了个自定义的验证函数，直接把后门打开了。
所以，别迷信「知名项目」。安全审计不是走过场，是真刀真枪的对抗。
1.2 常见攻击类型：黑客的「工具箱」
我整理了一下，常见的攻击类型大概有十几种。但别慌，我们挑最核心的讲。你只要掌握了这几种，就能防住 80% 的攻击。
| 攻击类型 | 原理简述 | 经典案例 |
|---|---|---|
| 重入攻击 | 利用回调函数反复调用未更新状态的合约 | DAO 攻击（2016） |
| 整数溢出 | 算术运算超出类型范围，导致金额异常 | PoWH Coin 溢出漏洞 |
| 访问控制缺陷 | 权限校验不严，任何人都能调用敏感函数 | Parity 多签钱包冻结事件 |
| 闪电贷攻击 | 利用无抵押借贷操纵价格预言机 | BZX 系列攻击 |
| 前端抢跑 | 观察交易池，抢先提交交易获利 | MEV 机器人日常操作 |
这里我重点说一下重入攻击。你想想看，一个合约先给你转账，再更新你的余额。如果转账过程中调用了你的回调函数，而你的回调函数又去取钱……嗯，这就是经典的「先开枪，再画靶子」。我在审计一个 DeFi 项目时，就发现开发者把 transfer 放在了状态更新前面。我跟他说：「兄弟，你这是给黑客送钱啊。」
避坑指南：我曾经审计过一个项目，代码里用了 call.value() 来发送 ETH。开发者觉得「反正我后面会更新状态」，结果黑客利用 fallback 函数反复调用提现函数。记住：永远遵循「检查-生效-交互」模式。
1.3 审计流程：从「黑盒」到「白盒」
很多新手问我：「审计到底怎么做？」我一般会回答：先看文档，再看代码，最后跑工具。但顺序不能乱。
我个人习惯把审计分成四个阶段：
- 需求分析：拿到项目文档，先搞清楚业务逻辑。如果文档写不清楚，那代码大概率也有问题。
- 静态分析：用 Slither、Mythril 等工具扫一遍，找出明显的漏洞。但注意，工具只能发现「已知模式」，很多逻辑漏洞要靠人眼。
- 手动审查：逐行读代码。重点关注：权限控制、外部调用、算术运算、状态变量。
- 测试验证：写 PoC（概念验证代码），复现漏洞。这一步最耗时间，但也最值钱。
一个小技巧：我读代码时，会先看 modifier 和 require。如果这两个地方写得随意，那后面大概率有坑。你想想看，一个连权限检查都懒得写的人，会认真处理重入问题吗？
1.4 审计标准：我们拿什么衡量「安全」？
这个问题其实没有标准答案。但行业内有一些公认的「底线」：
- SWC 注册表：Smart Contract Weakness Classification，类似 OWASP Top 10。每个漏洞都有编号，比如 SWC-107（重入攻击）。
- ConsenSys 最佳实践：一份非常详细的清单，从「使用 SafeMath」到「避免 tx.origin」都有。
- 项目方自己的安全规范：比如「所有外部调用必须加 reentrancy guard」。
但说实话，标准只是最低要求。我见过很多项目「通过了审计」，结果还是被黑了。为什么？因为审计公司只检查了「已知漏洞」，而黑客用的是「组合攻击」——比如闪电贷 + 预言机操纵 + 重入。所以，真正的安全，是理解业务逻辑后的深度思考。
我的建议：不要只看审计报告上的「通过」二字。问清楚：审计师发现了几个高危漏洞？修复了吗？有没有做压力测试？如果对方支支吾吾，那就要小心了。
1.5 本章小结
好，这一章我们聊了 Web3 安全的现状、常见攻击类型、审计流程和标准。说白了，安全不是一蹴而就的事，而是一种习惯。
我记得刚入行时，带我的师傅说了一句话：「写合约就像在悬崖边跳舞。你跳得再好看，一步踏错就是万丈深渊。」嗯，这句话我到现在还记得。
下一章，我们会深入 Solidity 的「坑」——那些编译器不会告诉你的细节。到时候见。