Gate 与 GoPlus Security 在《大门安全课》第三期中围绕合约审计、漏洞排查和用户自查展开讨论。双方的核心观点是，安全不是一纸证明，而是持续变化的状态；一次审计也不等于项目会一直安全。
文章指出，今年被盗的项目中，不少都做过审计，部分项目甚至审计过多次。这并不意味着审计没有价值，而是审计能回答的问题比很多人理解的更窄。一份审计报告描述的只是某一天、某个团队看过的某个版本，随着合约升级、权限变更、预言机和跨链桥等外部依赖变化，以及新攻击手法不断出现，报告在交付后就开始过期。
Gate 与 GoPlus如何看待「审计过仍出事」
GoPlus 合伙人 Adam 表示，「一次审计」不等于「一直安全」，传统合约审计服务目前存在四个结构性失效。
- 第一，审计本质上是某个时间点的半人工检查，效果依赖工具质量、个人水平和工作状态，但代码、权限和参数都可能在之后发生变化。
- 第二，历史审计无法覆盖未来风险，新漏洞类型和新攻击手法不断出现。
- 第三，项目普遍依赖预言机、跨链桥和第三方协议，这些外部依赖的风险变化通常不在传统审计范围内。
- 第四，数年前部署、当年通过审计的旧合约，正在被自动化工具重新批量扫描，像 Balancer、Yearn 这类已上线数年的项目，也可能被重新挖出深层漏洞。
Adam 还提到，权限滥用更多发生在运营阶段，而不一定来自合约代码本身。常见原因包括 Owner 权限过大、管理员私钥泄露、多签管理不当，以及恶意提案和治理攻击。即便审计报告标注了权限风险，后续是否有人持续盯防、操作是否安全合理，仍然是另一回事。
Gate 安全团队给出的判断是，审计能告诉用户代码能做什么，但告诉不了用户项目方打算做什么。团队表示，很多事故的根源在于项目方意图。一个合约在技术上可以完全合规，所有者权限设计也在正常范围内，但项目方仍可能在某个时间点启用这些权限，修改交易规则、开启黑名单或增发代币。这些动作在代码层面是合法的，也往往不会被审计报告标成漏洞，因为它们本来就是设计的一部分。
基于这一点，Gate 表示，技术审计之外还需要额外约束。平台在上币环节会做严格的项目筛选和审核，并与项目方签署不作恶声明，再对履约情况进行监督。对于已上架项目，Gate 会做定期安全审计，并通过链上事件监控跟踪合约状态，用户也可以随时查询某个合约当前的风险项。
行业需要从一次性审计转向持续安全
Gate 安全团队认为，加密行业尤其是 DeFi 的运作模式接近模块化金融，各类平台由共享组件搭建而成，涉及合约、软件库、钱包、价格预言机、跨链桥、连接服务商、网页界面，以及用于推送更新的系统。因此，安全问题不能只看自身合约，还要看依赖链条上的每一个环节是否仍然可靠。上游某个组件出现故障，损失可能沿链条向下传导。回看重大攻击事件，问题往往出在比协议逻辑更早的环节，例如供应商、开发工具、软件触达用户的方式，或者用户批准转账的流程。
Adam 则表示，黑客利用自动化工具高效挖掘漏洞的攻击范式已经形成，并且扩散很快。攻击方式正从「专家手工研究」转向「流水线」。如果行业仍停留在上线前找审计公司出一份报告，或者出问题后再找安全公司补救，就像用弓箭对抗机关枪。要对抗同样高效的攻击，只能使用同样高效的工具。
他给出的调整方向，是从「一次性审计」或「出问题后找专家」升级为「全生命周期持续安全」。以 GoPlus DeepScan 的「合约安全三件套」为例，这一闭环包括三个阶段：
- 上线前，进行 Token 安全自查，在几分钟内快速检查貔貅盘或蜜罐、恶意增发、黑名单、异常交易税、Owner 权限等后门风险。
- 上线时，进行 AI 合约审计，深度分析源码、权限管理与业务逻辑，扫描语法层和业务逻辑层漏洞，并交付结构化审计报告。
- 上线后，持续安全监控与定期体检，实时跟踪新增漏洞情报、攻击事件和外部依赖风险，持续判断项目是否受影响，并进行常态化预警和定期安全体检。
漏洞挖掘方式变化与链上、交易所两种安全模型
在漏洞挖掘方式上，Adam 认为，短期内攻击方的方法已经变得更多样化，原因主要有三点。
- 自动化工具大幅降低了挖洞门槛，过去需要顶级安全研究员数周完成的工作，现在攻击流水线几分钟就能跑完。
- 链上沉淀了大量当年审计过的旧合约，对攻击者来说是储量巨大的目标池。
- 攻击是单向变现，攻击者只需要找到一个漏洞，防御者却要守住所有漏洞。
他表示，黑客挖走资金用了几分钟，防御方找出同样漏洞其实也可能只需要几分钟，差别在于项目方是否在黑客之前把工具用起来。与此同时，防御方还拥有三个结构性优势：可以在上线前和运营中无限次复查的先手优势；AI 审计按次或包年收费、可常态化使用的成本优势；以及安全知识库会随着每一起新攻击事件持续进化的知识复利优势。
对于同一笔资产放在链上和放在交易所的区别，Adam 将两种模式拆分为不同的安全模型。
链上自托管的安全，等于私钥安全加合约安全。用户是唯一安全责任人，私钥丢失或被盗后没有客服可申诉；每次交互都要承担链上风险，包括授权漏洞、钓鱼签名和貔貅盘等。优势是资产不依赖任何平台信用。
交易所托管的安全，则等于平台安全加账户安全。私钥由平台管理，依赖冷热钱包分离、多签和风控等机制，相当于用户把技术安全外包给交易所；但用户仍需保护好自己的交易所账号安全，包括密码、2FA、钓鱼和 API Key 等，同时要选择平台信用有保障的交易所。
Adam 的总结是，链上模式考验的是用户的 Web3 安全意识和操作习惯，交易所模式考验的是平台安全基建以及用户的账户安全习惯。
Gate披露平台侧的安全措施
Gate 安全团队表示，平台会对已上架项目做定期安全审计，并通过链上事件监控持续跟踪合约状态，包括合约是否升级、权限是否变更、是否出现异常大额操作。团队认为，上币时的检查结论和审计报告一样，也有保质期。
在平台自身安全方面，Gate 的安全漏洞赏金计划一直开放，全球安全研究人员可以通过 sec@gate.com、工单系统以及 HackenProof 平台提交问题。团队表示，平台要求项目方接受检查，自己也应接受检查，这不应是单向要求。
在账户和资产管理方面，Gate 给出的建议不是去寻找所谓「最安全的地方」，而是按使用频率分开放置资产。经常交易的资金可以留在现货账户，长期不动的资产则可以放入 Gate 保险箱。
根据介绍，Gate 保险箱采用 MPC 加 2-of-3 签名机制。私钥被拆成三片，分别由用户设备、Gate 和一家独立第三方持有，完整私钥不会在任何环节被拼出，Gate 和第三方都无法单独发起交易。所有转出还需要等待 48 小时到账，这段时间被视为用户的安全缓冲期，期间可以随时冻结该笔转出。团队表示，在多数被盗案例中，用户察觉异常往往比攻击者晚一步，而链上转账一旦发出就无法撤回，但在 Gate 保险箱的 48 小时内，用户仍有发现和冻结的时间。
Gate 还介绍了账户安全保障计划。该计划基于安全分机制，将原本分散在各页面的登录验证、身份验证器、双重验证、通行密钥、交易限额和提现限额等设置，折算成 0 到 100 的分数，用户可以直接看到已完成和未完成的防护项，分数变化时系统也会提醒补齐。
当安全分达到 80 分且账户状态正常时，用户可以开通保障计划。开通后，在保障生效期间，如果账户资产被未经授权转走，且符合规则，可以申请补偿，单次事件额度目前最高为 20 万美元。Gate 表示，这一额度接下来会增加，并根据 VIP 等级分档最高提升至 100 万美元。申请需要在事件发生后 45 天内，通过「我的保障」联系安全客服提交，材料包括警方报案记录和资产转出记录等。
一份完整审计报告应包含什么
Adam 认为，一份真正能指导行动、而不只是存档的审计报告，至少应包含四个要素。
- 安全评分，用于快速筛选，而不是直接下最终结论。项目方可以把评分作为内部安全评估的量化锚点，交易所可以用于上币初筛，普通用户则可以把评分当作入口，低分直接避开，高分再看关键发现。
- 关键发现，即高风险问题和核心结论，用于做决策。这部分相当于执行摘要，指出哪些问题属于 blocking 级别，必须修复后才能上线。对非技术背景的管理者和上币评审团队来说，读懂这一部分通常就够了。
- 问题详情，用于定位问题。这里应包括漏洞位置，精确到合约、函数和代码行，以及漏洞类型、严重性等级、攻击路径描述和根因分析。好的问题详情还应给出可复现的执行路径和触发条件，而不是只列问题清单。
- 修复建议，用于形成闭环。建议必须具体到代码层面、可执行，并在修复后重新扫描和回归验证，形成「评分、关键发现、问题详情、修复、复扫」的完整流程。
Gate 安全团队则从合约审计功能实践补充了三点。
第一，最容易被省略的往往是最前面的两项：审计目标与限制，以及范围说明。Gate 表示，团队给报告设定了八个维度，包括审计目标与限制、范围说明、严重性矩阵、优先级判断、漏洞详情、风险路径、威胁模型、关键函数分析和修复建议。其中，最容易决定读者是否误读整份报告的，恰恰是前两项。如果限制没有写清楚，读者会默认报告什么都覆盖了；如果范围没有写清楚，读者就无法判断审计覆盖的是主合约，还是连资金池、策略合约、预言机和外部依赖都一起审了。团队认为，很多宣传只写一句「已通过审计」，却不说明审了什么，这种说法几乎没有信息量。
第二，看关键发现时，要把那些单独看不一定算漏洞的风险放在一起看。Gate 举例称，报告中常见的一组组合是：合约所有者可以把地址拉入黑名单冻结资产，交易对可以被重置导致普通用户无法转账，最低持仓要求会让用户无法完整卖出，单一所有者还能随时改动多项关键规则。这四项分开看都可能属于正常设计，但合在一起，就意味着控制权高度集中在一个人手里。
第三，要知道报告是怎么生成的，因为这决定了它的可靠性边界。Gate 表示，其合约审计分三步：先做静态分析，检查权限控制、重入、价格操纵、闪电贷和逻辑一致性等基础风险；再做业务场景建模，提取核心交互场景，验证业务路径和边界条件，找出规则扫描覆盖不到的问题；最后做语义化验证，对关键业务路径逐项核查，确认前两步识别出的风险是否真实成立。团队称，第三步的主要作用是压低误报率，因为一份误报过多的报告会让用户失去耐心，最终跳过整个检查环节。
普通用户现在就能做的自查与加固动作
在用户侧，Adam 给出了六项可立即执行的建议。
- 交易前核查 Token 安全，重点识别貔貅盘或蜜罐、恶意增发、黑名单、异常交易税和 Owner 权限过大等后门风险。
- 定期清理合约授权，撤销不再使用的 DApp Approve，尤其是无限额授权，因为很多被盗事件都源于用户曾经授权过的合约出问题。
- 做好账户层加固，使用强密码并开启 2FA；API Key 采用最小权限管理，不给不可信工具开放提币权限。
- 把防钓鱼变成习惯，签名前核对域名，不点击私信链接，对「空投」「客服」「质押高收益」默认保持怀疑。
- 按用途分层存放资产，热钱包只放少量日常使用资金，大额资产推荐使用硬件钱包。
- 关注项目的安全态度，而不只是审计报告本身。是否持续审计、是否有安全监控机制，比多年前的一份报告更重要。
Gate 安全团队则结合平台工具，把其中几项进一步拆成可操作步骤。
- 交易前核查 Token 时，可以直接使用 Gate AI 的合约审计功能。提交合约地址后，几分钟内可以拿到报告，重点看所有者权限、黑名单与交易限制、铸造权限、转账税四项，只要其中一项标红，就应停止操作。
- 账户加固方面，先把安全分做到 80 分以上。资金密码、身份验证器、双重验证、防钓鱼码、通行密钥、提现日限额、出金方式管理等项目都在清单中，用户可以按提示逐项完成。团队认为，安全分最大的作用，是把分散的设置整理成一份有顺序的清单。达到 80 分以上后，还可以开通账户安全保障计划。
- 防钓鱼方面，Gate 提供两个现成工具。收到自称来自 Gate 的消息时，可以先通过官方验证渠道检查域名或邮箱是否真实；同时，Gate 发出的所有邮件都会带上用户自己设置的防钓鱼码，没有这串码的邮件一律是假冒。
- 签名前要看清授权额度。团队提醒，合约本身没问题，不代表页面要求签署的内容就没有问题。正常 DApp 完全可以只申请当前交易所需额度，如果一上来就要求无限额度，本身就值得停下来检查。如果弹窗里只有一串看不懂的字符，拒绝签名比先签再说更安全。
文章最后，Gate 与 GoPlus 都强调，审计后上线只是安全工作的起点。对项目方来说，上线后的持续监控比那份报告本身更重要；对交易平台来说，上架只是审核的开始；对普通用户来说，签名前几分钟的自查，是成本最低、也最容易被忽略的一步。
双方认为，安全从来不是一劳永逸的认证，各方多走一步，攻防两端的天平才会向防守方倾斜。