自今年春天以来，人工智能安全公司 Shield3 的 Isaac Patka 和 Paradigm 研究合作伙伴 Sam（更广为人知的名字是 Samczsun）一直在与区块链项目合作，以提高安全性，以应对持续困扰该行业的网络威胁。
两人于 911 月初推出了 SEAL XNUMX，这是一款 Telegram 机器人，旨在将用户与经过审查的安全专家联系起来，旨在加强网络安全披露并迅速防止可能价值数亿美元的 DeFi 黑客攻击。
该举措的制定是为了对抗今年发生的多起与行业相关的黑客攻击，其中包括 Curve Finance 70 月份的 XNUMX 万美元攻击事件。
现在，两人希望加大赌注，建立一项新的紧急演习计划，旨在帮助新兴的区块链协议对抗恶意黑客和潜在的攻击媒介。
Blockworks 联系了 Patka，以更好地了解他们的工作以及他们在过去几个月中学到的经验教训。
砌块： 您能否向我们介绍一下这次紧急演习计划的启动过程？ 其背后的驱动力是什么？
帕特卡： 我第一次认识萨姆是通过我们共同的朋友珍妮。 我在 2022 年 DWeb 训练营中遇到了 Jeanne，当时我正在展示我之前的一些开源和标准项目。 我听说萨姆正在寻求帮助，为礼宾团队建立一些培训基础设施，以便在真正的紧急情况发生之前在作战室进行练习。
这个想法引起了我的共鸣，因为当时我正在研究一些与识别和避免去中心化社区中的社会攻击和依赖失败相关的研究和工具。
我自愿帮助进行概念验证，在春季进行了一次快速的集思广益之后，我开始为化合物实验室概述演练框架，这是第一个主动提出参加演练的团队。
砌块： 您在演习中提到了“综合侦察”的作用。 这个初始步骤如何为练习的其余部分奠定基础？
帕特卡： 在侦察阶段，我会快速了解有关目标协议的所有功能、智能合约、文档和公开信息。 我试图弄清楚任何特权用户[或]管理员的“控制面”是什么，协议如何与[或]依赖其他协议交互，他们如何监控系统的健康状况，存在哪些风险流程，他们如何引入协议升级或新功能发布等内容，以及系统部署在不同网络上时是否存在不一致。
这次侦察成为我们讨论潜在问题的桌面场景的基础。
砌块： 使用桌面模拟似乎是一种有趣的方法。 您能否详细说明这些模拟的内容以及它们如何影响后续步骤？
帕特卡： 侦察阶段结束后，我将几个场景放在一起编写了一个脚本，并通过电话与整个团队进行了讨论。 这些场景帮助我们了解他们的事件响应程序、他们的监控以及他们的社交/通信风格。 我们现在要问的问题是：
- “X”发生了。 团队是如何收到警报的？ 是否有监控发现了这一点，或者社区中是否有人联系了团队？
- 谁是知道如何处理这个问题的利益相关者和主题专家
- 如果此事件影响其他协议，谁有该团队的联系信息？
- 如果这需要多重签名的响应，那么签名者是谁？您如何联系他们？ 您认为他们的回应速度有多快？
所有这些都有助于我们找到潜在的“热点”或我们想要在现场场景中进行压力测试的事物。
砌块： 您使用什么标准来选择要与之合作的协议团队？ 你有任何先决条件吗？
帕特卡： 在这个阶段，我们正在尝试与我们认为既可以通过提供一些培训来帮助他们的团队合作，又可以向他们学习该领域顶级协议团队的运作方式，并与更广泛的社区分享这些实践。
因此，虽然我们没有特定的先决条件，但现在一个合适的团队是一个为协议做出贡献并得到相当广泛采用的团队，并且已经经历了一些事件，因此我们可以了解各种团队风格。
然而，随着我们的基础设施变得更加强大且更容易设置，我很乐意在协议的早期与一些团队合作，为以前从未进入过作战室的人们提供一些培训。
砌块： 您的第一个测试是使用复合协议进行的。 您能否深入研究一些独特的挑战或从初始测试中吸取的经验教训？
帕特卡： 最大的规划挑战是确定一个场景，该场景不会太灾难性而令人沮丧，但又足够有趣以吸引人，并且需要一些诊断和协调。
我们考虑了各种问题，例如外部协议故障、治理攻击和合约升级问题。 我们最终模拟了一个导致协议慢慢开始损失资金的错误，以便我们可以看到他们的监控将如何监控该过程以及他们将如何响应。
这里最大的教训之一是社交、协调层面。 协议开发人员、审计员和协议监护人在诊断问题时的密切合作给我留下了深刻的印象。
在技术层面上，第一次演练还涉及大量深夜调试基础设施、获取网络分叉、区块浏览器以及监控基础设施稳定性。
砌块： 您谈到了在演习中避免零日漏洞。 您能否解释一下这一决定背后的原因以及它如何影响演习的完整性？
帕特卡： 我们避免“零日”漏洞或其他非常广泛的灾难的原因是，我们可以让协议团队参与他们可以合理响应的事情，以及他们协议生态系统中包含的事情。 例如，我们还没有围绕编译器错误或共识层故障等问题进行演练。
然而，我认为在跨协议演习中模拟这些普遍存在的问题会很有趣，我们可以让多个团队甚至协议的用户都与出现问题的叉网进行交互，以使其变得现实并建立社会弹性。
砌块： 您在测试过程中提到了 Yearn 的“紧急程序卡”。 这种做法在其他协议中有多常见，您会推荐它作为标准吗？
帕特卡： 我还没有看到像 Yearn 这样实施紧急程序卡的其他协议，但我强烈推荐它。 在许多协议中，尤其是 Yearn，有许多外部集成需要特定的上下文和主题专业知识。
当发生某些事件时，您不想花时间重新阅读自己的文档和合同而不是采取行动。 针对特定情况制定应急程序可以帮助团队更快、更自信地做出决策。 编写这些应急程序是部署 Yearn 策略的风险[和]尽职调查过程中的强制性步骤。
我建议在其他协议的风险/尽职流程中添加紧急程序，例如在决定是否与各种资产作为抵押品来源整合或将其添加到市场时。
砌块： 您在演习期间和之后会查看哪些关键绩效指标来衡量其有效性？
帕特卡： 我寻找一些指标来衡量我们作为演习组织者的表现以及团队的表现。 就我们而言，我正在关注基础设施的稳定性以及团队对模拟环境的适应程度。
在项目方面，我会保留一个时间表，记录何时发现发行人、需要多长时间才能做出诊断，以及需要多长时间才能就应采取的行动达成共识。
我们还向团队发送事后调查，以了解他们学到了什么，他们计划在流程中改进什么，以及我们如何改进我们的模拟。
砌块： 您能否分享一下您在这些演习中注意到的协议安全方面的一些总体趋势或常见差距？
帕特卡： 我不确定这是否是一个差距，但跨各种协议的正式“待命”系统似乎比我预期的要少。 加密文化有一个“永远在线”的方面，人们似乎只是假设在需要时就会有合适的开发人员或多重签名者。
这通常似乎有效，但我很想探索一些更正式的角色和时间表是否会有所帮助。 我还注意到，部署代码的不同 [layer-1s/layer-2s] 之间的协议的监控和治理有所不同。 我认为整个行业在跨多个网络的协议如何管理其合约方面还有改进的空间。
砌块： 展望未来，是否计划扩大这些演习以包括更多协议甚至不同类型的测试？
帕特卡： 当然，我们希望扩大演练范围，以包括不同类型的协议，或者同时包括多个协议。 我们还希望这些足够容易运行，团队可以为社区贡献者定期举办培训，以积累他们在事件响应方面的经验。 我也很乐意与新的安全工程师合作，他们可能想通过设计场景和配置模拟来了解安全性。
为了简洁和清晰，这次面试已经被编辑了。
不要错过下一个重大新闻 - 加入我们的免费每日时事通讯。
了解法庭的最新消息，关注萨姆·班克曼-弗里德的审判。
来源：https://blockworks.co/news/blockchain-security-experts-team