專訪 | CertiK聯合創始人顧榮輝：從源頭開始 阻斷黑客之路_區塊鏈

“雖然程序漏洞的檢測和驗證已經引起業界的高度重視，但在區塊鏈行業內，安全問題仍舊頻繁發生。如果只檢測已經存在的漏洞的話，永遠存在被黑客搶先一步的風險。既然這樣，我們有沒有辦法直接開發出一個沒有程序漏洞的、可以完全被信賴的智能合約呢？”

CertiK聯合創始人顧榮輝在開發者大會上提到了智能合約安全的源頭問題。

這無疑是一個非常大膽的想法。畢竟對于軟件開發者們來說，開發一個編程語言，意味著還要編寫對應的編譯器使其能夠在不同語言層級的環境下運行，這項工程復雜且龐大，無論是從理論基礎還是實操能力方面對都具備極大的挑戰。此外，智能合約語言又由于其獨特屬性以及較高的安全要求，技術壁壘更加難以攻克，讓很多資深的開發者都望而卻步。

CertiK聯合創始人顧榮輝

礦企Marathon Digital股東對公司最高管理層提起訴訟:7月18日消息，比特幣礦企Marathon Digital股東向美國內華達州地方法院提交了對公司最高管理層的訴訟，指控首席執行官Fred Thiel與其他九名高管一起違反了信托責任，不當得利和浪費公司資產。[2023/7/18 11:02:30]

直擊源頭

2013年，智能合約作為以太坊生態系統的一部分被引入，它允許在不需要第三方的情況下，執行可追溯、不可逆轉和安全的交易。然而，由于代碼開源、一旦部署則難以修改等特性，智能合約很快成為區塊鏈安全事件的重災區。黑客利用交易過程中智能合約程序代碼出現的漏洞，發起各式各樣的攻擊。僅2018年一年間，被報道的攻擊損失就達到了上億美元。 

大量資金的流失引起了安全公司的注意，進而安全審計、安全驗證、漏洞檢測等安全手段競相加入區塊鏈安全賽道。針對現有的智能合約，大部分安全公司都提出了安全解決方案與改進建議。可是對于編寫智能合約的的語言本身，即代碼漏洞問題的真正“源頭”所在，并未得到普遍關注。

Web3 App開發平臺Sort宣布完成350萬美元種子輪融資:5月22日消息，Web3 App 開發平臺 Sort 宣布完成 350 萬美元種子輪融資，Lemniscap 和 The General Partnership 共同領投。Sort 允許開發人員將智能合約整合到應用程序中，本輪資金將用于擴大 Sort 團隊，推進平臺的產品套件。[2023/5/23 15:19:41]

一般來說，為了編寫智能合約，必須使用智能合約語言（SCL）。在以太坊虛擬機（EVM）上運行的編程語言是Solidity，它是一種面向合約的高級語言。在以太坊網絡上編寫智能合約的主要步驟是：用以太坊高級語言編寫，接著用EVM編譯器編譯成字節碼，最后用以太坊客戶端上傳到區塊鏈網絡。

對已經編寫好的程序進行漏洞檢查就如同在“事中”預防，卻有可能錯過“事前”就存在的錯誤。例如用Solidity來進行以太坊智能合約開發，即使Solidity源代碼正確，但在編譯階段，因為編譯器版本不同，最后編譯到EVM等機器語言中生成代碼時，編譯器引入新的漏洞，執行依然會出現問題。顧榮輝說： “所以我們的想法是從代碼的編寫階段就提高它的安全性，從源頭找到就這些存在的安全漏洞并解決它。”

比特幣全網未確認交易數量為6095筆:金色財經報道，據BTC.com數據顯示，目前比特幣全網未確認交易數量為6095筆，全網算力為349.78 EH/s，24小時交易速率為3.59交易/s，目前全網難度為47.89 T，預測下次難度上調1.13%至48, 43 T，距離調整還剩4天17小時。[2023/4/16 14:05:55]

DeepSEA項目為了攻克這些更加底層可能出現的問題與隱患而誕生。

據顧榮輝介紹，DeepSEA是CertiK與耶魯大學和哥倫比亞大學的科研團隊共同主導推進的項目。得益于顧榮輝和另一位聯合創始人邵中教授在網絡安全、編程語言、形式化驗證等領域的深度積累，DeepSEA[L1] 團隊具備了發起了技術攻堅戰的能力。

DeepSEA致力于構建跨平臺的、可信賴的智能合約框架，令使用高級語言編寫的智能合約能夠準確無誤的在例如以太坊虛擬機（EVM）和超級賬本（Hyperledger）等平臺上進行編譯并且保證沒有任何安全漏洞，為開發者提供一個值得信賴的開發環境。

HyperPay預以2000萬美元收購中非數字銀行:據官方消息，數字貨幣錢包HyperPay正在與中非數字銀行洽談收購事宜，HyperPay將以2000萬美元收購中非數字銀行，HyperPay全球CEO Gary已正式簽約收購協議。Gary表示，本次收購將加速HyperPay錢包在全球市場的合規運營和業務拓展，使HyperPay錢包兼備傳統銀行和數字貨幣銀行的業務能力，打通Cefi和Defi應用場景。[2022/10/29 11:54:08]

作為現下唯一的專門為區塊鏈安全而誕生的編程語言，DeepSEA在與CertiK公司的形式化驗證技術做了結合之后，其源代碼和編寫的智能合約能夠輸出對應的數學模型，從而轉化為可被形式化驗證的對象和框架。該模型能被導入到Coq證明輔助器中，讓用戶能夠在Coq中對程序進行基于數學模型的手動或者半自動的證明。該證明輔助器具有非常高的靈活性，可以憑此進行一些非常復雜的安全驗證，確保了智能合約從源頭到輸出過程的安全性。

數據：ETH活躍地址數達近17個月新低:6月24日消息，據Glassnode數據顯示，當前ETH活躍地址數（7日均值）為28,346.589，達近17個月新低。[2022/6/24 1:29:26]

DeepSEA目前主要包括兩部分：一是DeepSEA語言，二是經過驗證的安全可靠的編譯器。顧榮輝指出，用DeepSEA語言編寫的智能合約，能夠生成與開發者意圖相符的代碼規范。當智能合約產生更高級別的安全需求時，可以與CertiK開發的形式化驗證技術相結合進行二次驗證，用以證明合約的安全性，相當于雙層保障。 

“我們在語言的設計上引入的還是編程語言的思路，包括它是一個函數式的強類型的編程語言，在設計上更加安全，也更容易幫助使用者找到程序上的安全漏洞。”顧榮輝說道。

總結來說，DeepSEA的優勢有三點，首先，DeepSEA語言可以幫助開發者避免不必要的錯誤，讓代碼的編寫過程更加安全和高效。其次，DeepSEA編譯器可以使程序語言安全、準確地從源代碼級別被轉譯到字節碼級別，用戶不用擔心編譯器在編譯過程會引入新的漏洞。最后，用戶可以通過加標簽的的方式編寫程序規范，能夠保證程序規范與開發者的意圖沒有出入。

“因為源代碼的開發其實是在表達一件事，就是告訴我們，如何實現一個合約。而我們則是讓開發者來寫合約到底是去做什么，到底是什么，從開始的地方，根源處去解決問題。”顧榮輝稱。

未來不止于此

盡管當前看來，智能合約因成為區塊鏈安全的“重癥災區”而吸引了大部分的眼球，但作為因區塊鏈安全而生的語言以及編譯器，DeepSEA的想像空間顯然可以比智能合約更大、更廣。

對此，顧榮輝表示：“我們希望DeepSEA不局限于一個區塊鏈的平臺上，而是跨平臺、全面性的。” 

具體的應用場景上，在程序開發層面，DeepSEA框架的搭建從早期就標明該語言可以有效處理編程中的“固有沖突”。如今的主流操作系統和虛擬機管理程序仍然是用類似于C語言的低級語言編寫的，而高級的形式化推理和低級的系統編程之間存在著一些固有沖突（inherent Conflict），比如前者是依賴于高抽象級別的豐富理論，后者卻必須操控和管理低級別的硬件資源。DeepSEA編譯器的出現能夠有效解決這個問題。

在應用層面， DeepSEA語言對于自帶金融屬性的智能合約比如貨幣交易平臺、支付網絡，多重簽名錢包等提供了安全壁壘加持，能夠有效保護用戶的數字資產不受侵犯。

據顧榮輝透露，DeepSEA項目得到了包括哥倫比亞大學-IBM區塊鏈中心、以太坊基金會、QTUM量子鏈在內的科研基金支持。除去資金支持，這些平臺還將為DeepSEA提供社區支持，對DeepSEA的各類Demo做社區反饋，幫助其更新迭代。第二是在DeepSEA完成初步設計進行開源化后，能夠得到各個平臺、開源社區、開發者們的支持。第三是與IBM、以太坊基金會的核心開發人員進行長期的溝通，對DeepSEA未來的應用場景進行探討。 

并且，DeepSEA已經和由IBM、英特爾、埃森哲、JPMorgan等聯合提出的區塊鏈開源項目“超級賬本”（ Hyperledger）達成了合作關系，可以將DeepSEA對接到超級賬本的平臺上。

根據DeepSEA的路線規劃，將在今年內公布第一個DeepSEA語言版本，完成對首批科研支持伙伴Hyperledger、以太坊、量子鏈的對接工作。在得到各個平臺、生態的支持和反饋以及更多開發者的聲音后，預計在明年完善DeepSEA的語言，完成DeepSEA編譯器的安全驗證工作，并且真正的應用DeepSEA語言編寫比較重要的智能合約，進而部署到以上幾個平臺中。

“未來希望能夠對接到更多像以太坊、量子鏈這樣的知名公鏈上，通過智能合約的語言來打通不同區塊鏈生態，實現智能合約從各個區塊鏈生態或是各個區塊鏈平臺上的移植。”面對還有些遙遠的未來，年輕的DeepSEA已經按下“enter”鍵，開始了一往無前的區塊鏈之路。

Tags：SEAEPSDEEP區塊鏈Search EnginePEPSDEEPSPACE區塊鏈域名

Pol幣