DeFi创业者经验谈：如何选择安全审计商 该有怎样的“审计观”

PANews特约作者：Leo，DeFi项目联合创始人

在加密行业中，审计是保证项目完整性和安全性的不可或缺的部分，细心观察不难发现，比较优秀的项目诸如Lido、Compound在审计方面的投入是7位数美金起步的「天文数字」，并且往往会就同一批产品代码，雇佣多个审计服务商介入审计。

这一方面可以看出DeFi夏天以来，链上头部业务/产品所获颇丰，有充足弹药持续打出，构筑更纵深的竞争壁垒；另一方面其实也为同行中的诸多项目、创业者展开了审计的一个切面：审计工作并不会只是「花钱-雇人-出报告-宣发」的流程化简单工作，而是应该有一套完整的「审计观」和方法论——什么样的产品交付需要审计？如何挑选供应商？如何最大程度确保审计工作的有效醒？怎样可以最经济实惠又安全完备地完成审计工作？

笔者将在下边的文章中，结合自身经验，从具体做项目，搞创业的角度出发，与各位读者讨论下我心中理想的「审计观」是如何。

安全服务商纵览，货比N家

审计供应商的可选性在近2-3年的光景中可谓是喷涌式增长，盘点下来市面上比较常见的审计供应商大概有15-20家左右（排名不分先后）。

就笔者经验和其他同行的交流，国内的 Peckshield、SlowMist, 海外 Trail of bits, OpenZeppelin的综合美誉度、技术能力和覆盖完整度属于第一梯队。

整体上，华人主导的供应商（主要是第一行）仍然是加密行业中文项目的主要选择，时差为零且语言畅通，报价上也比较高性价比，国产供应商的报价基本上是12K-15K USD/人/周的水平，随着市场的淡季/旺季会有所波动；

相比之下，海外的供应商在中文行业存在度比较低，但这些供应商或因品牌溢价，或因创始团队资源关系，或因覆盖度/技术能力，普遍定价还是明显高于华人供应商，基本上是1.5-2倍的报价差异，并且往往能够出一批巨额的订单，譬如OpenZeppelin曾经被Compound以单季度上百万美金的价格聘请进行审计。

与市面上主流的审计供应商平行存在的还有一类服务商，诸如Immunefi、PwnedNoMore。笔者定义为「白帽社区」，在传统的安全圈子中应当属于比较成熟的业态，在加密行业中，属于新近两年冒出来的，不过依然吸引了不少项目进驻采用，基本的运作模式就是项目方去该平台发布希望被审计/debug的模块（前端、后端、合约等），定义bug的严重度以及对应的赏金，以期吸引「白帽」主动report bug，解决问题。这种形式应该视为「公司制审计商」的一种有益补充，须要项目方能够精准，清晰有效地定义bug的分类、层级和需要对方覆盖的范围，并大方地给出悬赏金，往往能获得意外的惊喜。

审计流程、方法论和省钱指南

对于项目方而言，首次要请审计商review前，需要一定的设计和安排，一般建议要保证做到这几个点：

1-送审的代码在内部要进行过2轮以上的测试，如果时间允许，最好是再有一轮社区的公测后再送审，避免「显而易见」的问题需要付费解决；

2-送审的代码要尽量确保按照项目方的milestone，批量打包，一次性交付审计，避免拉高成本；

3-确保送审的对接人清楚产品整体的运行原理、大致的代码量以及主要模块的分布，避免在initial setup阶段需求传达不清，给项目拿回一份不合适的报价单；

4-排期要比较，重要产品节点有必要付费锁定排期。

尽管市面上的供应商诸多，但是每家的排期差异巨大，送审人有必要就同一段代码向至少3个审计商发出评估请求，获得排期、报价和工作量评估，重要的产品节点务必预付费一部分（一般建议30%-50%），锁住审计商的排期，避免影响进度。

就笔者的经验，中文供应商的预约建议至少提前2-4个周（相较于希望报告产出的日期），海外供应商的预约至少提前1个月（这里主要是考虑时差、对接人转介以及老外普遍不996的耗时）。

在秉承上边的送审原则后，确定排期、报价，项目代码交付审计商开始review，过程中，比较负责任的审计商一般都会就review中的疑问和项目方进行讨论，具体的对接人 & 项目方的技术人员有责任也有必要多和审计商沟通排解问题，对接人在过程中须要确保：

1）审计的中间进度如期进行；

2）审计商提供的初版审计报告须要让项目团队中的2位不同技术人员去交叉review，再同步审计商定稿与否；