市场投资者在遴选项目时，如有项目方加持合约审计经历，并对审计方、审计报告等信息进行公开披露，投资可信度无疑会大幅提高。并且，项目方完善的安全立场建设意识，在无形中也将赋予项目额外的价值。

　　与此同时，DeFi项目方在运营过程中，保持与安全审计公司的长期业务合作，不论是对安全管理还是业务扩展都将大有裨益。毕竟，在项目长期发展过程中，阶段性安全审计机制能够及时发现和有效助力解决整体、局部的风险问题。

　　那么，DeFi合约审计的主要流程、内容以及特点，那些“套路”又是什么呢？

　　套路一：前期“把脉”

　　与DeFi项目方的合约审计合作关系达成后，在了解项目整体情况，包括构架、业务设计等方面的基础上，指派具有相关项目审计经验的安全测试团队进行专项服务，同时，明确项目检测范围以及相应需求侧重点。做好前期“把脉”，其主要内容包括：

　　1、 DeFi项目方提供真实、有效且为审计所需的各项技术、代码、文档等资料。

　　2、 正式进入检测环节前，安全团队将对提供的材料进行全面评估，以确定周期。

　　3、 确定测试服务范围，包括定向模块、局部代码、全面安全审计等。

　　4、 完成相关需求对接，即对源代码、应用程序、文件信息、测试环境的最终确认。

　　为了对DeFi项目合约的代码规范性、安全性以及业务逻辑等方面进行严格的安全审计，在测试明确后，处理合约审计的常规方式有：

　　形式化验证

　　静态分析

　　动态分析

　　典型案例

　　人工审核

　　套路二：形式化验证

　　形式化方法是实现安全、可信软件的最可靠的手段，它利用基于数学的符号系统给出软件正确性、安全性的严格定义和形式证明。其中，严格定义被称为形式化规范，是一种用清晰、简明的手段来刻画软件功能或特性的逻辑表达式。

　　在合约审计中，形式化方法通过的是定性需求属性，从而证明程序不存在某类安全漏洞。另一方面，传统测试方法则是通过检查代码在一组选定的输入上是否按照预期运行，以此说明程序是否存在安全漏洞，但这无法证明同类型安全漏洞不存在。

　　此外，传统测试方法很容易漏掉在罕见或恶意构造场景下触发的错误，以及由于大量“不可能事件”连续发生导致的错误。然而，形式化方法则可通过明确代码意图、提供输入空间的完整覆盖来发现上述微妙错误，进而实现程序的安全性、可靠性增强。

　　多年形式化验证研究人士杨霞教授表示，

　　传统验证手段无法穷尽可能的情况，而形式化验证则可以做到穷举，对智能合约漏洞检测而言，该方法最为可信和有效。 (责任编辑：admin)