Web3 資安：從合約稽核走向營運防護與損害控制

值得記下的 5 件事

1. [41:23]
   資安稽核應涵蓋部署與設定，而不只檢查原始碼

   合約通過稽核，不代表管理金鑰、部署流程與鏈下系統也安全。應用程式稽核應擴大檢視部署、設定及相關環節，再搭配營運安全檢查，才能補足單次程式碼檢查的範圍；這不是取代合約稽核，而是把防護延伸到整個協議。

2. [10:47]
   預設熱錢包可能失守，才能避免單次入侵搬走全部資產

   Mudit Gupta 主張，安全目標除了阻止入侵，也要限制失守後的損害。做法包括降低熱錢包存量、設定提款速率限制，或用智慧錢包加入鏈上強制執行的限額。這些防護早已存在，關鍵是事先落實，而非等遭駭後才檢討。

3. [29:03]
   事件應變必須事先備妥通知名單、即時監控與圍堵流程

   Julia Hardy 觀察，許多事件在遭駭後 30 分鐘內，就有首批錢包被清空，留給團隊的反應時間很短。團隊應提前確認要找誰、如何接收警報及控制損害，出事時才能依既定計畫行動；30 分鐘是她的經驗描述，並非固定的應變窗口。

4. [48:25]
   AI 提升防守效率，不代表實際攻擊件數會減少

   Mudit Gupta 預期，AI 能讓防守者找出更高比例的漏洞，但程式碼與漏洞總量也會增加，甚至成長得更快，因此成功攻擊的絕對件數仍將上升。他同時認為，單次事件的衝擊可能降低，不能只用事件數量判斷損害是否加劇。

5. [54:09]
   DeFi 的理論安全潛力，不等於當前產品已經更安全

   問答中的回答者認為，當前許多協議仍高度中心化，缺乏保險等保障，安全性未必勝過把錢放在受監管銀行。他看好去中心化架構未來能達到更高的安全水準，但改善可能需要 2 年、10 年或 15 年，坦言無法確定時程。