10月 ，投保CertiK正式宣告第三季度Web3行业清静陈说 。专访陈说数据展现，首席授清本季度内 ，清静Web3因清静侵略组成的官李损失规模抵达7亿美元，逾越了全部2023年上半年损失之以及
。康教

果真性、锤生透明性被视为区块链合约的投保关键优势，但高危害性也与之并行。专访同时 ，首席授清在熊市的清静大情景下 ，牛市“泡沫”套利的官李窗口封锁，也匆匆使大批黑客将目的康教会集到了侵略区块链合约带来的“高酬谢”上
。行业冷清了，锤生黑客更纵容了
。投保

而降生于上一个熊市周期中，简直「建树了一个赛道」的CertiK，是Web3清静规模当之有愧的独角兽。CertiK自2021年起陆续取患上Insight Partners，红杉老本，Tiger，Coatue ，高盛等机构的投资，估值达20亿美元。

克日 ，CertiK首席清静官李康教授接受了蓝鲸财经的专访  。并吞CertiK以前 ，李康曾经是Web2以及AI规模的驰名白帽黑客，替特斯拉、苹果、微软等公司都「抓虫」过 。而踏足Web3的原因，李康见告蓝鲸财经记者，是由于「这是一个颇为需要清静的行业」。

李康展现，现内行业内 
，黑客侵略次数在不断削减。在这场攻防坚持的赛场上，假如无奈实用管控危害，那末Web3的睁开也就无从谈起。

李康指出，Web3清静需要不断在削减，但良多年迈的守业者没无意见到 ，「清静不是一锤子生意」，名目绝不会由于实现为了清静审计
，就能把危害降至零 。

而在熊市之中
 ，名目方对于清静的考量 ，可能需要掂量更多因素。“事实是耽忧被黑客侵略资产损失，仍是耽忧他人比我更清静，从而患上到相助优势？”李康建议 ，名目方应追寻一个投入产出比最高的点 。

针对于AI在审计规模的适用性，李康展现，当初外部零星中AI辅助操作比例从3%涨到10%摆布，但短期内不会逾越50%。由于清静审计是一个坚持行业 ，审计要关注的点不断在变，当AI可能自动把清静提升的时候
 ，这部份清静了 ，黑客也走了 。以是AI短期内不会引起行业质变。

蓝鲸财经 ：在您看来，在当下的熊市面景下 ，CertiK在清静规模的使命重点，以及上一个周期比照有无甚么差距？

李康：从一个清静公司的角度来说 ，提供清静效率并不分说牛以及熊。咱们更关注的是奈何样确保名目方代码以及资金的清静 ，确保用户有精采的安部份验。不论是牛仍是熊 ，技术提供的内容效率最终都是同样的。仅有可能会受到的影响 ，便是你的受众以及开拓者的数目会爆发晃动 。

尽管详细来说，好比去年DeFi名目更多
，CeFi少，市场中可能会有差距规范的名目，它们的逻辑可能存在特定下场，但下场规范本性上是相似的
。因此 ，清静公司的变更主要体如今数目上 ，而技术方面的本性并无太大的变更。

而且部份来说，在我眼里 ，尽管市场有晃动，可是巨匠的清静意见其着实不断增强。全部清静需要的大盘在削减
。你也可能看到，有更多清静公司冒了进去。

蓝鲸财经  ：如今有一种情景是  ，良多名目方尽管清静意见后退了，可是缺少短缺的资金妨碍审计 。这样的情景有是否有解法？从业者若何在资金有限的情景下飞腾清静危害
，防止在清静规模进入一种负向的循环呢 ？

李康：详细是否泛起了负向循环尚未可知。不外在熊市布景下，巨匠确定有压力 。这也不是Web3特有的情景 ，Web2的传统清静行业也会受周期影响。经济颇为热的时候，清静上可能投入更多；经济欠好的时候  ，清静就能受影响，由于它事实不是能带来直接管益的 。

Web3这边我的建议是 ，首先巨匠的意见上要有一个修正，假如你愿望经由某种清静产物，把危害降为零 ，那清静的投入永世是不够的
。清静攻防之间是有不同过错称的 。你概况投入了良多，可是黑客惟独要找到一个缺口，他就会攻进来 。

那末 ，在这样的情景下，你在投入的时候
，要思考到不是把危害降为零
 ，而是要看到头部危害是甚么，是耽忧受到黑客侵略导致资产损失？仍是耽忧他人比我更清静，用户会跑掉，患上到相助优势 ？

作为名目方
，需要把这些工具综合起来，抵达一个失调，找到一个在你看来投入产出比最高的点
。投入为零确定是很糟糕的情景，但所有的财力都投进去，也不是最优解，关键是要找到适宜自己的点。

在追寻这个点时 ，除了关注自己需要之外，还可能看相助对于手。我要比相助对于手做患上好
。

巨匠都在砍清静投入，砍为零确定是一种措施，当名目活都活不上来了，清静投入确定就砍没了 。可是假如你尚有营业，你要保住营业，就需要去失调危害
，是要残缺坚持防护使命，仍是理当做适量的防护，把危害降下来。而且，不要感应买了一个清静效率，就万事大吉了 。它只是把你最紧张的、最关注的危害去降下来。

良多企业说不知道该奈何样办，这种时候，我感应很紧张的是，你要找一个信托的清静效率商帮你做一些危害妄想
。以是从我的角度动身 ，更多地是愿望CertiK在提供审计 、实时监测的这些效率之外，还可能成为客户的相助过错。一起头告竣相助关连很好，但假如不的话
，至少先咱们可能作为一个咨询方提供这些建议，辅助用户做出分说。咱们也愿望以及客户妨碍临时相助。

总结来说，中间的点
，我感应是要转变清静意见
。清静不是“一锤子生意” ，更概况是一种危害规画 。危害奈何样管？找业余的咨询人帮你做
。而后，再凭证危害的情景
，凭证之后公司的情景 ，相助对于手情景，来抉择一个适宜的投入点。

蓝鲸财经：有部份名目在审计过之后，名目依然在比力根基的层面泛起清静倾向。您是奈何样看待这些下场的 ？

李康：首先 ，就像我在上一部份提到的那样，不任何一家审计公司可能以及客户保障
，审计可能消除了100%的危害。假如真的有这么一家审计公司，客户听到这种说辞理当赶紧跑，由于对于方确定是个骗子。审计能做的 ，是在你的产物上线以前帮你飞腾危害。

此外 ，审计公司不光具备代码魔难的能耐，还可为产物的优化提供有利建议。以CertiK为例，最近咱们为一些客户提供了iOS运用挨次的审计效率。当客户推出挪移端运用挨次时，咱们会为其提供建议，指出之后的实施方式可能存在一些潜在下场 。咱们还可能指出客户未短缺运用苹果的一些清静效率 ，因此建议客户接管这些效率以进一步后退产物的清静性。CertiK愿望以及客户建树临时的相助关连，从这种意思上，咱们在面临客户时，肩负的责任也就更重 。

由于清静效率需要呵护的规模越大、周期越长，面临的危害也就越多 。

以是在审计停止之后 ，咱们也会不断提供自己的效率，不断监测。举例来说，咱们看审计到a名目有下场，发现这个下场可能会影响到客户b ，那末尽管咱们以及b的条约终清晰，但为了哺育临时的相助关连
，为了品牌信誉 ，咱们会自动分割b去查。

对于名目方来说，可能将审计视作某种清静“投保”，可能临时提供不断检测的相助方 ，理当是更坚贞的。况且CertiK尚有格外的品牌价钱以及信誉价钱 。

假如你没做好审计，名目出了下场，用户都市把压力给到名目方 ，但假如是审计公司退出了，而且下场简直出在审计的使命规模内 ，用户的部份不满就会放到清静机构这里。这个道理，在监管部份也是适用的。假如如今有一个香港的持牌生意所，假如它不做审计 ，那末监管部份可能会直接作废它的派司，可是假如做了审计 ，仍是找到一家驰名公司做的审计，某种意思上讲
，审计公司即担当了生意所的部份清静责任 。

就像你说的，审计名目出下场对于清静机构来说确定是损失，可是我感应这也是一种责任。清静机构尽所有自动防止这种使命爆发，但审计无奈保障100%的清静 ，这个的原因以前也向巨匠陈说过。这个下场 ，在Web2里也同样存在。好比不久前的往事，微软的AI的数据激进，对于它的声誉是一个重大损失，但由于他自己有很大的清静团队，有临时的清静投入，所致使少在清静规模 ，概况在Web2社区里
，这件事爆发之后 ，微软在清静方面的抽象仍是很好的
 。只是咱们必需要思考到清静措施无奈全方位拦阻侵略的可能性。

经由CertiK审计的名目泛起清静下场绝大部份的原因是 ，爆发清静下场的部份 ，并不在CertiK的审计规模之内 。那末在这种情景下，咱们会尽管纵然给用户提供更多的建议
，不断迭代产物以及流程。

在当下Web3的所有审计公司里，咱们的客户量理当是至多的 ，担当的行动危害响应也就越大。但我自己感应，这也是CertiK作为一个品牌 ，能逐渐妨碍 、能临时做上来必需面临的挑战。

蓝鲸财经：您感理当初CertiK在营业睁开上碰着的比力大的难题概况瓶颈是甚么？

李康 ：我感应最大的难题，是在Web3这个规模
，巨匠的清静意见仍是缺少
。如今的开拓群体颇为年迈，良多仍是适才转行不久 ，这些开拓职员的清静意见 ，拿到良多互联网大厂，艰深活不外前三个月就被扩展了，由于写进去代码品质可能过不了关、咱们看到的良多名目
，清静危害真的良多 ，太多中间都不留意了。

同时，就像我适才提到的  ，良多人的清静意见还勾留在“一锤子生意”的形态 ，以为我买了一次清静效率，日后就能万事大吉，不把清静当成一个临时关注以及投入的倾向 。

这两点是咱们比力头疼的使命。举例来说，你经手了一个名目，可名目方后续会不断改代码，不断改配置装备部署，咱们不知情，这样的话就很简略失事  。

再有一种特殊情景，便是这个行业依然存在一些目的不纯的企业，它做名目的初衷便是割韭菜 。奈何样把它们识别进去 ，飞腾全部行业的用户的危害，也是个挑战 。不外这种情景我感应如今已经改凶恶多了 。

蓝鲸财经
：在您的估量概况 ，清静审计这个行业会有一个奈何样的展着格式 ？

李康 ：首先
，需要清晰审计的目的是甚么 。良多人个别将审计视为追寻倾向 ，但实际上，这与财政审计有所差距。财政审计次若是魔难是否存在敲诈行动 ，核实经营尺度 ，以及确认资产情景等。在清静审计中，查找倾向只是其中的一个关键
。

清静审计的目的可能更普遍，搜罗确保代码清静性以及凭证清静开拓流程以及尺度
。纵然代码看起来不下场，假如不凭证正规措施妨碍开拓，也可能不同规。此外，推选接管最佳实际也是审计的一部份。举例来说 ，苹果提供了良多开拓以及清静建议 ，审计公司会建议客户凭证这些建议来后退清静性。

因此，审计不光仅是发现分明了局 ，还搜罗拟订行业尺度等，未来审计会更多往尺度化以及流程化的倾向睁开。

同时，审计需要思考谁是受众 。当初，审计的服从个别提供给名目方以及开拓职员 ，但未来审计可能需要面向更普遍的受众
。

举例来说，未来受众至少清晰 ，一个经由正规的审计的公司，他确定会查了ABCDE这5项，概况没发现下场
，但确定已经对于紧张部份妨碍了魔难。但非正规审计
，其特色可能是只查找特定的下场 ，致使可能漠视了ABC，概况魔难了不在关注规模内的F
。

因此，审计的未来睁开倾向愈加倾向于尺度化 ，以确保担当更多责任 ，提供更可信的审计服从。这是我总体的意见。

可是良多时候 ，尺度尺度也是靠行业自己推 ，有需要才行。名目方之以是思考妨碍审计，艰深为由于挨次员自己意见到需要外部魔难。但如今良多由于写代码的人自己流程化不强，那末奈何样帮他把流程建起来，这是很紧张的 。

蓝鲸财经 ：公司外部是奈何样去哺育清静审计的强人的？

李康：咱们有一部份职员尽管是从外部排汇以前的，他们已经具备相关履历 ，搜罗代码审计、流程审计以及传统清静规模的知识。

另一部份人则在公司外部哺育妨碍
 。我自己总体以为，CertiK的最大的优势便是，咱们审计的流程化尺度化做患上比力强。你从CertiK拿到了审计陈说，不论是哪一个审计师哪一个团队做的，最落伍去确定ABCDE这些都市做，由于咱们自己外部是有流程操作的。你假如找其余规模比力小的审计机构，差距审计师给出的陈说品质可能水平晃动会比力大。

咱们着实投入大批的人力在做流程化的平台，新来的审计工程师就会先在平台上
，跟老徒弟一起做团队去审计，每一部份都有自开工具会来辅助他 。假如不跟有履历的人做的审计
，咱们还会有第二次再审，让员工可能逐渐妨碍起来 。

蓝鲸财经：您感应AI之后有无可能妨碍主要的审计使命？

李康：AI不断在做，我说的更狭义一点，咱们不断在做机械学习。外部零星中，工具 、辅助的比例也在削减，可是如今还大部份处置仍是家养。如今AI处置可能从3%涨至不到10%的模样，可是你可能看到它是在涨 ，我以为短期理当看不到它可能逾越50%，我感应很难 。

由于如今良多时候，首先咱们运用的AI，尽管咱们有自己的培训
，但像ChatGPT这种大型语言模子
，它是不措施直接拿以前用的
。它更多地起到辅助的熏染 ，辅助咱们去清晰挨次的某些部份 ，对于咱们的合成职员颇有辅助，可是让它自力实施使命仍是很难。逐渐地 ，它可能在某些特定规模提供一些功能
，可是安全是很特殊一个行业 ，它实际上是一个坚持行业。当某些规模变患上愈加清静 ，好比说是自动天生代码 ，而后咱们自动发现并后退清静性，这象征着咱们在这方面更清静了，黑客可能会追寻其余缺陷 。咱们需要不断调解关注的重点 ，至少在未来5年内，清静规模爆发质变的可能性不大 。

一方面AI简直能帮咱们识别更多的使命，可是如今有越来越多的代码是用AI来天生的。这自己不下场 ，关键在于AI赋能了更多的不清静履历意见的人去写挨次。这个时候清静性就成为了最大的下场。良多情景下
，这就能会轻忽一些潜在的下场 ，由于开拓者不思考到它们 。缺少清静意见的人简略犯这些过错
，而假如让AI来编写代码，它会凭证咱们的预设方式来操作
。好比，咱们可能从不思考某个输入是正数的情景，但假如让AI来写代码，它可能会凭证咱们的妄想编写 ，最终导致潜在危害 。我以为，AI天生的代码可能会引入更多危害 ，这是我的意见
。

一个是AI的本性还需人去磨炼，第二个AI会让更多的人进去写代码，飞腾了门槛。而凭证以前的履历，每一当门槛飞腾时，咱们都市看到更多的清静下场浮出水面。好比有一些低级过错，经由业余磨炼的人是不会犯的，但如今却不够为奇了。

蓝鲸财经：是否有一种情景 ，一个极真个倾向泛起，导致CertiK在声誉下面有颇为大的损失 ？

李康：可能说一旦泛起任何一个倾向 ，对于CertiK而言都市组成声誉损失。着实每一家审计公司都是在面临这个下场
 ，咱们也同样要飞腾危害，但咱们要做患上更好 。

由于CoinMarketCap所有吐露了运用第三方审计的名目中
，CertiK的市场份额逾越70% 。这象征着 ，尽管CertiK的名目危害百分比低于行业平均水平 ，但名目的相对于数目仍是会比他人多 。

以是我总体以为 ，这些都是头部清静机构不可防止的要担当的责任，咱们必需自动飞腾危害。