Fuzzland是專注於Web3安全服務的新玩家，近期宣布完成300萬美元種子輪融資。他們致力於自動化審計和鏈上即時審計，希望透過AI和模糊測試+形式驗證的模式降低安全審計的人工依賴，並提供鏈上即時防火牆。他們的產品Blaz和Blaz+分別用於合約部署前的靜態分析和鏈上即時安全審計，已幫助用戶發現數萬個漏洞並避免數百萬美元的損失。 Fuzzland的目標是讓更多DeFi專案加入他們的平台，並成為領先駭客的安全行動。
作者：壽超凡，Fuzzland 共同創辦人
訪談者：Flowie、ChainCatcher
儘管Web3安全服務延續了先前的ConsenSys、OpenZeppelin、Certik等一位主流老玩家，但新玩家仍會前赴後繼的入場。根據加密貨幣資料平台RootData統計，2024年至今共有15家Web3安全服務商獲得了融資。
其中致力於自動化審計與鏈上即時審計的Fuzzland，近期便宣布完成300萬美元種子輪融資，1kx領投，HashKey Capital、SNZ、Panga Capital參投。
Fuzzland團隊擁有資深的安全研究背景，其共同創辦人壽超凡，年僅23歲，已擁有加州大學聖塔芭芭拉分校電腦科學學士學位，曾在Veridise區塊鏈安全產品公司、Salesforce客戶關係管理(CRM) ) SaaS公司等擔任安全工程師；其目前在加州大學柏克萊分校攻讀博士研究生，研究方向為程式分析、多重系統和區塊鏈安全。
在超凡收看來，目前Web3安全領域仍有許多市場痛點，一是大部分的審計都依賴人工，效率低且成本高。
二是鏈上的即時審計幾乎喪失。 「大部分鏈上安全監測完全像一場貓捉老鼠的遊戲，攻擊發生時，協議風險和用戶的資金損失很難被快速制止。”
Fuzzland希望可以透過AI和模糊測試+形式驗證的模式，降低安全審計對人工的依賴，並為協議或C端用戶提供鏈上即時防火牆。
Web3安全的藍海：自動化稽核與鏈上防火牆
1、ChainCatcher：Fuzzland目前團隊規模有多大？核心團隊主要有哪些背景？
壽超凡：Fuzzland目前有15名工程師和一些產品經理。其中有一些工程師是MEV機器人的資深開發人員，他們曾經透過MEV機器人空格過數百萬美元。
另外，我們也有安全研究人員，包括對Windows、Chrome和MacOS等系統有安全研究經驗的，也有來自史丹佛大學等名校研究安全和程式分析的人員。
2、ChainCatcher：目前區塊鏈安全類的產品也挺成交量，您認為區塊鏈安全產業的現況是什麼？ Fuzzland要解決的是哪塊市場空白和痛點？
壽超凡：目前區塊鏈領域的安全公司雖然在審計風格上有偏差，但主要依賴人工審計。
也就是說ConsenSys雖然使用了自動化審計，他們透過動態分析或形式驗證的方式進行安全審計，但仍然需要人工手動處理，這個過程因為有人工參與也注定會出錯。而且因為依賴人工，而審計師數量也有限，區塊鏈的安全審計有嚴重的壓力問題。
另外由於所有的審核都是在本地環境中進行，而不是在鏈上。導致很多專案部署到鏈上後的漏洞沒有被規避。例如有一個專案曾經因為只查看本地程式碼而沒有審查跨鏈橋，在部署鏈上後，此次援助的審核步驟使其蒙受了數百萬美元的損失。
雖然有一些對鏈上進行即時監控的公司，當協議被駭客攻擊時它會立刻提供即時情報。但大多時候，這又是一場貓捉老鼠的遊戲。攻擊者行為不斷發展，他們了解這些公司在做什麼，他們有辦法或採取措施來阻止他們的。
而Fuzzland除本地的靜態分析外，也嘗試在鏈上進行即時安全審計，來解決此類問題。
具體來說，Fuzzland 首先手動識別項目應始終保留其安全屬性。例如，一個項目是否存在重大的行動端損失，或者在微小的價格差異後是否會出現巨大的差異。我們會在本地進行形式驗證和動態分析等，確保專案不會違反這些安全屬性。
在協議完成部署後，Fuzzland再次執行相同的流程並確保部署沒有問題。當專案有使用者且有交易發生後，我們又進行即時的動態分析和形式化驗證，來對協議進行即時安全審查。
另外，透過已發生的每筆交易，我們也可以預測是否會在未來更多的交易中發生違規行為。
3、ChainCatcher：Fuzzland目前的產品與解決方案是什麼？主要針對的客戶形像有哪些？
壽超凡：Fuzzland目前有兩款產品。一個是合約部署前的分析平台Blaz。使用者可以提供智慧合約或僅提供一些位址，我們約定進行誤報和漏報靜態分析。該平台的主要目標受眾是開發人員、DeFi專案的C端用戶或交易者，這可以幫助他們識別正在部署或正在進行互動的潛在安全問題。
Fuzzland的另一個解決方案叫做Blaz+，它主要進行鏈上的即時安全審計。具體來說，當每筆交易進入用戶協議時，我們都會進行分析。如果它觸發了一些漏洞行為或導致了一些潛在的漏洞行為，只要用戶同意給我們暫停協議的權力，我們將使用基於MEV 的方法來防止這種攻擊。
或者我們採取另一種非入侵性方式，即只要我們發現潛在的攻擊時，我們都會嘗試對協議進行白帽攻擊來挽救資金。
我們還有其他措施來減弱風險。當發生攻擊後，我們會及時救助協議中剩餘的資金或在其他鏈上部署的資金，降低損失程度。該平台的目標受眾主要是希望確保其TVL 不會被攻擊者竊取的基礎設施和鏈。
更仔細地說，使用我們平台的用戶，他們在與智能合約互動時，如果發生攻擊，我們及時通知風險用戶，讓他們可以從協議中提取資金。
透過我們的靜態和動態分析平台，每當用戶與交易時，可以立即告訴他們這個合約我們是否存在漏洞，或者該智能合約的中心化風險和交易風險是什麼，方便他們判斷是否要參與交易或質押資金。
利用AI 降低Web3 安全審計對人工的依賴
4、 ChainCatcher：AI在你們產品中扮演了什麼樣的角色？你們是如何運用AI的？
壽超凡：我們利用LLM（大模型）來幫助安全審計節省時間。 LLM負責選擇哪部分程式碼應該進行形式驗證，哪部分程式碼應該進行動態分析，以加速稽核過程。
由於LLM可能會產生大量錯誤，所以我們傾向於直接使用LLM來輸出安全審計結果，只需使用LLM來為人工提供提示，以便人工可以在重複性工作上花費更少的時間。
5、ChainCatcher：目前Fuzzland的產品營運了多久，能夠幫助審計師和交易員們實現多大程度的效率提升？還有哪些值得分享的數據？
手超凡：首先，我們將動態分析、軟體核心內容都開源給大眾，讓每個人都能使用。
我們的一體化智慧合約測試平台Blaz已運行2個月，該平台已超過500名用戶註冊，並進行了數千次分析，幫助用戶發現了上萬個漏洞。
鏈上即時安全分析平台Blace+，目前雖然只有5個專案或鏈加入，但在2個月的時間內，已幫助用戶避免了50萬美元的損失。
我們的安全平台每秒可以進行數百次分析，而其他大部分安全審計方案可能需要數小時甚至數天才能完成數萬次的分析。我們是唯一可以進行即時鏈上安全審計的平台。
6.ChainCatcher：你認為你們目前的產品還有哪些待優化的部分，接下來在產品上還有哪些規劃或目標？
壽超凡：首先，整個安全審計仍需要人力手動參與，我們希望可以將其減少到最低程度，讓人工最終只需要參與確認。目前我們正在嘗試不同的基於人工智慧的方法或傳統程式碼產生方法，以此解決這個問題。
其次，整個安全審計過程採用了形式驗證和動態分析，會消耗大量的運算能力，我們平台幾乎有2000個模組一直在使用。
因此我們正優化演算法以減少計算開銷。就像嘗試是否可以交叉強制公開的算力，直接使用這些交叉來源、算力來降低分析成本。
7.ChainCatcher：在省錢算上，目前非常熱門的AI GPU對你們有幫助嗎？
手超凡：實際上，我們只需要使用CPU。但我們也確實在探索類似的方法來達到更容易存取運算能力的目的。
例如讓整個流程在瀏覽器內運行，瀏覽器就是添加我們腳本的網站。只要用戶造訪網站時，他們就會自動貢獻運算能力，我們可以給用戶或網站所有者獎勵。
8、ChainCatcher：Fuzzland 教育開發者如何利用現有工具和審計服務最大程度降低使用者風險？
壽超凡：我們的開源工具是有詳細的文件教學。相較於其他同類工具，我們同樣關心讓產品用起來更簡單，使用者往往只需要提交一個一致的地址，我們的工具會自動為使用者提供服務提供該地址的所有潛在漏洞。
對於進階用戶，我們還提供基於LLM的工具來幫助他們簡化整個過程。他們不需要編寫自己的安全屬性，可以直接使用LLM產生安全屬性。或者對於一些非常複雜的定義項目，例如動態分析，使用者可以登入我們的平台，只需要確認LLM產生的東西是正確的還是無效的，操作起來非常簡單。
Web3未來需要人人可部署的即時“防火牆”
9、ChainCatcher：Fuzzland這類自動化的區塊鏈安全軟體開發或營運困難在哪裡？和傳統領域的安全自動化軟體相比有哪些不同？
壽超凡：智能合約雖然程式碼行數很少，但與Web 2軟體相比卻極為複雜且難以分析。具體來說，智能合約類似外部交易的功能，因此使它們可以直接或間接地與數百個進行交互合約進行交互，分析一個智能合約就像分析數百個智能合約一樣。
另外，智能合約主要是有狀態的，它要求有多次輸入或多次交易才能觸發一項功能。其中最複雜的駭客攻擊，大約需要花費5000 美元才能使智能合約狀態可被利用。
因此，傳統的安全自動化方法實際上很難處理這些。我們利用形式驗證、人工智慧等方法來優化傳統的安全自動化實踐，制定適合處理智慧合約，並制定具有市場上最低的誤報率和漏報率。
10、ChainCatcher：方便確認你們的收費模式嗎？有哪些主要客戶在使用你們的產品？
超凡：我們的產品大多是免費使用開源甚至的。如果產品不需要人工操作，就會免費。
但如果涉及到人工手動操作，我們的收費與所有其他大部分安全審計類似，甚至低於Certik 等安全公司的價格。目前主要客戶為錢包、鍊和DeFi專案。
11、ChainCatcher：近期Fuzzland宣布獲得300萬美元融資，接下來有哪些策略規劃？ 2024年計畫實現的目標是什麼？
壽超凡：首先，我們今年計劃讓超過1000個DeFi專案加入Blaze+平台上，並盡力確保平台上所有專案都不會受到攻擊損失。
其次，拓展更多的C端用戶。我們正在與錢包、安全合作，探索如何直接向C端用戶提供分析和靜態分析，以便他們動態地進行交易或質押更多的安全感。
此外，我們目前有一些團隊正在研究如何使用大語言模型來降低啟動專案的整體成本，或減少進行分析所需的時間和最佳化演算法，以確保我們的安全行動領先於駭客。
12、ChainCatcher：比較傳統網路領域安全極限，目前區塊鏈安全產業發展到哪一個階段？
壽超凡：在人工審計方面，Web3明顯比傳統的網路更有經驗，做得更好。
但在防火牆方面，例如鏈上即時分析、即時監控，我認為還處於早期階段。 Web 2用戶幾乎每人的電腦都部署了防火牆。但在Web3中，很少針對鏈上威脅安全部署方案的項目，C端用戶就少了。
幾個月前，KyberSap 遭到駭客攻擊，資金被偷走數千萬美元，這些都是用戶質押的錢。其實在攻擊發生過程中，專案方有幾十個的反應時間，攻擊者一開始只是被盜走了20萬美元左右，剩餘的資產還在。
如果此時用戶已經部署了某種自動化防火牆解決方案，當他們最初看到的攻擊時，他們實際上可以更早地取走自己的資金，最終損失也更小。
Web3專案或是C端使用者暫時無法像Web2一樣部署好即時分析的防火牆？由於Web3的安全方案缺乏自動化，導致智慧合約的動態分析分量很大，也很難自動幫助用戶及時解除鎖定在協議上的資金。
但我們認為，Web3的未來應該有一個真正有用的防火牆，它易於設備和使用者配置。讓Web3網路中的每個使用者或利害關係人持續存在，減少安全問題導致的風險和損失。這也是Fuzzland探索的課題。
資訊來源：0x資訊編譯自網際網路。版權歸作者鏈捕手ChainCatcher所有，未經許可，不得轉載