作者：Ray, IOSG Ventures

本文为IOSG原创内容，仅做行业学习交流之用，不构成任何投资参考。如需引用，请注明来源，转载请联系IOSG团队获取授权及转载须知。感谢 Gokhan@IOSG 和 Hats Finance 团队对这篇文章的帮助:)

前言

区块链作为大型的计算机系统，当前的系统复杂程度已经远远超过5年以前的水平, 基础设施模块化程度更加精细，应用层的智能合约逻辑越来越丰富并且合约之间的交互非常频繁，更重要的是区块链系统托管着资产数量已经非常庞大，因此最近区块链安全社区关于安全周期的讨论也多了起来（情况和是2017年一样当人们提到安全想到的只是开发者写完合约扔给以太坊基金会的朋友看一眼做一些基本的测试大有不同）。

在整个区块链程序的安全生命周期中（从测试、邀请第三方审计再到事后监测、更新审计），漏洞赏金社区像是一个安全垫通过博弈论、集群工作的方式吸引白帽们对项目方的代码进行最后一次审查，也有智能合约安全工作者觉得漏洞赏金更像是防线上的最后一人，但是我觉得漏洞赏金和审计比赛未来有潜力发挥更大的价值，充当一个贯穿整个安全生命周期角色提升系统整体的安全性。

当然在传统网络安全领域也有漏洞赏金项目（Bug Bounty or Vulnerabilty Rewards)，首先各大科技公司像Facebook, Google, Microsoft等会针对他们自己的inhouse安全团队和自己公司的产品线部署bounty program，其次从2015年左右开始出现了以HackerOne和Bugcrowd为代表的漏洞赏金第三方平台，目前这两家领先的安全公司依靠发放bounty抽取提成作为主营收入年收入分别可以达到将近5000万美金和2000万美金。而在区块链世界里赏金是一个安全圈经常讨论的更有意思的话题，主要原因是区块链代码开源其实让黑客攻击和提升攻击策略的成本更加低廉，再加上crypto世界非常提倡集群工作, 创作者和所有权经济开放性贡献模式，这一切让一个更开放的白帽经济模式更加有价值。

安全是一个攻击方和防守方动态博弈的过程，就像计算机安全专家和密码学家Bruce Schneier所说的 “安全是一个过程，而非一个产品。它是一种思维方式，必须贯穿软件开发过程的方方面面。” 在区块链世界这个一切代码都开源、透明的黑暗森林里，一个想长期生存的区块链项目方对自己产品/合约的安全性必然有着永恒的需求，大部分的区块链产品都或多或少有金融属性，金融中最重要的资产就是信任，而用户的信任只有一次。