OpenZeppelin 官方研究与审计·· 21 天前精选
OpenZeppelin 发布 Miden Transaction Kernel 安全审计报告：8 个问题，1 个高危
原标题
Miden Transaction Kernel Security Review
内容摘要
OpenZeppelin 发布对 0xMiden/miden-base 仓库 commit 5c4edb4 交易内核的安全审计，共发现 8 个问题（1 个 High、2 个 Medium、2 个 Low、3 条备注），报告发布时全部未解决。三个主要问题集中在对用户程序动态调用后未充分校验活动账户上下文，高危项为 Epilogue 中 auth 过程可能切换到外部账户，导致资产保全检查失效、手续费误扣和账户承诺计算错误。报告认为代码库整体结构良好。
推荐理由
三个主要问题都指向同一机制，对用户程序动态调用后未重新校验活动账户上下文，可能导致费用扣错账户或链上承诺算错。
来源：OpenZeppelin 官方研究与审计 · openzeppelin.com
打开原文读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
审计报告知识更新
智能合约审计审什么？范围、威胁模型、工具与修复复验
智能合约审计是在明确源码版本和部署假设下评估风险的过程，包含权限、资产流、业务约束、外部依赖与失效路径。静态检测、测试、形式化方法和人工评审各有覆盖范围；零告警、源码验证或一份旧报告都不能单独证明当前部署安全。
阅读完整说明 →审计知识更新
储备证明能证明什么？有资产不等于知道全部负债
储备证明核验特定时点和范围，不能单独证明全部负债、资产无负担、未来提款能力或完整审计结论。Merkle 路径支持集合包含关系，也不证明负债集合完整。先读报告对象、截止日、程序、覆盖与排除事项，再引用资产负债比例。
阅读完整说明 →