区块链安全公司Veridise报告称，零知识（ZK）审计比其他类型的审计更有可能发现关键问题。Veridise分析了来自100次审计的1,605个漏洞，发现每次审计平均有16个问题，而ZK审计平均有18个问题。具体而言，55%的ZK审计包含关键问题，而其他审计仅有27.5%。ZK协议以增强区块链交易的隐私性和可扩展性而闻名，由于其复杂的加密构造，ZK审计面临独特挑战。Veridise审计中常见的漏洞包括逻辑错误、可维护性问题和数据验证问题。该公司还强调，在ZK审计中，“欠约束电路”特别容易出现关键问题，这可能允许恶意方破坏协议的完整性。Veridise的发现强调了在区块链安全中对ZK技术进行专门审查的重要性。

区块链安全公司Veridise报告称，零知识项目的审计发现关键问题的可能性是其他审计类型的两倍。根据Veridise对其最近100次审计中的1,605个漏洞发现进行分析，平均每次审计发现大约16个问题，其中ZK审计平均发现的问题略高，达到18个，据The Block分享的一份报告称。然而，当关注关键漏洞时，Veridise发现55%（20次中的11次）的ZK审计包含关键问题，而其他审计中包括智能合约、钱包集成、区块链实施和中继器等的27.5%（80次中的22次）包含关键问题。ZK协议在加密货币领域越来越受到关注，因为它们有潜力提升区块链交易的隐私性和可扩展性。它们使一方能够向另一方证明某个陈述为真，而无需透露除该陈述本身的有效性之外的任何信息。然而，根据Veridise的说法，ZK安全性“更具挑战性”，因为由于复杂的加密构造和ZK协议的创新性质，审计发现了更多关键漏洞，这些协议通常推动现有加密技术的边界。“开发ZK电路需要对见证生成器中的操作语义进行精确推理，”Veridise首席执行官兼联合创始人Jon Stephens告诉The Block。“当这些语义未正确编码为约束时，就会出现错误。电路中存在更多错误是有道理的，因为这与典型的编程范式非常不同。”总体而言，Veridise审计发现的最常见漏洞是逻辑错误（385个）、可维护性（355个）和数据验证（304个），占其审计发现的所有问题的65%。这三个问题也在发现的360个ZK审计特定漏洞中占主导地位。虽然可维护性问题并非严格的安全漏洞，例如，糟糕的编码实践，但它们有时“只有一步之遥就会变成关键错误，”团队表示。在发现的223种严重（关键或高级别）问题类型中，逻辑错误（91个）和数据验证（35个）问题占主导地位，其次是“未约束电路”（19个）、拒绝服务（16个）和访问控制（13个）漏洞等。在所有审计中，78%的高严重性问题可以追溯到这五种类型，共发现了174个漏洞。尽管严重问题在大多数漏洞类型中占比约为10%至30%，但根据Veridise的说法，“未约束电路”有90%的可能性包含关键或高级别问题。“未约束电路”是零知识相关审计中的典型问题，”该公司解释说，“当算术电路的约束不足以强制执行所有必要条件以检查某些计算是否正确时，就会出现这种问题。它们不会出现在传统智能合约中。”这意味着恶意方可能会创建一个证明，欺骗验证者接受错误陈述为真，严重损害协议的完整性。在Veridise的审计中，零知识技术经常用于关键基础设施协议，如L2 ZK-rollups、ZK-VMs和circom库，Veridise先前曾发现了一个“百万美元”的ZK错误。这些协议的安全性至关重要，因为它影响所有构建在其上的去中心化应用。分解其他问题类型，逻辑错误发生在代码由于逻辑流程错误而未执行其预期功能时，Veradise解释说，典型示例是智能合约错误地允许用户提取超出其余额的资金。数据验证问题涉及在处理数据之前未能正确验证数据的正确性、完整性和真实性。拒绝服务问题涉及旨在破坏协议正常功能的攻击。例如，智能合约可能错误地设计为允许攻击者消耗所有可用的gas，该公司表示。最后，访问控制问题是未经授权的用户可以访问受限区域或功能的问题。Veridise声称自2018年以来，从各种区块链和DeFi平台中被盗取的资金超过100亿美元，需要更多了解漏洞类型，以帮助引导web3项目关注最严重的错误并积极预防它们。根据其网站，Manta Network、Scroll和Ankr是该公司的审计客户之一。

Veridise发现零知识审计更有可能发现关键问题