Blast主網上線在即，技術層面解析其存在的安全隱憂與潛在機會

近期，Blast再次成為市場的“香餑餑”，隨著其“Big Bang”開發者競賽的結束，其TVL更是不斷飆升，一舉超過20億美元，在Layer2賽道上佔據著一席之地。

同時，Blast也宣布將在2月29日上線其主網，導致大眾對其持續關注，畢竟「空投預期」已成功吸引大部分參與者圍觀。但隨著其生態發展，各種專案層出不窮，同樣也導致各類安全風險頻繁。今天Beosin將為大家解讀打出強勁開局的Blast，TVL飆升背後的安全風險與潛在機會。

Blast發展歷程

Blast 由Blur 創辦人Pacman 於2023年11 月21 日推出，很快就在加密社群中得到廣泛關注。推出後48 小時內，該網路的鎖定總價值(TVL)達到5.7 億美元，並吸引了超過50,000名用戶。

Blast 去年獲得了Paradigm 和Standard Crypto 等主要支持者提供的2000萬美元融資，緊接著去年11月，Blast 再次獲得日本加密貨幣投資公司CGV 的500萬美元投資。

2月25日消息，DeBank數據顯示， Blast合約地址目前持有資產總價值超20億美元，其中價值18億美元ETH存入Lido協議，超過1.6億美元DAI存入MakerDAO協議，可見其在市場上的火熱。

 DeBank數據

為什麼Blast這麼火紅？

Blast 的獨特之處在於提供ETH 和穩定幣的原生收益率，這是其它Layer2 解決方案所不具備的特點。當用戶將ETH轉移至其它Layer2 時，這些Layer2 只會將ETH 鎖入智能合約，並映射對應的Layer2 ETH；而Blast 會將用戶的ETH 存入Lido 生息，並引入新的生息穩定幣USDB（該穩定幣將透過MakerDAO 購買美國國債獲得收益）到Blast 網路。

此外，作為Blur 團隊推出的Layer2，本身自備流量。先前Blur 發放超過2億美元的空投給到其平台的用戶，已經有廣泛的社群基礎，加上目前Blast 進行空投激勵，透過流量裂變的營銷方式吸引用戶參與到Blast 質押。

Blast 安全風險

Blast 自推出後就受到批評和質疑。 2023年11 月23 日，Polygon Labs 的開發者關係工程師Jarrod Watts 發推文表示Blast 的中心化可能會為使用者帶來嚴重的安全風險。同時，他也質疑Blast 將其歸類為第2 層(L2)網絡，因為Blast 不符合L2 標準，缺乏交易、橋接、Rollup或向以太坊發送交易資料等功能。

Blast 的安全性究竟如何？有哪些安全風險？本次我們透過BeosinVaaS工具掃描Blast Deposit 合約，結合Beosin 安全專家的分析，對Blast Deposit 合約程式碼進行解讀。

 BeosinVaaS

Blast Deposit 合約為可升級合約，其代理合約位址為0x5F6AE08B8AeB7078cf2F96AFb089D7c9f51DA47d，目前其邏輯合約位址為0x0bD88b59D580549285f0A207Db

1. 中心化風險

Blast Deposit 合約最重要的enableTransition函數，只有合約的admin 位址能夠呼叫。此外函數以mainnetBridge合約位址作為參數，而mainnetBridge合約可以存取所有質押的ETH 和DAI。

function enableTransition(address mainnetBridge) external onlyOwner { if (isTransitionEnabled) { revert TransitionIsEnabled(); }

_pause(); _setMainnetBridge(mainnetBridge); isTransitionEnabled = true;

LIDO.approve(mainnetBridge, type(uint256).max); DAI.approve(mainnetBridge, type(uint256).max);}

code:https://etherscan.io/address/0x0bd88b59d580549285f0a207db5f06bf24a8e561#code#F1#L230

此外，Blast Deposit 合約可以隨時透過upgradeTo函數進行升級。這主要是用來修復合約漏洞，但也存在作惡的可能性。目前Polygon zkEVM在升級合約這方面做得相對完善，非緊急情況下修改合約一般需要10天的延遲，且修改合約需要由13人組成的協議理事會決定。

function upgradeTo(address newImplementation) public virtual onlyProxy { _authorizeUpgrade(newImplementation); _upgradeToAndCallUUPS(newImplementation, new bytes(0), false); }

code:https://etherscan.io/address/0x0bd88b59d580549285f0a207db5f06bf24a8e561#code#F2#L78

2. 多簽爭議

查看Blast Deposit 合約可知，其合約的權限由一個Gnosis Safe的3/5多簽錢包0x67CA7Ca75b69711cfd48B44eC3F64E469BaF608C所控制。這5個簽名地址為：

0x49d495DE356259458120bfd7bCB463CFb6D6c6BA

0xb7c719eB2649c1F03bFab68b0AAa35AD538a7cC8

0x1f97306039530ADB4173C3786e86fab5e6b90F41

0x6a356C0EAA560f00127Adf5108FfAf503b9f1e11

0x46e31F27Df5047D7Fad9b1E8DFFec635cF6efAcF

這5個地址皆為3個月前創建的新地址，身份未知。由於整個合約實際上是透過多簽錢包保護的託管合約，並非Rollup橋，Blast受到了許多來自社區和開發者的質疑。

Blast 承認了這一系列安全風險，並表示雖然不可變的智慧合約被認為是安全的，但它們可能隱藏著未偵測到的漏洞。而可升級的智慧合約也會帶來自身的風險，例如合約升級和容易被利用的時間鎖。為了減輕這些風險，Blast 會使用多種硬體錢包進行管理，並避免中心化風險。

不過錢包的管理是否能避免中心化和釣魚攻擊，是否有完善的管理流程，這是Blast 暫時未公佈的。先前Ronin Bridge、Multichain兩起安全事件中，專案方雖然都使用了多簽錢包或是MPC錢包，卻因為私鑰管理的中心化導致了用戶的資產損失。

在2月19日，Blast 團隊對Deposit 合約進行了一次更新。這次更新主要添加了Predeploys合約和引入了IERC20Permit接口，為主網上線做準備。

Blast生態風險

2月25日，Beosin KYT反洗錢分析平台監測到Blast生態GambleFi計畫Risk（@riskonblast）疑似發生RugRull，損失金額約500枚ETH。目前其官方X帳號已顯示不存在。

MoonCat2878 等投資者也分享了他們的個人損失。 MoonCat2878 講述了在看到來自Blast 生態系統內信譽良好的項目和合作夥伴後，他們最初將RiskOnBlast 視為一個有前途的投資機會。然而，隨後的公開發售變成了一輪無上限的融資，這引起了他們對Risk這個GameFi計畫的懷疑。

Beosin Trace監測顯示，目前Blast生態遊戲Risk計畫的被盜資金大部分已轉移至不同的交易所，一小部分被盜資金已跨鏈至Arbitrum和Cosmos。