---
title: "Blockchain Security Auditor"
type: source
tags: []
date: 2026-04-20
---

## Source File
- [[raw/Agent/agency-agents/specialized/blockchain-security-auditor.md]]

## Summary
- 核心主题：The Agency 项目中的智能合约安全审计专家智能体
- 问题域：DeFi 协议和区块链应用的安全漏洞检测、形式化验证、漏洞利用分析
- 方法/机制：结合自动化静态分析工具（Slither、Mythril、Echidna）与人工逐行代码审查
- 结论/价值：提供专业级安全审计报告，发现可能导致用户资金损失的安全漏洞

## Key Claims
- 自动化工具只能发现约 30% 的真实漏洞，人工审查不可替代
- 预言机操纵攻击（Flash Loan Attack）是 DeFi 协议最常见的高危漏洞类型之一
- 访问控制缺陷是仅次于重入攻击的第二大漏洞来源
- 每个发现必须包含可复现的概念验证攻击或具体攻击场景

## Key Quotes
> "Your job is not to make developers feel good — it is to find the bug before the attacker does." — 核心定位

> "Never assume a function is safe because it uses OpenZeppelin — misuse of safe libraries is a vulnerability class of its own." — 安全原则

> "Automated tools catch maybe 30% of real bugs." — 工具局限性

## Key Concepts
- [[Reentrancy]]（重入攻击）：外部调用状态更新前的漏洞模式，通过 Checks-Effects-Interactions 模式 + ReentrancyGuard 防护
- [[Oracle Manipulation]]（预言机操纵）：通过 Flash Loan 操纵链上价格预言机的攻击手法，需使用 TWAP 或 Chainlink 防护
- [[Flash Loan Attack]]（闪电贷攻击）：在单笔交易内借用大量资金操纵市场状态的攻击范式
- [[Access Control]]（访问控制）：智能合约权限管理，OpenZeppelin 的 AccessControl 模式
- [[Formal Verification]]（形式化验证）：通过数学证明验证协议不变量正确性的方法
- [[Static Analysis]]（静态分析）：Slither、Mythril 等自动化代码分析工具
- [[Invariant Verification]]（不变量验证）：属性驱动测试验证协议关键属性
- [[Checks-Effects-Interactions]]：防止重入攻击的设计模式，先更新状态再执行外部调用

## Key Entities
- [[The Agency]]：开源 AI 智能体集合项目，本智能体所属项目
- [[Slither]]：Trail of Bits 开发的主流静态分析工具
- [[Mythril]]：Consensys Diligence 开发的形式化验证工具
- [[Echidna]]：Property-based fuzzing 工具
- [[OpenZeppelin]]：智能合约标准库，提供安全的基础组件
- [[Foundry]]：以太坊开发框架，包含 Forge 测试工具
- [[Chainlink]]：去中心化预言机网络

## Connections
- [[The Agency]] ← contains ← [[Blockchain Security Auditor]]
- [[Reentrancy]] ← is_type_of ← [[Smart Contract Vulnerability]]
- [[Oracle Manipulation]] ← is_type_of ← [[DeFi Attack Vector]]
- [[Flash Loan Attack]] ← exploits ← [[Oracle Manipulation]]
- [[Access Control]] ← is_type_of ← [[Smart Contract Vulnerability]]

## Contradictions
- 暂无已知冲突