撰文：Beosin
近期，Blast 再次成为市场的 「香饽饽」，随着其 「Big Bang」 开发者竞赛的结束，其 TVL 更是不断飙升，一举超过 20 亿美元，在 Layer2 赛道上占据着一席之地。
同时，Blast 也宣布将在 2 月 29 日上线其主网，导致大众对其持续关注，毕竟 「空投预期」 已经成功吸引大部分参与者围观。但是随着其生态发展，各种项目层出不穷，同样也导致各类安全风险频发。今天 Beosin 将为大家解读打出强劲开局的 Blast，TVL 飙升背后的安全风险与潜在机会。
Blast 发展历程
Blast 由 Blur 创始人 Pacman 于 2023 年 11 月 21 日推出，很快就在加密社区中得到广泛关注。推出后 48 小时内，该网络的锁定总价值 (TVL) 达到 5.7 亿美元，并吸引了超过 50,000 名用户。
Blast 去年获得了 Paradigm 和 Standard Crypto 等主要支持者提供的 2000 万美元融资，紧接着去年 11 月，Blast 再次获得日本加密货币投资公司 CGV 的 500 万美元投资。
2 月 25 日消息，DeBank 数据显示，Blast 合约地址当前持有资产总价值超 20 亿美元，其中价值 18 亿美元 ETH 存入 Lido 协议，超过 1.6 亿美元 DAI 存入 MakerDAO 协议，可见其在市场上的火热。
DeBank 数据
为什么 Blast 这么火？
Blast 的独特之处在于提供 ETH 和稳定币的原生收益率，这是其它 Layer2 解决方案所不具备的特点。用户将 ETH 转移至其它 Layer2 时，这些 Layer2 只会将 ETH 锁入智能合约，并映射对应的 Layer2 ETH；而 Blast 会将用户的 ETH 存入 Lido 生息，并引入新的生息稳定币 USDB（该稳定币将通过 MakerDAO 购买美国国债获得收益）到 Blast 网络。
此外，作为 Blur 团队推出的 Layer2，其本身自带流量。此前 Blur 发放超过 2 亿美元的空投给到其平台的用户，已经有广泛的社区基础，加上目前 Blast 进行空投激励，通过流量裂变的营销方式吸引用户参与到 Blast 质押。
Blast 安全风险
Blast 自推出后就受到批评和质疑。2023 年 11 月 23 日，Polygon Labs 的开发者关系工程师 Jarrod Watts 发推表示 Blast 的中心化可能会给用户带来严重的安全风险。同时，他还质疑 Blast 将其归类为第 2 层 (L2) 网络，因为 Blast 不符合 L2 标准，缺乏交易、桥接、Rollup 或向以太坊发送交易数据等功能。
Blast 的安全性究竟如何？存在哪些安全风险？本次我们通过 Beosin VaaS 工具扫描 Blast Deposit 合约，结合 Beosin 安全专家的分析，对 Blast Deposit 合约代码进行解读。
Beosin VaaS
Blast Deposit 合约为可升级合约，其代理合约地址为 0x5F6AE08B8AeB7078cf2F96AFb089D7c9f51DA47d，目前其逻辑合约地址为 0x0bD88b59D580549285f0A207Db5F06bf24a8e561，主要风险点如下：
1. 中心化风险
Blast Deposit 合约最为重要的 enableTransition 函数，只有合约的 admin 地址能够调用。此外该函数以 mainnetBridge 合约地址作为参数，而 mainnetBridge 合约可以访问所有质押的 ETH 和 DAI。
function enableTransition (address mainnetBridge) external onlyOwner {
if (isTransitionEnabled) {
revert TransitionIsEnabled ();
}
_pause ();
_setMainnetBridge (mainnetBridge);
isTransitionEnabled = true;
LIDO.approve (mainnetBridge, type (uint256).max);
DAI.approve (mainnetBridge, type (uint256).max);
}
code:https://etherscan.io/address/0x0bd88b59d580549285f0a207db5f06bf24a8e561#code#F1#L230
此外，Blast Deposit 合约可以随时通过 upgradeTo 函数进行升级。这主要是用于修复合约漏洞，但也存在作恶的可能。目前 Polygon zkEVM 在升级合约这方面做得相对完善，非紧急情况下修改合约一般需要 10 天的延迟，并且修改合约需要由 13 人组成的协议理事会决定。
function upgradeTo (address newImplementation) public virtual onlyProxy {
_authorizeUpgrade (newImplementation);
_upgradeToAndCallUUPS (newImplementation, new bytes (0), false);
}
code:https://etherscan.io/address/0x0bd88b59d580549285f0a207db5f06bf24a8e561#code#F2#L78
2. 多签争议
查看 Blast Deposit 合约可知，其合约的权限由一个 Gnosis Safe 的 3/5 多签钱包 0x67CA7Ca75b69711cfd48B44eC3F64E469BaF608C 所控制。这 5 个签名地址为：
0x49d495DE356259458120bfd7bCB463CFb6D6c6BA
0xb7c719eB2649c1F03bFab68b0AAa35AD538a7cC8
0x1f97306039530ADB4173C3786e86fab5e6b90F41
0x6a356C0EAA560f00127Adf5108FfAf503b9f1e11
0x46e31F27Df5047D7Fad9b1E8DFFec635cF6efAcF
这 5 个地址皆为 3 个月前创建的新地址，身份未知。由于整个合约实际是通过多签钱包保护的托管合约，并非 Rollup 桥，Blast 受到了许多来自社区和开发者的质疑。
Blast 承认了这一系列安全风险，并表示虽然不可变的智能合约被认为是安全的，但它们可能隐藏着未检测到的漏洞。而可升级的智能合约也会带来自身的风险，例如合约升级和容易被利用的时间锁。为了减轻这些风险，Blast 会使用多种硬件钱包进行管理，避免中心化风险。
不过钱包的管理是否能避免中心化和钓鱼攻击，是否有完善的管理流程，这是 Blast 暂未公布的。此前 Ronin Bridge、Multichain 两起安全事件中，项目方虽然都使用了多签钱包或是 MPC 钱包，却因为私钥管理的中心化导致了用户的资产损失。
在 2 月 19 日，Blast 团队对 Deposit 合约进行了一次更新。这次更新主要添加了 Predeploys 合约和引入了 IERC20Permit 接口，为主网上线做准备。
Blast 生态风险
2 月 25 日，Beosin KYT 反洗钱分析平台监测到 Blast 生态 GambleFi 项目 Risk（@riskonblast）疑似发生 RugRull，受损失金额约 500 枚 ETH。目前其官方 X 账号已显示不存在。
MoonCat2878 等投资者也分享了他们的个人损失。MoonCat2878 讲述了在看到来自 Blast 生态系统内信誉良好的项目和合作伙伴后，他们最初将 RiskOnBlast 视为一个有前途的投资机会。然而，随后的公开发售变成了一轮无上限的融资，这引起了他们对 Risk 这个 GameFi 项目的怀疑。
Beosin Trace 监测显示，目前 Blast 生态游戏 Risk 项目的被盗资金大部分已转移至不同的交易所，一小部分被盗资金已跨链至 Arbitrum 和 Cosmos。
Beosin 已推出针对 Blast 生态的审计方案
1 月 17 日，Blast 宣布推出其测试网和 「Big Bang」 竞赛，以吸引开发者开始在 Blast 上进行开发。将 Blast 应用程序投入竞赛的开发者将有机会在即将到来的空投中获得代币奖励，获胜的应用程序将在 2 月底上线时晋升到主网。
2 月 24 日，Blast 官方也公布了 Big Bang 活动选出的项目名单，这份名单中包含的项目多达一百多个，包含借贷、游戏和基础设施类等项目。目前，Beosin 已经推出了专门针对 Blast 生态的审计方案，通过形式化验证和安全专家审计，协助项目方修复项目中的安全风险，保障用户与项目方的资产安全。其主要安全审计项包括：
・溢出漏洞
・重入攻击
・随机数问题
・拒绝服务
・访问控制
・权限不当
・变量覆盖
・业务设计
・业务实现
・套利攻击
・交易顺序
・Gas 优化
・升级安全
・中心化风险
・第三方模块安全
通过 Beosin 的审计方案，Blast 生态项目可以识别和修复潜在的漏洞和安全风险，确保其智能合约和系统的稳定性和安全性。这不仅保护了用户的资产，也为用户提供了更可靠的使用体验，进一步推动 Blast 生态系统的安全发展。欢迎 Blast 生态项目团队前来咨询。
