審計過關還是不安全？機構投資人現在這樣挑選加密貨幣專案

老實說，如果你還在用「有沒有做過審計」來判斷一個加密貨幣專案安不安全，那麼你可能已經落後了。

就在今年第二季，區塊鏈安全公司 Hacken 發布了一份讓業內人反思的報告。他們追蹤了 1,427 個市值超過 100 萬美元的專案，發現一個殘酷的事實：曾經被審計過的專案，仍然有 14 個在第二季被攻擊。更重要的是，這些攻擊帶來的損失，大部分根本不在傳統智慧合約審計的範圍內。

這就是為什麼機構投資人開始把焦點從「有沒有審計」轉向「平常是怎麼營運的」。

審計為什麼不再管用？

過去幾年，大家習慣把「透過審計」當成專案安全的保證書。但實際上，審計師檢查的是程式碼本身有沒有漏洞，而不是這個專案平時怎麼管理金鑰、怎麼維護伺服器、遇到駭客攻擊時有沒有應變計畫。

Hacken 的資料很殘酷：第二季被盜的約 7.64 億美元當中，有 88.3% 來自於「金鑰被盜、簽章者被攻擊、或者基礎設施被入侵」。這些問題，審計報告通常不會寫，也寫不出來。

你可以把傳統審計想成是幫房子做結構檢查——確認鋼筋水泥沒問題。但現實中的小偷不是從牆壁進來的，他們是從窗戶、從冷氣孔、從管理員那邊拿到鑰匙。審計看的是「房子結構」，但盜賊攻擊的是「房子的營運方式」。

機構現在到底在檢查什麼？

根據報告，機構的盡職調查正在出現幾個明顯的轉向：

• 持續監控而非一次性審計：他們要看到專案有沒有持續在監控自己的系統，而不是隻靠一年一次的「健康檢查」。
• 簽章者控制：金鑰是誰在管理？是否有多重簽章機制？有沒有可能一個人搞丟鑰匙就直接把資產搬走？
• 事故應變能力：如果真的被攻擊了，專案團隊有沒有 SOP？有沒有保險可以理賠？
• Timelock 和提款白名單：延遲提款機制能讓團隊在異常交易發生時有時間攔截。

Abraxas Capital 的風險管理主管 Federico Bagiotti 說得很直接：「相對於資金規模的安全措施不足」是他們拒絕一個專案最常見的原因。這句話翻成白話就是：即便這個專案看起來再有潛力，只要他們覺得你管錢的方式太隨便，投資就直接跳過。

什麼樣的專案會被機構列為高風險？

如果用一句話總結機構現在在找的訊號，那就是「營運韌性」。Moody’s Ratings 數位經濟策略負責人 Rajeev Bamra 說得很清楚：營運韌性已經變成機構評估安全、合規和治理的「實際濾鏡」。

具體來說，以下幾種情況會讓機構馬上打退堂鼓：

• 專案還在用好幾年前已經「退役」但沒關掉的舊合約
• 依賴單一簽章者或單一驗證者
• 沒有公開過任何安全監控或 bug bounty 的證據
• 管理團隊對金鑰管理說不清楚
• 沒有設定 timelock 或提款白名單

Hacken 的報告指出，在他們追蹤的 1,427 個專案裡，只有 9% 有第三方監控，而同時具備監控、bug bounty 和安全審計的，只有可憐的 4%。這個數字告訴我們：大多數專案在機構眼中，其實都還沒透過「基本門檻」。

監管也跟上了這波趨勢

不只民間機構，監管單位也開始注意這個問題。歐洲的數位營運韌性法案（DORA）已經開始要求金融機構提出營運韌性的證明。BitGo 營運長 Jody Mettler 在七月的訪談中提到，機構客戶現在問 custody 服務商的問題越來越細：存取控制是怎麼做的？發生事故時的應變計畫是什麼？營運中斷了有沒有備援？

這些問題，傳統審計報告根本不會回答。

對一般投資人的影響

聽到這裡，你可能會想：「我又沒有機構那麼多資源，我該怎麼判斷？」

其實這波轉變對散戶來說是好事。當機構開始用更高標準篩選專案，那些只靠「審計過關」當行銷口號的專案會越來越難拿到資金。市場會自然淘汰一批「看起來安全，但實際上營運得很隨便」的專案。

你可以觀察幾個指標：專案有沒有公開的 bug bounty 計畫？有沒有定時發布安全監控報告？團隊對金鑰管理的說明是否具體？如果一個專案只跟你說「我們做過審計」，但講不出其他細節，那可能要再多加小心。

結語：安全是一種日常營運，不是買一次的保險

回到一開始的問題：審計還重要嗎？重要，但已經不足夠了。它像是一張體檢表，告訴你過去沒事，但不能保證未來不會出事。

未來的區塊鏈安全，會越來越像傳統金融的「合規與風控」概念——不是做一次就結束，而是要持續做、公開做、讓大家都能看到你在做。這才是機構真正想看到的「信任訊號」。

FAQ 常見問題

為什麼傳統審計無法防止加密貨幣被盜？

因為傳統審計主要檢查智慧合約程式碼本身是否有漏洞，但大部分被盜事件發生在金鑰管理、簽章者控制、後端基礎設施等「營運層面」的問題，這些不在審計範圍內。

機構投資人現在最重視哪些安全指標？

根據 Hacken 報告，機構最關注的是持續監控機制、簽章者與金鑰管理方式、事故應變計畫、Timelock 設定、以及是否同時具備 bug bounty 和第三方監控。

一般投資人該如何評估專案安全性？

可以注意幾個重點：專案是否有公開的 bug bounty、是否有定時安全報告、團隊對金鑰管理的說明是否具體透明、是否有設定 timelock 或多重簽章機制。如果只強調「審計透過」但說不出其他細節，建議提高警覺。

DORA 對加密貨幣產業有什麼影響？

歐盟的數位營運韌性法案（DORA）要求金融機構提出營運韌性證明，這讓機構客戶更積極地詢問 custody 服務商的存取控制與事故應變能力，加速了產業從「審計導向」轉向「營運導向」的趨勢。