从「代码即法律」到「规范即法律」

DeFi 安全，正在经历一场被低估的思想革命

一、一个 DeFi 行业不得不承认的残酷现实

过去一年，一个事实反复被验证：

被黑的，往往不是小项目，而是“看起来已经足够安全”的项目。

它们有顶级团队、有多轮审计、有长时间运行记录，甚至已经管理着数十亿美金的资产。
但攻击依然发生，而且往往是系统性、毁灭性的。

这意味着一个令人不安的结论正在浮现：

DeFi 当前主流的安全方法，本身已经不够安全。

问题不只是“审计不够多”，也不是“开发者不够小心”，而是——
我们依赖的安全思想，已经跟不上 DeFi 的复杂度了。

如果 DeFi 真要承载万亿美元规模、进入主流金融体系，那么它必须完成一次底层认知升级。

而这次升级，正发生在一句话上：

从「Code is Law（代码即法律）」
到「Spec is Law（规范即法律）」

二、旧信仰：「代码即法律」曾经正确，但已不够用

“代码即法律”是区块链最早的精神内核之一。

它的逻辑非常直接：

• 合约一旦部署
• 代码即规则
• 不可更改、无人干预
• 代码执行的结果，就是最终裁决

这套理念在早期极其重要，它让去信任系统第一次成立。

但问题在于：DeFi 已经不再是“几个合约”的时代了。

当系统复杂度上升，“代码即法律”的安全实践暴露出三大致命局限。

1️⃣ 被动的「漏洞模式防御」

当前安全审计，本质上依赖的是历史经验库：

• 重入攻击？
• 整数溢出？
• 授权错误？
• 闪电贷组合攻击？

审计师更像是在用“已知病毒库”查杀。

问题在于：

攻击者不需要重复历史，只需要一次创新。

一旦攻击路径是“前所未见的组合方式”，
这套模式就会彻底失效。

2️⃣ 「尽力而为」，而非「有原则」

传统安全方法隐含一个危险假设：

“只要审计得足够认真，所有关键漏洞都能在上线前被发现。”

现实已经反复证明，这是错的。

再强的团队，也不可能枚举所有状态空间；
再多的测试，也只是覆盖了“你想到的那部分”。

这不是态度问题，是方法论问题。

3️⃣ 只能验证「局部」，无法保证「整体」

大多数审计关注的是：

• 某个函数是否安全
• 某个路径是否正确
• 某个边界是否被覆盖

但 DeFi 攻击往往不是打穿一个函数，
而是**在多个模块之间制造“系统级不一致”**。

旧方法，很难回答一个关键问题：

**整个系统，在任何状态下，是否都不会崩？ *

三、新范式出现：「规范即法律」

“规范即法律”（Spec is Law）给出的答案非常直接：

真正应该成为“法律”的，不是代码，而是系统必须永远遵守的规则。

这里的“规范（Spec）”不是说明书，也不是文档，而是：

• 设计级安全属性
• 系统级不变量（Global Invariants）

例如：

• 协议的总资产，永远 ≥ 总负债
• 任何人，无法凭空创造价值
• 用户的资金，只能在授权条件下被转移

这些不是“实现细节”，而是系统存在的底线。

可以这样理解两者的区别：

四、「规范即法律」是如何真正落地的？

这不是口号，而是一套完整的工程路径，分为两层。

① 上线前：用数学证明「它不可能作恶」

在部署之前，开发者首先要做的不是“跑测试”，
而是明确回答一个问题：

这个系统，哪些事情“绝对不允许发生”？

这些规则被写成形式化规范，然后通过工具证明：

• 无论外部输入如何
• 无论调用顺序如何
• 不变量永远成立

这就是形式化验证。

过去它门槛极高，但今天，AI 辅助工具正在显著降低成本，让这件事开始具备工程可行性。

② 上线后：把规则变成「实时护栏」

更关键的一步在部署之后。

这些不变量不会停留在白皮书里，而是被直接写进合约执行路径中，变成：

运行时断言（Runtime Assertions）

你可以把它理解为：

• 银行金库的红外线
• 飞机的自动防失速系统
• 核反应堆的物理限位器

任何一笔交易，只要试图越过系统底线，直接回滚。

不是报警，而是根本无法发生。

五、为什么这是 DeFi 安全的「分水岭」

这种模式带来的改变是结构性的。

正如研究者 Daejun Park 指出的：

几乎所有已知的攻击，在执行过程中都会触发这些不变量检查。

这意味着什么？

• 历史攻击路径，失效
• 创新攻击，必须绕过“系统规则本身”
• 剩下的攻击面，被压缩到极小

攻击不再是“找一个漏洞”，
而是变成：

在不违反系统物理定律的情况下作恶

这本身就让 DeFi 从“黑客博弈场”，
向“金融基础设施”迈了一大步。

六、结语：DeFi 正在变得不再天真

从「代码即法律」到「规范即法律」，
并不是否定区块链初心，而是一次成熟。

它意味着 DeFi 终于承认了一件事：

代码不是完美的，但规则必须是。

这场转变，本质上是：

• 从补漏洞 → 立边界
• 从经验主义 → 原则主义
• 从被动防御 → 主动兜底

如果 DeFi 想真正承载全球金融，这不是可选项，而是必经之路。

真正的安全，从来不是“没人攻击”，
而是——

即便被攻击，系统也不会崩。

这，才是下一代 DeFi 安全的底层逻辑。