首先我们会关注跨链的方案，是中心化还是去中心化。对于中心化方案，我们关注跨链处理会不会有假充值漏洞，是够等待足够的确认数等；对于去中心化方案，除了查看假充值漏洞和确认数，也要根据不同的实现方式，比如多方计算、SPV等，检查是否对跨链交易及区块进行完整验证，是否有足够多的节点进行多签，是否有管理后门。我们还会关注相关合约的安全性，查看是否存在溢出漏洞、参数绕过等。
从钱包方面来说，我们主要是从钱包生命周期 “助记词/私钥的生成，助记词/私钥的存储，助记词/私钥的使用，助记词/私钥的备份，助记词/私钥的销毁” 这五大过程的安全作为主要切入口去审计，重点还是在在助记词/私钥这一块。
作为一个跨链项目方，我们99%的工作重心都在保证锁仓地址的资产安全。在跨链系统设计层面，everPay 坚持的原则是最大程度的简单化系统实现，减少系统逻辑的复杂程度，确保系统逻辑的简洁易懂。
这样的好处有很多：
对于有一定技术背景的用户都能很容易的从代码层面去了解我们的跨链系统实现原理。
对应审计机构来讲，审计的时候更多的是检测极端情况下的系统安全漏洞问题，而不是花费大量的时间去理解整个系统逻辑。
对应不懂技术的用户，可以通过查看我们的跨链文章就能很轻松的理解到系统安全策略。
个人觉得跨链目前现阶段还是发展初期，一定还会遇到各种风险和挑战，除了找三方审计机构审计外。建议还是需要考虑加入安全风控机制：比如 熔断机制、或者增加类似中心化交易所的温热钱包控制，降低安全风险。毕竟即使是找再多家的安全公司审计，也不能保证没有0day漏洞发生。
感谢我们的嘉宾给我们分享了怎么多，最后我们想聊一聊大家对本次事件和区块链行业安全看法，或者区块链的去中心化和中心化我们可以看到这次的事件中 Tether 可以冻结黑客的账户等，我们去中心化指的是什么，我们离真正的去中心化还有多远。
区块链的隐私性、开放性和传播信任以及产生的共识，都是搭建在“去中心化”这块基石之上的。每个人对于“去中心化”的理解都不一样，所以在讲到“去中心化”时，其实很难找到一个完全客观的评价标准。但去中心化带来了三大特性：互操作性，可编程性以及可组合性。
这些特性一方面为我们带来了丰富的金融产品以及无限可能性，但另一方面来说，风险会被无限放大。我们需要明确一点，安全建设有很强的木桶效应，攻击风险往往存在于安全最薄弱的那个环节，安全建设需要有一个合适的体系。中心化、去中心化平台都有非常惨重的被黑案例，我认为很多东西没有绝对的安全，都有许多薄弱点。我们也不能因为跨链系统发生过这些问题，去否定一个方向。
无论如何，我们希望区块链是往安全的方向去进化。
很早以前看到 USDT 合约中居然有 addBlackList function，当时非常震惊，因为严重违背了 链圈(币圈) 引以为豪的去中心化信仰。也一度发誓不再使用USDT, 后来工作才发现，根本离不开 USDT, 因为每个月公司发的生活费都是 USDT ，然后就妥协了。虽然大家都知道 Tether 是币圈流氓，但是还是离不开它，没办法。我相信大家现在的诉求就是希望USDT 不要崩盘，希望政府能像 USDC 一样给它更多的监管。好吧，是不是这种想法又和去中心化矛盾了。
其实不矛盾，就拿这次 poly network 的事件来讲，如果大家都遵循去中心化，很好，代码即法律，Harker 的行为很符合法律。
但是现在从 poly network 的回复中能看出， 不还钱肯定报警。
所以个人观点是 当前 blockchain 的去信任和无准入的价值可能对我们更加重要一些，完全去中心化是不现实的也是没法实现的。
个人观点，从 eth2 以及各种 layer2 的发展趋势来看，我们距离去中心化只能越来越远了。需要找到一个去中心化和使用体验的平衡吧，为了达到这种平衡，我觉得牺牲一点去中心化是完全能接受的。
我也想知道出现这种问题，负责审计的机构需要为用户损失的资产负责吗。
手动@SlowMist 
不是，完全是合约逻辑 bug 导致的
说的区块链，说的去中心化，怎么还能冻结？
哪门子去中心化，？代码都是人写的？黑客怎么不好好写代码~回馈社会广大贫苦人？
对于“安全”我们需要有个客观的认识，那就是没有绝对的安全。钱包的安全涉及到很多方面，最核心的是对私钥/助记词的存储及加密。用户在选择钱包时尽量选择国际知名、一流的钱包，同时注意看钱包App的代码是否开源、代码是否经过安全审计、团队内是否有CSO或安全负责人，这些都可能影响到钱包不断迭代、升级过程中的安全是否有保障。同时，作为用户一定要从钱包的官网下载App，避免误入钓鱼网站下载到被植入了后门的钱包App。
普通用户参与 defi 门槛太高，不可能每个 defi 都去读他们的 合约代码。
目前从链上黑客的留言记录和我们掌握的情报来看，今晚应该以太坊上的资产也会归还。 然后针对你说的“这么大的项目，也经过诸多知名审计公司的审核，那为什么就没有发现问题”，这个可能是审计公司审计方法和角度的问题，导致核心问题点没有被发现，慢雾安全团队采用自动化+多位工程师人工审计的多角度双确认审计模式，所以能够很好的规避你所谓“自动审核就如不审核一样”的问题。
我们觉得任何事都是一把双刃剑，你在享受一件事物便利的同时，你也必将接受他可能带来的风险；这是一个长期并存的问题，无所谓取舍，各自斟酌使用即可。
首先，你在参与 DeFi 的时候，要注意平台用的合约有没有开源、平台本身有没有安全审计、智能合约有没有问题，如果有漏洞或者说有后门，你的本金有可能直接就会出现损失。同时一定要找经过安全审计的，而且是知名的安全公司的安全审计。慢雾审计过的项目大家可以通过以下网址查询https://www.slowmist.com/service-smart-contract-security-audit.html
其次，我觉得大家在参与DeFi的时候，对某些仿盘项目还是要慎重，同时在涉及Approve授权的时候，要留心授权的目标是智能合约地址还是普通个人地址，避免被Approve钓鱼导致资产被盗。如果你真的想要去参与这个 DeFi ，一定要做好一些基础的概念的学习。
我们首先关注的是代码安全里的通用性问题，其次，我们会关注项目方是否留有后门，是不是作恶，是否盗取用户资金。
当收到用户项目审计诉求时，我们会先通过项目官网、介绍等资料了解项目，在初步审核通过之后，会去评估其智能合约代码的复杂度，并进入到商务流程，报价、排期等沟通没问题之后，开始项目审计。
审计的过程当中发现了任何的问题，都会马上去告诉对方并告知解决方案，改完之后、复查，最后会出具一个审计报告。同时我们现在要求对方一定把代码开源。在审计中除了关注常规的安全漏洞，还要关注代码和业务逻辑设计是否一致，以及组合性引入的外部风险，找出薄弱点提高攻击者的门槛从而整体提升安全性。
根据目前慢雾安全团队掌握的信息，目前被盗的6.1亿美金已经追回近4亿美金，如果一切顺利，今晚全部资金都将被追回。
如果资产没有被追回，先不说谁为损失买单，这么大一笔资金，必将惊动多国联合执法，比如就在十几分钟前英国大曼彻斯特警察局宣布已抓捕了此前卷走用户 2200 万美元的 StableMagnet Finance 团队犯罪嫌疑人。根据我们与大量合作伙伴沟通获取的信息和情报，我相信在执法单位一同介入的情况下，抓到攻击者只是时间问题。
defi 授权你可以去debank 他们的网站查看你的钱包授权了哪些 defi，并且可以取消授权，非常好用。
我想我的第一个回答能解决 poly network 为什么会被盗的问题。
按理说现在所有的L2 项目都属于跨链项目，因为都需要在 ethereum 上有一个资产锁仓合约。合约的安全能保证二层上的用户资产安全。everPay 作为一个L2 和 ar-eth 的跨链项目，首先我们在 ethereum 上的锁仓合约逻辑设计的非常简单，使用的是以太坊生态上已经非常成熟的多签合约来保证资产安全。
然后就是我们的 arweave 到 ethereum 的跨链，在 arweave 上的资产锁仓地址我们使用的是IBM 推出的RSA 门限签名密码学算法来实现的门限签名，从密码学层面确保了地址的安全性。
资金已经得到归还，但一次黑客攻击便可转移6亿美元资产的负面新闻，可能又再次对Defi的发展打上了不可逆转的阴影。个人防范，尽量分散资金
币都被转走了，只能等黑客归还