在区块链安全讨论中，一个非常常见的问题是：
漏洞列了一堆，但看不出系统到底“安不安全”。
原因并不是漏洞不重要，而是缺乏系统性的威胁建模（Threat Modeling）。
本篇将介绍一种适用于区块链系统的威胁建模思路，帮助你从“列漏洞”升级为“分析安全边界”。
一、什么是威胁建模？为什么区块链尤其需要它？
威胁建模的目标不是“找到所有漏洞”，而是回答三个核心问题：
区块链系统之所以特别需要威胁建模，是因为：
- 系统是开放的
- 攻击者无需身份
- 攻击往往具有经济动机
- 多方参与，信任假设复杂
如果不建模，只靠经验，很容易遗漏关键攻击面。
二、区块链系统的第一步：明确系统边界
威胁建模的第一步永远是：
画清楚系统边界。
一个典型区块链系统至少包含：
- 共识节点
- 网络层（P2P）
- 智能合约
- 链下组件（前端、后端、预言机、存储）
- 管理与治理角色
很多安全分析失败，就是因为只把链上合约当成系统。
三、区块链中的攻击者分类（非常关键）
在区块链中，攻击者不是“黑客”一个角色，而是多个类型。
1. 外部攻击者（Permissionless Attacker）
特征：
- 无任何权限
- 可自由发送交易
- 可监听网络
典型目标：
- 经济套利
- 拒绝服务
- 共识干扰
2. 合法但恶意的参与者
例如：
- 共识节点
- 验证者
- Sequencer
- 管理员
这是最危险的一类攻击者，因为他们：
- 行为在规则内
- 但动机是恶意的
3. 内部攻击者
包括：
- 运维人员
- 合约管理员
- 私钥持有者
历史上大量事故都来自这一类。
4. 被攻破的正常节点
节点本身是诚实的，但：
- 私钥泄露
- 运行环境被入侵
系统设计必须假设这种情况一定会发生。
四、区块链威胁建模的核心维度
在区块链系统中，可以从以下 6 个维度系统性分析威胁。
1 共识层威胁
关注问题：
- 多数算力/权益是否可能被控制
- 共识参与者是否容易串谋
- 出块权是否过度集中
典型攻击：
- 51% 攻击
- 自私挖矿
- 重组攻击
2 网络层威胁
关注问题：
- 节点是否易被隔离
- 消息是否可被延迟或过滤
典型攻击：
- Eclipse 攻击
- 网络分区
- 交易审查
3 执行层（智能合约）威胁
关注问题：
- 权限是否正确
- 状态转换是否完整
- 是否存在重入、溢出、绕过逻辑
⚠️ 但不要只盯着“代码漏洞”。
4 经济与激励层威胁（区块链特有）
关注问题：
- 攻击是否有利可图
- 是否存在无风险套利
- 是否诱导理性节点作恶
典型攻击：
- MEV 攻击
- 经济操纵
- 激励失衡
5 治理与升级层威胁
关注问题：
- 谁有升级权限
- 升级是否可被绕过
- 紧急权限是否过大
这是现实中事故最多的地方之一。
6 链下依赖威胁
关注问题：
- 预言机是否可信
- 桥是否安全
- 链下存储是否可被绕过
很多“区块链事故”，其实发生在链下。
五、一个实用的区块链威胁建模流程
你可以按以下步骤进行分析。
Step 1：明确系统假设
- 多数节点诚实？
- 管理员是否可信？
- 链下组件是否可信？
Step 2：枚举攻击者
- 外部
- 内部
- 合法但恶意
Step 3：标注关键资产
- 资金
- 隐私数据
- 共识权
- 治理权
Step 4：分析攻击路径
- 从哪个组件入手？
- 是否可绕过防护？
- 攻击是否可扩散？
Step 5：评估攻击成本与收益
- 成本是否低于收益？
- 是否可重复？
- 是否隐蔽？
六、区块链威胁建模的常见误区
误区 1：假设参与者是“善意的”
区块链的前提恰恰相反。
误区 2：只关注技术攻击
很多攻击是制度与激励失败。
误区 3：忽视治理与升级
这是最现实、也最致命的风险点。
七、威胁建模不是一次性工作
需要强调的是：
威胁建模不是“设计完成后的检查”，
而是贯穿系统生命周期的过程。
系统一旦升级：
- 假设会变化
- 攻击面会扩大
威胁模型也必须随之更新。
八、小结
本篇的核心观点是：
