OpenZeppelin與創始人深度研究
OpenZeppelin 現在的官方定位，不再只是一個“智能合約庫”公司，而是把自己定義爲“鏈上金融的安全標準”。官網明確寫法是：幫助金融機構、DeFi 協議和區塊鏈平臺“構建並保護關鍵鏈上系統”；其法定實體爲在英格蘭和威爾士註冊的 Zeppelin Group Ltd；公司組織形態爲 remote-first，公開頁面顯示 140+ 團隊成員、40+ 國家分佈、200+ 活躍客戶。換句話說，它今天更像一家橫跨開源標準、審計服務、鏈上運維工具、研究與監管接口的“基礎設施安全層”，而不是單一產品公司。
“創始人”這一項，公開資料存在一個需要先澄清的口徑問題。OpenZeppelin 官網管理層目前只明確列出 Demian Brener 爲 Founder & CEO；英國 Companies House 文件也顯示 Demian Brener 目前是 Zeppelin Group Ltd 的 active director，並擁有超過 50% 但少於 75% 的股份、以及 75% 以上投票權。與此同時，多個外部公司數據庫與 Manuel Aráoz 的個人網站都把 Manuel 視爲 OpenZeppelin 聯合創始人；而 Esteban Ordano 的個人網站則寫得更微妙——他“co-founded a company that eventually became OpenZeppelin”。因此，更穩妥的說法是：當前最強確認的控制型創始人是 Demian Brener；Manuel Aráoz 是高度確認的早期聯合創始人/核心技術共同創建者；Esteban Ordano 與 OpenZeppelin 的前身公司存在深度共創關係，但“是否應計爲正式聯合創始人”在公開敘述中說法不一。
這層識別非常重要，因爲 OpenZeppelin 的創業成果不是一個單點爆款 app，而是一套“標準—工具—審計—機構信任”的複合系統。它在 2015 年成立後，2016 年即把 OpenZeppelin Contracts 推成安全合約開發的“gold-standard”庫，並在同一時期推動了“智能合約安全審計”成爲行業默認實踐之一。今天，它又把這種地位延伸到穩定幣、代幣化基金、銀行與支付網絡的鏈上系統。也就是說，OpenZeppelin 的核心價值不只是賣服務，而是定義了大量項目“應該如何寫、如何審、如何升級、如何監控”智能合約。
創始人背景與教育軌跡
Demian Brener 的硬信息相對有限，但關鍵節點是清楚的。英國 Companies House 記錄顯示他出生於 1990 年 6 月，國籍爲阿根廷，當前居住國登記爲烏拉圭。關於其父母、家庭階層、家庭產業背景，公開資料有限。能確認的是，他受過典型的高強度工程教育：IRSA 向 SEC 披露的董事簡歷寫明，他就讀於阿根廷布宜諾斯艾利斯理工學院 ITBA 和瑞典 Lund University，專業是工業工程；公開個人頁面與履歷還顯示他與 Endeavor 創業網絡及 Voltaire/Sandbox 社羣有長期聯繫。這說明他並不是“從黑客文化邊緣自發生長”的典型人物，而更像一個在拉美高質量工程教育、創業網絡、資本與科技社區之間切換的人。
Demian 的家庭背景仍然無法像傳統企業家傳記那樣被清晰還原，但從教育路徑和之後的職業網絡看，他顯然擁有較強的成長資源配置能力：能進入 ITBA、再到 Lund University，隨後進入拉美創業與風投體系，並在年輕時就進入上市公司 IRSA 的董事會序列。這裏更值得注意的是，他的形成機制並不主要來自媒體曝光，而是來自工程、創投、公司治理三條線並行。這也是爲什麼 OpenZeppelin 後來的氣質既不像純開源社區項目，也不像純諮詢公司，而更像“工程標準公司 + 產業組織者”。
Manuel Aráoz 的公開軌跡更清楚。個人網站寫明他出生於 Buenos Aires，現居烏拉圭；Companies House 記錄顯示其出生於 1989 年 4 月。關於父母職業、家庭資產與社會階層，公開資料有限。教育上，他在個人網站與多個公開簡介中都寫明自己在 ITBA 學習 Computer Science and Engineering；Rest of World 對阿根廷加密社羣的報道則補充說，他從 ITBA 畢業後加入 BitPay，且是其早期員工之一。比起 Demian 偏“工程+創投”，Manuel 的發展線更偏“分佈式系統 + 密碼學興趣 + 早期比特幣實驗文化”。
Manuel 早年的決定性影響，來自他對“區塊鏈不只用於支付”的判斷。他創立 Proof of Existence，這被 Business Insider 當時描述爲一種把文檔哈希寫入區塊鏈、用於證明文檔存在時間而不暴露內容的服務，並被稱作最早一批“非金融區塊鏈應用”之一。這個項目很關鍵，因爲它說明 Manuel 不是先從投機或交易進入 crypto，而是先從“區塊鏈能否做認證、證明、公共基礎設施”進入。OpenZeppelin 後續做出的安全標準、升級框架、審計方法，本質上都延續了這種“把鏈視爲可信計算基礎設施，而不只是資產賭場”的世界觀。
Esteban Ordano 的出生年份、出生地、父母背景，公開資料有限；但他的成長結構很鮮明。Esteban 的個人網站寫明，他從小參加數學、化學和計算機奧林匹克競賽，後來在 ITBA 學習 software engineering，並在兩個夏天去 Google 實習，之後加入 BitPay，參與開源庫 Bitcore。這是非常典型的“競賽型工程師 + 大公司工程訓練 + 早期加密開源貢獻”的路徑。與 Demian 相比，他更像天生的底層技術建構者；與 Manuel 相比，他更重“系統、工具、工程純度”。
如果把三個人放在一起看，OpenZeppelin 之所以能成型，不是因爲某一個人單獨“靈光一現”，而是因爲三種能力的結構疊加：Demian 提供產業組織和商業推進能力，Manuel 提供加密敘事與系統性判斷，Esteban 提供開源工程與底層實現能力。這一點也解釋了爲什麼後來公開敘事會出現“誰是創始人”的模糊：這家公司從一開始就更像一個由阿根廷 crypto 工程圈自然結盟形成的“共創體”，而不是硅谷常見的單一創始人—單一融資—單一產品故事。
工作經歷與進入核心領域的路徑
Demian Brener 在創立 OpenZeppelin 之前，並非直接從 crypto 社區裸創業。SEC 文件寫明，他曾在 Quasar Ventures 這樣的風投/創業孵化體系工作，也曾在拉美大型在線旅遊公司 Despegar 任職。這意味着他在進入區塊鏈安全之前，已經接觸過 venture building、互聯網產品和增長邏輯。這類經歷的重要性在於：OpenZeppelin 後來沒有停留在“開源代碼庫”，而是一步步長成公司化產品、服務和機構網絡，這與 Demian 的前置經驗強相關。
Manuel 的第一段具有代表性的職業經歷，是 BitPay 早期工程與運營擴張。當他從 ITBA 畢業後加入 BitPay，他不僅身處最早一批比特幣支付創業基礎設施，還在阿根廷建立了 Voltaire House 這種後來被視爲當地 crypto 核心據點的空間。Rest of World 和相關報道都把 Voltaire House 描述爲多個阿根廷加密項目的孵化現場。這條路徑的含義是：Manuel 進入核心領域不是通過“金融機構入口”，而是通過最早期比特幣創業基礎設施、開源開發者社區和物理社羣網絡進入。
Manuel 從 Proof of Existence 走向 OpenZeppelin，並不是賽道切換，而是問題升級。前者解決“區塊鏈能證明什麼”，後者解決“區塊鏈系統怎樣才能不被黑”。Epicenter 對 Manuel 的採訪摘要直接把這條線串起來：他從 2012 年就開始構建非金融區塊鏈應用，後來轉向改進以太坊智能合約的開發與安全實踐。再疊加 2016 年 DAO hack 這一行業級事件，OpenZeppelin 的方向幾乎是順勢被“逼出來”的：安全不再是附屬功能，而成爲鏈上應用能否存活的前提。
Esteban 的路徑則更偏純工程：競賽、ITBA、Google 暑期實習、BitPay、Bitcore，再進入與 OpenZeppelin 前身相關的創業項目。這種履歷非常罕見地把“算法訓練”“大規模工程實踐”和“加密原生開源”連接起來。也正因如此，他後來既能參與 OpenZeppelin，也能繼續共建 Decentraland。公開材料看，Esteban 的職業邏輯不是圍繞某一家公司，而是圍繞一類基礎設施問題——身份、所有權、可驗證性、用戶尊重、隱私與系統可靠性。
2016 年前後，是三人共同進入“核心領域”的真正拐點。OpenZeppelin 2016 年的早期文章明確寫到，過去半年已有 6000 萬美元以上因區塊鏈項目被黑而損失，而當時並沒有被廣泛採用的安全標準、最佳實踐或易用的開發工具。公司給出的回應，是推出一個“secure, tested and audited code”的開源框架，並明確表示未來的變現方式是向使用該框架的用戶提供服務和安全審計。也就是說，OpenZeppelin 從第一天就不是“做一個庫然後再想賺錢”，而是“用庫建立標準，再用標準撬動服務與商業化”。
創業經歷、項目矩陣與品牌資產
OpenZeppelin 的最核心資產，是 OpenZeppelin Contracts。官方文檔把它定義爲面向 Ethereum 的 modular、reusable、secure smart contracts library；GitHub 項目說明則強調它提供 ERC20、ERC721 等標準實現、權限控制與可複用組件。官網與 impact 頁面進一步把它上升爲“全球採用度最高的智能合約框架”之一，並稱其保護了數萬億美元的鏈上價值。真正厲害的地方，不在於“寫了幾份代碼模板”，而在於它把大量 DeFi、NFT、治理、穩定幣、代幣化資產的基礎寫法收斂成共同語言。誰控制共同語言，誰就擁有結構性影響力。
第二層資產，是“升級與運維體系”。2017 年，團隊發佈 zeppelinOS，目標是解決智能合約應用開發中的升級、部署、調試、測試、監控等問題；如今這個方向演化爲 Upgrades Plugins、Relayer、Monitor 以及更廣義的 Defender / operation stack。官方文檔和博客都顯示：OpenZeppelin 不只是幫你“把合約寫對”，還幫你“把可升級代理部署對”“把權限結構配置對”“把生產環境監控起來”。這使它從代碼庫供應商，升級爲鏈上軟件工程的 DevSecOps 層。
第三層資產，是降低開發門檻的教育與生成工具。Ethernaut 在 2017 年上線，把智能合約安全教育遊戲化；Contracts Wizard 在 2021 年上線，讓開發者可以交互式生成 ERC20、ERC721 等合約；今天官網又進一步延伸到 Contracts MCP、Contracts Skills、Community Contracts、論壇和文檔體系。這套資產很容易被低估，但其實極具戰略價值：它把 OpenZeppelin 從“專家纔會買的安全服務商”，變成“新人一上手就不得不接觸的默認入口”。這種入口地位，比一次審計合同更有長期複利。
第四層資產，是安全審計與持續安全服務。OpenZeppelin 審計頁寫明公司自 2017 年以來已完成 900+ 審計，覆蓋 Solidity、Rust、Go、Cairo 等語言；2026 年推出的 Continuous Security Program 進一步把“單次審計”升級爲覆蓋架構、開發、部署和運維全週期的連續安全服務，並把 AI Auditor 作爲一部分能力抽象出來。其商業和品牌意義在於：OpenZeppelin 正試圖把“審計”從單筆項目制收入，改造成持續性、高粘性、適合機構客戶的 recurring security relationship。
第五層資產，是跨生態與跨語言擴張。近幾年官方資料顯示，OpenZeppelin 已不再侷限於 Solidity / EVM：它在 Starknet/Cairo、Stellar、Sui、Canton/Daml 等體系上都推出或合作開發安全工具與合約庫。2025 年 Stellar Development Foundation 與 OpenZeppelin 達成長期合作；2025 年 OpenZeppelin 宣佈和 Sui 合作推進 Move 生態中的安全合約開發；2026 年它又爲 Canton 場景開發 Daml 安全工具。這說明它正在爭取一種更高階位置：不是隻做“以太坊合約庫”，而是做“鏈上金融編程模型的跨生態安全標準提供者”。
需要特別區分“真正資產”和“影響力資產”。真正資產裏，最硬的是品牌、代碼庫、服務能力、客戶關係、組織與人才系統；影響力資產裏，最重要的是標準制定地位、論壇/教育生態、監管發聲權，以及 Forta 這樣的孵化項目。Forta 官方寫得很明確：它由 OpenZeppelin incubate，2021 年從 OpenZeppelin 系統中孵化出來，後續獲得 a16z、Blockchain Capital、Coinbase Ventures 等支持。就公開信息看，Forta 更像 OpenZeppelin 的孵化產物和影響力延伸，而非今天仍被 OpenZeppelin 直接控股經營的主營資產。
從“旗下品牌/組織”角度看，可以把 OpenZeppelin 體系大致理解爲：OpenZeppelin Contracts、Upgrades Plugins、Contracts Wizard、Community Contracts、Ethernaut、Forum、Relayer、Monitor、Role Manager、Safe Utils、UI Builder、AI Auditor / Continuous Security Program，以及歷史上的 zeppelinOS 與孵化出來的 Forta。若問其中什麼最值錢，答案並不只是某個 SaaS 工具，而是“被整個行業默認依賴的安全寫法和升級寫法”。這是一種典型的基礎設施型無形資產。
資本關係、商業模式與關鍵轉折
OpenZeppelin 的商業模式，從公開歷史看至少經歷了四次演化。第一階段是 2016 年的“開源標準 + 安全服務”：公司在最早公開文章裏就明確說，OpenZeppelin 是 MIT 許可開源項目，而團隊的收入來源將是服務與安全審計。第二階段是 2017—2019 年的“平臺化與企業化”：Zeppelin Solutions 之下既有 OpenZeppelin 框架，也有審計、託管/密鑰管理、token sale 相關工具，以及 zeppelinOS 這類面向開發流程的產品。第三階段是 2020—2024 年的“工具產品化”：Defender、Wizard、Upgrades、Monitoring 等，把原本偏顧問型能力沉澱成軟件。第四階段是 2025—2026 年的“機構化連續安全”：AI Auditor 與 Continuous Security Program 出現後，OpenZeppelin 明顯在轉向更標準化、更高客單價、適配銀行/資管/支付機構的長期安全合作。
資本關係方面，公開官方披露並不完整，更多信息來自公司數據庫與投資機構側面披露，因此這一部分最穩妥的表述應該是：OpenZeppelin 有外部機構投資，但輪次、金額與完整 cap table 的公開透明度有限。Northzone 官網明確寫出合夥人 Wendy Xiao 曾主導對 OpenZeppelin 的投資；PitchBook/Tracxn 等數據庫則把 BoxGroup、IDEO CoLab Ventures、Intersection Growth Partners、New Alchemy、Northzone 等列爲投資方之一。需要強調的是：這些數據庫屬於第三方信息聚合，細節層面仍應保留“公開資料有限 / 暫無法確認”的謹慎。
比 venture capital 更重要的，其實是 OpenZeppelin 的資源網絡。它的長期綁定對象不是單一財務投資人，而是客戶與制度網絡：Uniswap、Compound、Aave、Matter Labs/ZKsync、DTCC、Fidelity Digital Assets、WisdomTree、Stellar Development Foundation、Digital Asset/Canton、ADI Foundation 等。開放資料顯示，它既承接一線 DeFi 協議的高複雜度安全工作，也正在進入銀行、資管、支付網絡與代幣化基金基礎設施場景。換句話說，OpenZeppelin 最強的“資本關係”，並不是融資新聞，而是它逐步被嵌入鏈上金融的關鍵生產系統。
公司治理層面，公開文件也能看到一個重要轉折。英國 Companies House 信息顯示，Manuel Aráoz 曾在 2018 年被任命爲 Zeppelin Group Ltd 董事，並擁有超過 25% 但不超過 50% 的股份和投票權，但其董事與控制人狀態均在 2020 年 1 月終止；當前 active persons with significant control 只剩 Demian Brener，且擁有絕對主導投票權。這說明 OpenZeppelin 在 2019—2020 年前後完成了一輪重要的創始層權力重組：公司從“多位早期共同建設者”的形態，轉爲“Demian 作爲核心控制與對外代表”的結構。
時間線如果壓縮成關鍵年份，大致可以這樣理解。2015 年，OpenZeppelin 成立。2016 年，Contracts 成爲核心開源框架，並在 DAO hack 後切中安全與標準化的行業缺口。2017 年，Zeppelin Solutions 作爲公司品牌成型，同時推出審計、密鑰管理、Ethernaut 等；同年 zeppelinOS 的路線開始明確。2018 年，zeppelinOS 發佈，升級性成爲公司重要技術敘事。2019 年，公司從 Zeppelin Solutions 正式更名爲 OpenZeppelin，品牌統一。2020 年，Defender 上線，開始把運維自動化產品化。2021 年，Contracts Wizard 推出，Forta 孵化/分拆。2023 年，Defender 2.0 與 Contracts 5.0 推出，AI 輔助安全開始進入官方敘事。2024—2026 年，公司明顯重心上移到隱私、零知識證明、機構金融、銀行與支付網絡，以及 AI 驅動的連續安全。
是否有“基金會、媒體集團、長期贊助方”式的背後控制結構？公開資料並未顯示 OpenZeppelin 背後存在某個單一基金會或媒體集團式控制者。更準確的說法是：它依賴的是工程信譽網絡、協議客戶網絡、機構客戶網絡、標準組織網絡和少量 VC/產業投資網絡的組合。EthTrust、SEAL911、Blockchain Security Standards Council，以及其向 SEC Crypto Task Force 提交建議的動作，都表明它已從“做事的團隊”升級成“被制度化場合邀請發言的行業角色”。
成果、爭議與當下位置
如果只看結果，OpenZeppelin 已經不是“知名 web3 公司”，而是一個基礎層級的行業標準節點。官方材料稱：9 個市值前 10 大穩定幣、10 個市值前 10 大代幣化貨幣市場基金建立在 OpenZeppelin Contracts 之上；自 2015 年以來，超過 35 萬億美元的鏈上價值轉移與其合約生態相關；已有 900+ 審計、發現 10,000+ 漏洞、保護 2,500 億美元以上鍊上價值；官網 about 頁面還給出 64% 活躍錢包與 OpenZeppelin Contracts 發生過交互。這種量級意味着，OpenZeppelin 已經深度嵌入“絕大多數人看不見、但很多協議離不開”的底層結構。
外界爲什麼記住它？不是因爲它發了某個幣，也不是因爲它做了某個面向消費者的爆款，而是因爲它把智能合約世界裏最麻煩、最昂貴、最容易被忽視的一層——安全、權限、升級、標準實現——做成了默認基礎設施。很多協議“表面上是自己的產品”，底層卻站在 OpenZeppelin 的 ERC 實現、權限控制、代理升級、監控與審計方法之上。它改變的不是一個垂直行業，而是整個鏈上應用工業化的底層生產方式。
創始人層面，Demian Brener 今天的現實位置非常清晰：他仍是 OpenZeppelin Founder & CEO，也是公司公開品牌與機構路線的主要代表人物。Manual Aráoz 則已經明顯轉向個人投資、寫作與思想表達；個人網站顯示他目前在 BUZHI 投資，並把自己定義爲 engineer、founder、investor、writer。Esteban Ordano 則把興趣轉向 self-hosted AI、可復現系統、隱私與尊重用戶的工具構建。也就是說，最初共同參與構造這家公司的幾條路線，後來分別流向了：公司控制與機構化、思想/投資、以及更純粹的工程與基礎設施興趣。
公開爭議並不主要集中在道德醜聞，而集中在三個層面。第一，是創始敘事本身存在說法不一：官網、政府文件、個人網站和外部數據庫對“誰是創始人/聯合創始人”的表述並不完全一致。第二，是 OpenZeppelin 所推動的“可升級合約”與代理模式，本身就長期處於鏈上世界的一條張力線上：升級能力帶來靈活性與修錯能力，但也天然引入管理員權限、治理集中和實現複雜度。EthTrust 標準和 OpenZeppelin 自己的文檔都明確提醒，升級性不是免費紅利，而是新的風險面。第三，是“審計能否真正保證安全”的根本質疑。OpenZeppelin 自己在 GitHub 和治理/安全文檔中都強調，使用其 Contracts 不是安全審計的替代品，EthTrust 規範也明確寫出不存在“完美安全”，認證只意味着做了最低定義集合的檢查，而非絕對無漏洞。
2026 年最有代表性的公開爭議，則來自 Manuel Aráoz。CoinDesk、The Block、Unchained 都報道了他公開表示“all of DeFi”現在都不安全，並把原因歸結爲 AI 編碼代理讓攻擊者發現漏洞的速度大幅提升。這件事之所以重要，不是因爲一句聳動觀點，而是因爲它來自 OpenZeppelin 前 CTO、聯合創始層人物，因此天然被市場理解爲“來自行業最內部的悲觀預警”。與此同時，OpenZeppelin 方面公開強調 Manuel 已於 2019 年離開公司，他的言論不代表公司立場。這個分裂本身就很值得注意：OpenZeppelin 的共同創建者裏，至少有一位已經走到比公司官方敘事更悲觀的位置。
從現實影響力看，OpenZeppelin 今天處在一個非常少見的位置：它既是開源庫維護者，也是收費安全服務商；既服務 DeFi，也服務銀行、支付與資管；既寫代碼，也參與標準組織與監管建議；既做單次審計，也做全生命週期連續安全。SEC 2025 年收到的正式建議文件中，OpenZeppelin 直接就獨立安全審計報告提出制度建議；它還是 EthTrust 與 BSSC 相關安全標準網絡的一部分。這說明它不只是“被引用”，而是在被當作規則討論的一部分。
如果要給出一句儘量準確的總結：OpenZeppelin 在現實世界中的位置，不是“又一家 web3 安全公司”，而是“鏈上金融軟件工程與安全規範的制定型基礎設施公司”。Demian Brener 的價值，在於把這套東西做成了可持續經營、可被機構購買、可被標準組織接納的公司；Manuel Aráoz 的價值，在於把最早的 crypto 基礎設施想象和系統意識注入了這家公司；Esteban Ordano 的價值，在於把這類想象落到真正可複用、可擴展、可維護的工程實踐裏。它最大的成功，不是賺了多少錢，而是讓大量鏈上項目在默認情況下“按它的方法來做事”。而這，也恰恰是它最大的權力來源。