التمويل اللامركزي 常见安全漏洞及预防措施

في الآونة الأخيرة، شارك أحد خبراء الأمان درسًا حول أمان التمويل اللامركزي لأعضاء المجتمع. استعرض هذا الخبير الأحداث الأمنية الكبيرة التي شهدتها صناعة Web3 على مدار العام الماضي، واستكشف أسباب حدوث هذه الأحداث وكيفية تجنبها، وخلص إلى الثغرات الأمنية الشائعة في العقود الذكية وتدابير الوقاية، كما قدم بعض النصائح الأمنية للجهات القائمة على المشاريع والمستخدمين العاديين.

تشمل الأنواع الشائعة من ثغرات التمويل اللامركزي القرض الفوري، وتلاعب الأسعار، ومشكلات صلاحيات الوظائف، والاستدعاءات الخارجية العشوائية، ومشكلات وظيفة الاسترجاع، وثغرات منطق الأعمال، وتسرب المفاتيح الخاصة، وهجمات إعادة الإدخال. ستركز هذه المقالة على القرض الفوري، وتلاعب الأسعار، وهجمات إعادة الإدخال.

! قسم أمان Cobo DeFi (الجزء الثاني) :D الثغرات الأمنية الشائعة والوقاية من eFi

قرض البرق

القرض الفوري هو ابتكار في التمويل اللامركزي، لكنه غالبًا ما يُستخدم من قبل المتسللين. يقوم المهاجمون بإقراض كميات كبيرة من الأموال عبر القرض الفوري للتلاعب بالأسعار أو مهاجمة المنطق التجاري. يحتاج المطورون إلى مراعاة ما إذا كانت وظائف العقد ستؤدي إلى شذوذ بسبب الأموال الضخمة، أو سيتم استغلالها للتفاعل مع عدة دوال في صفقة واحدة للحصول على أرباح غير مشروعة.

العديد من مشاريع التمويل اللامركزي تبدو عوائدها مرتفعة جداً، لكن في الواقع مستوى الفرق القائم على المشاريع متباين. قد يكون كود بعض المشاريع مشترياً، وحتى لو لم يكن هناك ثغرات في الكود نفسه، إلا أنه قد توجد مشكلات من الناحية المنطقية. على سبيل المثال، تقوم بعض المشاريع بتوزيع المكافآت في أوقات محددة بناءً على عدد الرموز التي يحتفظ بها حاملوها، لكن يمكن للمهاجمين استغلال القروض الفورية لشراء كميات كبيرة من الرموز، مما يمكنهم من الحصول على الجزء الأكبر من العوائد عند توزيع المكافآت.

التحكم في الأسعار

تتعلق مشكلة التلاعب بالأسعار ارتباطًا وثيقًا بالقروض الفورية، وذلك بسبب إمكانية التحكم في بعض المعلمات أثناء حساب الأسعار من قبل المستخدمين. هناك نوعان شائعان من مشكلات الأسعار:

1. عند حساب الأسعار يتم استخدام بيانات طرف ثالث، ولكن طريقة الاستخدام غير صحيحة أو يوجد نقص في الفحص، مما يؤدي إلى التلاعب بالأسعار بشكل خبيث.
2. استخدام عدد الرموز في بعض العناوين كمتغيرات حسابية، حيث يمكن زيادة أو تقليل رصيد الرموز في تلك العناوين بشكل مؤقت.

هجوم إعادة الدخول

هجوم إعادة الإدخال هو أحد المخاطر الرئيسية التي قد تواجهها عند استدعاء عقود خارجية. يمكن للمهاجمين السيطرة على تدفق التحكم وإجراء تغييرات غير متوقعة على البيانات من خلال استدعاء الدوال. على سبيل المثال، في دالة السحب، إذا تم تعيين رصيد المستخدم إلى 0 فقط في نهاية الدالة، يمكن للمهاجم استدعاء هذه الدالة عدة مرات في منتصفها، مما يؤدي إلى سحب الرصيد عدة مرات.

بالنسبة لهجمات إعادة الدخول، يجب الانتباه للنقاط التالية:

1. لا يقتصر الأمر على منع مشكلة إعادة الدخول لوظيفة واحدة فقط
2. اتباع نمط Checks-Effects-Interactions في الترميز
3. استخدام مُعدِّل مقاوم للعودة تم التحقق من صحته عبر الزمن

عند معالجة مشكلات الأمان، يجب استخدام أفضل الممارسات الأمنية التي تم التحقق منها بشكل كامل بدلاً من إعادة اختراع العجلة.

نصائح الأمان لمشاريع العملات

1. اتباع أفضل ممارسات الأمان في تطوير العقود
2. تنفيذ ميزات ترقية العقد وإيقافه
3. استخدام آلية قفل الوقت
4. زيادة الاستثمار في الأمان، وإنشاء نظام أمان متكامل
5. زيادة وعي جميع الموظفين بالسلامة
6. منع سوء التصرف الداخلي، مع تعزيز كفاءة التحكم في المخاطر.
7. يجب توخي الحذر عند إدخال مكونات الطرف الثالث، لضمان الأمان

كيف يمكن للمستخدمين تحديد ما إذا كانت العقود الذكية آمنة

1. تأكد من أن العقد مفتوح المصدر
2. تحقق مما إذا كان المالك يعتمد آلية التوقيع المتعدد اللامركزية
3. الاطلاع على حالة التداول الحالية للعقد
4. تحقق مما إذا كانت العقدة عقد وكيل، وما إذا كانت قابلة للتحديث، وما إذا كانت تحتوي على قفل زمني
5. تأكد مما إذا كانت العقد قد خضعت لعدة تدقيقات من قبل مؤسسات مختلفة، وما إذا كانت صلاحيات المالك كبيرة جداً.
6. انتبه إلى استخدام الأوراكيل

من خلال التدابير المذكورة أعلاه، يمكن لكل من الفريق المشروع والمستخدمين تحسين أمان مشاريع التمويل اللامركزي إلى حد معين، وتقليل مخاطر التعرض للهجمات.