Finanzas descentralizadas comunes vulnerabilidades de seguridad y medidas de prevención

Recientemente, un experto en seguridad compartió una clase de seguridad de Finanzas descentralizadas para los miembros de la comunidad. Repasó los importantes incidentes de seguridad que ha sufrido la industria Web3 en más de un año, exploró las razones detrás de estos incidentes y cómo evitarlos, resumió las vulnerabilidades de seguridad comunes en los contratos inteligentes y las medidas preventivas, y ofreció algunos consejos de seguridad tanto para los desarrolladores de proyectos como para los usuarios comunes.

Los tipos comunes de vulnerabilidades en Finanzas descentralizadas incluyen préstamos relámpago, manipulación de precios, problemas de permisos de funciones, llamadas externas arbitrarias, problemas con funciones de fallback, vulnerabilidades de lógica de negocio, filtración de claves privadas y ataques de reentrada, entre otros. Este artículo se centrará en los préstamos relámpago, la manipulación de precios y los ataques de reentrada.

Préstamo relámpago

El préstamo relámpago es una innovación en las Finanzas descentralizadas, pero también puede ser fácilmente explotado por hackers. Los atacantes suelen pedir prestados grandes cantidades de dinero a través de préstamos relámpago para manipular precios o atacar la lógica comercial. Los desarrolladores deben considerar si las funciones del contrato podrían verse afectadas por grandes sumas de dinero, o si podrían ser explotadas para obtener recompensas indebidas.

Muchos proyectos de Finanzas descentralizadas parecen tener altos rendimientos, pero en realidad, el nivel de los equipos detrás de los proyectos es desigual. Algunos proyectos pueden haber comprado su código, y aunque el código en sí no tenga vulnerabilidades, podría haber problemas lógicos. Por ejemplo, algunos proyectos distribuyen recompensas en un momento fijo según la cantidad de tokens que tienen los poseedores, pero los atacantes pueden aprovechar los préstamos relámpago para comprar una gran cantidad de tokens y así obtener la mayor parte de las recompensas.

Manipulación de precios

Los problemas de manipulación de precios están estrechamente relacionados con los préstamos relámpago, principalmente debido a que ciertos parámetros en el cálculo de precios pueden ser controlados por los usuarios. Existen dos tipos comunes de problemas:

1. Al calcular el precio se utilizan datos de terceros, pero el uso no es correcto o falta verificación, lo que lleva a que el precio sea manipulado maliciosamente.
2. Utilizar la cantidad de tokens en ciertas direcciones como variable de cálculo, y los saldos de tokens en estas direcciones pueden ser aumentados o disminuidos temporalmente.

Ataque de reentrada

Uno de los principales riesgos de llamar a contratos externos es que pueden tomar el control del flujo y realizar cambios no anticipados en los datos. Por ejemplo, en la función de retiro, si la actualización del saldo del usuario es posterior a la salida de fondos, puede dar lugar a retiros duplicados.

Para resolver el problema de reentrada, es necesario tener en cuenta los siguientes puntos:

1. No solo se debe prevenir el problema de reentrada de una sola función.
2. Seguir el patrón Checks-Effects-Interactions al codificar.
3. Utilizar decoradores de prevención de reentradas que han sido probados a lo largo del tiempo.

Es importante destacar que reinventar la rueda a menudo es innecesario. Usar soluciones maduras y bien verificadas es más seguro que desarrollar por cuenta propia.

Sugerencias de seguridad

Sugerencias de seguridad del equipo del proyecto

1. Seguir las mejores prácticas de seguridad para el desarrollo de contratos.
2. Implementar funciones de actualización y pausa del contrato.
3. Utilizar un mecanismo de bloqueo temporal.
4. Aumentar la inversión en seguridad y establecer un sistema de seguridad completo.
5. Aumentar la conciencia de seguridad de todos los empleados.
6. Prevenir el mal uso interno, mejorando la eficiencia al mismo tiempo que se refuerza el control de riesgos.
7. Introducir componentes de terceros con precaución, asegurando su seguridad.

¿Cómo pueden los usuarios juzgar la seguridad de los contratos inteligentes?

1. Verifica si el contrato es de código abierto.
2. Confirmar si el Owner utiliza un mecanismo de múltiples firmas descentralizado.
3. Ver el estado de las operaciones existentes del contrato.
4. Confirma si el contrato es un contrato de agencia, si es actualizable y si tiene un bloqueo de tiempo.
5. Verificar si el contrato ha sido auditado por múltiples instituciones y si los permisos del propietario son demasiado amplios.
6. Presta atención a la fiabilidad del oráculo utilizado por el proyecto.

Al prestar atención a estos aspectos, los usuarios pueden evaluar mejor la seguridad de los contratos inteligentes y reducir la probabilidad de participar en proyectos de riesgo.