Keamanan Umum dalam Keuangan Desentralisasi dan Langkah-langkah Pencegahannya

Belakangan ini, seorang ahli keamanan membagikan pelajaran keamanan DeFi kepada anggota komunitas. Ahli tersebut meninjau kejadian-kejadian keamanan besar yang dialami industri Web3 selama lebih dari setahun yang lalu, membahas penyebab terjadinya kejadian-kejadian tersebut dan bagaimana cara menghindarinya, merangkum kerentanan keamanan umum pada kontrak pintar serta langkah-langkah pencegahannya, dan juga memberikan beberapa saran keamanan untuk pengembang proyek dan pengguna biasa.

Jenis kerentanan DeFi yang umum meliputi pinjaman kilat, manipulasi harga, masalah hak akses fungsi, pemanggilan eksternal sembarangan, masalah fungsi fallback, kerentanan logika bisnis, kebocoran kunci pribadi, dan serangan reentrancy. Artikel ini akan fokus pada tiga jenis: pinjaman kilat, manipulasi harga, dan serangan reentrancy.

Pinjaman Kilat

Pinjaman kilat adalah inovasi dalam Keuangan Desentralisasi, tetapi juga sering dimanfaatkan oleh peretas. Penyerang meminjam sejumlah besar dana melalui pinjaman kilat untuk memanipulasi harga atau menyerang logika bisnis. Pengembang perlu mempertimbangkan apakah fungsi kontrak akan mengalami anomali karena jumlah dana yang besar, atau dimanfaatkan dalam satu transaksi untuk berinteraksi dengan beberapa fungsi guna mendapatkan keuntungan yang tidak sah.

Banyak proyek DeFi terlihat memiliki imbal hasil yang tinggi, tetapi sebenarnya tingkat kemampuan tim proyek berbeda-beda. Beberapa proyek mungkin membeli kode mereka, meskipun kode itu sendiri tidak memiliki kerentanan, secara logika masih mungkin ada masalah. Misalnya, beberapa proyek memberikan imbalan pada waktu tetap berdasarkan jumlah token yang dimiliki oleh pemegang, namun dapat dieksploitasi oleh penyerang yang menggunakan pinjaman kilat untuk membeli sejumlah besar token, dan pada saat imbalan diberikan, mereka dapat mengambil sebagian besar keuntungan.

Manipulasi Harga

Masalah manipulasi harga berkaitan erat dengan pinjaman kilat, terutama karena beberapa parameter yang digunakan dalam perhitungan harga dapat dikendalikan oleh pengguna. Ada dua jenis masalah yang umum terjadi:

1. Menggunakan data pihak ketiga saat menghitung harga, tetapi cara penggunaannya tidak benar atau pemeriksaan yang hilang, mengakibatkan harga dikendalikan secara jahat.
2. Menggunakan jumlah token di alamat tertentu sebagai variabel perhitungan, di mana saldo token di alamat tersebut dapat ditambah atau dikurangi secara sementara.

Serangan Re-entrancy

Serangan reentrancy adalah salah satu bahaya utama yang mungkin dihadapi saat memanggil kontrak eksternal. Penyerang dapat mengambil alih alur kontrol dan melakukan perubahan yang tidak terduga pada data dengan memanggil fungsi. Misalnya, dalam fungsi penarikan, jika saldo pengguna diatur menjadi 0 hanya di akhir fungsi, penyerang dapat memanggil fungsi tersebut berulang kali di tengah-tengah, sehingga dapat menarik saldo berkali-kali.

Untuk serangan reentrancy, perlu diperhatikan hal-hal berikut:

1. Tidak hanya mencegah masalah reentrancy pada fungsi tunggal
2. Mengikuti pola Checks-Effects-Interactions dalam pengkodean
3. Menggunakan modifier pencegah reentrancy yang telah teruji waktu

Dalam menyelesaikan masalah keamanan, sebaiknya menggunakan praktik keamanan terbaik yang telah diverifikasi dengan baik, bukan mengulang roda.

Saran Keamanan Proyek

1. Mengikuti praktik keamanan terbaik dalam pengembangan kontrak
2. Mencapai kemampuan untuk memperbarui dan menghentikan kontrak
3. Mengadopsi mekanisme kunci waktu
4. Meningkatkan investasi dalam keamanan, membangun sistem keamanan yang sempurna
5. Meningkatkan kesadaran keamanan semua karyawan
6. Mencegah kecurangan internal, sambil meningkatkan efisiensi dan memperkuat pengendalian risiko
7. Hati-hati dalam mengintegrasikan komponen pihak ketiga, pastikan keamanannya.

Bagaimana pengguna dapat menilai apakah kontrak pintar aman

1. Konfirmasi apakah kontrak bersifat open source
2. Periksa apakah Pemilik menggunakan mekanisme multi-tanda tangan yang terdesentralisasi
3. Lihat situasi perdagangan yang sudah ada pada kontrak
4. Ketahui apakah kontrak tersebut adalah kontrak perwakilan, apakah dapat ditingkatkan, dan apakah ada kunci waktu.
5. Pastikan kontrak telah diaudit oleh beberapa lembaga, dan apakah hak akses Owner terlalu besar.
6. Perhatikan penggunaan oracle

Melalui langkah-langkah di atas, pihak proyek dan pengguna dapat meningkatkan keamanan proyek Keuangan Desentralisasi hingga tingkat tertentu, serta mengurangi risiko diserang.