Finanças Descentralizadas comuns vulnerabilidades de segurança e medidas de prevenção

Recentemente, um especialista em segurança compartilhou uma aula sobre segurança em Finanças Descentralizadas para os membros da comunidade. Ele revisou os principais eventos de segurança que o setor Web3 enfrentou no último ano, discutiu as razões por trás desses eventos e como evitá-los, resumiu as vulnerabilidades de segurança comuns em contratos inteligentes e medidas preventivas, e deu algumas recomendações de segurança para os desenvolvedores de projetos e usuários comuns.

Os tipos comuns de vulnerabilidades em Finanças Descentralizadas incluem empréstimos relâmpago, manipulação de preços, problemas de permissões de função, chamadas externas arbitrárias, problemas com funções de fallback, vulnerabilidades de lógica de negócios, vazamento de chaves privadas e ataques de reentrada, entre outros. Este artigo irá se concentrar em empréstimos relâmpago, manipulação de preços e ataques de reentrada.

Empréstimo Relâmpago

Empréstimos relâmpago são uma inovação nas Finanças Descentralizadas, mas também são suscetíveis a serem explorados por hackers. Os atacantes geralmente emprestam grandes quantias de dinheiro através de empréstimos relâmpago, manipulando preços ou atacando a lógica de negócios. Os desenvolvedores precisam considerar se as funções do contrato podem resultar em anomalias devido a grandes quantias de dinheiro ou se podem ser exploradas para obter recompensas indevidas.

Muitos projetos de Finanças Descentralizadas parecem ter altos rendimentos, mas na verdade, o nível das equipes por trás dos projetos é desigual. Alguns projetos podem ter comprado o código, e mesmo que o código em si não tenha vulnerabilidades, pode haver problemas lógicos. Por exemplo, alguns projetos distribuem recompensas em momentos fixos com base na quantidade de tokens que os detentores possuem, mas isso pode ser explorado por atacantes que utilizam empréstimos relâmpago para comprar uma grande quantidade de tokens, obtendo assim a maior parte das recompensas.

Manipulação de Preços

O problema de manipulação de preços está intimamente relacionado aos empréstimos relâmpago, principalmente devido a certos parâmetros que podem ser controlados pelos usuários durante o cálculo de preços. Existem dois tipos comuns de problemas:

1. Utilizar dados de terceiros para calcular preços, mas de forma incorreta ou sem verificação, levando a manipulação maliciosa dos preços.
2. Usar a quantidade de tokens de certos endereços como variável de cálculo, e o saldo de tokens desses endereços pode ser temporariamente aumentado ou diminuído.

Ataque de Reentrada

Um dos principais riscos de chamar contratos externos é que eles podem assumir o controle do fluxo e fazer alterações inesperadas nos dados. Por exemplo, em uma função de retirada, se a atualização do saldo do usuário ocorrer após a transferência de fundos, isso pode levar a retiradas duplicadas.

Para resolver o problema de reentrada, deve-se ter em atenção os seguintes pontos:

1. Não apenas é necessário prevenir problemas de reentrada de uma única função.
2. Siga o padrão Checks-Effects-Interactions ao codificar.
3. Use um modificador de prevenção de reentrância testado ao longo do tempo.

É importante notar que reinventar a roda muitas vezes é desnecessário. Usar soluções maduras e bem testadas é mais seguro do que desenvolver por conta própria.

Sugestões de Segurança

Sugestões de segurança do projeto

1. Seguir as melhores práticas de segurança para o desenvolvimento de contratos.
2. Implementar a funcionalidade de atualização e pausa dos contratos.
3. Adotar um mecanismo de bloqueio temporal.
4. Aumentar o investimento em segurança e estabelecer um sistema de segurança completo.
5. Aumentar a consciência de segurança de todos os funcionários.
6. Prevenir a má conduta interna, aumentando a eficiência enquanto se melhora o controle de riscos.
7. Introduza componentes de terceiros com cautela, assegurando a sua segurança.

Como os usuários podem avaliar a segurança dos contratos inteligentes

1. Verifique se o contrato é de código aberto.
2. Confirme se o Owner utiliza um mecanismo de multi-assinatura descentralizado.
3. Verifique a situação das transações já existentes no contrato.
4. Confirme se o contrato é um contrato de agência, se é atualizável e se possui um bloqueio temporal.
5. Verifique se o contrato foi auditado por várias instituições e se os direitos do Owner são excessivos.
6. Atenção à confiabilidade do oráculo utilizado pelo projeto.

Ao prestar atenção a esses aspectos, os usuários podem avaliar melhor a segurança dos contratos inteligentes e reduzir a probabilidade de participar em projetos de risco.