Децентрализованные финансы Общие уязвимости безопасности и меры предосторожности

Недавно один из специалистов по безопасности провел для членов сообщества урок по безопасности в области Децентрализованных финансов. Он рассмотрел значительные инциденты безопасности, которые произошли в индустрии Web3 за последний год, обсудил причины этих событий и способы их предотвращения, обобщил распространенные уязвимости смарт-контрактов и меры предосторожности, а также дал несколько советов по безопасности для проектов и обычных пользователей.

Распространенные типы уязвимостей DeFi включают в себя флеш-кредиты, манипуляции с ценами, проблемы с правами функций, произвольные внешние вызовы, проблемы с функцией обратного вызова, уязвимости бизнес-логики, утечку приватных ключей и атаки повторного входа и др. В данной статье будет уделено особое внимание трем типам: флеш-кредиты, манипуляции с ценами и атаки повторного входа.

Лунный кредит

Флеш-займы — это инновация в Децентрализованных финансах, но они также могут быть легко использованы хакерами. Злоумышленники обычно занимают большие суммы через флеш-займы, чтобы манипулировать ценами или атаковать бизнес-логики. Разработчики должны учитывать, приведут ли крупные суммы к аномалиям в функционале контракта или могут ли они быть использованы для получения незаслуженных вознаграждений.

Многие проекты в сфере Децентрализованные финансы кажутся высокодоходными, но на самом деле уровень проекта может варьироваться. Код некоторых проектов может быть куплен, и даже если в самом коде нет уязвимостей, логически могут существовать проблемы. Например, некоторые проекты будут выплачивать вознаграждения в фиксированное время в зависимости от количества токенов у держателей, но злоумышленники могут использовать флеш-займы для покупки большого количества токенов, тем самым получая большую часть вознаграждения.

Ценовое манипулирование

Проблема манипуляции ценами тесно связана с.flash-кредитами, в основном из-за того, что некоторые параметры при расчете цены могут контролироваться пользователем. Существует два основных типа проблем:

1. При расчете цены используются данные третьих сторон, но способ их использования некорректен или отсутствует проверка, что приводит к злонамеренному манипулированию ценами.
2. Использовать количество токенов на некоторых адресах в качестве расчетного переменного, при этом баланс токенов на этих адресах может быть временно увеличен или уменьшен.

Атака повторного входа

Одним из основных рисков вызова внешних контрактов является то, что они могут перехватить управление и внести непредвиденные изменения в данные. Например, в функции вывода средств, если обновление баланса пользователя происходит позже, чем вывод средств, это может привести к повторному выводу средств.

При решении проблемы повторного входа необходимо учитывать следующие моменты:

1. Необходимо предотвращать не только проблему повторного входа одной функции.
2. Следуйте модели Checks-Effects-Interactions при кодировании.
3. Используйте проверенный временем модификатор защиты от повторных входов.

Стоит отметить, что повторное изобретение колеса часто оказывается ненужным. Использование хорошо проверенных зрелых решений безопаснее, чем разработка собственных.

Рекомендуемые меры безопасности

Рекомендации по безопасности для проекта

1. Следуйте лучшим практикам безопасности при разработке контрактов.
2. Реализовать возможность обновления и приостановки контракта.
3. Применение механизма временной блокировки.
4. Увеличить инвестиции в безопасность и создать完善ную систему безопасности.
5. Повысить осведомленность всех сотрудников о безопасности.
6. Предотвращение внутренних злоупотреблений, повышение эффективности при одновременном усилении управления рисками.
7. Осторожно вводите сторонние компоненты, убедитесь в их безопасности.

Как пользователю определить безопасность смарт-контракта

1. Проверьте, является ли контракт открытым.
2. Подтвердите, использует ли владелец децентрализованный мультиподписной механизм.
3. Посмотрите на текущую торговую ситуацию по контракту.
4. Подтвердите, является ли контракт агентским, можно ли его обновить, есть ли временная блокировка.
5. Проверьте, проходил ли контракт аудит несколькими организациями, и не слишком ли велики права владельца.
6. Обратите внимание на надежность оракула, используемого проектом.

Обратив внимание на эти аспекты, пользователи могут лучше оценить безопасность смарт-контрактов и уменьшить вероятность участия в рискованных проектах.