Merkezi Olmayan Finans Yaygın Güvenlik Açıkları ve Önleme Tedbirleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı. Bu uzman, son bir yıl içinde Web3 endüstrisinin karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini ve nasıl kaçınılacağına dair tartışmalar yaptı, yaygın akıllı sözleşmelerin güvenlik açıklarını ve önleme önlemlerini özetledi ve proje sahipleri ile sıradan kullanıcılara bazı güvenlik önerileri sundu.

Yaygın DeFi açık türleri arasında flash loan, fiyat manipülasyonu, fonksiyon izin sorunları, herhangi bir dış çağrı, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntıları ve yeniden giriş saldırıları bulunmaktadır. Bu yazıda flash loan, fiyat manipülasyonu ve yeniden giriş saldırısı olmak üzere üç tür üzerinde durulacaktır.

Hızlı Kredi

Hızlı kredi, Merkezi Olmayan Finans'ın (DeFi) bir yeniliğidir, ancak genellikle hackerlar tarafından da kullanılmaktadır. Saldırganlar, hızlı kredi aracılığıyla büyük miktarlarda fon borç alarak fiyatları manipüle edebilir veya iş mantığını hedef alabilir. Geliştiricilerin, sözleşme işlevlerinin büyük meblağlar nedeniyle anormalliklere yol açıp açmayacağını veya tek bir işlemde birden fazla fonksiyonla etkileşime girerek haksız kazanç elde edilip edilemeyeceğini düşünmeleri gerekmektedir.

Birçok Merkezi Olmayan Finans projesi yüksek kazançlar vaat ediyor gibi görünse de, aslında projelerin kalitesi değişkenlik gösteriyor. Bazı projelerin kodları satın alınmış olabilir; kod kendisi hatasız olsa bile, mantıksal olarak sorunlar olabilir. Örneğin, bazı projeler belirli zamanlarda, token sahiplerinin sahip olduğu token miktarına göre ödüller dağıtıyor, ancak saldırganlar, ödüllerin dağıtıldığı anda büyük miktarda token satın almak için flash loan kullanarak büyük bir kazanç elde edebiliyor.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunu, genellikle fiyat hesaplamasında bazı parametrelerin kullanıcı tarafından kontrol edilebilmesinden dolayı, ani kredilerle yakından ilişkilidir. Yaygın sorun türleri iki tanedir:

1. Fiyat hesaplanırken üçüncü taraf verileri kullanılır, ancak kullanım şekli yanlış veya kontrol eksikliği nedeniyle fiyat kötü niyetli bir şekilde manipüle edilir.
2. Belirli adreslerin token miktarlarını hesaplama değişkeni olarak kullanın ve bu adreslerin token bakiyeleri geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Reentrancy saldırısı, dış sözleşmeleri çağırırken karşılaşılabilecek ana tehlikelerden biridir. Saldırgan, kontrol akışını ele geçirebilir ve verilere beklenmeyen işlev çağrıları yapabilir. Örneğin, bir çekim işlevinde, eğer kullanıcı bakiyesi işlevin sonunda 0 olarak ayarlanıyorsa, saldırgan bu işlevi tekrar tekrar çağırarak bakiyeyi birden fazla kez çekebilir.

Reentrancy saldırılarına karşı dikkat edilmesi gereken noktalar şunlardır:

1. Sadece tek bir fonksiyonun yeniden giriş sorununu önlemekle kalmaz.
2. Checks-Effects-Interactions modeline uygun olarak kodlama yapın
3. Zamanla test edilmiş reentrancy modifier'ını kullanın

Güvenlik sorunlarını çözerken, tekrardan tekerlek icat etmek yerine, yeterince doğrulanmış en iyi güvenlik uygulamalarını kullanmaya çalışılmalıdır.

Proje Ekibi Güvenlik Önerileri

1. Sözleşme geliştirme için en iyi güvenlik uygulamalarını izleyin
2. Sözleşmenin yükseltilebilir ve duraklatılabilir işlevlerinin gerçekleştirilmesi
3. Zaman kilidi mekanizmasını kullanma
4. Güvenlik yatırımlarını artırmak, kapsamlı bir güvenlik sistemi kurmak
5. Tüm çalışanların güvenlik bilincini artırmak
6. İç kötüye kullanımı önlemek, verimliliği artırırken risk kontrolünü güçlendirmek
7. Üçüncü taraf bileşenleri dikkatlice dahil edin, güvenliği sağlayın.

Kullanıcılar akıllı sözleşmelerin güvenli olup olmadığını nasıl değerlendirir?

1. Sözleşmenin açık kaynak olup olmadığını doğrulayın
2. Owner'ın merkezi olmayan çoklu imza mekanizmasını kullanıp kullanmadığını kontrol edin.
3. Sözleşmenin mevcut işlem durumunu kontrol et
4. Sözleşmenin bir vekalet sözleşmesi olup olmadığını, güncellenip güncellenemeyeceğini ve zaman kilidi olup olmadığını öğrenin.
5. Sözleşmenin birden fazla kuruluş tarafından denetimden geçip geçmediğini ve Owner yetkisinin aşırı olup olmadığını onaylayın.
6. Oracle kullanım durumuna dikkat edin

Yukarıdaki önlemlerle, proje sahipleri ve kullanıcılar, DeFi projelerinin güvenliğini belirli bir ölçüde artırabilir ve saldırıya uğrama riskini azaltabilir.