Merkezi Olmayan Finans Yaygın Güvenlik Açıkları ve Önleme Tedbirleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı. Geçtiğimiz bir yıl boyunca Web3 endüstrisinin karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini ve nasıl önlenebileceğini tartıştı, yaygın akıllı sözleşme güvenlik açıklarını ve önleyici tedbirleri özetledi ve proje sahipleri ile sıradan kullanıcılar için bazı güvenlik önerileri sundu.

Yaygın DeFi açık türleri arasında flash kredi, fiyat manipülasyonu, işlev izin sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntıları ve yeniden giriş saldırıları bulunmaktadır. Bu yazıda flash kredi, fiyat manipülasyonu ve yeniden giriş saldırısı gibi üç tür üzerine odaklanılacaktır.

Hızlı Kredi

Kısa vadeli krediler, Merkezi Olmayan Finans'ın bir yeniliğidir, ancak hackerlar tarafından kolayca kullanılabilir. Saldırganlar genellikle kısa vadeli krediler aracılığıyla büyük miktarda fon borç alarak fiyatları manipüle eder veya iş mantığını saldırıya uğratır. Geliştiricilerin, sözleşme işlevlerinin büyük miktardaki fonlar nedeniyle anormal hale gelip gelmeyeceğini veya haksız kazanç elde etmek için kullanılma olasılığını dikkate alması gerekir.

Birçok Merkezi Olmayan Finans projesi yüksek getiri sunuyor gibi görünse de, aslında projelerin kalitesi değişkenlik göstermektedir. Bazı projelerin kodları satın alınmış olabilir, bu durumda kodda bir açık olmasa bile, mantıksal olarak sorunlar mevcut olabilir. Örneğin, bazı projeler belirli zamanlarda token sahiplerinin sayısına göre ödül dağıtırken, saldırganlar flash loan kullanarak büyük miktarda token satın alabilir ve bu sayede ödüllerin büyük bir kısmını alabilir.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunu, kullanıcılar tarafından kontrol edilebilen bazı parametrelerden kaynaklandığı için, hızlı kredilerle yakından ilişkilidir. Yaygın sorun türleri iki çeşittir:

1. Fiyat hesaplanırken üçüncü taraf verileri kullanılır, ancak kullanım şekli yanlıştır veya kontrol eksikliği vardır, bu da fiyatın kötü niyetli bir şekilde manipüle edilmesine neden olur.
2. Bazı adreslerin token miktarını hesaplama değişkeni olarak kullanın, bu adreslerin token bakiyesi geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın ana risklerinden biri, kontrol akışını ele geçirebilmeleri ve verilerde beklenmedik değişiklikler yapabilmeleridir. Örneğin, bir çekim fonksiyonunda, eğer kullanıcı bakiyesinin güncellenmesi, fonların çıkışından sonra olursa, bu durum çift çekim yapılmasına neden olabilir.

Reentrancy sorununu çözmek için aşağıdaki noktalara dikkat edilmelidir:

1. Sadece tek bir fonksiyonun yeniden giriş sorununu önlemek yeterli değildir.
2. Checks-Effects-Interactions modeline uygun olarak kodlama yapın.
3. Zamanla test edilmiş reentrancy koruyucularını kullanın.

Dikkate değer olan, tekerleği yeniden icat etmenin genellikle gereksiz olduğudur. İyi test edilmiş olgun çözümleri kullanmak, kendi başınıza geliştirmekten daha güvenlidir.

Güvenlik Önerileri

Proje tarafı güvenlik önerileri

1. Sözleşme geliştirme için en iyi güvenlik uygulamalarına uyun.
2. Akıllı sözleşmelerin güncellenebilir ve duraklatılabilir işlevselliğini sağlamak.
3. Zaman kilidi mekanizması kullanın.
4. Güvenlik yatırımlarını artırmak ve kapsamlı bir güvenlik sistemi kurmak.
5. Tüm çalışanların güvenlik farkındalığını artırın.
6. İçeriden kötü niyetli eylemleri önlemek, verimliliği artırırken risk kontrolünü güçlendirmek.
7. Üçüncü taraf bileşenlerini dikkatlice entegre edin, güvenliklerini sağlayın.

Kullanıcılar akıllı sözleşmelerin güvenliğini nasıl değerlendirir?

1. Sözleşmenin açık kaynak olup olmadığını kontrol edin.
2. Owner'ın merkezi olmayan çoklu imza mekanizmasını kullanıp kullanmadığını onaylayın.
3. Sözleşmenin mevcut işlem durumunu kontrol et.
4. Sözleşmenin bir vekil sözleşmesi olup olmadığını, yükseltilebilir olup olmadığını ve zaman kilidi olup olmadığını kontrol edin.
5. Sözleşmenin birden fazla kuruluş tarafından denetlenip denetlenmediğini ve Owner yetkisinin fazla olup olmadığını kontrol edin.
6. Projenin kullandığı oracle'ın güvenilirliğine dikkat edin.

Bu unsurlara dikkat ederek, kullanıcılar akıllı sözleşmelerin güvenliğini daha iyi değerlendirebilir ve riskli projelere katılma olasılığını azaltabilir.