Merkezi Olmayan Finans Güvenliği: Yaygın Açık Türleri ve Önleme Önlemleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı. Geçtiğimiz bir yıldan fazla sürede Web3 sektörünün karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini ve nasıl kaçınılacağına dair tartışmalarda bulundu, yaygın akıllı sözleşmelerin güvenlik açıklarını ve önleyici tedbirleri özetledi ve projeler için ve sıradan kullanıcılar için bazı güvenlik önerileri sundu.

Yaygın DeFi güvenlik açıkları arasında hızlı kredi, fiyat manipülasyonu, fonksiyon yetki sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntısı ve tekrar saldırıları bulunmaktadır. Bu makalede hızlı kredi, fiyat manipülasyonu ve tekrar saldırıları gibi üç tür üzerinde durulacaktır.

Hızlı Kredi

Açık kredi, Merkezi Olmayan Finans'ın bir yeniliğidir, ancak genellikle hackerlar tarafından kullanılmaktadır. Saldırganlar, açık kredi aracılığıyla büyük miktarda fon borç alarak fiyatları manipüle eder veya iş mantığına saldırır. Geliştiricilerin, sözleşme işlevlerinin büyük miktardaki fonlardan dolayı anormal hale gelip gelmeyeceğini veya bir işlemde birden fazla fonksiyonla etkileşime girerek haksız ödüller elde edilip edilmeyeceğini dikkate alması gerekir.

Pek çok Merkezi Olmayan Finans projesi yüksek getiri sağlıyormuş gibi görünse de, aslında proje sahiplerinin seviyeleri oldukça değişkenlik göstermektedir. Kodun kendisinde bir açık olmasa bile, mantıksal olarak hâlâ sorunlar olabilir. Örneğin, bazı projeler belirli bir zamanda, token sahiplerinin token sayısına göre ödül dağıtımı yaparken, saldırganlar flash loan kullanarak büyük miktarda token satın alabilir ve ödül dağıtımı sırasında ödüllerin büyük bir kısmını elde edebilir.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunları, kullanıcıların kontrol edebileceği bazı parametreler nedeniyle, genellikle fiyat hesaplamalarıyla yakından ilişkilidir. Yaygın olarak karşılaşılan iki sorun türü vardır:

1. Fiyat hesaplamalarında üçüncü taraf veriler kullanılır, ancak kullanım şekli yanlış veya kontrol eksikliği nedeniyle fiyat kötü niyetli bir şekilde manipüle edilir.
2. Belirli adreslerin Token miktarını hesaplama değişkeni olarak kullanın, bu adreslerin Token bakiyeleri geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın başlıca risklerinden biri, kontrol akışını ele geçirebilmeleri ve verilere beklenmedik değişiklikler yapabilmeleridir. Yeniden giriş saldırısının tipik bir örneği, çekim fonksiyonunda, kullanıcı bakiyesinin yalnızca fonksiyonun sonunda 0 olarak ayarlandığıdır; bu da birden fazla çağrının hala başarılı bir şekilde çekim yapmasına neden olur.

Reentrancy sorununu çözmek için aşağıdaki noktalara dikkat edilmelidir:

1. Sadece tek bir fonksiyonun yeniden giriş sorununu önlemekle kalmamalıyız.
2. Checks-Effects-Interactions modeline göre kodlama yapın
3. Zamanla test edilmiş reentrancy modifier'ını kullanın

Güvenlik uygulamalarında, mümkünse yeterince doğrulanmış olgun çözümler kullanılmalı, tekerleği yeniden icat etmekten kaçınılmalıdır.

Proje Güvenlik Önerileri

1. Sözleşme geliştirme için en iyi güvenlik uygulamalarına uyun
2. Sözleşmenin yükseltilebilir ve durdurulabilir işlevselliğini sağlamak
3. Zaman kilidi mekanizması kullanmak
4. Güvenlik yatırımlarını artırmak, kapsamlı bir güvenlik sistemi kurmak
5. Tüm çalışanların güvenlik bilincini artırmak
6. İçerideki kötü niyetli davranışları önlemek, verimliliği artırırken risk kontrolünü güçlendirmek.
7. Üçüncü taraf bileşenlerini dikkatlice tanıtın, güvenliklerini sağladığınızdan emin olun.

Kullanıcılar akıllı sözleşmelerin güvenliğini nasıl değerlendirir

1. Sözleşmenin açık kaynak olup olmadığını doğrulayın
2. Owner'ın merkezi olmayan çoklu imza mekanizması kullanıp kullanmadığını kontrol edin.
3. Mevcut sözleşmenin ticaret durumunu kontrol et
4. Sözleşmenin bir vekil sözleşmesi olup olmadığını, yükseltilebilir olup olmadığını ve zaman kilidi olup olmadığını doğrulayın.
5. Sözleşmenin birden fazla kurum tarafından denetlenip denetlenmediğini ve Owner yetkisinin çok büyük olup olmadığını kontrol edin.
6. Oracle kullanım durumuna dikkat edin, tanınmış oracle'ları tercih edin.

Yukarıdaki noktalara dikkat ederek, kullanıcılar bir Merkezi Olmayan Finans projesinin güvenliğini daha iyi değerlendirebilir ve daha bilinçli yatırım kararları alabilirler.