Merkezi Olmayan Finans'ın Yaygın Güvenlik Açıkları ve Önleme Önlemleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı, geçtiğimiz bir yıldan fazla süre içinde Web3 sektörünün karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerinin yanı sıra nasıl önlenebileceğini tartıştı, yaygın akıllı sözleşmelerin güvenlik açıklarını ve önleyici tedbirleri özetledi, ayrıca proje sahipleri ve kullanıcılara bazı güvenlik önerileri sundu.

Yaygın DeFi açık türleri arasında hızlı krediler, fiyat manipülasyonu, fonksiyon izin sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntısı ve yeniden giriş gibi durumlar bulunmaktadır. Aşağıda hızlı krediler, fiyat manipülasyonu ve yeniden giriş saldırısı olmak üzere bu üç tür üzerinde durulacaktır.

Hızlı Kredi

Lightning loan, merkezi olmayan finansın bir tür yeniliği olmasına rağmen, genellikle hackerlar tarafından kullanılmaktadır:

• Saldırganlar, fiyatları manipüle etmek veya iş mantığını saldırmak için büyük miktarda fonu hızlı kredi ile ödünç alır.
• Geliştiricilerin, sözleşme işlevlerinin büyük miktarda para nedeniyle anormal hale gelip gelmeyeceğini veya kötü niyetli ödüller elde etmek için kullanılıp kullanılmayacağını göz önünde bulundurması gerekir.
• Bazı projeler, özellikleri tasarlarken flaş kredi etkisini dikkate almadı, bu da fonların çalınmasına yol açtı.

Son iki yılda, birçok Merkezi Olmayan Finans projesi, flaş krediler nedeniyle sorunlar yaşadı. Örneğin, bazı projeler, pozisyon büyüklüğüne göre ödüller dağıtırken, saldırganlar flaş kredileri kullanarak büyük miktarda token satın alarak ödüllerin çoğunu alabiliyor. Ayrıca, Token ile fiyat hesaplayan projeler, flaş krediler tarafından fiyatlarının etkilenmesi mümkündür. Proje sahipleri, bu konuda dikkatli olmalıdır.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunu, flash kredi ile yakından ilişkilidir; başlıca iki türü vardır:

1. Fiyat hesaplama sırasında üçüncü taraf verileri kullanılır, ancak yanlış kullanım veya kontrol eksikliği nedeniyle fiyat kötü niyetli bir şekilde manipüle edilir.
2. Bazı adreslerin Token bakiyelerini hesaplama değişkeni olarak kullanmak, bu bakiyelerin geçici olarak artırılıp azaltılabilmesi.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın ana riski, kontrol akışını ele geçirebilmeleri ve verilere beklenmedik değişiklikler yapabilmeleridir.

Örneğin, çekim fonksiyonunda, eğer kullanıcı bakiyesi fonksiyonun sonunda sıfırlanıyorsa, bir saldırgan fondu çıkardıktan sonra bu fonksiyonu tekrar çağırabilir ve sürekli olarak çekim yapabilir.

Reentrancy saldırıları çeşitli biçimlerde olabilir ve birden fazla fonksiyon veya akdi içerebilir. Reentrancy'yi önlemek için dikkat edilmesi gerekenler:

1. Tek bir fonksiyonun yeniden girişini sadece önlemekle kalmaz
2. Checks-Effects-Interactions modeline uygun kodlama
3. Doğrulanmış reentrancy modifier'ı kullanın

Güvenlik uzmanları, tekrardan tekerlek icat etmek yerine mevcut en iyi güvenlik uygulamalarını kullanmayı öneriyor. Çünkü kendi oluşturduğunuz yeni çözümler yeterince doğrulanmamış olduğundan, sorun yaşama olasılığı, olgun çözümlerden çok daha yüksektir.

Proje Ekibi Güvenlik Önerileri

1. Sözleşme geliştirme en iyi güvenlik uygulamalarına uygun olmalıdır.
2. Sözleşme güncellenebilir ve duraklatılabilir, böylece saldırılara zamanında yanıt verilebilir.
3. Zaman kilidi kullanarak riskleri keşfetmek ve bunlara yanıt vermek için zaman ayırın.
4. Güvenlik yatırımlarını artırmak, mükemmel bir güvenlik sistemi kurmak
5. Tüm çalışanların güvenlik bilincini artırmak
6. İçerideki kötülükleri önlemek, verimliliği artırırken risk kontrolünü güçlendirmek
7. Üçüncü tarafları dikkatlice dahil edin, varsayılan olarak hem üst hem de alt akış güvenli değildir.

Kullanıcılar akıllı sözleşmelerin güvenliğini nasıl değerlendirir?

1. Sözleşme açık kaynak mı?
2. Owner merkezi olmayan çoklu imza kullanıyor mu?
3. Sözleşmenin mevcut işlem durumunu kontrol et
4. Sözleşme yükseltilebilir mi, zaman kilidi var mı?
5. Birden fazla kurumun denetiminden geçti mi, Owner yetkisi fazla mı?
6. Oracle'ların güvenilirliğine dikkat edin

Sonuç olarak, Merkezi Olmayan Finans alanında, proje sahipleri ve kullanıcılar yüksek düzeyde dikkat göstermeli ve çoklu güvenlik önlemleri almalıdır, böylece riskleri etkili bir şekilde azaltabilirler.