Децентралізовані фінанси поширені уразливості безпеки та заходи запобігання

Нещодавно один з експертів з безпеки поділився з членами спільноти уроком з безпеки в Децентралізованих фінансах. Цей експерт переглянув значні події безпеки, які сталися в індустрії Web3 за останній рік, обговорив причини цих подій і способи їх уникнення, підсумував поширені вразливості смарт-контрактів і заходи профілактики, а також дав кілька порад щодо безпеки для проектів і звичайних користувачів.

Звичайні типи вразливостей DeFi в основному включають блискавичні позики, маніпуляції цінами, проблеми з функціональними правами, довільні зовнішні виклики, проблеми з функцією fallback, вразливості бізнес-логіки, витоки приватних ключів та атаки повторного входу. У цій статті буде особливо розглянуто три типи: блискавичні позики, маніпуляції цінами та атаки повторного входу.

Швидкий кредит

Швидкі кредити є інновацією в Децентралізованих фінансах, але їх також часто використовують хакери. Зловмисники беруть в борг великі суми коштів через швидкі кредити, щоб маніпулювати цінами або атакувати бізнес-логіку. Розробники повинні враховувати, чи можуть функції контракту викликати аномалії через великі суми коштів або бути використаними для отримання неправомірної вигоди шляхом взаємодії з кількома функціями в одній транзакції.

Багато проектів у Децентралізованих фінансах виглядають дуже прибутковими, але насправді рівень їхніх розробників різниться. Деякі проекти можуть мати куплений код, і навіть якщо в коді немає вразливостей, в логіці все ще можуть бути проблеми. Наприклад, деякі проекти виплачують винагороду у фіксований час в залежності від кількості токенів, які тримають власники, але зловмисники можуть використати флеш-кредити для покупки великої кількості токенів, щоб отримати більшу частину винагороди під час їх виплати.

Маніпуляція цінами

Проблема маніпуляції цінами тісно пов'язана з миттєвими кредитами, головним чином через те, що деякі параметри, що використовуються для розрахунку цін, можуть контролюватися користувачами. Існує два поширених типи проблем:

1. При розрахунку ціни використовуються дані третіх сторін, але спосіб використання неправильний або відсутня перевірка, що призводить до маніпуляцій з ціною.
2. Використання кількості токенів з певних адрес як обчислювальної змінної, при цьому баланс токенів на цих адресах може тимчасово збільшуватися або зменшуватися.

Атака повторного входу

Атака повторного входу є однією з основних небезпек, з якими можна зіткнутися під час виклику зовнішніх контрактів. Зловмисник може перехопити контрольний потік і внести непередбачувані зміни до даних, викликавши функцію. Наприклад, у функції виведення, якщо баланс користувача встановлюється на 0 лише в кінці функції, зловмисник може неодноразово викликати цю функцію посередині, багаторазово знімаючи баланс.

Щодо атак повторного входу, необхідно звернути увагу на такі моменти:

1. Не лише запобігає проблемі повторного входу єдиної функції
2. Дотримуйтесь моделі Checks-Effects-Interactions при кодуванні
3. Використовуйте перевірений часом модифікатор для захисту від повторних викликів

При вирішенні проблем безпеки слід намагатися використовувати вже перевірені найкращі практики безпеки, а не винаходити колесо заново.

Рекомендації щодо безпеки для проекту

1. Дотримуйтесь найкращих практик безпеки під час розробки контрактів
2. Реалізація можливостей оновлення та призупинки контракту
3. Використання механізму блокування часу
4. Збільшити інвестиції в безпеку, створити вдосконалену систему безпеки
5. Підвищення обізнаності про безпеку серед усіх працівників
6. Запобігання внутрішнім зловживанням, підвищуючи ефективність, одночасно зміцнюючи контроль ризиків
7. Обережно вводьте сторонні компоненти, забезпечуючи безпеку

Як користувачам визначити, чи є смарт-контракт безпечним

1. Підтвердіть, чи є контракт відкритим
2. Перевірте, чи використовує Owner децентралізований мультипідписний механізм
3. Переглянути вже існуючі угоди за контрактом
4. Дізнайтеся, чи є контракт агентським, чи може бути оновлений, чи має часовий замок.
5. Підтвердіть, чи контракт проходив аудит кількома установами, а також чи не є права власника занадто великими.
6. Зверніть увагу на використання оракулів

За допомогою вищезгаданих заходів, команда проекту та користувачі можуть в певній мірі підвищити безпеку DeFi проектів і знизити ризик атак.