Децентралізовані фінанси безпека: поширені типи вразливостей та заходи запобігання

Нещодавно один фахівець з безпеки поділився уроком з безпеки DeFi для членів спільноти. Він оглянув значні інциденти безпеки, які сталися в індустрії Web3 за останній рік, обговорив причини їх виникнення та способи уникнення, підсумував поширені вразливості смарт-контрактів та заходи запобігання, а також надав кілька порад щодо безпеки для проектів та звичайних користувачів.

Звичайні типи вразливостей DeFi включають в себе миттєві позики, маніпуляції цінами, проблеми з правами функцій, довільні зовнішні виклики, проблеми з функцією fallback, вразливості бізнес-логіки, витоки приватних ключів та атаки повторного входу. Ця стаття зосередиться на трьох типах: миттєві позики, маніпуляції цінами та атаки повторного входу.

Швидкий кредит

Швидкі кредити - це інновація Децентралізованих фінансів, але їх також часто використовують хакери. Зловмисники позичають великі суми через швидкі кредити, щоб маніпулювати цінами або атакувати бізнес-логіку. Розробники повинні враховувати, чи можуть функції контракту викликати аномалії через величезні кошти або бути використаними для отримання неналежних винагород шляхом взаємодії з кількома функціями в одній транзакції.

Багато проектів у сфері Децентралізовані фінанси виглядають дуже прибутковими, але насправді рівень команди проекту може бути різним. Навіть якщо сам код не має вразливостей, у логіці все ще можуть бути проблеми. Наприклад, деякі проекти розподіляють винагороди в певний час відповідно до кількості токенів у тримача, але зловмисники можуть використовувати флеш-кредити для покупки великої кількості токенів, щоб отримати більшу частину винагороди під час їх розподілу.

Ціна маніпуляції

Проблема маніпуляції цінами тісно пов'язана з миттєвими кредитами, головним чином через те, що деякі параметри при розрахунку цін можуть контролюватися користувачем. Існує два основних типи проблем:

1. При розрахунку ціни використовуються дані третьої сторони, але спосіб використання є неправильним або перевірка відсутня, що призводить до маніпуляцій з ціною.
2. Використання кількості токенів з певних адрес як обчислювальної змінної, при цьому баланс токенів цих адрес може бути тимчасово збільшений або зменшений.

Атака повторного входу

Одним з основних ризиків виклику зовнішніх смарт-контрактів є те, що вони можуть перехопити контрольний потік і внести непередбачувані зміни в дані. Типовим прикладом атаки повторного входу є ситуація, коли в функції виведення баланс користувача встановлюється в 0 лише в кінці функції, що дозволяє багаторазово викликати функцію та успішно виводити кошти.

Щоб вирішити проблему повторного входу, необхідно звернути увагу на такі моменти:

1. Необхідно не лише запобігти проблемі повторного входу для однієї функції
2. Дотримуйтесь моделі Checks-Effects-Interactions під час кодування
3. Використовуйте перевірений часом модифікатор для запобігання повторним викликам

У безпечних практиках слід намагатися використовувати вже перевірені зрілі рішення, а не повторно винаходити велосипед.

Рекомендації з безпеки для проєкту

1. Дотримуватися найкращих практик безпеки під час розробки контрактів
2. Реалізація можливостей оновлення та призупинення контрактів
3. Використання механізму таймлоків
4. Збільшити інвестиції в безпеку, створити вдосконалену систему безпеки
5. Підвищення обізнаності всіх співробітників щодо безпеки
6. Запобігання внутрішнім зловживанням, підвищуючи ефективність, одночасно посилюючи контроль ризиків.
7. Обережно впроваджуйте сторонні компоненти, забезпечуючи їх безпеку

Як користувачам визначити безпеку смарт-контрактів

1. Підтвердьте, чи є контракт відкритим
2. Перевірте, чи власник використовує децентралізований мультипідписний механізм
3. Перегляньте вже існуючі торгові ситуації контракту
4. Підтвердіть, чи є контракт агентським контрактом, чи можна його оновити, чи є часовий замок.
5. Перевірте, чи контракт був перевірений кількома агентствами, чи не є права власника занадто великими.
6. Звертайте увагу на використання оркулів, віддавайте перевагу відомим оркулів.

Зосередивши увагу на зазначених вище пунктах, користувачі можуть краще оцінити безпеку DeFi проекту, що дозволить їм приймати більш обґрунтовані інвестиційні рішення.