Tài chính phi tập trung các lỗ hổng bảo mật phổ biến và biện pháp phòng ngừa

Gần đây, một chuyên gia an ninh đã chia sẻ một bài học về an ninh DeFi cho các thành viên trong cộng đồng. Ông đã xem xét các sự kiện an ninh lớn mà ngành Web3 đã gặp phải trong hơn một năm qua, thảo luận về nguyên nhân xảy ra những sự kiện này và cách tránh chúng, tóm tắt các lỗ hổng an ninh phổ biến trong hợp đồng thông minh và các biện pháp phòng ngừa, đồng thời đưa ra một số lời khuyên về an ninh cho các dự án và người dùng bình thường.

Các loại lỗ hổng DeFi phổ biến bao gồm vay chớp nhoáng, thao túng giá, vấn đề quyền truy cập hàm, gọi bên ngoài tùy ý, vấn đề hàm fallback, lỗ hổng logic kinh doanh, rò rỉ khóa riêng và tấn công tái nhập, v.v. Bài viết này sẽ tập trung vào ba loại: vay chớp nhoáng, thao túng giá và tấn công tái nhập.

Vay tức thì

Vay chớp nhoáng là một sáng tạo trong Tài chính phi tập trung, nhưng cũng dễ bị tin tặc lợi dụng. Kẻ tấn công thường vay một số lượng lớn tiền thông qua vay chớp nhoáng, để thao túng giá cả hoặc tấn công vào logic kinh doanh. Các nhà phát triển cần xem xét xem chức năng hợp đồng có thể gây ra sự bất thường do số tiền lớn hay không, hoặc liệu có thể bị lợi dụng để nhận phần thưởng không chính đáng.

Nhiều dự án Tài chính phi tập trung có vẻ mang lại lợi nhuận cao, nhưng thực tế trình độ của các bên dự án rất khác nhau. Một số mã nguồn của dự án có thể được mua, ngay cả khi mã nguồn đó không có lỗ hổng, thì về mặt logic vẫn có thể tồn tại vấn đề. Ví dụ, một số dự án sẽ phát hành phần thưởng dựa trên số lượng token của nhà đầu tư vào thời điểm cố định, nhưng lại bị kẻ tấn công lợi dụng vay chớp nhoáng để mua một lượng lớn token, từ đó nhận được phần lớn phần thưởng.

Kiểm soát giá

Vấn đề thao túng giá cả có liên quan chặt chẽ đến khoản vay chớp nhoáng, chủ yếu do một số tham số trong việc tính toán giá có thể bị người dùng kiểm soát. Có hai loại vấn đề phổ biến:

1. Sử dụng dữ liệu bên thứ ba khi tính toán giá, nhưng cách sử dụng không đúng hoặc thiếu kiểm tra, dẫn đến giá bị thao túng ác ý.
2. Sử dụng số lượng token của một số địa chỉ làm biến số tính toán, trong khi số dư token của các địa chỉ này có thể được tăng hoặc giảm tạm thời.

Tấn công tái nhập

Một trong những rủi ro chính khi gọi hợp đồng bên ngoài là chúng có thể kiểm soát luồng điều khiển và thực hiện những thay đổi không mong đợi lên dữ liệu. Ví dụ, trong hàm rút tiền, nếu việc cập nhật số dư của người dùng xảy ra muộn hơn so với việc chuyển tiền, điều này có thể dẫn đến việc rút tiền lặp lại.

Giải quyết vấn đề tái nhập cần chú ý những điểm sau:

1. Không chỉ phải ngăn chặn vấn đề tái nhập của một hàm đơn.
2. Tuân theo mô hình Checks-Effects-Interactions trong lập trình.
3. Sử dụng bộ sửa đổi chống tái nhập đã được kiểm chứng theo thời gian.

Cần lưu ý rằng việc làm lại bánh xe thường là không cần thiết. Sử dụng các giải pháp đã được kiểm chứng và trưởng thành an toàn hơn là tự phát triển.

Đề xuất an toàn

Đề xuất an toàn từ dự án

1. Tuân theo các thực hành an toàn tốt nhất trong phát triển hợp đồng.
2. Thực hiện chức năng nâng cấp và tạm dừng hợp đồng.
3. Áp dụng cơ chế khóa thời gian.
4. Tăng cường đầu tư vào an ninh, xây dựng hệ thống an ninh hoàn thiện.
5. Nâng cao nhận thức an toàn cho tất cả nhân viên.
6. Ngăn chặn hành vi xấu bên trong, đồng thời nâng cao hiệu quả và tăng cường kiểm soát rủi ro.
7. Cẩn thận khi đưa vào các thành phần bên thứ ba, đảm bảo tính an toàn của chúng.

Người dùng làm thế nào để đánh giá tính an toàn của hợp đồng thông minh

1. Kiểm tra hợp đồng có mã nguồn mở hay không.
2. Xác nhận Owner có sử dụng cơ chế đa chữ ký phi tập trung hay không.
3. Xem tình hình giao dịch hiện có của hợp đồng.
4. Xác nhận hợp đồng có phải là hợp đồng đại lý, có thể nâng cấp hay không, có thời gian khóa hay không.
5. Kiểm tra xem hợp đồng có được nhiều tổ chức kiểm toán hay không, quyền Owner có quá lớn hay không.
6. Chú ý đến độ tin cậy của oracle mà dự án sử dụng.

Bằng cách chú ý đến những khía cạnh này, người dùng có thể đánh giá tốt hơn về tính an toàn của hợp đồng thông minh, giảm khả năng tham gia vào các dự án rủi ro.