Tài chính phi tập trung An toàn: Các loại lỗ hổng phổ biến và biện pháp phòng ngừa

Gần đây, một chuyên gia an ninh đã chia sẻ một bài học về an ninh DeFi cho các thành viên trong cộng đồng. Ông đã điểm lại những sự kiện an ninh nghiêm trọng mà ngành Web3 đã gặp phải trong hơn một năm qua, thảo luận về nguyên nhân xảy ra những sự kiện này và cách để tránh chúng, tóm tắt các lỗ hổng an ninh thường gặp của hợp đồng thông minh và các biện pháp phòng ngừa, cũng như đưa ra một số lời khuyên về an ninh cho các dự án và người dùng thông thường.

Các loại lỗ hổng DeFi phổ biến chủ yếu bao gồm vay chớp nhoáng, thao túng giá, vấn đề quyền hạn hàm, gọi ngoài tùy ý, vấn đề hàm fallback, lỗ hổng logic kinh doanh, rò rỉ khóa riêng và tấn công tái nhập. Bài viết này sẽ tập trung vào ba loại: vay chớp nhoáng, thao túng giá và tấn công tái nhập.

Cho vay chớp nhoáng

Cho vay chớp nhoáng là một sự đổi mới trong Tài chính phi tập trung, nhưng cũng thường bị tin tặc lợi dụng. Kẻ tấn công vay mượn một số lượng lớn tiền thông qua cho vay chớp nhoáng, thao túng giá cả hoặc tấn công vào logic kinh doanh. Các nhà phát triển cần xem xét xem chức năng của hợp đồng có bị bất thường do số tiền khổng lồ hay không, hoặc bị lợi dụng để tương tác với nhiều hàm trong một giao dịch để nhận phần thưởng không hợp lý.

Nhiều dự án Tài chính phi tập trung có vẻ mang lại lợi nhuận cao, nhưng thực tế, trình độ của các dự án này rất khác nhau. Ngay cả khi mã nguồn không có lỗ hổng, vẫn có thể tồn tại vấn đề trong logic. Chẳng hạn, một số dự án sẽ phát thưởng dựa trên số lượng token của người nắm giữ vào thời điểm cố định, nhưng bị kẻ tấn công lợi dụng vay chớp nhoáng để mua một lượng lớn token, từ đó thu về phần lớn phần thưởng khi phát thưởng.

Kiểm soát giá

Vấn đề thao túng giá cả liên quan chặt chẽ đến cho vay chớp nhoáng, chủ yếu do một số tham số trong việc tính toán giá có thể được người dùng kiểm soát. Có hai loại vấn đề phổ biến:

1. Sử dụng dữ liệu bên thứ ba khi tính toán giá, nhưng cách sử dụng không đúng hoặc thiếu kiểm tra, dẫn đến giá bị thao túng một cách ác ý.
2. Sử dụng số lượng Token của một số địa chỉ làm biến tính toán, trong khi số dư Token của những địa chỉ này có thể được tăng hoặc giảm tạm thời.

Tấn công tái nhập

Một trong những rủi ro chính khi gọi hợp đồng bên ngoài là chúng có thể chiếm quyền điều khiển luồng và thực hiện những thay đổi không lường trước được trên dữ liệu. Một ví dụ điển hình về tấn công tái nhập là trong hàm rút tiền, số dư của người dùng chỉ được đặt thành 0 vào cuối hàm, dẫn đến việc gọi nhiều lần vẫn có thể rút tiền thành công.

Để giải quyết vấn đề tái nhập, cần lưu ý những điểm sau:

1. Không chỉ phải ngăn chặn vấn đề tái nhập của một hàm đơn.
2. Tuân theo mô hình Checks-Effects-Interactions để lập trình
3. Sử dụng modifier chống tái nhập đã được kiểm chứng qua thời gian

Trong thực hành an toàn, nên cố gắng sử dụng những giải pháp đã được xác minh đầy đủ và trưởng thành, thay vì lặp lại việc sáng tạo bánh xe.

Đề xuất an toàn cho bên dự án

1. Tuân thủ các thực hành an toàn tốt nhất trong phát triển hợp đồng
2. Thực hiện chức năng nâng cấp và tạm dừng hợp đồng
3. Áp dụng cơ chế khóa thời gian
4. Tăng cường đầu tư vào an toàn, xây dựng hệ thống an toàn hoàn chỉnh
5. Nâng cao nhận thức về an ninh của tất cả nhân viên
6. Ngăn chặn hành vi xấu nội bộ, đồng thời nâng cao hiệu quả và tăng cường quản trị rủi ro.
7. Cẩn thận đưa vào các thành phần bên thứ ba, đảm bảo tính an toàn của chúng.

Người dùng làm thế nào để xác định tính an toàn của hợp đồng thông minh

1. Xác nhận hợp đồng có mã nguồn mở không
2. Kiểm tra xem Owner có sử dụng cơ chế đa ký phi tập trung hay không.
3. Xem tình hình giao dịch hiện có của hợp đồng
4. Xác nhận hợp đồng có phải là hợp đồng đại lý, có thể nâng cấp hay không, có thời gian khóa hay không.
5. Kiểm tra xem hợp đồng có được nhiều tổ chức kiểm toán hay không, quyền Owner có quá lớn hay không.
6. Chú ý đến tình trạng sử dụng oracle, ưu tiên chọn oracle có độ nổi tiếng cao.

Bằng cách chú ý đến các điểm trên, người dùng có thể đánh giá tốt hơn độ an toàn của một dự án Tài chính phi tập trung, từ đó đưa ra quyết định đầu tư thông minh hơn.