Tài chính phi tập trung常见安全漏洞及预防措施

Gần đây, một chuyên gia an ninh đã chia sẻ một bài học về an ninh DeFi cho các thành viên trong cộng đồng, xem xét những sự kiện an ninh lớn mà ngành Web3 đã gặp phải trong hơn một năm qua, thảo luận về nguyên nhân gây ra những sự kiện này và cách để tránh chúng, tóm tắt những lỗ hổng an ninh phổ biến của hợp đồng thông minh và các biện pháp phòng ngừa, cũng như đưa ra một số lời khuyên an ninh cho các dự án và người dùng.

Các loại lỗ hổng DeFi phổ biến chủ yếu có các vấn đề như vay chớp nhoáng, thao túng giá cả, vấn đề quyền truy cập vào hàm, gọi bên ngoài tùy ý, vấn đề hàm fallback, lỗ hổng logic kinh doanh, rò rỉ khóa riêng, tấn công tái nhập, v.v. Dưới đây sẽ tập trung giới thiệu ba loại: vay chớp nhoáng, thao túng giá cả và tấn công tái nhập.

Vay chớp nhoáng

Dù Flash Loan là một sáng tạo trong Tài chính phi tập trung, nhưng nó cũng thường bị hacker lợi dụng:

• Kẻ tấn công vay một số lượng lớn tiền thông qua vay chớp nhoáng, thao túng giá hoặc tấn công logic kinh doanh
• Các nhà phát triển cần xem xét xem chức năng hợp đồng có thể bị bất thường do số tiền lớn hay không, hoặc bị lợi dụng để nhận phần thưởng không chính đáng.
• Một số dự án khi thiết kế chức năng không xem xét tác động của vay chớp nhoáng, dẫn đến việc bị đánh cắp tài sản.

Trong hai năm qua, nhiều dự án Tài chính phi tập trung gặp vấn đề do vay nhanh. Chẳng hạn, một số dự án sẽ phát thưởng dựa trên khối lượng nắm giữ, nhưng đã bị những kẻ tấn công lợi dụng vay nhanh để mua một lượng lớn token và nhận phần thưởng lớn nhất. Còn những dự án tính giá qua Token có thể bị ảnh hưởng giá bởi vay nhanh. Các nhà phát triển dự án nên nâng cao cảnh giác đối với điều này.

Kiểm soát giá

Vấn đề thao túng giá cả có liên quan chặt chẽ đến cho vay chớp nhoáng, chủ yếu có hai loại:

1. Sử dụng dữ liệu bên thứ ba để tính giá, nhưng cách sử dụng không đúng hoặc thiếu kiểm tra, dẫn đến giá bị thao túng một cách ác ý.
2. Sử dụng số dư Token của một số địa chỉ làm biến tính toán, và những số dư này có thể được điều chỉnh tạm thời.

Tấn công tái nhập

Rủi ro chính khi gọi các hợp đồng bên ngoài là chúng có thể kiểm soát luồng điều khiển và thực hiện những thay đổi không mong đợi đối với dữ liệu.

Ví dụ, trong hàm rút tiền, nếu số dư của người dùng chỉ được đặt về 0 ở cuối hàm, kẻ tấn công có thể gọi lại hàm đó sau khi tiền đã được chuyển đi, liên tục rút tiền.

Có nhiều hình thức tấn công tái nhập, có thể liên quan đến nhiều hàm hoặc hợp đồng. Để phòng ngừa tấn công tái nhập, cần chú ý:

1. Không chỉ ngăn chặn việc gọi lại một hàm đơn.
2. Tuân thủ mô hình mã hóa Checks-Effects-Interactions
3. Sử dụng modifier chống tái nhập đã được xác minh

Các chuyên gia bảo mật khuyên rằng, nên sử dụng các thực hành bảo mật tốt nhất đã có sẵn, thay vì tự tạo ra những giải pháp mới. Bởi vì các giải pháp tự xây dựng thiếu sự xác thực đầy đủ, khả năng xảy ra sự cố cao hơn nhiều so với các giải pháp đã trưởng thành.

Đề xuất an toàn cho dự án

1. Phát triển hợp đồng tuân theo các thực hành an toàn tốt nhất
2. Hợp đồng có thể nâng cấp, có thể tạm dừng để kịp thời ứng phó với các cuộc tấn công
3. Áp dụng thời gian khóa, để dành thời gian phát hiện và ứng phó với rủi ro
4. Tăng cường đầu tư an ninh, xây dựng hệ thống an ninh hoàn chỉnh
5. Nâng cao nhận thức về an ninh cho tất cả nhân viên
6. Ngăn chặn hành vi xấu nội bộ, đồng thời nâng cao hiệu quả và tăng cường quản lý rủi ro.
7. Cẩn thận khi đưa bên thứ ba vào, mặc định cả hai bên đều không an toàn.

Người dùng làm thế nào để đánh giá tính an toàn của hợp đồng thông minh

1. Hợp đồng có mã nguồn mở không
2. Chủ sở hữu có áp dụng đa chữ ký phi tập trung không
3. Kiểm tra tình hình giao dịch của hợp đồng đã có
4. Hợp đồng có thể nâng cấp không, có thời gian khóa không
5. Có chấp nhận kiểm toán bởi nhiều tổ chức không, Quyền của Chủ sở hữu có quá lớn không
6. Lưu ý đến độ tin cậy của oracle

Tóm lại, trong lĩnh vực Tài chính phi tập trung, cả dự án và người dùng đều cần giữ cảnh giác cao độ, áp dụng nhiều biện pháp an toàn để có thể giảm thiểu rủi ro.