Децентрализованные финансы Общие уязвимости безопасности и меры предосторожности

Недавно один из экспертов по безопасности провел для членов сообщества урок по безопасности в Децентрализованных финансах. Эксперт рассмотрел основные события, связанные с безопасностью, произошедшие в Web3 индустрии за последний год, обсудил причины этих событий и способы их предотвращения, подытожил распространенные уязвимости смарт-контрактов и меры предосторожности, а также дал некоторые советы по безопасности для проектных команд и обычных пользователей.

Распространенные типы уязвимостей DeFi в основном включают в себя флеш-кредиты, манипуляции с ценами, проблемы с правами функций, произвольные внешние вызовы, проблемы с функцией fallback, уязвимости бизнес-логики, утечку приватных ключей и атаки повторного входа. В этой статье будет сделан акцент на флеш-кредиты, манипуляции с ценами и атаки повторного входа.

Мгновенный заём

Флеш-кредиты являются инновацией в области Децентрализованных финансов, но также часто используются хакерами. Злоумышленники берут в долг большие суммы через флеш-кредиты для манипуляции ценами или атаки на бизнес-логику. Разработчики должны учитывать, приведет ли наличие огромных средств к аномалиям в функциональности контракта или может быть использовано для получения неправомерной выгоды в одной сделке через взаимодействие с несколькими функциями.

Многие проекты Децентрализованные финансы кажутся высокодоходными, но на самом деле уровень команд проектов варьируется. Некоторые проекты могут использовать купленный код, и даже если сам код не содержит уязвимостей, логически могут возникнуть проблемы. Например, некоторые проекты будут выдавать вознаграждения в фиксированное время в зависимости от количества токенов, удерживаемых держателями, но злоумышленники могут воспользоваться мгновенным кредитом для покупки большого количества токенов, чтобы получить большую часть вознаграждения в момент его выдачи.

Манипуляция ценами

Проблема манипуляции ценами тесно связана с кредитами на молниеносные займы, в основном из-за того, что некоторые параметры при расчете цен могут контролироваться пользователями. Существует два основных типа проблем:

1. При расчете цены используются данные третьих сторон, но способ их использования неверен или проверка отсутствует, что приводит к злонамеренному манипулированию ценами.
2. Использовать количество токенов на некоторых адресах в качестве расчетной переменной, при этом баланс токенов на этих адресах может временно увеличиваться или уменьшаться.

Атака повторного входа

Атака повторного входа является одной из основных опасностей, с которыми можно столкнуться при вызове внешних контрактов. Злоумышленник может захватить поток управления и внести неожиданные изменения в данные, вызывая функции. Например, в функции вывода средств, если баланс пользователя устанавливается в 0 только в конце функции, злоумышленник может многократно вызывать эту функцию в процессе, извлекая средства несколько раз.

При защите от атак повторного входа необходимо обратить внимание на следующие моменты:

1. Не только предотвращает проблему повторного входа для одной функции
2. Следуйте модели Проверок-Эффектов-Взаимодействий при кодировании
3. Используйте проверенный временем модификатор защиты от повторного входа

При решении вопросов безопасности следует по возможности использовать уже проверенные лучшие практики безопасности, а не изобретать велосипед.

Рекомендации по безопасности для проектной команды

1. Соблюдайте лучшие практики безопасности при разработке контрактов
2. Реализация возможности обновления и приостановки смарт-контрактов
3. Использование механизма временной блокировки
4. Увеличить инвестиции в безопасность, создать完善ную систему безопасности
5. Повышение осведомленности всех сотрудников о безопасности
6. Профилактика внутреннего злоупотребления, одновременно повышая эффективность и улучшая управление рисками
7. Осторожно вводите сторонние компоненты, обеспечивая безопасность

Как пользователи могут определить, безопасен ли смарт-контракт

1. Подтвердите, является ли контракт открытым исходным кодом
2. Проверьте, использует ли владелец децентрализованный механизм мультиподписей.
3. Посмотреть имеющуюся торговую ситуацию по контракту
4. Узнайте, является ли контракт代理ным, можно ли его обновить, есть ли временная блокировка
5. Подтвердите, прошел ли контракт аудит от нескольких организаций и не слишком ли велики полномочия владельца.
6. Обратите внимание на использование оракулов

С помощью вышеуказанных мер как команда проекта, так и пользователи могут в определенной степени повысить безопасность Децентрализованных финансов и снизить риск атак.