Finance décentralisée Sécurité : Vulnérabilités de sécurité courantes et mesures préventives

Récemment, un expert en sécurité a partagé un cours sur la sécurité DeFi avec les membres de la communauté. Cet expert a passé en revue les événements de sécurité majeurs auxquels l'industrie Web3 a été confrontée au cours de l'année écoulée, a exploré les raisons de ces événements et les méthodes de prévention, et a résumé les vulnérabilités de sécurité courantes des contrats intelligents et les mesures préventives, tout en fournissant quelques conseils de sécurité aux équipes de projet et aux utilisateurs ordinaires.

Types de failles courantes en Finance décentralisée

Les types de vulnérabilités courants dans la Finance décentralisée incluent les prêts rapides, la manipulation des prix, les problèmes de permission de fonction, les appels externes arbitraires, les problèmes de fonction de fallback, les vulnérabilités de logique métier, les fuites de clés privées et les attaques par réentrance, etc. Cet article se concentrera sur trois types : les prêts rapides, la manipulation des prix et les attaques par réentrance.

prêt flash

Bien que le prêt flash soit une innovation de la Finance décentralisée, il est également exploité par des hackers pour mener des attaques. Les attaquants empruntent généralement des montants importants via des prêts flash, manipulant les prix ou attaquant la logique d'affaires. Les développeurs doivent prendre en compte si les fonctionnalités du contrat pourraient être anormales en raison de fonds massifs, ou s'il est possible d'interagir avec plusieurs fonctions en une seule transaction pour obtenir des récompenses indues.

De nombreux projets de Finance décentralisée semblent offrir des rendements élevés, mais en réalité, les capacités des équipes varient considérablement. Certains projets peuvent avoir acheté leur code, et même si le code lui-même n'a pas de vulnérabilités, il peut y avoir des problèmes logiques. Par exemple, certains projets distribuent des récompenses à des moments fixes en fonction du nombre de jetons détenus, mais des attaquants peuvent exploiter des prêts éclair pour acheter un grand nombre de jetons, obtenant ainsi la majorité des récompenses.

manipulation des prix

Les problèmes de manipulation des prix sont étroitement liés aux prêts éclair. Ce type de problème provient principalement de certains paramètres utilisés dans le calcul des prix qui peuvent être contrôlés par les utilisateurs. Il existe deux types de problèmes courants :

1. Utiliser des données tierces pour calculer les prix, mais une mauvaise utilisation ou un manque de vérification entraîne une manipulation malveillante des prix.
2. Utiliser le nombre de jetons de certaines adresses comme variable de calcul, alors que le solde des jetons de ces adresses peut être temporairement augmenté ou diminué.

attaque par réentrance

L'un des principaux risques liés à l'appel de contrats externes est qu'ils peuvent prendre le contrôle du flux d'exécution et apporter des modifications imprévues aux données. Par exemple, dans une fonction de retrait, si le solde de l'utilisateur n'est mis à 0 qu'à la fin de la fonction, un appel répété peut entraîner plusieurs retraits du solde.

Lors de la résolution du problème de réentrance, il faut prêter attention aux points suivants :

1. Il ne faut pas seulement prévenir le problème de réentrance d'une seule fonction.
2. Suivez le modèle Checks-Effects-Interactions lors de la codification.
3. Utilisez un modificateur anti-reentrance éprouvé.

Il est important de noter que le fait de réinventer la roue augmente souvent le risque d'erreurs. Utiliser les meilleures pratiques de sécurité déjà établies dans l'industrie est généralement plus fiable que de développer soi-même.

Conseils de sécurité

Conseils de sécurité pour le projet

1. Suivez les meilleures pratiques de sécurité lors du développement de contrats.
2. Implémenter la fonctionnalité de mise à niveau et de suspension des contrats.
3. Adopter un mécanisme de verrouillage temporel.
4. Accroître les investissements en sécurité et établir un système de sécurité complet.
5. Améliorer la sensibilisation à la sécurité de tous les employés.
6. Prévenir les abus internes tout en renforçant la gestion des risques et en améliorant l'efficacité.
7. Introduire des services tiers avec prudence et effectuer une vérification de sécurité pour l'ensemble de la chaîne d'approvisionnement.

Comment les utilisateurs/LP peuvent-ils évaluer la sécurité des contrats intelligents

1. Vérifiez si le contrat est open source.
2. Confirmez si le propriétaire utilise un mécanisme de multi-signatures décentralisé.
3. Vérifiez la situation des transactions existantes dans le contrat.
4. Vérifiez si le contrat est un contrat d'agent, s'il est upgradable, s'il y a un verrouillage temporel.
5. Vérifiez si le contrat a été audité par plusieurs institutions et évaluez si les droits du propriétaire sont trop importants.
6. Faites attention au type d'oracle utilisé par le projet et à sa fiabilité.

En se concentrant sur ces aspects, les utilisateurs peuvent mieux évaluer la sécurité des projets et réduire les risques de participation.