Merkezi Olmayan Finans Yaygın Güvenlik Açıkları ve Önleme Tedbirleri

Son zamanlarda, bir güvenlik uzmanı DeFi güvenliği üzerine bir ders paylaştı ve Web3 sektöründe son zamanlarda meydana gelen önemli güvenlik olaylarını ele aldı, bu olayların nedenlerini analiz etti ve bunlardan nasıl kaçınılacağına dair bilgiler sundu. Ayrıca akıllı sözleşmelerde sıkça görülen güvenlik açıkları ve önleyici tedbirler hakkında bir özet yaptı. Bu makale, üç yaygın açık türü olan arbitraj kredisi, fiyat manipülasyonu ve yeniden giriş saldırısını vurgulayacaktır.

Hızlı Kredi

Ateşleme kredisi, merkezi olmayan finansın bir tür yeniliğidir, ancak genellikle hackerlar tarafından saldırılar için kullanılmaktadır:

• Saldırganlar, fiyatları manipüle etmek veya iş mantığını saldırıya uğratmak için büyük miktarda fonu ani kredi ile ödünç alır.
• Geliştiricilerin, sözleşme işlevinin büyük miktardaki fonlar nedeniyle anormal hale gelip gelmeyeceğini veya bir işlemde fazla ödül elde etmek için kullanılıp kullanılmayacağını dikkate alması gerekir.
• Sıkça Sorulan Sorular: Token miktarını kullanarak ödül hesaplama veya DEX işlem çifti içindeki Token miktarını kullanarak hesaplama.

Son iki yılda birçok sorun ortaya çıktı. Bazı Merkezi Olmayan Finans projeleri yüksek getiri sağlıyormuş gibi görünüyor, ancak geliştirme seviyeleri oldukça farklılık gösteriyor. Örneğin, bazı projeler sabit bir zamanda pozisyona göre ödül dağıtıyor ve saldırganlar bu durumu kullanarak büyük miktarda token satın almak için flash kredilerini kullanarak çoğu ödülü alıyor.

Fiyat Manipülasyonu

Fiyat manipülasyonu ve hızlı kredilerle yakından ilişkilidir, başlıca iki sorun vardır:

1. Fiyat hesaplaması yaparken üçüncü taraf verileri kullanın, ancak kullanma şekli yanlış veya kontrol eksik olabilir.
2. Belirli adreslerin Token bakiyelerini hesaplama değişkeni olarak kullanmak, bu bakiyelerin geçici olarak artırılıp azaltılabilmesi.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın ana riski, kontrol akışını ele geçirme ve verileri beklenmedik bir şekilde değiştirme olasılığıdır.

Tipik bir reentrancy saldırısı örneği: katılık mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(başarı); userBalances[msg.sender] = 0; }

Kullanıcı bakiyesi, fonksiyonun sonuna kadar sıfırlanmadığı için, tekrar tekrar çağrılarak birden fazla kez çekim yapılabilir.

Reentrancy sorununu çözmek için dikkat edilmesi gerekenler:

1. Sadece tek bir fonksiyon tekrarına karşı korunma
2. Checks-Effects-Interactions modelini izleyin
3. Doğrulanmış reentrancy modifier'ını kullanın

Olgun güvenlik uygulamalarını kullanmanızı öneririz, tekerleği yeniden icat etmekten kaçının.

Proje Tarafı Güvenlik Önerileri

1. Sözleşmeleri en iyi güvenlik uygulamalarına göre geliştirin
2. Sözleşmenin yükseltilebilir ve durdurulabilir özelliklerini gerçekleştirmek
3. Zaman kilidi kullanmak
4. Gelişmiş bir güvenlik sistemi oluşturmak
5. Tüm çalışanların güvenlik bilincini artırmak
6. İçerideki kötü niyetli eylemleri önlemek, verimliliği artırırken risk kontrolünü güçlendirmek
7. Üçüncü tarafları dikkatlice dahil edin, güvenli olmadıklarını varsayın ve doğrulama yapın.

Kullanıcılar akıllı sözleşmelerin güvenliğini nasıl değerlendirir?

1. Sözleşme açık kaynak mı?
2. Owner merkezi olmayan çoklu imza kullanıyor mu?
3. Mevcut sözleşme işlemlerini kontrol et
4. Sözleşme yükseltilebilir mi, zaman kilidi var mı?
5. Birden fazla kuruluşun denetimini kabul ediyor mu, Owner yetkisi çok mu büyük?
6. Oracle'ın güvenilirliğine dikkat edin

Sonuç olarak, Merkezi Olmayan Finans alanında güvenlik son derece önemlidir. Proje sahipleri, kapsamlı bir güvenlik sistemi kurmalı, kullanıcılar da dikkatli olmalı ve temkinli bir şekilde katılmalıdır.