Merkezi Olmayan Finans'ta Yaygın Güvenlik Açıkları ve Önleme Önlemleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı. Geçtiğimiz bir yıldan fazla süre içinde Web3 sektöründe meydana gelen önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini ve nasıl kaçınılacağına dair tartıştı, yaygın akıllı sözleşme güvenlik açıklarını ve önleme yöntemlerini özetledi, ayrıca proje ekipleri ve sıradan kullanıcılar için bazı güvenlik önerileri sundu.

Yaygın DeFi açık türleri arasında flash loan, fiyat manipülasyonu, fonksiyon yetki sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntısı ve yeniden giriş saldırıları gibi sorunlar bulunmaktadır. Bu yazıda, flash loan, fiyat manipülasyonu ve yeniden giriş saldırısı olmak üzere bu üç tür üzerine odaklanılacaktır.

Hızlı Kredi

Hızlı kredi, Merkezi Olmayan Finans'ın bir yeniliğidir, ancak genellikle hackerlar tarafından kullanılmaktadır:

• Saldırgan, flash loan aracılığıyla büyük miktarda fon borç alarak fiyatı manipüle ediyor veya iş mantığını hedef alıyor.
• Geliştiricilerin, sözleşme fonksiyonlarının büyük miktarda fon nedeniyle anormal hale gelip gelemeyeceğini veya kötüye kullanılarak haksız ödüller elde edilip edilemeyeceğini dikkate alması gerekmektedir.
• Bazı projeler tasarlandığında flash loan etkisini dikkate almadı, bu da fonların çalınmasına neden oldu.

Son iki yılda, flash loan birçok soruna neden oldu. Bazı yüksek getiri Merkezi Olmayan Finans projeleri, geliştirme seviyeleri farklılık gösterdiği için birçok açık barındırıyor. Örneğin, bazı projeler belirli bir zaman diliminde pozisyonlarına göre ödül dağıtıyor ve bu durum, saldırganlar tarafından flash loan kullanılarak büyük miktarda token satın alınıp ödüllerin çoğunu almak için istismar ediliyor. Ayrıca, Token ile fiyat hesaplayan bazı projeler, flash loan ile fiyatlarının etkilenmesine neden olabiliyor. Proje ekipleri bu sorunlara karşı dikkatli olmalıdır.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunları, hızlı kredilerle yakından ilişkilidir ve temel olarak iki türü vardır:

1. Üçüncü taraf verilerini fiyatları hesaplamak için kullanmak, ancak yanlış kullanım veya yeterli kontrol eksikliği nedeniyle fiyatların kötü niyetli bir şekilde manipüle edilmesine yol açar.

2. Belirli adreslerin Token bakiyelerini hesaplama değişkeni olarak kullanın ve bu bakiyeler geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın başlıca riski, kontrol akışını ele geçirebilmeleri ve verilerde beklenmeyen değişiklikler yapabilmeleridir. Örneğin:

katılık mapping (address => uint) private userBalances;

function withdrawBalance() public { uint çekilecekMiktar = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(başarı); userBalances[msg.sender] = 0; }

Kullanıcı bakiyesi sadece fonksiyonun sonunda sıfırlanacağı için, tekrar eden çağrılar hâlâ bakiye çekme işlemini başarıyla gerçekleştirebilir.

Reentrancy saldırısının birçok biçimi vardır ve birden fazla fonksiyon veya sözleşmeyi içerebilir. Reentrancy sorununu çözerken dikkat edilmesi gerekenler:

1. Sadece tek bir fonksiyonun yeniden girişini önlemekle kalmaz
2. Checks-Effects-Interactions modeline uyun
3. Onaylanmış reentrancy modifier'ı kullanın

En iyisi, tekerleği yeniden icat etmek yerine mevcut en iyi güvenlik uygulamalarını kullanmaktır. Olgun çözümler, kendin geliştirdiğin yeni çözümlerden daha güvenli ve güvenilirdir.

Proje Tarafı Güvenlik Önerileri

1. Sözleşme geliştirme en iyi güvenlik uygulamalarına uyun
2. Sözleşmenin yükseltilebilir ve durdurulabilir işlevselliğinin sağlanması
3. Zaman kilidi mekanizması kullanma
4. Güvenlik yatırımlarını artırmak, kapsamlı bir güvenlik sistemi kurmak
5. Tüm çalışanların güvenlik bilincini artırmak
6. İçerideki kötü niyetli davranışları önlemek, verimliliği artırırken risk kontrolünü güçlendirmek.
7. Üçüncü tarafları dikkatlice tanıtın, güvenlik doğrulamasını iyi yapın

Kullanıcılar Akıllı Sözleşmelerin Güvenliğini Nasıl Değerlendirir?

1. Sözleşmenin açık kaynak olup olmadığını doğrulayın
2. Owner'ın merkezi olmayan çoklu imza kullanıp kullanmadığını kontrol edin
3. Mevcut sözleşmenin işlem durumunu kontrol et
4. Sözleşmenin yükseltilebilir olup olmadığını, zaman kilidi olup olmadığını belirleyin.
5. Sözleşmenin birden fazla kuruluş tarafından denetlenip denetlenmediğini, Sahip yetkisinin fazla olup olmadığını onaylayın.
6. Oracle kullanımını takip et

Sonuç olarak, Merkezi Olmayan Finans ekosisteminde, proje sahipleri ve kullanıcıların yüksek güvenlik bilincini koruması, gerekli önlemleri alması ve ekosistemin sağlıklı gelişimini birlikte sürdürmesi gerekmektedir.