Децентралізовані фінанси: поширені вразливості безпеки та заходи запобігання

Нещодавно експерт з безпеки поділився з членами спільноти уроком з безпеки в Децентралізованих фінансах. Він оглянув великі інциденти безпеки, з якими стикнулася індустрія Web3 за останній рік, обговорив причини їх виникнення та способи уникнення, підсумував поширені вразливості смарт-контрактів та запобіжні заходи, а також надав кілька порад щодо безпеки для проектів та звичайних користувачів.

Звичні типи вразливостей DeFi включають в себе闪电贷, маніпуляції з цінами, проблеми з функціональними правами, випадкові зовнішні виклики, проблеми з функцією fallback, вразливості бізнес-логіки, витоки приватних ключів та атаки повторного входу. У цій статті основну увагу буде приділено трьом типам:闪电贷, маніпуляціям з цінами та атакам повторного входу.

Швидкі позики

Швидкі кредити є інновацією в Децентралізованих фінансах, але їх також часто використовують хакери:

• Зловмисник бере в борг велику суму коштів через швидкі позики, щоб маніпулювати цінами або атакувати бізнес-логіку
• Розробники повинні враховувати, чи може функціональність контракту призвести до аномалій через величезні кошти або бути використаною для отримання неналежних винагород.
• Деякі проекти при розробці не врахували впливу миттєвих позик, що призвело до крадіжки коштів

Протягом останніх двох років, швидкі кредити викликали чимало проблем. Деякі високоприбуткові Децентралізовані фінанси проекти через нерівний рівень розробки мають багато вразливостей. Наприклад, деякі проекти надають винагороди відповідно до утримуваних активів у фіксований час, що було використано зловмисниками через швидкі кредити для покупки великої кількості токенів і отримання більшості винагород. Також деякі проекти, які розраховують ціну за допомогою токенів, можуть бути під впливом швидких кредитів. Команди проектів повинні бути обережними щодо цих проблем.

Маніпуляція цінами

Проблема маніпуляцій з цінами тісно пов'язана з миттєвими кредитами, основні типи:

1. Використання сторонніх даних для розрахунку ціни, але неналежне використання або відсутність перевірки призводить до маніпуляцій з ціною.

2. Використання балансу токенів певних адрес як обчислювальної змінної, причому ці залишки можуть тимчасово збільшуватися або зменшуватися.

Атака повторного входу

Основний ризик виклику зовнішніх контрактів полягає в тому, що вони можуть захопити контрольний потік і внести непередбачувані зміни в дані. Наприклад:

солідність відображення (address => uint) private userBalances;

function withdrawBalance() public { uint amountToRemove = userBalances[msg.sender]; (bool успіху ) = msg.sender.call.value(amountToWithdraw)("" ); require(успіх); userBalances[msg.sender] = 0; }

Оскільки баланс користувача обнуляється лише в кінці функції, повторні виклики все ще можуть успішно витягувати баланс.

Форми атаки повторного входу різноманітні, можуть залучати кілька функцій або контрактів. Для вирішення проблеми повторного входу слід звернути увагу на:

1. Не лише запобігає повторному входу одного функції
2. Дотримуйтесь моделі Checks-Effects-Interactions
3. Використовуйте перевірений модифікатор для захисту від повторного входу

Найкраще використовувати вже наявні найкращі практики безпеки, а не повторно винаходити колесо. Дозволені рішення є більш безпечними та надійними, ніж нові рішення, розроблені самостійно.

Рекомендації з безпеки для проекту

1. Дотримуйтесь найкращих практик безпеки під час розробки контрактів
2. Реалізація можливості оновлення та призупинення контракту
3. Використання механізму тайм-локів
4. Збільшення інвестицій в безпеку, створення досконалої системи безпеки
5. Підвищення обізнаності всіх співробітників про безпеку
6. Запобігання внутрішньому зловживанню, одночасно підвищуючи ефективність, зміцнювати управління ризиками
7. Обережно залучайте третіх осіб, забезпечте належну перевірку безпеки

Як користувачам оцінити безпеку смарт-контрактів

1. Підтвердьте, чи є контракт з відкритим вихідним кодом
2. Перевірте, чи власник використовує децентралізоване мультипідписання
3. Переглянути наявні торгові операції за контрактом
4. Визначте, чи можна оновити контракт, чи є таймлок.
5. Підтвердіть, чи контракт був перевірений кількома агентствами, чи не є права Owner надто великими.
6. Слідкуйте за використанням оракулів

Загалом, у екосистемі Децентралізовані фінанси, проєкти та користувачі повинні підтримувати високий рівень обізнаності про безпеку, вживати необхідних заходів для запобігання ризикам і спільно підтримувати здоровий розвиток екосистеми.