Finance décentralisée 常见安全漏洞及预防措施

Récemment, un expert en sécurité a partagé une leçon sur la sécurité de la Finance décentralisée avec les membres de la communauté. Il a passé en revue les événements de sécurité majeurs auxquels l'industrie Web3 a été confrontée au cours de l'année passée, a discuté des raisons pour lesquelles ces événements se sont produits et comment les éviter, a résumé les vulnérabilités de sécurité courantes des contrats intelligents et les mesures préventives, et a donné quelques conseils de sécurité aux projets et aux utilisateurs ordinaires.

Les types de vulnérabilités DeFi courants incluent généralement les prêts flash, la manipulation des prix, les problèmes de droits d'accès aux fonctions, les appels externes arbitraires, les problèmes de fonction fallback, les vulnérabilités de logique métier, les fuites de clés privées et les attaques par réentrance, etc. Voici un accent particulier sur les prêts flash, la manipulation des prix et les attaques par réentrance.

Prêt Flash

Le prêt éclair est une innovation de la Finance décentralisée, mais lorsqu'il est exploité par des hackers, il peut entraîner d'énormes pertes :

• Les attaquants empruntent d'importants fonds via des prêts flash pour manipuler les prix, attaquer la logique commerciale, etc.
• Les développeurs doivent prendre en compte si les fonctionnalités du contrat peuvent être affectées par des fonds énormes, ou être exploitées pour obtenir des gains indus.
• Certains projets n'ont pas pris en compte l'impact des prêts flash lors de la conception de leurs fonctionnalités, ce qui a entraîné le vol de fonds.

Au cours des deux dernières années, de nombreux problèmes liés aux prêts éclair ont émergé. Certains projets semblent offrir des rendements très élevés, mais présentent en réalité des failles logiques, par exemple :

• Les récompenses sont distribuées à des moments fixes en fonction de la quantité de positions, manipulées par des prêts éclair pour obtenir de grandes récompenses.
• Les projets dont le prix est calculé par Token peuvent voir leur prix affecté par un prêt éclair.

Les équipes de projet devraient être vigilantes face à ces problèmes.

Manipulation des prix

Les problèmes de manipulation des prix sont étroitement liés aux prêts flash, principalement de deux types :

1. Utilisation de données tierces pour calculer le prix, mais mauvaise utilisation ou absence de vérification.
2. Utiliser le nombre de tokens à certaines adresses comme variable de calcul, et ces quantités peuvent être manipulées temporairement.

Attaque par réentrance

L'appel à des contrats externes peut entraîner une prise de contrôle du flux de contrôle, entraînant des modifications inattendues des données. Un exemple typique d'attaque par réentrance :

solidity mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool succès, ) = msg.sender.call.value(montantÀRetirer)(""); require(succès); userBalances[msg.sender] = 0; }

Puisque le solde de l'utilisateur est défini à 0 seulement à la fin de la fonction, des appels répétés peuvent extraire le solde plusieurs fois.

Pour résoudre le problème de réentrance, il faut faire attention à :

1. Pas seulement pour prévenir la réentrance d'une seule fonction
2. Suivre le modèle Checks-Effects-Interactions
3. Utiliser un modificateur anti-reentrance vérifié

Il est conseillé d'utiliser des pratiques de sécurité optimales bien établies et d'éviter de réinventer la roue.

Conseils de sécurité

suggestions pour l'équipe de projet:

1. Suivre les meilleures pratiques de sécurité pour le développement de contrats.
2. Mise en œuvre de la possibilité de mettre à jour et de suspendre les contrats
3. Utiliser un verrouillage temporel
4. Augmenter les investissements en matière de sécurité et établir un système de sécurité complet.
5. Améliorer la sensibilisation à la sécurité de tous les employés
6. Prévenir les actes malveillants internes, tout en améliorant l'efficacité et en renforçant la gestion des risques.
7. Soyez prudent lors de l'introduction de tiers, par défaut, les flux en amont et en aval ne sont pas sûrs.

Comment les utilisateurs peuvent-ils déterminer si un contrat intelligent est sécurisé :

1. Vérifiez si le contrat est open source
2. Vérifiez si le propriétaire utilise une multi-signature décentralisée
3. Vérifiez la situation des transactions existantes dans le contrat
4. Vérifiez si le contrat est évolutif et s'il y a un verrouillage temporel.
5. Vérifiez si plusieurs institutions ont été auditées, si les droits du propriétaire sont trop étendus.
6. Faites attention à la fiabilité des oracles.

En résumé, dans le domaine de la Finance décentralisée, que ce soit pour les développeurs de projets ou les utilisateurs ordinaires, il est nécessaire d'améliorer la sensibilisation à la sécurité, de prendre des mesures de sécurité nécessaires pour réduire les risques et protéger la sécurité des actifs.