Децентралізовані фінанси Загальні проблеми безпеки та запобіжні заходи

Нещодавно один експерт з безпеки провів для членів спільноти урок з безпеки Децентралізованих фінансів. Він оглянув значні інциденти безпеки, які сталися в індустрії Web3 за останній рік, обговорив причини їх виникнення та способи їх уникнення, підсумував звичайні вразливості безпеки смарт-контрактів та запобіжні заходи, а також дав кілька порад з безпеки для проектів та звичайних користувачів.

Звичайні типи вразливостей DeFi зазвичай включають в себе миттєві кредити, маніпуляцію цінами, проблеми з правами функцій, довільні зовнішні виклики, проблеми з функцією fallback, вразливості бізнес-логіки, витік приватних ключів, повторні атаки тощо. Нижче особливо розглядаються миттєві кредити, маніпуляція цінами та повторні атаки.

Швидкі кредити

Швидкі кредити самі по собі є інновацією в Децентралізованих фінансах, але їх використання хакерами може призвести до величезних втрат:

• Зловмисники беруть велику суму грошей через флеш-кредит, маніпулюючи ціною, атакуючи бізнес-логіку тощо
• Розробники повинні враховувати, чи не призведе велика сума коштів до аномалій у функціях контракту або чи не буде це використано для отримання неправомірного доходу.
• Деякі проекти не врахували вплив швидких кредитів під час розробки функцій, що призвело до викрадення коштів.

Протягом останніх двох років виникло багато проблем, пов'язаних зі闪电贷. Деякі проекти виглядають дуже прибутковими, але насправді мають логічні вади, наприклад:

• У встановлений час на основі обсягу позицій виділяються винагороди, які маніпулюються за допомогою флеш-кредитів для отримання великої кількості винагород.
• Проекти, що розраховують ціну через токен, можуть бути під впливом миттєвих кредитів.

Команда проекту повинна бути обережною щодо цих питань.

Ціновий моніторинг

Проблема маніпуляцій цінами тісно пов'язана з闪电贷, існує два основні типи:

1. Використовуються сторонні дані для розрахунку ціни, але спосіб використання неправильний або відсутня перевірка
2. Використання кількості токенів з певних адрес як обчислювальної змінної, яка може бути тимчасово маніпульована

Атака повторного входу

Виклик зовнішнього контракту може призвести до захоплення контролю над потоком, що призведе до непередбачуваних змін даних. Типовий приклад атаки повторного входу:

солідність відображення (address => uint) private userBalances;

function withdrawBalance() public { uint amountToRemove = userBalances[msg.sender]; (bool успіху ) = msg.sender.call.value(amountToWithdraw)("" ); require(успіх); userBalances[msg.sender] = 0; }

Оскільки баланс користувача до останнього виклику функції залишається 0, повторні виклики можуть багаторазово знімати баланс.

Щоб вирішити проблему повторного входу, потрібно звернути увагу на:

1. Не тільки запобігання повторному входу одного функції
2. Дотримуйтеся моделі Checks-Effects-Interactions
3. Використовуйте перевірений модифікатор захисту від повторних викликів

Рекомендується використовувати зрілі найкращі практики безпеки, уникати повторного винаходу колеса.

Рекомендації з безпеки

До пропозицій до команди проекту:

1. Дотримуйтесь найкращих практик безпеки при розробці контрактів
2. Реалізація можливості оновлення та призупинення контракту
3. Використання тайм-локів
4. Збільшити інвестиції в безпеку, створити вдосконалену систему безпеки
5. Підвищення обізнаності всіх співробітників щодо безпеки
6. Запобігання внутрішнім зловживанням, підвищуючи ефективність, одночасно посилюючи управління ризиками.
7. Обережно вводьте третю сторону, за замовчуванням вважається, що верхні і нижні ланки не є безпечними.

Як користувачам визначити, чи безпечний смарт-контракт:

1. Перевірте, чи є контракт відкритим
2. Перевірте, чи власник використовує децентралізовані мультипідписи
3. Перегляньте вже наявні угоди за контрактом
4. Перевірте, чи можна оновити контракт, чи є часовий замок
5. Перевірте, чи приймаються аудити від кількох установ, чи є права Owner занадто великими.
6. Зверніть увагу на надійність оракулів

Отже, у сфері Децентралізованих фінансів, як проектам, так і звичайним користувачам, необхідно підвищити обізнаність щодо безпеки, вжити необхідних заходів безпеки, щоб знизити ризики та захистити активи.