Децентрализованные финансы Общие уязвимости безопасности и меры предосторожности

В последнее время один из экспертов по безопасности поделился с членами сообщества курсом по безопасности Децентрализованных финансов. Курс охватывает основные события безопасности, с которыми столкнулась индустрия Web3 за последний год, исследует причины этих событий и способы их предотвращения, обобщает распространённые уязвимости смарт-контрактов и меры предосторожности, а также предлагает некоторые советы по безопасности для разработчиков проектов и обычных пользователей.

Распространенные типы уязвимостей DeFi включают в себя флеш-кредиты, манипуляции с ценами, проблемы с правами доступа к функциям, произвольные внешние вызовы, проблемы с функцией обратного вызова, уязвимости бизнес-логики, утечку приватных ключей и атаки повторного входа. В данной статье будут подробно рассмотрены три типа: флеш-кредиты, манипуляции с ценами и атаки повторного входа.

Лимонный кредит

Мгновенные займы являются инновацией в Децентрализованных финансах, но также могут быть использованы хакерами. Злоумышленники обычно берут в долг большие суммы через мгновенные займы, чтобы манипулировать ценами или атаковать бизнес-логику. Разработчики должны учитывать, приведет ли большое количество средств к аномалиям в функционале контракта или возможно ли получить неправомерные вознаграждения, взаимодействуя с несколькими функциями в одной транзакции.

Многие проекты Децентрализованные финансы выглядят так, будто они предлагают высокую доходность, но уровень команд проекта варьируется. Некоторые проекты могут использовать купленный код, и даже если сам код не имеет уязвимостей, логически могут существовать проблемы. Например, некоторые проекты будут выдавать вознаграждения в фиксированное время на основе количества токенов у держателей, что может быть использовано злоумышленниками с использованием flash-кредита для покупки большого количества токенов и получения большей части вознаграждения в момент его выдачи.

Манипуляция ценами

Проблема манипуляции ценами тесно связана с кредитами на мгновенных займах, в основном из-за того, что некоторые параметры могут контролироваться пользователем при расчете цены. Существует два основных типа проблем:

1. При расчете цены используются данные третьих сторон, но неправильное использование или отсутствие проверки приводит к манипуляциям с ценой.
2. Использование количества токенов на некоторых адресах в качестве расчетной переменной, при этом баланс токенов на этих адресах может быть временно увеличен или уменьшен.

Атака повторного входа

Одним из основных рисков вызова внешних контрактов является то, что они могут захватить управление потоком и внести непредвиденные изменения в данные. Например, в функции вывода, если баланс пользователя устанавливается в 0 только в конце функции, то повторный (и последующие) вызовы все равно будут успешными, что приведет к дублирующему выводу.

Чтобы решить проблему повторного входа, необходимо обратить внимание на следующие моменты:

1. Необходимо предотвратить не только проблему повторного входа в одну функцию.
2. Следуйте модели Checks-Effects-Interactions при кодировании.
3. Используйте проверенный временем модификатор защиты от повторного входа.

Стоит отметить, что повторное создание колеса может привести к большим рискам. Использование хорошо проверенных лучших практик безопасности обычно безопаснее, чем разработка новых методов самостоятельно.

Рекомендации по безопасности для проекта

1. Следуйте лучшим практикам безопасности при разработке контрактов.
2. Реализовать возможность обновления и приостановки контрактов.
3. Использование механизма временной блокировки.
4. Увеличить инвестиции в безопасность и создать完善ную систему безопасности.
5. Повышение безопасности всех сотрудников.
6. Предотвращение внутренних злоупотреблений, одновременно повышая эффективность и усиливая управление рисками.
7. Осторожно вводите третьих лиц, по умолчанию предполагается, что вверх и вниз по потоку все небезопасно.

Как пользователю/поставщику ликвидности определить, безопасен ли смарт-контракт

1. Подтвердите, является ли контракт открытым.
2. Проверьте, использует ли владелец мультиподпись и является ли она децентрализованной.
3. Посмотреть уже существующую торговую ситуацию по контракту.
4. Убедитесь, что контракт является代理ным, может ли он быть обновлен и есть ли временная блокировка.
5. Проверьте, проводился ли аудит контракта несколькими учреждениями и не слишком ли велики полномочия владельца.
6. Обратите внимание на использование оракулов.

Обратив внимание на эти аспекты, пользователи могут лучше оценить безопасность смарт-контрактов и снизить вероятность участия в рискованных проектах.