الأمن والثغرات في التمويل اللامركزي وتدابير الوقاية

مؤخراً، شارك خبير أمان درساً حول أمان التمويل اللامركزي لأعضاء المجتمع. استعرض الأحداث الأمنية الكبيرة التي واجهتها صناعة Web3 مؤخراً، وناقش أسباب هذه الأحداث وطرق تجنبها، وقدم ملخصاً عن الثغرات الأمنية الشائعة في العقود الذكية وإجراءات الوقاية، وقدم بعض النصائح الأمنية للمشاريع والمستخدمين.

! قسم أمان Cobo DeFi (الجزء الثاني) :D الثغرات الأمنية الشائعة والوقاية من eFi

تشمل الأنواع الشائعة من ثغرات التمويل اللامركزي قروض الفلاش، وتلاعب الأسعار، ومشكلات صلاحيات الدوال، واستدعاءات خارجية عشوائية، ومشكلات دالة الاسترجاع، وثغرات منطق العمل، وتسرب المفاتيح الخاصة، وهجمات إعادة الإدخال، وغيرها. فيما يلي نركز على قروض الفلاش، وتلاعب الأسعار، وهجمات إعادة الإدخال.

القرض الفوري

القرض الفوري هو نوع من الابتكار في التمويل اللامركزي، لكن يمكن أن يتسبب في خسائر ضخمة عند استغلاله من قبل القراصنة:

• المهاجم يستعير كميات كبيرة من الأموال من خلال القروض الفورية، ويتلاعب بالسعر أو يهاجم منطق العمل.
• يجب على المطورين مراعاة ما إذا كانت وظائف العقد ستؤدي إلى استثناءات بسبب الأموال الضخمة
• بعض المشاريع تستخدم عدد الرموز لحساب المكافآت، أو تستخدم عدد الرموز في أزواج التداول في DEX للمشاركة في الحساب، هذه المتغيرات سهلة التحكم من قبل القروض الفورية.

على مدار العامين الماضيين، تعرضت العديد من مشاريع التمويل اللامركزي ذات العوائد المرتفعة لهجمات اقتراض سريعة بسبب مشاكل في الشيفرة أو المنطق. على سبيل المثال، تقوم بعض المشاريع بمنح المكافآت في أوقات ثابتة بناءً على حجم الحيازة، واستغل المهاجمون الاقتراض السريع لشراء كميات كبيرة من الرموز للحصول على معظم المكافآت.

التحكم في الأسعار

تتعلق مشكلة التلاعب بالأسعار ارتباطًا وثيقًا بالقروض الفورية، وهناك نوعان رئيسيان منها:

1. استخدام بيانات الطرف الثالث عند حساب الأسعار، ولكن طريقة الاستخدام غير صحيحة أو الفحص مفقود
2. استخدام رصيد التوكن لبعض العناوين كمتغيرات حسابية، حيث يمكن زيادة أو تقليل هذه الأرصدة بشكل مؤقت

هجوم إعادة الدخول

المخاطر الرئيسية لاستدعاء العقود الخارجية هي أنها قد تستولي على تدفق التحكم، مما يؤدي إلى تغييرات غير متوقعة في البيانات. على سبيل المثال:

سوليديتي رسم الخرائط (address = > uint) أرصدة مستخدم خاصة ؛

وظيفة withdrawBalance() عامة { uint amountToWithdraw = userBalances[msg.sender]; (bool النجاح ، ) = msg.sender.call.value(amountToWithdraw)( "" ); require(success). أرصدة المستخدم[msg.sender] = 0; }

نظرًا لأن رصيد المستخدم يتم تصفيره فقط في نهاية الدالة، فإن استدعاء الدالة بشكل متكرر سيؤدي إلى استخراج الرصيد بنجاح.

لحل مشكلة إعادة الدخول يجب الانتباه إلى:

1. لا تمنع فقط إعادة الدخول لوظيفة واحدة
2. اتبع نمط الفحوصات-التأثيرات-التفاعلات
3. استخدام مُعدِّل مُثبت ضد إعادة الدخول

هناك أشكال متعددة من هجمات إعادة الدخول، وقد تشمل عدة دوال أو عقود. يُنصح باستخدام ممارسات الأمان الناضجة، وتجنب إعادة اختراع العجلة.

نصائح الأمان

نصائح الأمان لفريق المشروع

1. اتباع أفضل ممارسات الأمان في تطوير العقود
2. تحقيق قابلية ترقية العقد وإمكانية الإيقاف
3. استخدام آلية قفل الوقت
4. زيادة استثمار الأمن، وإنشاء نظام أمني متكامل
5. زيادة الوعي الأمني لجميع الموظفين
6. منع الأذى الداخلي، مع تعزيز كفاءة التحكم في المخاطر في نفس الوقت
7. احذر من إدخال طرف ثالث، الافتراضي هو أن كل من الجانبين غير آمن

المستخدمين يحكمون على أمان العقود الذكية

1. هل العقد مفتوح المصدر
2. هل قام المالك بتبني توقيع متعدد لامركزي؟
3. تحقق من حالات التداول الحالية للعقد
4. هل العقد قابل للتحديث، وهل هناك قفل زمني
5. هل العقد يقبل تدقيق العديد من المؤسسات، هل صلاحيات المالك كبيرة جداً
6. انتبه إلى موثوقية الأوراق المالية

بشكل عام، هناك العديد من مخاطر الأمان في مجال التمويل اللامركزي، ويجب على المشاريع والمستخدمين أن يكونوا يقظين، واتخاذ تدابير حماية متعددة للحفاظ على أمان النظام البيئي.