Finance décentralisée 常见安全漏洞及预防措施

Récemment, un expert en sécurité a partagé des idées sur la sécurité de la Finance décentralisée avec les membres de la communauté. Il a passé en revue les événements de sécurité majeurs auxquels l'industrie Web3 a été confrontée au cours de l'année dernière, a exploré les raisons de ces événements et comment les éviter, a résumé les vulnérabilités de sécurité courantes des contrats intelligents et les mesures préventives, et a donné quelques conseils de sécurité aux projets et aux utilisateurs.

Les types de vulnérabilités DeFi courants incluent les prêts flash, la manipulation des prix, les problèmes de permissions de fonction, les appels externes arbitraires, les problèmes de fonction fallback, les vulnérabilités de logique métier, les fuites de clés privées et les attaques par réinjection, etc. Les trois types suivants seront présentés en détail : les prêts flash, la manipulation des prix et les attaques par réinjection.

Prêt éclair

Le prêt éclair est une innovation de la Finance décentralisée, mais il est souvent exploité par des hackers. Les attaquants peuvent emprunter d'importants montants via des prêts éclair pour manipuler les prix ou attaquer la logique d'affaires. Les développeurs doivent prendre en compte si les fonctionnalités des contrats pourraient être anormales en raison de montants énormes ou être exploitées pour obtenir des récompenses indues.

Au cours des deux dernières années, les problèmes de prêt éclair ont été fréquents. Certains projets DeFi apparemment à rendement élevé peuvent en réalité présenter des failles logiques. Par exemple, certains projets distribuent des récompenses en fonction des quantités détenues à des moments fixes, et les attaquants exploitent les prêts éclair pour acheter d'importantes quantités de jetons afin d'obtenir la majorité des récompenses. D'autres projets, qui calculent le prix en fonction des jetons, peuvent également être affectés par les prêts éclair.

Manipulation des prix

Les problèmes de manipulation des prix sont étroitement liés aux prêts flash, et il existe principalement deux types :

1. Utiliser des données tierces pour calculer le prix, mais de manière incorrecte ou sans vérification, ce qui entraîne une manipulation malveillante des prix.

2. Utiliser le nombre de tokens de certaines adresses comme variable de calcul, tandis que le solde des tokens de ces adresses peut être temporairement augmenté ou diminué.

Attaque par réentrance

Le principal risque d'appeler des contrats externes est qu'ils peuvent prendre le contrôle de l'exécution et apporter des modifications inattendues aux données. Par exemple, dans une fonction de retrait, si le solde de l'utilisateur est mis à 0 seulement à la fin de la fonction, alors un appel répété réussira toujours à retirer.

Pour résoudre le problème de réentrance, il faut faire attention à :

1. Ne pas seulement prévenir les problèmes de réentrée d'une seule fonction.
2. Suivre le modèle Checks-Effects-Interactions pour le codage
3. Utiliser un modificateur de protection contre les réentrées vérifié

Un cas typique d'attaque par réentrance est l'incident du protocole Omni. Cet événement a également révélé la lutte entre les hackers : les transactions de l'attaquant initial ont été devancées par d'autres hackers, ce qui a finalement conduit à ce que celui qui a découvert la faille réalise un profit au lieu du plus grand nombre.

Conseils de sécurité

recommandations de sécurité pour les projets

1. Suivre les meilleures pratiques de sécurité lors du développement de contrats
2. Mettre en œuvre des fonctionnalités de contrat pouvant être mises à niveau et suspendues
3. Adopter un mécanisme de verrouillage temporel
4. Augmenter les investissements en sécurité et établir un système de sécurité complet
5. Améliorer la sensibilisation à la sécurité de tous les employés
6. Prévenir les abus internes tout en améliorant l'efficacité et en renforçant le contrôle des risques.
7. Introduire des services tiers avec prudence, en suivant le principe "par défaut, ni en amont ni en aval n'est sûr".

Méthodes pour les utilisateurs/LP afin d'évaluer la sécurité des contrats intelligents.

1. Vérifiez si le contrat est open source
2. Confirmer si le propriétaire utilise un multi-signature décentralisé.
3. Vérifiez les transactions existantes du contrat
4. Vérifiez si le contrat est un contrat d'agent, s'il est évolutif, s'il y a un verrouillage temporel.
5. Vérifiez si le contrat a été audité par plusieurs institutions, évaluez si les droits du propriétaire sont trop étendus.
6. Faites attention au choix et à l'utilisation des oracles.

Dans un environnement Web3, les utilisateurs doivent rester vigilants, réfléchir et poser des questions pour éviter les risques potentiels. Pour tout projet à rendement élevé, il convient d'évaluer prudemment sa sécurité avant de participer.