Keamanan Umum dalam Keuangan Desentralisasi dan Tindakan Pencegahannya

Baru-baru ini, seorang ahli keamanan membagikan wawasan tentang keamanan DeFi kepada anggota komunitas. Ia meninjau peristiwa keamanan besar yang dihadapi industri Web3 selama lebih dari setahun terakhir, membahas penyebab peristiwa tersebut dan cara menghindarinya, merangkum kerentanan keamanan umum pada kontrak pintar dan langkah pencegahannya, serta memberikan beberapa saran keamanan kepada pengembang proyek dan pengguna.

Jenis-jenis kerentanan DeFi yang umum termasuk pinjaman kilat, manipulasi harga, masalah izin fungsi, panggilan eksternal sembarangan, masalah fungsi fallback, kerentanan logika bisnis, kebocoran kunci privat, dan serangan reentrancy. Berikut ini adalah penjelasan khusus tentang pinjaman kilat, manipulasi harga, dan serangan reentrancy.

Pinjaman Kilat

Pinjaman kilat adalah inovasi dalam Keuangan Desentralisasi, tetapi juga sering disalahgunakan oleh peretas. Pelaku serangan dapat meminjam sejumlah besar dana melalui pinjaman kilat, untuk memanipulasi harga atau menyerang logika bisnis. Para pengembang perlu mempertimbangkan apakah fungsi kontrak akan menyebabkan abnormalitas karena dana yang sangat besar, atau disalahgunakan untuk mendapatkan imbalan yang tidak semestinya.

Selama dua tahun terakhir, masalah pinjaman kilat sering terjadi. Beberapa proyek DeFi yang tampaknya memberikan imbal hasil tinggi, sebenarnya mungkin memiliki celah logika. Misalnya, ada proyek yang memberikan hadiah berdasarkan jumlah kepemilikan pada waktu tertentu, yang dimanfaatkan oleh penyerang dengan pinjaman kilat untuk membeli sejumlah besar token dan mendapatkan sebagian besar hadiah. Selain itu, beberapa proyek yang menghitung harga berdasarkan token, mungkin dipengaruhi oleh pinjaman kilat.

Manipulasi Harga

Masalah manipulasi harga terkait erat dengan pinjaman kilat, yang terutama terdiri dari dua jenis:

1. Menggunakan data pihak ketiga saat menghitung harga, tetapi cara penggunaannya tidak benar atau pemeriksaan tidak ada, yang mengakibatkan harga dimanipulasi secara jahat.

2. Menggunakan jumlah token dari alamat tertentu sebagai variabel perhitungan, di mana saldo token alamat tersebut dapat ditambah atau dikurangi sementara.

Serangan Reentrancy

Risiko utama dari memanggil kontrak eksternal adalah mereka dapat mengambil alih alur kontrol dan membuat perubahan data yang tidak terduga. Misalnya, dalam fungsi penarikan, jika saldo pengguna diatur menjadi 0 di akhir fungsi, maka panggilan ulang masih akan berhasil melakukan penarikan.

Mengatasi masalah reentrancy perlu diperhatikan:

1. Tidak hanya mencegah masalah reentrance dari satu fungsi.
2. Mengikuti pola Checks-Effects-Interactions dalam pengkodean
3. Menggunakan modifier reentrancy yang telah terverifikasi

Salah satu contoh klasik dari serangan reentrancy adalah peristiwa Omni Protocol. Peristiwa ini juga mengungkapkan persaingan di antara para hacker: transaksi dari penyerang asli diambil alih oleh hacker lain, yang akhirnya menyebabkan penemu celah menjadi yang paling diuntungkan, bukan yang terbanyak.

Saran Keamanan

Saran Keamanan Proyek

1. Mengikuti praktik keamanan terbaik dalam pengembangan kontrak
2. Mewujudkan fungsi kontrak yang dapat ditingkatkan dan dapat dijeda
3. Menggunakan mekanisme kunci waktu
4. Meningkatkan investasi keamanan, membangun sistem keamanan yang sempurna
5. Meningkatkan kesadaran keamanan semua karyawan
6. Mencegah kejahatan internal, sambil meningkatkan efisiensi dan memperkuat manajemen risiko
7. Hati-hati dalam memperkenalkan layanan pihak ketiga, ikuti prinsip "default upstream dan downstream tidak aman".

Metode untuk menilai keamanan smart contract oleh pengguna/LP

1. Periksa apakah kontrak tersebut open source
2. Konfirmasi apakah Pemilik menggunakan multi-tanda tangan yang terdesentralisasi
3. Lihat situasi transaksi yang sudah ada di kontrak
4. Memahami apakah kontrak tersebut adalah kontrak perwakilan, apakah dapat ditingkatkan, dan apakah ada kunci waktu.
5. Periksa apakah kontrak telah diaudit oleh beberapa lembaga, dan evaluasi apakah hak akses Owner terlalu besar.
6. Perhatikan pemilihan dan penggunaan oracle

Dalam lingkungan Web3, pengguna harus tetap waspada, banyak berpikir, dan banyak bertanya untuk menghindari risiko potensial. Untuk setiap proyek dengan imbal hasil tinggi, harus dengan hati-hati mengevaluasi keamanannya sebelum berpartisipasi.