Merkezi Olmayan Finans Yaygın Güvenlik Açıkları ve Önleme Tedbirleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleriyle Merkezi Olmayan Finans güvenliği üzerine görüşlerini paylaştı. Geçtiğimiz bir yıl boyunca Web3 endüstrisinin karşılaştığı büyük güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini ve nasıl önlenebileceğini tartıştı, yaygın akıllı sözleşme güvenlik açıklarını ve önleyici tedbirleri özetledi ve proje sahipleri ile kullanıcılara bazı güvenlik önerileri sundu.

Yaygın DeFi açık türleri arasında flash loan, fiyat manipülasyonu, fonksiyon izin sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntıları ve reentrancy saldırıları gibi durumlar bulunmaktadır. Aşağıda flash loan, fiyat manipülasyonu ve reentrancy saldırısı olmak üzere bu üç tür üzerinde durulacaktır.

Hızlı Kredi

Hızlı kredi, Merkezi Olmayan Finans'ın (DeFi) bir yeniliğidir, ancak genellikle hackerlar tarafından kullanılmaktadır. Saldırganlar, hızlı krediler aracılığıyla büyük miktarda para borçlanarak fiyatları manipüle edebilir veya iş mantığını hedef alabilir. Geliştiricilerin, sözleşme işlevlerinin büyük miktardaki fonlar nedeniyle anormalliklere yol açıp açmayacağını veya kötü niyetli ödüller elde etmek için istismar edilip edilmeyeceğini düşünmeleri gerekmektedir.

Son iki yılda, flaş kredi sorunları sıkça yaşandı. Bazı yüksek getiri vaat eden Merkezi Olmayan Finans projeleri, aslında mantık hataları içerebilir. Örneğin, bazı projeler belirli bir zamanda pozisyon miktarına göre ödül dağıtıyor ve saldırganlar flaş krediyi kullanarak büyük miktarda token satın alıp ödüllerin çoğunu elde ediyor. Ayrıca, token fiyatlarını hesaplayan projeler, flaş krediden etkilenebilir.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunları, hızlı kredilerle yakından ilişkilidir ve esasen iki türü vardır:

1. Fiyat hesaplamak için üçüncü taraf verileri kullanılır, ancak kullanım şekli yanlış veya kontrol eksikliği nedeniyle fiyat kötü niyetli bir şekilde manipüle edilir.

2. Belirli adreslerin token sayısını hesaplama değişkeni olarak kullanın, bu adreslerin token bakiyeleri geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın temel riski, kontrol akışını ele geçirebilmeleri ve verilere beklenmedik değişiklikler yapabilmeleridir. Örneğin, bir çekme fonksiyonunda, eğer kullanıcı bakiyesi fonksiyonun sonunda 0 olarak ayarlanıyorsa, tekrar çağrıldığında hala başarılı bir şekilde çekim yapılabilir.

Reentrancy sorununu çözmek için dikkat edilmesi gerekenler:

1. Sadece tek bir fonksiyonun yeniden giriş sorununu önlemekle kalmaz.
2. Checks-Effects-Interactions modeline göre kodlama
3. Doğrulanmış reentrancy modifier'ını kullanın

Reentrancy saldırısının tipik bir örneği Omni Protocol olayıdır. Bu olay ayrıca hackerlar arasındaki mücadeleyi de ortaya çıkardı: İlk saldırganın işlemleri, diğer hackerlar tarafından kapıldı ve nihayetinde açığı bulan kişi en fazla kazanç sağlamadı.

Güvenlik Önerileri

Proje tarafı güvenlik önerileri

1. Sözleşme geliştirme için en iyi güvenlik uygulamalarına uyun
2. Sözleşmenin yükseltilebilir ve durdurulabilir özelliklerini sağlamak
3. Zaman kilidi mekanizması kullanma
4. Güvenlik yatırımlarını artırın, kapsamlı bir güvenlik sistemi kurun.
5. Tüm çalışanların güvenlik bilincini artırmak
6. İçeriden kötü niyetli davranışları önlemek, verimliliği artırırken risk kontrolünü güçlendirmek
7. Üçüncü taraf hizmetlerini dikkatle entegre edin, "varsayılan olarak ne yukarı ne de aşağı güvenlidir" ilkesine uyun.

Kullanıcı/LP Akıllı Sözleşme Güvenliğini Değerlendirme Yöntemleri

1. Sözleşmenin açık kaynak olup olmadığını kontrol edin
2. Owner'ın merkezi olmayan çoklu imza kullanıp kullanmadığını onaylayın.
3. Sözleşmenin mevcut işlem durumunu kontrol et
4. Sözleşmenin bir vekil sözleşmesi olup olmadığını, yükseltilebilir olup olmadığını ve zaman kilidi olup olmadığını anlamak
5. Sözleşmenin birden fazla kurum tarafından denetimden geçip geçmediğini kontrol edin, Owner yetkisinin aşırı büyük olup olmadığını değerlendirin.
6. Oracle seçimleri ve kullanım durumlarına dikkat edin

Web3 ortamında, kullanıcılar dikkatli olmalı, daha fazla düşünmeli ve sormalıdırlar, böylece potansiyel risklerden kaçınabilirler. Herhangi bir yüksek getiri projesi için, katılmadan önce güvenliğini dikkatlice değerlendirmelidir.