Finanças Descentralizadas comuns vulnerabilidades de segurança e medidas de prevenção

Recentemente, um especialista em segurança compartilhou uma aula sobre segurança em Finanças Descentralizadas para os membros da comunidade. O especialista revisou os principais eventos de segurança que o setor Web3 enfrentou no último ano e meio, discutiu as razões por trás desses eventos e como evitá-los, resumiu as vulnerabilidades de segurança comuns em contratos inteligentes e as medidas de prevenção, e deu algumas recomendações de segurança para as equipes de projeto e usuários comuns.

Os tipos comuns de vulnerabilidades em Finanças Descentralizadas incluem empréstimos relâmpago, manipulação de preços, problemas de permissões de funções, chamadas externas arbitrárias, problemas com funções de fallback, vulnerabilidades de lógica de negócios, vazamento de chaves privadas e reentrâncias. Este artigo irá focar nos empréstimos relâmpago, manipulação de preços e ataques de reentrada.

Empréstimo Relâmpago

Empréstimos relâmpago são uma inovação nas Finanças Descentralizadas, mas também são frequentemente utilizados por hackers para realizar ataques. Os atacantes emprestam grandes quantias através de empréstimos relâmpago, manipulando preços ou atacando a lógica de negócios. Os desenvolvedores precisam considerar se a funcionalidade dos contratos pode levar a anomalias devido a grandes quantias de dinheiro, ou se é possível obter recompensas indevidas ao interagir com várias funções em uma única transação usando grandes quantias.

Muitos projetos de Finanças Descentralizadas parecem ter retornos muito altos, mas na verdade o nível das equipes por trás dos projetos varia bastante. Alguns códigos de projetos podem ter sido comprados; mesmo que o código em si não tenha vulnerabilidades, pode haver problemas lógicos. Por exemplo, alguns projetos distribuem recompensas em horários fixos com base na quantidade de tokens que os detentores possuem, mas os atacantes podem aproveitar-se de empréstimos relâmpago para comprar grandes quantidades de tokens e obter a maior parte das recompensas no momento da distribuição.

Manipulação de Preços

O problema de manipulação de preços está intimamente relacionado com os empréstimos relâmpago, principalmente devido a certos parâmetros que podem ser controlados pelos usuários durante o cálculo de preços. Existem dois tipos comuns de problemas:

1. Os preços são calculados utilizando dados de terceiros, mas a forma de utilização não é correta ou faltam verificações, levando a manipulações maliciosas dos preços.
2. Usar a quantidade de tokens de certos endereços como variável de cálculo, enquanto o saldo de tokens desses endereços pode ser temporariamente aumentado ou diminuído.

Ataque de Reentrada

Um ataque de reentrada é um dos principais perigos que podem ser enfrentados ao chamar contratos externos. Um atacante pode assumir o fluxo de controle e fazer alterações inesperadas nos dados.

Existem muitas maneiras de reentrância para diferentes contratos, que podem envolver diferentes funções de um contrato ou funções de vários contratos diferentes. Ao resolver problemas de reentrância, é necessário ter em mente os seguintes pontos:

1. Não só devemos prevenir problemas de reentrada de uma única função.
2. Seguir o padrão Checks-Effects-Interactions ao codificar
3. Usar um modifier de proteção contra reentrada testado ao longo do tempo

No domínio do Web3, é mais sensato usar práticas de segurança maduras do que reinventar a roda. A utilização de soluções bem testadas pode reduzir significativamente a probabilidade de problemas.

Recomendações de segurança para o projeto

1. Seguir as melhores práticas de segurança para o desenvolvimento de contratos
2. Implementar funções de atualização e pausa do contrato
3. Adotar um mecanismo de bloqueio de tempo
4. Aumentar o investimento em segurança e estabelecer um sistema de segurança completo.
5. Aumentar a consciência de segurança de todos os funcionários
6. Prevenir comportamentos maliciosos internos, enquanto se aumenta a eficiência e se reforça o controle de riscos
7. Introduza serviços de terceiros com cautela, seguindo o princípio de que "por defeito, todos os upstream e downstream são inseguros"

Como os usuários podem determinar se um contrato inteligente é seguro

1. Confirmar se o contrato é de código aberto
2. Verifique se o Owner utiliza um mecanismo de múltiplas assinaturas descentralizado.
3. Verifique a situação das transações existentes do contrato
4. Confirme se o contrato é um contrato de agência, se é atualizável e se tem um bloqueio de tempo.
5. Verifique se o contrato foi auditado por várias instituições e se os direitos do Owner são excessivos.
6. Preste atenção se o oráculo utilizado pelo projeto é confiável

Ao prestar atenção a esses pontos, os usuários podem avaliar melhor a segurança dos contratos inteligentes e reduzir o risco de participar em projetos de Finanças Descentralizadas.