Merkezi Olmayan Finans Yaygın Güvenlik Açıkları ve Önleme Önlemleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı. Uzman, son bir yıl içinde Web3 endüstrisinin karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini ve nasıl kaçınılacağına dair tartışmalar yaptı, yaygın akıllı sözleşme güvenlik açıklarını ve önleyici tedbirleri özetledi ve proje sahipleri ile sıradan kullanıcılara bazı güvenlik önerileri sundu.

Yaygın DeFi güvenlik açıkları arasında hızlı kredi, fiyat manipülasyonu, fonksiyon izin sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntıları ve yeniden giriş gibi durumlar bulunmaktadır. Bu makale, hızlı kredi, fiyat manipülasyonu ve yeniden giriş saldırıları gibi üç türü ele alacaktır.

Hızlı Kredi

Açık Kredi, Merkezi Olmayan Finans'ın (DeFi) bir yeniliğidir, ancak genellikle hackerlar tarafından saldırılar için kullanılmaktadır. Saldırganlar, Açık Kredi aracılığıyla büyük miktarda fon borç alarak fiyatları manipüle edebilir veya iş mantığını hedef alabilirler. Geliştiricilerin, sözleşme işlevinin büyük miktarda fon nedeniyle anormal hale gelip gelmeyeceğini veya büyük miktarda fonla tek bir işlemde birden fazla fonksiyonla etkileşim kurarak haksız ödüller elde edilip edilemeyeceğini dikkate alması gerekir.

Birçok Merkezi Olmayan Finans projesi yüksek getiri sağlıyormuş gibi görünse de, aslında proje ekiplerinin düzeyi oldukça değişkenlik gösteriyor. Bazı projelerin kodları satın alınmış olabilir; bu durumda kodda bir açık olmasa bile, mantıksal olarak sorunlar ortaya çıkabilir. Örneğin, bazı projeler belirli bir zamanda, token sahiplerinin elinde bulundurduğu token miktarına göre ödül dağıtımı yapar. Ancak, saldırganlar, ödül dağıtım zamanı geldiğinde büyük miktarda token satın almak için hızlı kredi kullanarak, çoğu ödülü elde edebilirler.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunu, kullanıcıların kontrol edebileceği bazı parametrelerden kaynaklandığı için, hızlı kredi ile yakından ilişkilidir. Yaygın sorun türleri ikiye ayrılmaktadır:

1. Fiyat hesaplanırken üçüncü taraf verileri kullanılır, ancak kullanım şekli yanlış veya kontrol eksikliği nedeniyle fiyat kötü niyetli bir şekilde manipüle edilir.
2. Bazı adreslerin token miktarını hesaplama değişkeni olarak kullanın, bu adreslerin token bakiyeleri geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Reentrancy saldırısı, dış sözleşmeleri çağırırken karşılaşılabilecek başlıca tehlikelerden biridir. Saldırgan, kontrol akışını ele geçirebilir ve verilerde beklenmedik değişiklikler yapabilir.

Farklı sözleşmelere karşı, yeniden girişin birçok şekli vardır, bu sözleşmelerin farklı fonksiyonlarını veya birden fazla farklı sözleşmenin fonksiyonlarını içerebilir. Yeniden giriş sorununu çözerken aşağıdaki noktalara dikkat edilmelidir:

1. Sadece tek bir fonksiyonun yeniden giriş sorununu önlemek yeterli değil.
2. Checks-Effects-Interactions modeline göre kodlama yapın
3. Zamanla kanıtlanmış reentrancy modifikatörünü kullanın

Web3 alanında, olgun güvenlik uygulamalarını kullanmak, tekerleği yeniden icat etmekten daha akıllıcadır. İyi bir şekilde doğrulanmış çözümler kullanmak, sorun yaşama olasılığını önemli ölçüde azaltabilir.

Proje Ekibi Güvenlik Önerileri

1. Sözleşme geliştirme için en iyi güvenlik uygulamalarına uyun
2. Sözleşmenin güncellenebilir ve durdurulabilir işlevlerinin gerçekleştirilmesi
3. Zaman kilidi mekanizması kullanma
4. Güvenlik yatırımlarını artırmak ve kapsamlı bir güvenlik sistemi kurmak
5. Tüm çalışanların güvenlik bilincini artırmak
6. İçerideki kötü niyetleri önlemek, verimliliği artırırken risk yönetimini güçlendirmek.
7. Üçüncü taraf hizmetlerini dikkatlice entegre edin, "varsayılan olarak, yukarı ve aşağı akışın güvenli olmadığı" ilkesine uyun.

Kullanıcılar akıllı sözleşmelerin güvenli olup olmadığını nasıl belirler?

1. Sözleşmenin açık kaynak olup olmadığını doğrulayın
2. Owner'ın merkezi olmayan çok imzalı bir mekanizma kullanıp kullanmadığını kontrol edin.
3. Sözleşmenin mevcut ticaret durumunu kontrol et
4. Sözleşmenin bir vekil sözleşmesi olup olmadığını, yükseltilebilir olup olmadığını ve zaman kilidi olup olmadığını onaylayın.
5. Sözleşmenin birden fazla kurum tarafından denetlenip denetlenmediğini ve Owner yetkisinin fazla olup olmadığını kontrol edin.
6. Projenin kullandığı oracle'ın güvenilir olup olmadığını kontrol edin.

Bu noktaları dikkate alarak, kullanıcılar akıllı sözleşmelerin güvenliğini daha iyi değerlendirebilir ve Merkezi Olmayan Finans projelerine katılma riskini azaltabilir.