Tài chính phi tập trung các lỗ hổng bảo mật thường gặp và biện pháp phòng ngừa

Gần đây, một chuyên gia an ninh đã chia sẻ một bài học về an ninh DeFi cho các thành viên trong cộng đồng. Chuyên gia đã xem xét lại những sự kiện an ninh nghiêm trọng mà ngành Web3 đã gặp phải trong hơn một năm qua, thảo luận về nguyên nhân xảy ra những sự kiện này và cách tránh chúng, tóm tắt các lỗ hổng an ninh phổ biến của hợp đồng thông minh và các biện pháp phòng ngừa, đồng thời đưa ra một số lời khuyên an ninh cho các dự án và người dùng thông thường.

Các loại lỗ hổng DeFi phổ biến chủ yếu bao gồm cho vay chớp nhoáng, thao túng giá, vấn đề quyền hàm, gọi ngoại bộ tùy ý, vấn đề hàm fallback, lỗ hổng logic kinh doanh, rò rỉ khóa riêng và tấn công tái nhập. Bài viết này sẽ tập trung vào ba loại: cho vay chớp nhoáng, thao túng giá và tấn công tái nhập.

Vay chớp nhoáng

Vay chớp nhoáng là một sáng tạo trong Tài chính phi tập trung, nhưng cũng thường bị tin tặc lợi dụng để thực hiện các cuộc tấn công. Kẻ tấn công vay ra một số lượng lớn tiền qua vay chớp nhoáng, thao túng giá cả hoặc tấn công logic kinh doanh. Các nhà phát triển cần xem xét xem chức năng hợp đồng có bị bất thường do số tiền khổng lồ hay không, hoặc liệu có thể bằng cách nào đó thông qua số tiền khổng lồ tương tác với nhiều hàm trong một giao dịch để nhận phần thưởng không chính đáng.

Nhiều dự án Tài chính phi tập trung có vẻ mang lại lợi nhuận cao, nhưng thực tế là trình độ của các bên dự án rất khác nhau. Một số mã nguồn của dự án có thể được mua lại, ngay cả khi mã nguồn không có lỗ hổng, về mặt logic vẫn có thể tồn tại vấn đề. Ví dụ, một số dự án sẽ phát thưởng vào thời điểm cố định dựa trên số lượng token mà người nắm giữ sở hữu, nhưng lại bị kẻ tấn công lợi dụng vay chớp nhoáng để mua một lượng lớn token, qua đó nhận được phần lớn phần thưởng khi phát thưởng.

Giá cả thao túng

Vấn đề thao túng giá cả liên quan chặt chẽ đến vay chớp nhoáng, chủ yếu do một số tham số trong tính toán giá có thể được người dùng kiểm soát. Có hai loại vấn đề phổ biến:

1. Sử dụng dữ liệu bên thứ ba khi tính toán giá, nhưng cách sử dụng không đúng hoặc thiếu kiểm tra, dẫn đến giá bị thao túng ác ý.
2. Sử dụng số lượng token của một số địa chỉ làm biến số tính toán, trong khi số dư token của những địa chỉ này có thể được tăng hoặc giảm tạm thời.

Tấn công tái nhập

Tấn công tái nhập là một trong những nguy hiểm chính có thể gặp phải khi gọi hợp đồng bên ngoài. Kẻ tấn công có thể kiểm soát luồng điều khiển và thực hiện các thay đổi không mong đợi đối với dữ liệu.

Đối với các hợp đồng khác nhau, có nhiều cách tồn tại của việc gọi lại, có thể liên quan đến các hàm khác nhau của hợp đồng hoặc các hàm của nhiều hợp đồng khác nhau. Khi giải quyết vấn đề gọi lại, cần chú ý đến những điểm sau:

1. Không chỉ phải ngăn chặn vấn đề tái nhập của một hàm đơn.
2. Tuân theo mô hình Checks-Effects-Interactions để lập trình
3. Sử dụng modifier chống tấn công tái nhập đã được kiểm chứng theo thời gian

Trong lĩnh vực Web3, việc sử dụng các thực hành an toàn đã trưởng thành là hợp lý hơn so với việc lặp lại những gì đã được làm. Việc sử dụng các giải pháp đã được xác minh đầy đủ có thể giảm đáng kể xác suất xảy ra sự cố.

Đề xuất an toàn cho dự án

1. Tuân thủ các thực hành an toàn tốt nhất trong phát triển hợp đồng
2. Thực hiện chức năng nâng cấp và tạm dừng hợp đồng
3. Áp dụng cơ chế khóa thời gian
4. Tăng cường đầu tư vào an ninh, xây dựng hệ thống an ninh hoàn chỉnh
5. Nâng cao nhận thức về an toàn của tất cả nhân viên
6. Ngăn ngừa hành vi xấu bên trong, đồng thời nâng cao hiệu suất và tăng cường quản lý rủi ro.
7. Cẩn thận khi đưa vào dịch vụ bên thứ ba, tuân theo nguyên tắc "mặc định tất cả các bên đều không an toàn".

Người dùng làm thế nào để xác định hợp đồng thông minh có an toàn hay không

1. Xác nhận hợp đồng có mã nguồn mở không
2. Kiểm tra xem Owner có áp dụng cơ chế đa chữ ký phi tập trung hay không
3. Xem tình hình giao dịch hiện có của hợp đồng
4. Xác nhận hợp đồng có phải là hợp đồng đại diện, có thể nâng cấp, có thời gian khóa không
5. Kiểm tra xem hợp đồng có được nhiều tổ chức kiểm toán hay không, quyền Owner có quá lớn hay không.
6. Chú ý đến độ tin cậy của oracle được dự án sử dụng.

Bằng cách chú ý đến những điểm này, người dùng có thể đánh giá tốt hơn độ an toàn của hợp đồng thông minh, giảm thiểu rủi ro khi tham gia các dự án Tài chính phi tập trung.