Merkezi Olmayan Finansın Yaygın Güvenlik Açıkları ve Önleme Yöntemleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleriyle Merkezi Olmayan Finans güvenliği ile ilgili konuları paylaştı. Uzman, son bir yıl içinde Web3 sektörünün karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini derinlemesine inceledi ve bunlardan nasıl kaçınılacağına dair tartışmalarda bulundu. Ayrıca, yaygın akıllı sözleşmelerin güvenlik açıklarını ve önleyici tedbirlerini özetledi ve proje sahipleri ile sıradan kullanıcılara bazı güvenlik önerileri sundu.

Yaygın DeFi güvenlik açıkları temel olarak flash loan, fiyat manipülasyonu, fonksiyon izin sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntısı ve yeniden giriş saldırıları gibi türleri içermektedir. Bu makalede flash loan, fiyat manipülasyonu ve yeniden giriş saldırıları gibi üç tür üzerinde durulacaktır.

Hızlı Kredi

Lightning kredisi, Merkezi Olmayan Finans'ın bir yeniliğidir, ancak genellikle hackerlar tarafından kötüye kullanılır. Saldırganlar, lightning kredisi aracılığıyla büyük miktarda fon borç alabilir, fiyatları manipüle edebilir veya iş mantığını hedef alabilir. Geliştiricilerin, sözleşme işlevlerinin büyük miktardaki fonlardan dolayı anormal hale gelip gelmeyeceğini veya bir işlem içinde birden fazla fonksiyonla etkileşim kurarak haksız kazanç elde edilip edilmeyeceğini dikkate alması gerekir.

Birçok Merkezi Olmayan Finans projesi yüksek kazanç sağlıyormuş gibi görünüyor, ancak projelerin kalitesi çok değişken. Kodun kendisi açık bir güvenlik açığına sahip olmasa bile, mantıksal olarak hala sorunlar olabilir. Örneğin, bazı projeler belirli bir zamanda pozisyon miktarına göre ödül dağıtırken, saldırganlar bu durumu kullanarak büyük miktarda token satın almak için flash loan kullanabilir ve ödül dağıtımında büyük bir kısmını elde edebilirler. Ayrıca, Token ile fiyat hesaplayan bazı projeler de flash loan'ların fiyatı etkilemesine açıktır. Proje sahipleri bu sorunlara karşı dikkatli olmalıdır.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunu, bazı parametrelerin kullanıcılar tarafından kontrol edilebilmesinden dolayı, hızlı kredi hizmetleriyle yakından ilişkilidir. İki yaygın durum vardır:

1. Fiyat hesaplamasında üçüncü taraf verileri kullanılır, ancak kullanım şekli yanlış veya kontrol eksikliği nedeniyle fiyat kötü niyetli bir şekilde manipüle edilir.

2. Belirli adreslerin Token bakiyelerini hesaplama değişkeni olarak kullanın, bu adreslerin Token sayısı geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın başlıca risklerinden biri, kontrol akışını ele geçirebilirler ve verilerde beklenmedik değişiklikler yapabilirler. Örneğin:

katılık mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(başarılı); userBalances[msg.sender] = 0; }

Kullanıcı bakiyesi, fonksiyonun sonuna kadar 0 olarak ayarlanmadığı için, ikinci ve sonraki çağrılar yine başarılı olacak ve bakiye tekrar tekrar çekilecektir.

Reentrancy saldırılarının çeşitli biçimleri vardır ve bunlar aynı sözleşmenin farklı fonksiyonlarını veya birden fazla sözleşmenin fonksiyonlarını içerebilir. Reentrancy sorununu çözerken dikkat edilmesi gerekenler:

1. Sadece tek bir fonksiyonun yeniden giriş sorununu önlemekle kalmaz.
2. Checks-Effects-Interactions modeline göre kodlama
3. Doğrulanmış reentrancy modifier'ı kullanın

En iyisi tekrarlayan tekerlekler yapmaktan kaçınmak ve sektördeki olgun en iyi güvenlik uygulamalarını kullanmaktır. Yeni yapılan "tekerlekler" yeterince doğrulanmamış olup, sorun yaşama olasılığı genellikle kanıtlanmış çözümlerden daha yüksektir.

Güvenlik Önerileri

Proje Ekibi Güvenlik Önerisi

1. Sözleşme geliştirmede en iyi güvenlik uygulamalarına uyun

2. Yükseltilebilir ve duraklatılabilir sözleşmeler tasarlamak: saldırı kayıplarını zamanında tespit edip azaltmaya yardımcı olur.

3. Zaman kilidi kullanma: Potansiyel sorunları keşfetmek ve bunlara yanıt vermek için bir tampon süresi sağlama

4. Güvenlik yatırımlarını artırmak, mükemmel bir güvenlik sistemi kurmak: Güvenlik, sistematik bir çalışmadır, yalnızca sözleşme denetimi ile sınırlı değildir.

5. Tüm çalışanların güvenlik bilincini artırmak: Birçok saldırı insan doğasının zayıflıklarını kullanıyor, tetikte olmak birçok sorunun önüne geçebilir.

6. İçerideki kötülükleri önlemek, verimliliği artırırken risk kontrolünü güçlendirmek: çoklu imza, zaman kilidi gibi mekanizmalar kullanılabilir.

7. Üçüncü tarafları dikkatlice dahil edin: Özellikle açık kaynak olmayan sözleşmeler için hem yukarı hem de aşağı akışta güvenlik kontrolü yapılmalıdır.

Kullanıcı/LP akıllı sözleşme güvenliğini değerlendirme yöntemleri

1. Sözleşmenin açık kaynak olup olmadığını kontrol et: Açık kaynak olmayan projelere katılma.

2. Owner'ın merkezi olmayan çoklu imza kullanıp kullanmadığını onaylayın.

3. Sözleşmenin mevcut işlem durumunu görüntüleme: dağıtım zamanı, etkileşim sayısı vb.

4. Sözleşmenin bir proxy sözleşmesi olup olmadığını, yükseltilebilir olup olmadığını ve zaman kilidi olup olmadığını kontrol edin.

5. Sözleşmenin birden fazla kurum tarafından denetlenip denetlenmediğini ve Owner yetkisinin çok büyük olup olmadığını onaylayın.

6. Oracle güvenilirliğine dikkat edin: Lider oracle'lar oldukça güvenli, kendi inşa edilen veya düşük eşik oracle'lar dikkatli kullanılmalıdır.

Sonuç olarak, DeFi alanında katılımcıların dikkatli olmaları gerekir, proje sahipleri güvenlik sorunlarını kapsamlı bir şekilde ele almalı, kullanıcılar ise projelerin güvenliğini dikkatlice değerlendirdikten sonra karar vermelidir.