Merkezi Olmayan Finans Yaygın Güvenlik Açıkları ve Önleme Tedbirleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı. Geçtiğimiz bir yıldan fazla sürede Web3 sektörünün karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu güvenlik olaylarının nedenlerini ve nasıl önlenebileceğini tartıştı, yaygın akıllı sözleşmelerin güvenlik açıklarını ve önleyici tedbirleri özetledi, ayrıca proje sahipleri ve sıradan kullanıcılar için bazı güvenlik önerileri sundu.

Yaygın DeFi zayıflık türleri genellikle hızlı krediler, fiyat manipülasyonu, fonksiyon yetki sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı zayıflıkları, özel anahtar sızıntıları ve yeniden giriş saldırılarını içerir. Bu makalede hızlı krediler, fiyat manipülasyonu ve yeniden giriş saldırıları gibi üç tür üzerinde durulacaktır.

Hızlı Kredi

Lightning loans, kendisi Merkezi Olmayan Finans'ın bir yeniliğidir, ancak bir hacker tarafından kullanıldığında, herhangi bir maliyet ödemeden büyük miktarda fon alabilirler, arbitraj yaptıktan sonra geri ödeyebilirler ve sadece küçük bir Gas ücreti ödeyerek büyük kazançlar elde edebilirler.

Birçok Merkezi Olmayan Finans projesi yüksek getiri sağlıyormuş gibi görünse de, aslında projelerin kalitesi değişkenlik göstermektedir. Bazı projelerin kodları satın alınmış olabilir; kodun kendisi güvenli olsa bile, mantıksal olarak hâlâ sorunlar bulunabilir. Örneğin, bir proje belirli zamanlarda, token sahiplerinin sahip olduğu token sayısına göre ödül dağıtıyorsa, saldırganlar bu ödülleri almak için flash loan kullanarak büyük miktarda token satın alabilir ve ödül dağıtıldığında bu ödüllerin çoğunu elde edebilir.

Ayrıca, fiyatları hesaplamak için token kullanan bazı projeler bulunmaktadır; bu projelerin fiyatlarını hızlı kredi ile etkilemek mümkündür. Proje sahipleri bu sorunlara karşı dikkatli olmalıdır.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunları ve flash kredi ilişkisi yakından bağlantılıdır, başlıca iki yaygın türü vardır:

1. Fiyat hesaplamasında üçüncü taraf verileri kullanılır, ancak kullanım şekli yanlış veya kontroller eksik olduğu için fiyat kötü niyetli bir şekilde manipüle edilir.

2. Hesaplama değişkeni olarak belirli adreslerin token miktarlarını kullanın, bu adreslerin token bakiyeleri geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın en büyük tehlikelerinden biri, kontrol akışını ele geçirebilmeleri ve veriler üzerinde işlev çağrılarında beklenmeyen değişiklikler yapabilmeleridir. Örneğin:

katılık mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(başarılı); userBalances[msg.sender] = 0; }

Kullanıcının bakiyesi fonksiyonun sonuna kadar 0 olarak ayarlandığı için, ikinci (ve sonraki) çağrılar yine başarılı olacak ve bakiye tekrar tekrar çekilecektir.

Reentrancy sorununu çözmek için aşağıdaki noktalara dikkat etmek gerekir:

1. Sadece tek bir fonksiyonun yeniden giriş problemini önlemek için değil
2. Checks-Effects-Interactions modelini takip ederek kodlama yapın
3. Zamanla test edilmiş reentrancy modifier'ı kullanın

Bu alanda birçok en iyi güvenlik uygulaması var, bunları doğrudan kullanmalıyız, tekerleği yeniden icat etmek yerine. Olgun, kanıtlanmış çözümler kullanmak, kendi geliştirdiğimiz yeni çözümlerden sorun yaşama olasılığımızdan çok daha düşük.

Proje Ekibi Güvenlik Önerileri

1. Sözleşme geliştirme en iyi güvenlik uygulamalarına uymalı.

2. Sözleşmeler yükseltilebilir ve durdurulabilir: Birçok saldırı, paranın tamamını bir seferde almak yerine, birden çok işlemle gerçekleştirilir. Eğer nispeten sağlam bir izleme mekanizması varsa, sözleşmeyi zamanında durdurup kaybı etkili bir şekilde azaltabilir.

3. Zaman kilidinin kullanılması: Eğer bir zaman kilidi varsa, anormallikleri fark etmek ve harekete geçmek için yeterli zaman tanıyabilir.

4. Güvenlik yatırımlarını artırmak, kapsamlı bir güvenlik sistemi kurmak: Güvenlik bir sistemdir, yalnızca sözleşme denetimini değil, aynı zamanda özel anahtar yönetimi, ekonomik model gibi birçok unsuru da içerir.

5. Tüm çalışanların güvenlik bilincini artırmak: Birçok güvenlik sorunu, dikkat artırılarak önlenebilir.

6. İçeriden kötüye kullanımı önlemek, verimliliği artırırken risk kontrolünü güçlendirmek: Çoklu imza, zaman kilidi gibi mekanizmalar kullanarak verimliliği artırırken güvenliği de artırmak mümkündür.

7. Üçüncü tarafın güvenliği sağlama: Hem yukarı hem de aşağı akış için güvenlik kontrolü yapılmalı, özellikle açık kaynak olmayan sözleşmeler için özel dikkat gösterilmelidir.

Kullanıcı/LP Akıllı Sözleşmenin Güvenliğini Nasıl Değerlendirir?

1. Sözleşme açık kaynak mı: Açık kaynak olmayan projelere katılmayın.

2. Sahip çoklu imza kullanıyor mu, çoklu imza merkeziyetsiz mi.

3. Sözleşmenin mevcut işlem durumunu kontrol et: dağıtım zamanı, etkileşim sayısı vb.

4. Sözleşme bir vekil sözleşmesi mi, yükseltilebilir mi, zaman kilidi var mı?

5. Sözleşme birden fazla kurum tarafından denetimden geçti mi, Owner yetkisi fazla mı.

6. Oracle'lara Dikkat: Tanınmış oracle kullanan projeler genellikle daha güvenlidir; kendi oluşturulan veya kolayca manipüle edilebilen oracle'lara karşı özellikle dikkatli olunmalıdır.

Sonuç olarak, Web3 ortamında dikkatli olmak ve birkaç neden sormak, birçok potansiyel riski önlemenizi sağlar. Hem proje sahipleri hem de sıradan kullanıcılar güvenlik sorunlarına önem vermeli, sağlam bir güvenlik bilinci ve önlem mekanizması oluşturmalıdır.