Merkezi Olmayan Finans Yaygın Güvenlik Açıkları ve Önleme Önlemleri

Son zamanlarda, bir güvenlik uzmanı topluluk üyeleri için bir Merkezi Olmayan Finans güvenlik dersi paylaştı. Uzman, son bir yıldan fazla sürede Web3 sektörünün karşılaştığı önemli güvenlik olaylarını gözden geçirdi, bu olayların nedenlerini ve nasıl önlenebileceğini tartıştı, yaygın akıllı sözleşmelerin güvenlik açıklarını ve önleme yöntemlerini özetledi ve proje sahiplerine ile normal kullanıcılara bazı güvenlik önerileri sundu.

Yaygın DeFi açıkları genellikle flash loan, fiyat manipülasyonu, fonksiyon yetki sorunları, rastgele dış çağrılar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntıları ve yeniden giriş saldırıları gibi türleri içerir. Bu yazıda, flash loan, fiyat manipülasyonu ve yeniden giriş saldırıları üzerine odaklanılacaktır.

Hızlı Kredi

Hızlı kredi, Merkezi Olmayan Finans'ın (DeFi) bir yeniliğidir, ancak genellikle saldırganlar tarafından kötüye kullanılır. Saldırganlar, hızlı kredi aracılığıyla büyük miktarda para borç alarak fiyatları manipüle edebilir veya iş mantığını saldırıya uğratabilir. Geliştiricilerin, sözleşme işlevlerinin büyük miktarda para nedeniyle anormal hale gelip gelemeyeceğini veya kötüye kullanılarak haksız kazanç elde edilip edilemeyeceğini dikkate alması gerekmektedir.

Birçok Merkezi Olmayan Finans projesi yüksek kazançlar sağlıyormuş gibi görünse de, aslında proje sahiplerinin kalitesi oldukça farklılık göstermektedir. Bazı projelerin kodları satın alınmış olabilir; kodun kendisinde bir açık olmasa bile, mantıksal olarak sorunlar barındırabilir. Örneğin, bazı projeler belirli bir zamanda, token sahiplerinin sayısına göre ödüller dağıtırken, saldırganlar flash loan kullanarak büyük miktarda token satın alabilir ve ödüllerin dağıtımında büyük bir kısmını elde edebilirler.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunu, kullanıcıların kontrol edebildiği bazı parametrelerden kaynaklanarak, genellikle anlık kredi ile yakından ilişkilidir. Yaygın sorun türleri ikiye ayrılmaktadır:

1. Fiyat hesaplanırken üçüncü taraf verileri kullanılır, ancak kullanım şekli yanlış veya kontrol eksikliği nedeniyle fiyat kötü niyetli olarak manipüle edilir.
2. Belirli adreslerin token miktarlarını hesaplama değişkeni olarak kullanın, bu adreslerin token bakiyeleri geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Reentrancy saldırısı, dış sözleşmeleri çağırırken karşılaşılabilecek ana tehlikelerden biridir. Saldırgan kontrol akışını ele geçirebilir ve verilerde beklenmedik değişiklikler yapabilir. Örneğin:

katılık mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(başarı); userBalances[msg.sender] = 0; }

Bu örnekte, kullanıcı bakiyesi yalnızca fonksiyonun sonuna kadar 0 olarak ayarlandığı için, saldırgan ilk çağrıyı başarılı bir şekilde gerçekleştirdikten sonra bu fonksiyonu tekrar çağırarak bakiyeyi birden fazla kez çekebilir.

Reentrancy sorununu çözerken aşağıdaki noktalara dikkat edilmelidir:

1. Sadece tek bir fonksiyonun tekrar çağrılma sorununu önlemekle kalmamalıyız;
2. Checks-Effects-Interactions modeline uygun kodlama yapın;
3. Zamanla kanıtlanmış reentrancy modifier'ı kullanın.

Reentrancy saldırısının tipik bir örneği Omni Protocol olayıdır. Bu saldırıda, açığı keşfeden saldırganın gönderdiği işlem, diğer hackerlar tarafından ele geçirilip öncelikli olarak gerçekleştirildi; bu da orijinal saldırganın yalnızca kısmi kazanç elde etmesine yol açtı. Bu, Web3 ekosistemindeki "karanlık orman" özelliğini vurgular; saldırganlar arasında da av olma durumu söz konusu olabilir.

Güvenlik Önerileri

Proje tarafı güvenlik önerisi

1. Sözleşme geliştirme için en iyi güvenlik uygulamalarına uyun.
2. Sözleşmelerin güncellenebilir ve durdurulabilir olmasını sağlamak.
3. Zaman kilidi mekanizması kullanın.
4. Güvenlik yatırımlarını artırmak ve mükemmel bir güvenlik sistemi kurmak.
5. Tüm çalışanların güvenlik bilincini artırın.
6. İçsel kötüye kullanımları önlemek, verimliliği artırırken risk yönetimini güçlendirmek.
7. Üçüncü taraf hizmetlerini dikkatlice entegre edin, "varsayılan olarak yukarı ve aşağı akışın güvensiz olduğu" ilkesine uyun.

Kullanıcı/LP akıllı sözleşmenin güvenli olup olmadığını nasıl değerlendirir?

1. Sözleşmenin açık kaynak olup olmadığını kontrol edin.
2. Owner'ın merkezi olmayan çoklu imza mekanizmasını kullanıp kullanmadığını doğrulayın.
3. Sözleşmenin mevcut ticaret durumunu kontrol et.
4. Sözleşmenin bir vekil sözleşmesi olup olmadığını, yükseltilebilir olup olmadığını ve zaman kilidi olup olmadığını onaylayın.
5. Sözleşmenin birden fazla kurum tarafından denetlenip denetlenmediğini kontrol edin, Owner yetkisini aşırı değerlendirip değerlendirmediğini değerlendirin.
6. Oracle'ların seçimi ve kullanımı konusunda dikkatli olun.

Sonuç olarak, Merkezi Olmayan Finans alanında güvenlik sorunları her zaman en önemli hususlardan biridir. Hem proje sahipleri hem de sıradan kullanıcılar, riskleri azaltmak ve varlık güvenliğini sağlamak için yüksek bir dikkat göstermeli ve uygun güvenlik önlemleri almalıdır.