التمويل اللامركزي 常见安全漏洞及预防措施

مؤخراً، شارك أحد خبراء الأمن دورة تدريبية حول أمان التمويل اللامركزي لأعضاء المجتمع. استعرضت الدورة الأحداث الأمنية الكبرى التي شهدها قطاع Web3 على مدار العام الماضي، واستكشفت أسباب هذه الأحداث وطرق تجنبها، وملخصت الثغرات الأمنية الشائعة في العقود الذكية وطرق الوقاية منها، وقدمت بعض النصائح الأمنية للمشاريع والمستخدمين العاديين.

تشمل أنواع الثغرات الشائعة في التمويل اللامركزي القروض الفورية، والتلاعب بالأسعار، ومشكلات صلاحيات الدوال، والاستدعاء الخارجي العشوائي، ومشكلات دالة fallback، والثغرات في منطق الأعمال، وتسرب المفاتيح الخاصة، وهجمات إعادة الإدخال. ستركز هذه المقالة على ثلاثة أنواع وهي القروض الفورية، وتلاعب الأسعار، وهجمات إعادة الإدخال.

! قسم أمان Cobo DeFi (الجزء الثاني) :D الثغرات الأمنية الشائعة والوقاية من eFi

قرض فوري

القرض الفوري هو ابتكار في التمويل اللامركزي، ولكنه قد يُستغل من قبل القراصنة. عادةً ما يقوم المهاجمون باقتراض كميات كبيرة من الأموال عبر القرض الفوري، للتلاعب بالأسعار أو مهاجمة منطق العمل. يحتاج المطورون إلى النظر في ما إذا كانت وظائف العقد ستؤدي إلى شذوذ بسبب الأموال الضخمة، أو ما إذا كان من الممكن من خلال الأموال الكبيرة التفاعل مع عدة وظائف في صفقة واحدة للحصول على مكافآت غير مشروعة.

تبدو العديد من مشاريع التمويل اللامركزي ذات عوائد مرتفعة، لكن مستوى فريق المشروع متفاوت. بعض المشاريع قد تستخدم رموزاً تم شراؤها، وحتى لو لم يكن هناك ثغرات في الشيفرة نفسها، قد تبقى هناك مشكلات من الناحية المنطقية. على سبيل المثال، تقوم بعض المشاريع بتوزيع المكافآت في أوقات محددة بناءً على كمية الرموز التي يمتلكها حاملوها، مما قد يستغله المهاجمون من خلال اقتراض رموز كبيرة عبر القروض السريعة ليحصلوا على معظم المكافآت عند توزيعها.

التحكم في الأسعار

تتعلق مشكلة التلاعب بالأسعار ارتباطًا وثيقًا بالقروض الفورية، وذلك بسبب إمكانية التحكم ببعض المعلمات أثناء حساب الأسعار. هناك نوعان شائعان من المشكلات:

1. عند حساب الأسعار، يتم استخدام بيانات الطرف الثالث، ولكن إذا كانت طريقة الاستخدام غير صحيحة أو كانت هناك فحوصات مفقودة، فقد يؤدي ذلك إلى التلاعب بالأسعار بشكل خبيث.
2. استخدام عدد الرموز المميزة لبعض العناوين كمتغير حسابي، حيث يمكن زيادة أو تقليل رصيد الرموز المميزة لهذه العناوين بشكل مؤقت.

هجوم إعادة الإدخال

من المخاطر الرئيسية لاستدعاء العقود الخارجية هو أنها قد تستولي على تدفق التحكم وتقوم بإجراء تغييرات غير متوقعة على البيانات. على سبيل المثال، في دالة السحب، إذا تم تعيين رصيد المستخدم إلى 0 فقط في نهاية الدالة، فإن الاستدعاء الثاني (وأي استدعاءات لاحقة) سيظل ناجحًا، مما يؤدي إلى سحب مكرر.

لحل مشكلة إعادة الدخول، يجب الانتباه إلى النقاط التالية:

1. يجب منع مشكلة إعادة الدخول لوظيفة واحدة فقط.
2. اتباع نمط Checks-Effects-Interactions في الترميز.
3. استخدم المعدل المضاد لإعادة الدخول الذي تم التحقق من صحته عبر الزمن.

من الجدير بالذكر أن إعادة اختراع العجلة قد يؤدي إلى مخاطر أكبر. استخدام أفضل الممارسات الأمنية المثبتة غالبًا ما يكون أكثر أمانًا من تطوير طرق جديدة بنفسك.

نصائح أمان المشروع

1. اتباع أفضل ممارسات الأمان في تطوير العقود.
2. تنفيذ وظيفة ترقية العقد وإيقافه.
3. استخدام آلية قفل الوقت.
4. زيادة الاستثمار في الأمن، وإنشاء نظام أمان متكامل.
5. زيادة الوعي الأمني لجميع الموظفين.
6. منع الأذى الداخلي، مع تعزيز كفاءة العمل وزيادة التحكم في المخاطر.
7. يجب توخي الحذر عند إدخال طرف ثالث، حيث أن الجانبين العلوي والسفلي غير آمنين بشكل افتراضي.

كيف يحدد المستخدم/موفر السيولة ما إذا كان العقد الذكي آمنًا

1. تأكد من أن العقد مفتوح المصدر.
2. تحقق مما إذا كان المالك يستخدم التوقيع المتعدد، وما إذا كان التوقيع المتعدد لامركزي.
3. تحقق من حالة التداول الحالية للعقد.
4. تأكيد ما إذا كانت العقد هي عقد وكيل، وما إذا كانت قابلة للتحديث، وما إذا كان هناك قفل زمني.
5. تحقق مما إذا كانت العقد قد خضعت لتدقيق من قبل عدة مؤسسات، وما إذا كانت صلاحيات المالك كبيرة جدًا.
6. انتبه إلى استخدام الأوراكيل.

من خلال التركيز على هذه الجوانب، يمكن للمستخدمين تقييم أمان العقود الذكية بشكل أفضل وتقليل احتمال المشاركة في مشاريع عالية المخاطر.