Finanzas descentralizadas comunes vulnerabilidades de seguridad y medidas de prevención

Recientemente, un experto en seguridad compartió un curso de seguridad en Finanzas descentralizadas con los miembros de la comunidad. El experto revisó los importantes eventos de seguridad que ha enfrentado la industria de Web3 en el último año y más, y profundizó en las razones por las que ocurrieron estos eventos y cómo evitarlos. También resumió las vulnerabilidades de seguridad comunes de los contratos inteligentes y las medidas de prevención, y brindó algunos consejos de seguridad tanto para los proyectos como para los usuarios comunes.

Los tipos comunes de vulnerabilidades en Finanzas descentralizadas generalmente incluyen préstamos relámpago, manipulación de precios, problemas de permisos de funciones, llamadas externas arbitrarias, problemas de funciones de retroceso, vulnerabilidades en la lógica de negocio, filtración de claves privadas y ataques de reentrada. Este artículo se centrará en los préstamos relámpago, la manipulación de precios y los ataques de reentrada.

Préstamo relámpago

El préstamo relámpago es una innovación de las Finanzas descentralizadas, pero también es comúnmente utilizado por hackers. Los atacantes suelen pedir prestado una gran cantidad de fondos a través de un préstamo relámpago para manipular precios o atacar la lógica del negocio. Los desarrolladores necesitan considerar si la funcionalidad del contrato podría causar anormalidades debido a grandes sumas de dinero, o si podría ser explotada en una sola transacción interactuando con múltiples funciones para obtener recompensas indebidas.

Muchos proyectos de Finanzas descentralizadas parecen tener altos rendimientos, pero en realidad, el nivel de los equipos detrás de ellos varía considerablemente. Algunos proyectos pueden haber comprado su código, y aunque el código en sí no tenga vulnerabilidades, aún puede haber problemas lógicos. Por ejemplo, algunos proyectos distribuyen recompensas en momentos fijos según la cantidad de tokens que poseen los tenedores, pero los atacantes pueden aprovechar préstamos relámpago para comprar una gran cantidad de tokens, lo que lleva a que la mayor parte de las recompensas se desvíen hacia los atacantes.

Manipulación de precios

Los problemas de manipulación de precios están estrechamente relacionados con los préstamos relámpago, principalmente debido a que ciertos parámetros en el cálculo del precio pueden ser controlados por los usuarios. Hay dos tipos comunes de problemas:

1. Se utilizan datos de terceros para calcular precios, pero el uso no es correcto o falta una verificación, lo que lleva a la manipulación maliciosa de los precios.
2. Usar la cantidad de tokens en ciertas direcciones como variable de cálculo, y el saldo de tokens en estas direcciones puede ser temporalmente aumentado o disminuido.

Ataque de reingreso

Uno de los principales riesgos de llamar a contratos externos es que pueden tomar el control del flujo y realizar cambios inesperados en los datos. Un ejemplo típico de ataque de reentrada es en la función de retiro, donde el saldo del usuario no se establece en 0 hasta el final de la función, lo que permite que múltiples llamadas aún puedan retirar exitosamente.

Para diferentes contratos, los métodos de ataque de reentrada son diversos y pueden involucrar múltiples funciones diferentes o varios contratos. Al abordar el problema de la reentrada, es importante tener en cuenta los siguientes puntos:

1. No solo se debe prevenir el problema de reentrada de una sola función.
2. Seguir el patrón de Checks-Effects-Interactions para la codificación
3. Usar un modificador de prevención de reentrada comprobado por el tiempo

Es importante señalar que volver a inventar la rueda a menudo es peligroso. En el ámbito de Web3 ya existen muchas mejores prácticas de seguridad, y adoptar directamente estas soluciones maduras es más seguro que desarrollarlas por uno mismo.

Sugerencias de seguridad

Sugerencias de seguridad del proyecto

1. Seguir las mejores prácticas de seguridad en el desarrollo de contratos
2. Implementar funciones de actualización y pausa de contratos
3. Adoptar un mecanismo de bloqueo temporal
4. Aumentar la inversión en seguridad y establecer un sistema de seguridad completo.
5. Aumentar la conciencia de seguridad de todos los empleados
6. Prevenir el comportamiento malicioso interno, mientras se mejora la eficiencia y se refuerza el control de riesgos.
7. Introducir componentes de terceros con precaución, siguiendo el principio de "tanto el upstream como el downstream por defecto no son seguros"

¿Cómo pueden los usuarios/LP determinar si un contrato inteligente es seguro?

1. Confirmar si el contrato es de código abierto
2. Verificar si el Owner utiliza un mecanismo de múltiples firmas descentralizado
3. Ver la situación de las transacciones existentes del contrato
4. Entender si el contrato es un contrato de agencia, si es actualizable y si tiene un bloqueo temporal.
5. Confirma si el contrato ha sido auditado por varias instituciones y evalúa si los permisos del propietario son excesivos.
6. Presta atención al tipo y la fiabilidad del oráculo utilizado por el proyecto

En el entorno de Web3, la conciencia de seguridad es crucial. Los usuarios deben reflexionar más y estar alerta para evitar posibles riesgos de seguridad. Especialmente en momentos de mala situación del mercado, deben estar más atentos a las diversas posibles conductas fraudulentas.