التمويل اللامركزي الأخطاء الأمنية الشائعة وطرق الوقاية

مؤخراً، شارك أحد الخبراء في الأمن درسًا حول أمان التمويل اللامركزي لأعضاء المجتمع. راجع الخبير الأحداث الأمنية الكبرى التي واجهتها صناعة Web3 خلال العام الماضي، واستعرض أسباب حدوث هذه الأحداث وكيفية تجنبها، وملخصًا لثغرات الأمان الشائعة في العقود الذكية وتدابير الوقاية، وقدم بعض النصائح الأمنية للمشاريع والمستخدمين العاديين.

تشمل الأنواع الشائعة من ثغرات التمويل اللامركزي قروض الفلاش، وتلاعب الأسعار، ومشكلات صلاحيات الدوال، واستدعاءات خارجية عشوائية، ومشكلات دالة التراجع، وثغرات منطق الأعمال، وتسرب المفاتيح الخاصة، وهجمات إعادة الإدخال. ستركز هذه المقالة على قروض الفلاش، وتلاعب الأسعار، وهجمات إعادة الإدخال.

! قسم أمان Cobo DeFi (الجزء الثاني) :D الثغرات الأمنية الشائعة والوقاية من eFi

قرض البرق

القرض الفوري هو ابتكار في التمويل اللامركزي، لكنه غالبًا ما يتم استغلاله من قبل المهاجمين. يستعير المهاجمون كميات كبيرة من الأموال من خلال القرض الفوري، للتلاعب بالأسعار أو مهاجمة منطق الأعمال. يحتاج المطورون إلى النظر في ما إذا كانت وظائف العقد ستؤدي إلى شذوذ بسبب الأموال الضخمة أو إذا تم استغلالها للحصول على مكاسب غير مشروعة.

يبدو أن العديد من مشاريع التمويل اللامركزي تحقق عوائد عالية، ولكن في الواقع تختلف مستويات فرق المشاريع. قد يكون كود بعض المشاريع تم شراؤه، وحتى لو لم يكن هناك ثغرات في الكود نفسه، قد تظل هناك مشاكل من الناحية المنطقية. على سبيل المثال، تقوم بعض المشاريع بتوزيع المكافآت في أوقات ثابتة بناءً على عدد الرموز المميزة التي يمتلكها حاملوها، لكن يتمكن المهاجمون من استغلال القروض الفورية لشراء كمية كبيرة من الرموز المميزة، مما يمكنهم من الحصول على معظم العوائد عند توزيع المكافآت.

التحكم في الأسعار

تتعلق مشكلة التلاعب بالأسعار ارتباطًا وثيقًا بالقروض الفورية، ويرجع ذلك بشكل رئيسي إلى أن بعض المعلمات المستخدمة في حساب الأسعار يمكن التحكم فيها بواسطة المستخدمين. هناك نوعان شائعان من المشكلات:

1. استخدام بيانات الطرف الثالث عند حساب الأسعار، ولكن الطريقة المستخدمة غير صحيحة أو تفتقر إلى الفحص، مما يؤدي إلى التلاعب بالأسعار بشكل خبيث.
2. استخدام عدد الرموز في بعض العناوين كمتغيرات حسابية، حيث يمكن أن تتغير أرصدة الرموز في هذه العناوين مؤقتًا.

هجوم إعادة الدخول

هجوم إعادة الدخول هو أحد المخاطر الرئيسية التي قد تواجهها عند استدعاء العقود الخارجية. يمكن للمهاجم السيطرة على تدفق التحكم وإجراء تغييرات غير متوقعة على البيانات. على سبيل المثال:

صلابة رسم الخرائط (address = > uint) أرصدة مستخدم خاصة ؛

وظيفة withdrawBalance() عامة { uint amountToWithdraw = userBalances[msg.sender]; (bool النجاح ، ) = msg.sender.call.value(amountToWithdraw)( "" ); require(نجاح); أرصدة المستخدم[msg.sender] = 0; }

في هذا المثال، نظرًا لأن رصيد المستخدم لا يتم تعيينه إلى 0 حتى نهاية الدالة، يمكن للمهاجم استدعاء هذه الدالة مرة أخرى بعد نجاح الاستدعاء الأول، مما يسمح له بسحب الرصيد عدة مرات.

لحل مشكلة إعادة الدخول، يجب الانتباه إلى النقاط التالية:

1. يجب ألا نمنع فقط مشكلة إعادة الدخول في دالة واحدة؛
2. اتباع نمط التحقق والتأثيرات والتفاعلات في الترميز؛
3. استخدام المعدل الموثوق به ضد إعادة الدخول.

تعتبر حادثة بروتوكول أومني مثالًا نموذجيًا لهجوم إعادة الإدخال. في هذا الهجوم، تم اعتراض المعاملات التي قدمها المهاجم الذي اكتشف الثغرة من قبل قراصنة آخرين وتنفيذها مسبقًا، مما أدى إلى أن المهاجم الأصلي حصل فقط على جزء من الأرباح. وهذا يبرز خاصية "الغابة المظلمة" في بيئة ويب 3، حيث يمكن أن يكون المهاجمون ضحايا لبعضهم البعض.

نصائح الأمان

نصائح الأمان من فريق المشروع

1. اتباع أفضل ممارسات الأمان في تطوير العقود.
2. تنفيذ ميزات ترقية العقد وإيقافه.
3. استخدام آلية قفل الوقت.
4. زيادة الاستثمار في الأمن، وإنشاء نظام أمان متكامل.
5. زيادة الوعي الأمني لدى جميع الموظفين.
6. منع الأفعال السيئة الداخلية، مع تعزيز إدارة المخاطر أثناء تحسين الكفاءة.
7. كن حذرًا عند إدخال خدمات الطرف الثالث، واتبع مبدأ "عدم أمان الافتراضي لجميع الأطراف".

كيف يمكن للمستخدمين/LP تحديد ما إذا كانت العقود الذكية آمنة

1. تحقق من ما إذا كانت العقد مفتوحة المصدر.
2. تحقق مما إذا كان المالك يستخدم آلية توقيع متعدد لامركزية.
3. الاطلاع على حالة التداول الحالية للعقد.
4. تأكد من ما إذا كانت العقدة هي عقد وكالة، وما إذا كانت قابلة للتحديث، وما إذا كان هناك قفل زمني.
5. تحقق مما إذا كانت العقد قد خضعت لتدقيق من قبل العديد من المؤسسات، وتقييم ما إذا كانت صلاحيات المالك كبيرة جدًا.
6. انتبه لاختيار واستخدام الأوراق المالية.

بشكل عام، تعتبر مسائل الأمان واحدة من أهم الاعتبارات في مجال التمويل اللامركزي . سواء كان الأمر يتعلق بالمشاريع أو المستخدمين العاديين، يجب عليهم الحفاظ على مستوى عالٍ من اليقظة واتخاذ تدابير الأمان المناسبة لتقليل المخاطر وضمان أمان الأصول.