التمويل اللامركزي المشاكل الأمنية الشائعة ووسائل الوقاية

مؤخراً، شارك خبير في الصناعة رؤى حول أمان التمويل اللامركزي. لقد استعرض الأحداث الأمنية الكبيرة التي واجهها قطاع Web3 خلال العام الماضي، وناقش أسباب هذه الأحداث وكيفية تجنبها، وخلص إلى الثغرات الأمنية الشائعة في العقود الذكية وتدابير الوقاية، وقدم بعض النصائح الأمنية للمشاريع والمستخدمين العاديين.

تشمل الأنواع الشائعة من ثغرات التمويل اللامركزي القروض الفورية، والتلاعب بالأسعار، ومشكلات صلاحيات الدوال، والاستدعاءات الخارجية العشوائية، ومشكلات دالة fallback، وثغرات منطق العمل، وتسريب المفاتيح الخاصة، وهجمات إعادة الإدخال. فيما يلي التركيز على القروض الفورية، والتلاعب بالأسعار، وهجمات إعادة الإدخال هذه الأنواع الثلاثة.

قرض الفلاش

على الرغم من أن القرض الفوري هو نوع من الابتكار في التمويل اللامركزي ، إلا أنه غالبًا ما يُستغل من قبل القراصنة. يقوم المهاجمون بالاستفادة من القرض الفوري لاقتراض مبالغ ضخمة من الأموال ، للتلاعب بالأسعار أو مهاجمة منطق الأعمال. يحتاج المطورون إلى النظر في ما إذا كانت وظيفة العقد ستتأثر بسبب الأموال الضخمة ، أو ما إذا كان من الممكن الحصول على مكافآت غير مناسبة من خلال التفاعل مع عدة وظائف في صفقة واحدة باستخدام كميات كبيرة من الأموال.

تبدو العديد من مشاريع التمويل اللامركزي ذات عوائد مرتفعة، لكن في الواقع، تتفاوت مستويات فرق المشاريع. قد تستخدم بعض المشاريع رموزاً مُشتراة، حتى لو لم يكن هناك عيوب في الرمز نفسه، فقد تكون هناك مشاكل منطقية. على سبيل المثال، قد تقوم بعض المشاريع بتوزيع المكافآت في أوقات ثابتة بناءً على حجم الحيازة، ولكن يتم استغلالها من قبل المهاجمين الذين يستخدمون القروض الفورية لشراء كميات كبيرة من الرموز، والحصول على معظم العوائد عند توزيع المكافآت.

التحكم في الأسعار

تتعلق مشكلة التلاعب بالأسعار ارتباطًا وثيقًا بالقروض الفورية، وذلك بشكل رئيسي بسبب إمكانية التحكم في بعض المعلمات عند حساب الأسعار. هناك نوعان شائعان من المشاكل:

1. عند حساب الأسعار، يتم استخدام بيانات طرف ثالث، لكن طريقة الاستخدام غير صحيحة أو تفتقر إلى الفحص، مما يؤدي إلى التلاعب بالأسعار بشكل خبيث.

2. استخدام عدد الرموز في بعض العناوين كمتغيرات حسابية، بينما يمكن زيادة أو تقليل رصيد الرموز في هذه العناوين بشكل مؤقت.

هجوم إعادة الدخول

أحد المخاطر الرئيسية لاستدعاء العقود الخارجية هو أنها قد تستولي على تدفق التحكم، وتقوم بإجراء تغييرات غير متوقعة على البيانات. على سبيل المثال:

صلابة تعيين (العنوان => uint) الخاص userBalances;

وظيفة withdrawBalance() عامة { uint amountToWithdraw = userBalances[msg.sender]; (bool النجاح ، ) = msg.sender.call.value(amountToWithdraw)( "" ); require(success). أرصدة المستخدم[msg.sender] = 0; }

بما أن رصيد المستخدم يتم تعيينه إلى 0 فقط في نهاية الوظيفة، فإن الاستدعاءات الثانية وما يليها ستنجح أيضًا، مما يسمح بسحب الرصيد بشكل متكرر.

لحل مشكلة إعادة الدخول، يجب الانتباه إلى النقاط التالية:

1. لا يمنع فقط مشكلة إعادة الدخول في دالة واحدة
2. اتبع نمط الترميز Checks-Effects-Interactions
3. استخدام معدل منع إعادة الدخول الذي تم التحقق منه

من الأفضل استخدام ممارسات الأمان الناضجة بدلاً من إعادة اختراع العجلة. غالبًا ما تفتقر الحلول الجديدة التي يتم تطويرها ذاتيًا إلى التحقق الكافي، مما يزيد من احتمالية حدوث مشكلات.

نصائح الأمان

نصائح أمان المشروع

1. تطوير العقود الذكية يتبع أفضل ممارسات الأمان
2. العقد قابل للتحديث، قابل للتعليق
3. استخدام قفل زمني
4. زيادة الاستثمار في الأمان، وإنشاء نظام أمان متكامل
5. زيادة الوعي بالأمان لجميع الموظفين
6. منع سوء التصرف الداخلي، مع تعزيز إدارة المخاطر أثناء تحسين الكفاءة
7. احرص على إدخال طرف ثالث بحذر، وقم بإجراء تحقق أمني على الجانب العلوي والسفلي.

كيف يمكن للمستخدمين تحديد ما إذا كانت العقود الذكية آمنة

1. هل العقد مفتوح المصدر
2. هل يعتمد المالك على التوقيع المتعدد اللامركزي
3. تحقق من حالة التداول الحالية للعقد
4. هل العقد هو عقد وكيل، هل يمكن ترقيته، هل هناك قفل زمني
5. هل تم تدقيق العقد من قبل عدة مؤسسات، هل صلاحيات المالك كبيرة جداً
6. انتبه لأمان الأوراكيل

باختصار، في مجال التمويل اللامركزي، لا يمكن تجاهل مسائل الأمان. يجب على المشاريع والمستخدمين توخي الحذر واتخاذ التدابير الأمنية اللازمة، للحفاظ على التنمية الصحية لنظام التمويل اللامركزي.

! قسم أمان Cobo DeFi (الجزء الثاني) :D الثغرات الأمنية الشائعة والوقاية من eFi