Tài chính phi tập trung Các lỗ hổng an toàn phổ biến và biện pháp phòng ngừa

Gần đây, một chuyên gia an ninh đã chia sẻ một bài học về an toàn DeFi cho các thành viên trong cộng đồng. Chuyên gia đã điểm lại những sự kiện an ninh lớn mà ngành Web3 đã gặp phải trong hơn một năm qua, thảo luận về nguyên nhân xảy ra những sự kiện này và các phương pháp phòng tránh, tóm tắt những lỗ hổng bảo mật thường gặp trong hợp đồng thông minh và các biện pháp phòng ngừa, đồng thời đưa ra một số lời khuyên về an toàn cho các dự án và người dùng thông thường.

Các loại lỗ hổng DeFi phổ biến bao gồm cho vay chớp nhoáng, thao túng giá, vấn đề quyền hạn của hàm, gọi bên ngoài tùy ý, vấn đề hàm fallback, lỗ hổng logic kinh doanh, rò rỉ khóa riêng, tấn công tái nhập, v.v. Dưới đây sẽ tập trung giới thiệu ba loại: cho vay chớp nhoáng, thao túng giá và tấn công tái nhập.

Vay chớp nhoáng

Vay chớp nhoáng bản thân là một sự đổi mới của Tài chính phi tập trung, nhưng khi bị hacker lợi dụng có thể vay tiền mà không tốn chi phí để thực hiện giao dịch chênh lệch giá. Nhiều dự án Tài chính phi tập trung có vẻ như mang lại lợi nhuận cao, nhưng trình độ của các bên dự án không đồng đều, ngay cả khi mã nguồn không có lỗ hổng, vẫn có thể tồn tại vấn đề về logic. Ví dụ, một số dự án sẽ phát thưởng dựa trên số lượng token mà người giữ có vào một thời điểm cố định, nhưng bị kẻ tấn công lợi dụng vay chớp nhoáng để mua một lượng lớn token, từ đó nhận phần lớn thưởng khi phát thưởng. Còn một số dự án tính giá thông qua Token, có thể bị ảnh hưởng giá bởi vay chớp nhoáng. Các bên dự án nên nâng cao cảnh giác với những vấn đề này.

Kiểm soát giá

Vấn đề thao túng giá cả có mối quan hệ chặt chẽ với vay mượn chớp nhoáng, chủ yếu do một số tham số trong việc tính toán giá có thể được người dùng kiểm soát. Có hai loại vấn đề phổ biến:

1. Sử dụng dữ liệu của bên thứ ba khi tính toán giá, nhưng cách sử dụng không đúng hoặc thiếu kiểm tra dẫn đến giá bị thao túng một cách ác ý.

2. Sử dụng số lượng Token của một số địa chỉ làm biến tính toán, và số dư Token của những địa chỉ này có thể được tăng giảm tạm thời.

Tấn công tái nhập

Một trong những nguy hiểm chính khi gọi hợp đồng bên ngoài là chúng có thể chiếm quyền kiểm soát luồng điều khiển, thực hiện các thay đổi không mong đợi đối với dữ liệu. Đối với các hợp đồng khác nhau, có nhiều cách để tồn tại tình trạng tái nhập, có thể kết hợp các hàm khác nhau hoặc các hàm của nhiều hợp đồng để thực hiện tấn công. Để giải quyết vấn đề tái nhập, cần lưu ý:

1. Không chỉ ngăn chặn vấn đề gọi lại của một hàm đơn lẻ

2. Tuân theo mô hình Checks-Effects-Interactions

3. Sử dụng modifier chống tái nhập đã được kiểm chứng theo thời gian

Điều đáng sợ nhất là lặp lại việc tạo ra bánh xe, trong lĩnh vực này có rất nhiều thực tiễn an toàn tốt nhất có thể sử dụng trực tiếp, hoàn toàn không cần thiết phải lặp lại việc tạo ra bánh xe. Việc tự tạo bánh xe chưa được kiểm chứng đầy đủ, xác suất gặp sự cố rõ ràng cao hơn so với việc sử dụng các giải pháp đã trưởng thành và được thử nghiệm lâu năm.

Đề xuất an toàn cho dự án

1. Phát triển hợp đồng tuân thủ các thực hành an toàn tốt nhất

2. Hợp đồng có thể nâng cấp, tạm dừng

3. Sử dụng khóa thời gian

4. Tăng cường đầu tư vào an toàn, xây dựng hệ thống an toàn hoàn thiện

5. Nâng cao nhận thức về an ninh của tất cả nhân viên

6. Ngăn ngừa hành vi xấu nội bộ, đồng thời nâng cao hiệu quả và tăng cường kiểm soát rủi ro

7. Thận trọng khi đưa vào bên thứ ba, kiểm tra đầu vào và đầu ra.

Người dùng/LP làm thế nào để xác định hợp đồng thông minh có an toàn hay không

1. Hợp đồng có nguồn mở không

2. Chủ sở hữu có sử dụng đa chữ ký không, đa chữ ký có phi tập trung không

3. Tình hình giao dịch hiện có của hợp đồng

4. Hợp đồng có phải là hợp đồng đại diện không, có thể nâng cấp không, có thời gian khóa không

5. Hợp đồng có được nhiều tổ chức kiểm toán không, quyền Owner có quá lớn không

6. Lưu ý việc chọn và sử dụng oracle

Tóm lại, người dùng khi tham gia các dự án Tài chính phi tập trung cần phải hết sức thận trọng, đánh giá an ninh của dự án từ nhiều khía cạnh, không để bị che mắt bởi lợi nhuận cao. Các bên dự án cũng cần xây dựng hàng rào an ninh từ nhiều cấp độ, liên tục quan tâm và cải thiện tính an toàn của dự án.