مؤخراً، شارك خبير أمان درساً عن أمان التمويل اللامركزي للعضاء المجتمع. استعرض الخبير الأحداث الأمنية الكبيرة التي واجهتها صناعة Web3 على مدار العام الماضي، وناقش أسباب حدوث هذه الأحداث الأمنية وكيفية تجنبها، وقدم ملخصاً عن الثغرات الأمنية الشائعة في العقود الذكية وتدابير الوقاية، كما قدم بعض النصائح الأمنية للمشاريع والمستخدمين العاديين.
تشمل أنواع الثغرات الشائعة في التمويل اللامركزي القروض الفورية، وتلاعب الأسعار، ومشاكل صلاحيات الدوال، واستدعاءات خارجية عشوائية، ومشاكل دالة fallback، وثغرات منطق العمل، وتسرب المفاتيح الخاصة، والهجمات المتكررة. فيما يلي نركز على القروض الفورية، وتلاعب الأسعار، والهجمات المتكررة.
القرض الفوري
القرض الفوري هو ابتكار في التمويل اللامركزي، ولكن عندما يتم استغلاله من قبل القراصنة، يمكنهم اقتراض مبالغ كبيرة من المال دون الحاجة إلى أي تكلفة، وإجراء عملية التحكيم بالكامل ثم إعادتها، فقط بدفع رسوم غاز صغيرة للحصول على أرباح ضخمة.
على مدى العامين الماضيين، ظهرت العديد من المشكلات في القروض الفورية. تبدو بعض مشاريع التمويل اللامركزي ذات عوائد مرتفعة، لكن في الواقع، مستوى فرق المشاريع متفاوت. قد يكون الكود الخاص ببعض المشاريع قد تم شراؤه، حتى لو لم يكن هناك ثغرات في الكود نفسه، إلا أنه قد توجد مشكلات منطقية. على سبيل المثال، كان هناك مشروع سابق يعطي مكافآت في أوقات محددة بناءً على عدد الرموز التي يمتلكها حاملوها، لكن المهاجمين استغلوا القروض الفورية لشراء كميات كبيرة من الرموز، وعند توزيع المكافآت، ذهبت معظم المكافآت إلى المهاجمين. بالإضافة إلى ذلك، هناك بعض المشاريع التي تحسب الأسعار من خلال الرموز، يمكن أن تؤثر عليها القروض الفورية. يجب على فرق المشاريع أن تكون أكثر حذرًا تجاه هذه المشكلات.
التحكم في الأسعار
تتعلق مشكلة التلاعب في الأسعار ارتباطًا وثيقًا بالقروض الفورية، وهذه المشكلة ناتجة بشكل أساسي عن إمكانية التحكم في بعض المعلمات أثناء حساب الأسعار، وهناك نوعان شائعان من المشكلات التي تظهر بشكل متكرر:
عند حساب الأسعار، تستخدم بيانات الطرف الثالث، ولكن الاستخدام غير الصحيح أو نقص الفحص يؤدي إلى التلاعب الخبيث في الأسعار.
تم استخدام عدد رموز بعض العناوين كمتغيرات حسابية، حيث يمكن زيادة أو نقصان رصيد الرموز في هذه العناوين بشكل مؤقت.
هجوم إعادة الدخول
إحدى المخاطر الرئيسية لاستدعاء العقود الخارجية هي أنها يمكن أن تستولي على تدفق التحكم وتقوم بإجراء تغييرات غير متوقعة على بياناتك.
نظرًا لأن رصيد المستخدم لا يتم تعيينه إلى 0 حتى نهاية الدالة، فإن الاستدعاءات الثانية ( وما بعدها ستظل ناجحة، وستقوم بسحب الرصيد مرة بعد مرة.
بالنسبة للعقود المختلفة، هناك طرق عديدة لوجود إعادة الدخول، ويمكن دمج وظائف العقود المختلفة أو وظائف عقود متعددة لإجراء هجوم إعادة الدخول، لذا يجب أن نكون حذرين بشأن النقاط التالية عند معالجة مشكلة إعادة الدخول:
لا يمنع فقط مشكلة إعادة الدخول لوظيفة واحدة؛
الالتزام بنمط Checks-Effects-Interactions في الترميز؛
استخدام الموديفير الخاص بالتحقق من الوقت المعتمد لمنع إعادة الدخول.
في الحقيقة، أكثر ما نخشاه هو إعادة اختراع العجلة، أي كتابة كل شيء بأنفسنا. هناك العديد من أفضل الممارسات الأمنية في هذا المجال، ويمكننا استخدامها مباشرة، وليس هناك حاجة على الإطلاق لإعادة اختراع العجلة. عندما تقوم بإنشاء عجلة جديدة، فإنها لم تمر بعملية تحقق كافية، وفي هذه الحالة، تكون احتمالية حدوث مشكلة أكبر بكثير من استخدام شيء ناضج وموثوق به.
نصائح الأمان
) نصائح أمان فريق المشروع
تطوير العقود الذكية يتبع أفضل الممارسات الأمنية.
العقود قابلة للتحديث والإيقاف: الكثير من الهجمات ليست لمرة واحدة لنقل جميع العملات، بل تتم عبر تنفيذ عدة معاملات، إذا كان هناك آلية مراقبة قوية نسبياً، يمكن اكتشافها، وبعد الاكتشاف، إذا كانت العقود قابلة للإيقاف، يمكن تقليل الخسائر بفعالية.
استخدام قفل الزمن: إذا كان هناك قفل زمن، افترض أنه يجب إكماله خلال 48 ساعة، في هذه الحالة يمكن للعديد من الأشخاص اكتشاف أن المنشئ قام بتحديث طريقة جديدة للسك (mint)، ويمكن للجميع استخدامها، وسيدرك المراقبون أن المشروع قد تعرض للاختراق، ويمكنهم إبلاغ الفريق المعني لتغيير الأمر، حتى لو افترضنا أنه تم الإبلاغ ولم يهتم أحد، على الأقل يمكنهم سحب أموالهم الخاصة لضمان عدم تأثر عائداتهم. لذا، إذا لم يكن هناك قفل زمن في مشروع ما، فإن النظرية تقول إنه يزيد من احتمالية حدوث مشاكل.
زيادة الاستثمار في الأمان، وإنشاء نظام أمان متكامل: الأمان ليس نقطة واحدة، ولا هو خط واحد، الأمان هو نظام متكامل. لا تعتقد أن كونك طرفًا في المشروع، وأن العقد قد تم تدقيقه من قبل عدة شركات يعني أنه لا توجد مشكلة. يجب أن تسعى إلى نمذجة المخاطر، ثم تدريجيًا تقليل معظم المخاطر، ويجب أن تكون المخاطر المتبقية مقبولة، ضمن حدود يمكن تحملها. الأمان والكفاءة لا يمكن تحقيقهما معًا، يجب أن تقوم ببعض التضحيات. ولكن إذا لم تهتم تمامًا بالأمان، ولم تستثمر في الأمان، فمن الطبيعي أن تتعرض لهجوم.
تعزيز الوعي بالأمان لدى جميع الموظفين: لا يتطلب تعزيز الوعي بالأمان الكثير من التكنولوجيا. في هذا السياق العام، يكفي أن تسأل قليلاً عن الأسباب، وتفكر قليلاً لتجنب العديد من المشكلات.
منع الأذى الداخلي، مع تعزيز كفاءة التحكم في المخاطر.
إدخال الأمان من الأطراف الثالثة: كجزء من النظام البيئي، سيكون لكل مشروع جهة تابعة لها. هناك مبدأ "الجهات العليا والسفلى غير آمنة بشكل افتراضي" من حيث الأمان. يجب التحقق من كل من الجهات العليا والسفلى. من الصعب جداً السيطرة على الأطراف الثالثة، لذا فإن مخاطر الأمان كبيرة جداً، لذلك يجب الانتباه كثيراً عند إدخال الأطراف الثالثة. العقد مفتوح المصدر، يمكن إدخاله واستدعاؤه؛ إذا كان العقد غير مفتوح المصدر، فلا يمكن الاستشهاد به مطلقاً.
كيف يمكن للمستخدمين / مزودي السيولة تحديد ما إذا كانت العقود الذكية آمنة؟
بالنسبة للمستخدمين العاديين، نحكم على مدى أمان المشروع بناءً على النقاط الست التالية:
هل العقد مفتوح المصدر: لا نقترب من أي مشروع العقد غير مفتوح المصدر، لأنه لا يمكننا معرفة ما كُتب في العقد.
هل يمتلك المالك توقيعًا متعددًا، وهل التوقيع المتعدد غير مركزي: إذا لم يتم استخدام التوقيع المتعدد، فلا يمكننا الحكم على منطق العمل ومحتوى المشروع، وإذا حدثت حادثة أمنية، فلا يمكننا الحكم ما إذا كانت نتيجة هجوم قراصنة. حتى إذا تم استخدام التوقيع المتعدد، يجب أيضًا الحكم ما إذا كان التوقيع المتعدد غير مركزي.
حالة التداول الحالية للعقد: خاصة أن هناك العديد من المشاريع التي تقوم بالاحتيال عن طريق الصيد في السوق، قد تقوم بإنشاء عقد مشابه جدًا، في هذه الحالة يجب علينا النظر في وقت نشر العقد وعدد التفاعلات، كل هذه المعايير هي معايير لتقييم ما إذا كان العقد آمنًا.
هل العقد هو عقد وكيل، وهل يمكن ترقيته، وهل هناك قفل زمني: إذا كان العقد لا يمكن ترقيته على الإطلاق، فسيكون ذلك جامداً جداً، لذلك يُفضل أن يكون العقد الخاص بالمشروع قابلاً للترقية. ولكن يجب أن تكون هناك طريقة مناسبة للترقية، وعندما تتضمن الترقيات محتوى ترقية أو تغييرات في معلمات مهمة، يجب أن يكون هناك قفل زمني، ويجب أن يتم منح الجميع نافذة زمنية لتقييم ما إذا كانت الترقيات الحقيقية ضارة للمستخدمين أم مفيدة، وهذه أيضاً وسيلة من وسائل الشفافية العامة.
هل تم تدقيق العقد من قبل عدة مؤسسات ### لا تثق بشكل أعمى بشركات التدقيق (، هل صلاحيات المالك كبيرة جداً: أولاً، لا يجب أن تثق فقط بشركة تدقيق واحدة، لأن شركات التدقيق المختلفة، والمراقبون المختلفون، لديهم وجهات نظر مختلفة حول المشكلة. ثانياً، يجب النظر في ما إذا كانت صلاحيات المالك كبيرة جداً. يجب أن تكون صلاحيات مالك المشروع الطبيعي تحت السيطرة، حتى لا يكون هناك الكثير من العمليات الخطرة، كما يجب أن تتم العمليات بطريقة قفل زمني، ليعرف المستخدمون ما هي العمليات.
انتبه إلى الأورacles: إذا كان المشروع يستخدم أورacles رائدة في السوق، فمن المحتمل ألا تكون هناك مشاكل كبيرة، ولكن إذا كان يستخدم أورacles تم إنشاؤها داخليًا، أو أورacles يمكن تغذيتها ببساطة من خلال رهن بعض الرموز، فعليك الانتباه. عندما تكتشف أن الأورacles قد تكون بها بعض المشكلات، أو أنها معرضة للتلاعب، فلا يمكنك المشاركة حتى وإن كانت عوائد المشروع مرتفعة.
قد تحتوي هذه الصفحة على محتوى من جهات خارجية، يتم تقديمه لأغراض إعلامية فقط (وليس كإقرارات/ضمانات)، ولا ينبغي اعتباره موافقة على آرائه من قبل Gate، ولا بمثابة نصيحة مالية أو مهنية. انظر إلى إخلاء المسؤولية للحصول على التفاصيل.
التمويل اللامركزي الأمن: تحليل الثغرات الشائعة وتدابير الوقاية
التمويل اللامركزي المخاطر الأمنية الشائعة ووسائل الوقاية
مؤخراً، شارك خبير أمان درساً عن أمان التمويل اللامركزي للعضاء المجتمع. استعرض الخبير الأحداث الأمنية الكبيرة التي واجهتها صناعة Web3 على مدار العام الماضي، وناقش أسباب حدوث هذه الأحداث الأمنية وكيفية تجنبها، وقدم ملخصاً عن الثغرات الأمنية الشائعة في العقود الذكية وتدابير الوقاية، كما قدم بعض النصائح الأمنية للمشاريع والمستخدمين العاديين.
تشمل أنواع الثغرات الشائعة في التمويل اللامركزي القروض الفورية، وتلاعب الأسعار، ومشاكل صلاحيات الدوال، واستدعاءات خارجية عشوائية، ومشاكل دالة fallback، وثغرات منطق العمل، وتسرب المفاتيح الخاصة، والهجمات المتكررة. فيما يلي نركز على القروض الفورية، وتلاعب الأسعار، والهجمات المتكررة.
القرض الفوري
القرض الفوري هو ابتكار في التمويل اللامركزي، ولكن عندما يتم استغلاله من قبل القراصنة، يمكنهم اقتراض مبالغ كبيرة من المال دون الحاجة إلى أي تكلفة، وإجراء عملية التحكيم بالكامل ثم إعادتها، فقط بدفع رسوم غاز صغيرة للحصول على أرباح ضخمة.
على مدى العامين الماضيين، ظهرت العديد من المشكلات في القروض الفورية. تبدو بعض مشاريع التمويل اللامركزي ذات عوائد مرتفعة، لكن في الواقع، مستوى فرق المشاريع متفاوت. قد يكون الكود الخاص ببعض المشاريع قد تم شراؤه، حتى لو لم يكن هناك ثغرات في الكود نفسه، إلا أنه قد توجد مشكلات منطقية. على سبيل المثال، كان هناك مشروع سابق يعطي مكافآت في أوقات محددة بناءً على عدد الرموز التي يمتلكها حاملوها، لكن المهاجمين استغلوا القروض الفورية لشراء كميات كبيرة من الرموز، وعند توزيع المكافآت، ذهبت معظم المكافآت إلى المهاجمين. بالإضافة إلى ذلك، هناك بعض المشاريع التي تحسب الأسعار من خلال الرموز، يمكن أن تؤثر عليها القروض الفورية. يجب على فرق المشاريع أن تكون أكثر حذرًا تجاه هذه المشكلات.
التحكم في الأسعار
تتعلق مشكلة التلاعب في الأسعار ارتباطًا وثيقًا بالقروض الفورية، وهذه المشكلة ناتجة بشكل أساسي عن إمكانية التحكم في بعض المعلمات أثناء حساب الأسعار، وهناك نوعان شائعان من المشكلات التي تظهر بشكل متكرر:
عند حساب الأسعار، تستخدم بيانات الطرف الثالث، ولكن الاستخدام غير الصحيح أو نقص الفحص يؤدي إلى التلاعب الخبيث في الأسعار.
تم استخدام عدد رموز بعض العناوين كمتغيرات حسابية، حيث يمكن زيادة أو نقصان رصيد الرموز في هذه العناوين بشكل مؤقت.
هجوم إعادة الدخول
إحدى المخاطر الرئيسية لاستدعاء العقود الخارجية هي أنها يمكن أن تستولي على تدفق التحكم وتقوم بإجراء تغييرات غير متوقعة على بياناتك.
نظرًا لأن رصيد المستخدم لا يتم تعيينه إلى 0 حتى نهاية الدالة، فإن الاستدعاءات الثانية ( وما بعدها ستظل ناجحة، وستقوم بسحب الرصيد مرة بعد مرة.
بالنسبة للعقود المختلفة، هناك طرق عديدة لوجود إعادة الدخول، ويمكن دمج وظائف العقود المختلفة أو وظائف عقود متعددة لإجراء هجوم إعادة الدخول، لذا يجب أن نكون حذرين بشأن النقاط التالية عند معالجة مشكلة إعادة الدخول:
لا يمنع فقط مشكلة إعادة الدخول لوظيفة واحدة؛
الالتزام بنمط Checks-Effects-Interactions في الترميز؛
استخدام الموديفير الخاص بالتحقق من الوقت المعتمد لمنع إعادة الدخول.
في الحقيقة، أكثر ما نخشاه هو إعادة اختراع العجلة، أي كتابة كل شيء بأنفسنا. هناك العديد من أفضل الممارسات الأمنية في هذا المجال، ويمكننا استخدامها مباشرة، وليس هناك حاجة على الإطلاق لإعادة اختراع العجلة. عندما تقوم بإنشاء عجلة جديدة، فإنها لم تمر بعملية تحقق كافية، وفي هذه الحالة، تكون احتمالية حدوث مشكلة أكبر بكثير من استخدام شيء ناضج وموثوق به.
نصائح الأمان
) نصائح أمان فريق المشروع
تطوير العقود الذكية يتبع أفضل الممارسات الأمنية.
العقود قابلة للتحديث والإيقاف: الكثير من الهجمات ليست لمرة واحدة لنقل جميع العملات، بل تتم عبر تنفيذ عدة معاملات، إذا كان هناك آلية مراقبة قوية نسبياً، يمكن اكتشافها، وبعد الاكتشاف، إذا كانت العقود قابلة للإيقاف، يمكن تقليل الخسائر بفعالية.
استخدام قفل الزمن: إذا كان هناك قفل زمن، افترض أنه يجب إكماله خلال 48 ساعة، في هذه الحالة يمكن للعديد من الأشخاص اكتشاف أن المنشئ قام بتحديث طريقة جديدة للسك (mint)، ويمكن للجميع استخدامها، وسيدرك المراقبون أن المشروع قد تعرض للاختراق، ويمكنهم إبلاغ الفريق المعني لتغيير الأمر، حتى لو افترضنا أنه تم الإبلاغ ولم يهتم أحد، على الأقل يمكنهم سحب أموالهم الخاصة لضمان عدم تأثر عائداتهم. لذا، إذا لم يكن هناك قفل زمن في مشروع ما، فإن النظرية تقول إنه يزيد من احتمالية حدوث مشاكل.
زيادة الاستثمار في الأمان، وإنشاء نظام أمان متكامل: الأمان ليس نقطة واحدة، ولا هو خط واحد، الأمان هو نظام متكامل. لا تعتقد أن كونك طرفًا في المشروع، وأن العقد قد تم تدقيقه من قبل عدة شركات يعني أنه لا توجد مشكلة. يجب أن تسعى إلى نمذجة المخاطر، ثم تدريجيًا تقليل معظم المخاطر، ويجب أن تكون المخاطر المتبقية مقبولة، ضمن حدود يمكن تحملها. الأمان والكفاءة لا يمكن تحقيقهما معًا، يجب أن تقوم ببعض التضحيات. ولكن إذا لم تهتم تمامًا بالأمان، ولم تستثمر في الأمان، فمن الطبيعي أن تتعرض لهجوم.
تعزيز الوعي بالأمان لدى جميع الموظفين: لا يتطلب تعزيز الوعي بالأمان الكثير من التكنولوجيا. في هذا السياق العام، يكفي أن تسأل قليلاً عن الأسباب، وتفكر قليلاً لتجنب العديد من المشكلات.
منع الأذى الداخلي، مع تعزيز كفاءة التحكم في المخاطر.
إدخال الأمان من الأطراف الثالثة: كجزء من النظام البيئي، سيكون لكل مشروع جهة تابعة لها. هناك مبدأ "الجهات العليا والسفلى غير آمنة بشكل افتراضي" من حيث الأمان. يجب التحقق من كل من الجهات العليا والسفلى. من الصعب جداً السيطرة على الأطراف الثالثة، لذا فإن مخاطر الأمان كبيرة جداً، لذلك يجب الانتباه كثيراً عند إدخال الأطراف الثالثة. العقد مفتوح المصدر، يمكن إدخاله واستدعاؤه؛ إذا كان العقد غير مفتوح المصدر، فلا يمكن الاستشهاد به مطلقاً.
كيف يمكن للمستخدمين / مزودي السيولة تحديد ما إذا كانت العقود الذكية آمنة؟
بالنسبة للمستخدمين العاديين، نحكم على مدى أمان المشروع بناءً على النقاط الست التالية:
هل العقد مفتوح المصدر: لا نقترب من أي مشروع العقد غير مفتوح المصدر، لأنه لا يمكننا معرفة ما كُتب في العقد.
هل يمتلك المالك توقيعًا متعددًا، وهل التوقيع المتعدد غير مركزي: إذا لم يتم استخدام التوقيع المتعدد، فلا يمكننا الحكم على منطق العمل ومحتوى المشروع، وإذا حدثت حادثة أمنية، فلا يمكننا الحكم ما إذا كانت نتيجة هجوم قراصنة. حتى إذا تم استخدام التوقيع المتعدد، يجب أيضًا الحكم ما إذا كان التوقيع المتعدد غير مركزي.
حالة التداول الحالية للعقد: خاصة أن هناك العديد من المشاريع التي تقوم بالاحتيال عن طريق الصيد في السوق، قد تقوم بإنشاء عقد مشابه جدًا، في هذه الحالة يجب علينا النظر في وقت نشر العقد وعدد التفاعلات، كل هذه المعايير هي معايير لتقييم ما إذا كان العقد آمنًا.
هل العقد هو عقد وكيل، وهل يمكن ترقيته، وهل هناك قفل زمني: إذا كان العقد لا يمكن ترقيته على الإطلاق، فسيكون ذلك جامداً جداً، لذلك يُفضل أن يكون العقد الخاص بالمشروع قابلاً للترقية. ولكن يجب أن تكون هناك طريقة مناسبة للترقية، وعندما تتضمن الترقيات محتوى ترقية أو تغييرات في معلمات مهمة، يجب أن يكون هناك قفل زمني، ويجب أن يتم منح الجميع نافذة زمنية لتقييم ما إذا كانت الترقيات الحقيقية ضارة للمستخدمين أم مفيدة، وهذه أيضاً وسيلة من وسائل الشفافية العامة.
هل تم تدقيق العقد من قبل عدة مؤسسات ### لا تثق بشكل أعمى بشركات التدقيق (، هل صلاحيات المالك كبيرة جداً: أولاً، لا يجب أن تثق فقط بشركة تدقيق واحدة، لأن شركات التدقيق المختلفة، والمراقبون المختلفون، لديهم وجهات نظر مختلفة حول المشكلة. ثانياً، يجب النظر في ما إذا كانت صلاحيات المالك كبيرة جداً. يجب أن تكون صلاحيات مالك المشروع الطبيعي تحت السيطرة، حتى لا يكون هناك الكثير من العمليات الخطرة، كما يجب أن تتم العمليات بطريقة قفل زمني، ليعرف المستخدمون ما هي العمليات.
انتبه إلى الأورacles: إذا كان المشروع يستخدم أورacles رائدة في السوق، فمن المحتمل ألا تكون هناك مشاكل كبيرة، ولكن إذا كان يستخدم أورacles تم إنشاؤها داخليًا، أو أورacles يمكن تغذيتها ببساطة من خلال رهن بعض الرموز، فعليك الانتباه. عندما تكتشف أن الأورacles قد تكون بها بعض المشكلات، أو أنها معرضة للتلاعب، فلا يمكنك المشاركة حتى وإن كانت عوائد المشروع مرتفعة.
! [قسم أمان Cobo DeFi (الجزء الثاني) :D الثغرات الأمنية الشائعة والوقاية من eFi])https://img-cdn.gateio.im/webp-social/moments-cf2aa755426b31e8f21cbb05cc1fe39a.webp(