Finanzas descentralizadas comunes vulnerabilidades de seguridad y medidas de prevención

Recientemente, un experto en seguridad discutió en una conferencia en línea los importantes incidentes de seguridad que ha enfrentado la industria de Web3 en el último año, analizó las razones detrás de estos eventos y cómo evitarlos, y resumió las vulnerabilidades de seguridad comunes en los contratos inteligentes y las medidas preventivas, al mismo tiempo que ofreció algunos consejos de seguridad tanto para los proyectos como para los usuarios comunes.

Los tipos comunes de vulnerabilidades en Finanzas descentralizadas incluyen préstamos relámpago, manipulación de precios, problemas de permisos de funciones, llamadas externas arbitrarias, problemas con funciones de retroceso, vulnerabilidades en la lógica de negocios, filtración de claves privadas y ataques de reentrada, entre otros. Entre ellos, los préstamos relámpago, la manipulación de precios y los ataques de reentrada son algunos de los más típicos.

Préstamo relámpago

El préstamo relámpago en sí es una innovación de las Finanzas descentralizadas, pero también es utilizado con frecuencia por hackers. Los atacantes piden prestadas grandes sumas de dinero a través de préstamos relámpago para manipular precios o atacar la lógica del negocio. Los desarrolladores deben considerar si las funciones del contrato se verán afectadas por grandes sumas de dinero, o si serán utilizadas para interactuar con múltiples funciones en una sola transacción para obtener beneficios indebidos.

En los últimos dos años, muchos proyectos de Finanzas descentralizadas han sido atacados debido a problemas de préstamos relámpago. Algunos proyectos distribuyen recompensas en función de la cantidad de tokens que se poseen en un tiempo fijo, pero los atacantes aprovechan los préstamos relámpago para comprar una gran cantidad de tokens y obtener la mayor parte de las ganancias cuando se distribuyen las recompensas. Además, algunos proyectos que calculan el precio a través de tokens también son susceptibles a los efectos de los préstamos relámpago.

Manipulación de precios

El problema de manipulación de precios está estrechamente relacionado con los préstamos relámpago, y hay principalmente dos tipos:

1. Al calcular el precio se utilizan datos de terceros, pero el método de uso es incorrecto o falta verificación, lo que lleva a que el precio sea manipulado maliciosamente.

2. Usar la cantidad de tokens de ciertas direcciones como variable de cálculo, y el saldo de tokens de estas direcciones puede ser aumentado o disminuido temporalmente.

Ataque de reentrada

Uno de los principales riesgos de llamar a contratos externos es que pueden tomar el control del flujo y realizar cambios inesperados en los datos. Un ejemplo típico de ataque de reentrada es el siguiente:

solidez mapeo (dirección => uint) saldoPrivado de usuario;

función retirarSaldo() público { uint amountToWithdraw = userBalances[msg.sender]; (bool éxito, ) = msg.sender.call.value(cantidadARetirar)(""); require(success); userBalances[msg.sender] = 0; }

Debido a que el saldo del usuario se establece en 0 solo al final de la función, las llamadas repetidas aún podrán extraer el saldo con éxito.

Para resolver el problema de reentrada, es necesario prestar atención a:

1. No solo previene la reentrada de una única función
2. Seguir el patrón Checks-Effects-Interactions
3. Usar un modificador de protección contra reentradas verificado

Sugerencias de seguridad del equipo del proyecto

1. Seguir las mejores prácticas de seguridad para el desarrollo de contratos
2. Implementar funciones de actualización y pausa del contrato
3. Adoptar un mecanismo de bloqueo temporal
4. Aumentar la inversión en seguridad, establecer un sistema de seguridad completo
5. Aumentar la conciencia de seguridad de todos los empleados
6. Prevenir el comportamiento malicioso interno, mientras se mejora la eficiencia y se refuerza el control de riesgos.
7. Introducir terceros con precaución, por defecto tanto el upstream como el downstream no son seguros.

Métodos que los usuarios utilizan para juzgar la seguridad de los contratos inteligentes

1. Confirmar si el contrato es de código abierto
2. Verificar si el propietario utiliza una multi-firma descentralizada.
3. Ver el estado de las transacciones existentes del contrato
4. Confirmar si el contrato es actualizable y si hay un bloqueo de tiempo.
5. Verificar si se ha aceptado auditorías de varias instituciones, si los permisos del propietario son excesivos.
6. Presta atención al uso de oráculos.

En resumen, la seguridad en las Finanzas descentralizadas es un problema sistémico que requiere la atención conjunta de los proyectos y los usuarios, y la adopción de medidas de seguridad integrales para reducir efectivamente los riesgos.