Finance décentralisée : vulnérabilités de sécurité courantes et mesures préventives

Récemment, un expert du secteur a partagé ses réflexions sur la sécurité de la Finance décentralisée. Il a passé en revue les événements de sécurité majeurs auxquels l'industrie Web3 a été confrontée au cours de l'année écoulée, discutant des raisons de ces événements et de la manière de les éviter. Il a résumé les vulnérabilités de sécurité courantes des contrats intelligents et les mesures préventives, et a donné quelques conseils de sécurité aux équipes de projet et aux utilisateurs ordinaires.

Les types courants de vulnérabilités DeFi comprennent principalement les prêts flash, la manipulation des prix, les problèmes de permissions de fonction, les appels externes arbitraires, les problèmes de fonction de fallback, les vulnérabilités de logique métier, la fuite de clés privées et les attaques de réentrance, etc. Ci-dessous, nous nous concentrerons sur les prêts flash, la manipulation des prix et les attaques de réentrance.

Prêt éclair

Bien que le prêt éclair soit une innovation dans la Finance décentralisée, il est souvent utilisé par des hackers. Les attaquants empruntent de grandes quantités de fonds par le biais de prêts éclair pour manipuler les prix ou attaquer la logique métier. Les développeurs doivent prendre en compte si les fonctionnalités du contrat peuvent devenir anormales en raison de l'énorme montant des fonds, ou s'il est possible d'obtenir des récompenses indues en interagissant avec plusieurs fonctions dans une seule transaction grâce à de gros montants.

De nombreux projets de Finance décentralisée semblent offrir des rendements élevés, mais en réalité, le niveau des équipes de projet varie considérablement. Certains projets peuvent utiliser du code acheté, et même si le code lui-même n'a pas de vulnérabilités, il peut y avoir des problèmes logiques. Par exemple, certains projets distribuent des récompenses à des moments fixes en fonction des quantités détenues, mais sont exploités par des attaquants utilisant des prêts flash pour acheter un grand nombre de jetons, obtenant ainsi la majeure partie des bénéfices lors de la distribution des récompenses.

Manipulation des prix

Le problème de manipulation des prix est étroitement lié aux prêts flash, principalement en raison du fait que certains paramètres peuvent être contrôlés par les utilisateurs lors du calcul des prix. Il existe deux types de problèmes courants :

1. Utilisation de données tierces pour calculer les prix, mais mauvaise utilisation ou manque de vérification, entraînant une manipulation malveillante des prix.

2. Utiliser la quantité de jetons de certaines adresses comme variable de calcul, tandis que le solde des jetons de ces adresses peut être temporairement augmenté ou diminué.

Attaque de réentrance

L'un des principaux risques liés à l'appel de contrats externes est qu'ils peuvent prendre le contrôle du flux d'exécution et apporter des modifications inattendues aux données. Par exemple :

solidité mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(success); userBalances[msg.sender] = 0; }

Puisque le solde de l'utilisateur n'est mis à 0 qu'à la fin de la fonction, les appels ultérieurs continueront de réussir, permettant ainsi de retirer le solde à plusieurs reprises.

Pour résoudre le problème de réentrance, il faut prêter attention aux points suivants :

1. Ne pas seulement empêcher le problème de réentrance d'une fonction unique.
2. Suivre le modèle Checks-Effects-Interactions lors du codage
3. Utiliser un modificateur anti-reentrance vérifié

Il est préférable d'utiliser des pratiques de sécurité éprouvées plutôt que de réinventer la roue. Les nouvelles solutions que l'on développe soi-même manquent souvent de validation adéquate et ont un risque plus élevé de rencontrer des problèmes.

Conseils de sécurité

recommandations de sécurité pour les projets

1. Le développement de contrats respecte les meilleures pratiques de sécurité.
2. Les contrats peuvent être mis à niveau et suspendus.
3. Utiliser un verrou temporel
4. Accroître les investissements en sécurité et établir un système de sécurité complet.
5. Améliorer la sensibilisation à la sécurité de tous les employés
6. Prévenir les actes malveillants internes tout en renforçant le contrôle des risques tout en améliorant l'efficacité.
7. Introduire des tiers avec prudence, effectuer des vérifications de sécurité en amont et en aval.

Comment les utilisateurs peuvent-ils déterminer si un contrat intelligent est sécurisé

1. Le contrat est-il open source
2. Le propriétaire utilise-t-il une multi-signature décentralisée ?
3. Vérifiez l'état des transactions existantes du contrat
4. Le contrat est-il un contrat d'agence, est-il upgradable, y a-t-il une période de verrouillage ?
5. Le contrat a-t-il été audité par plusieurs institutions, les droits du propriétaire sont-ils trop étendus ?
6. Faites attention à la sécurité des oracles.

En somme, dans le domaine de la Finance décentralisée, les problèmes de sécurité ne doivent pas être négligés. Les équipes de projet et les utilisateurs doivent rester vigilants, prendre les mesures de sécurité nécessaires et maintenir ensemble le développement sain de l'écosystème de la Finance décentralisée.