Merkezi Olmayan Finans'ın Yaygın Güvenlik Açıkları ve Önleme Önlemleri Üzerine Bir İnceleme

Son günlerde, bir güvenlik uzmanı topluluk üyeleriyle Merkezi Olmayan Finans güvenliği hakkında görüşlerini paylaştı. Geçtiğimiz bir yıl içinde Web3 sektöründe yaşanan önemli güvenlik olaylarını gözden geçirdi, bu olayların meydana gelme nedenlerini ve nasıl kaçınılacağına dair tartıştı, yaygın akıllı sözleşme güvenlik açıklarını ve önleme yöntemlerini özetledi ve proje sahipleri ile kullanıcılara bazı güvenlik önerileri sundu.

Merkezi Olmayan Finans alanında sıkça karşılaşılan açık türleri arasında anlık kredi, fiyat manipülasyonu, fonksiyon yetki sorunları, rastgele dış aramalar, fallback fonksiyonu sorunları, iş mantığı açıkları, özel anahtar sızıntısı ve yeniden giriş saldırıları gibi durumlar bulunmaktadır. Bu yazıda anlık kredi, fiyat manipülasyonu ve yeniden giriş saldırısı olmak üzere üç tür üzerinde durulacaktır.

Hızlı Kredi

Açık Kredi, DeFi'nin bir yeniliğidir, ancak genellikle bilgisayar korsanları tarafından kullanılmaktadır. Saldırganlar, Açık Kredi aracılığıyla büyük miktarda fon borç alarak fiyatları manipüle edebilir veya iş mantığını saldırıya uğratabilir. Geliştiriciler, sözleşme işlevinin büyük miktardaki fonlar nedeniyle anormal hale gelip gelmeyeceğini veya bir işlemde birden fazla fonksiyonla etkileşim kurarak haksız kazanç elde edilip edilmeyeceğini dikkate almalıdır.

Son iki yılda, anlık kredi birçok soruna neden oldu. Görünüşte yüksek getiri sağlayan bazı Merkezi Olmayan Finans projeleri, aslında birçok güvenlik açığı barındırıyor. Örneğin, bazı projeler belirli bir zamanda pozisyon miktarına göre ödül dağıtıyor ve bu durum saldırganlar tarafından anlık kredi kullanılarak büyük miktarda token satın alıp çoğu ödülü elde etmek için istismar edildi. Ayrıca, token fiyatı hesaplayan bazı projeler, anlık kredi tarafından fiyatlarının etkilenmesine açıktır.

Fiyat Manipülasyonu

Fiyat manipülasyonu sorunu, hızlı kredi ile yakından ilişkilidir ve temel olarak iki durum vardır:

1. Fiyat hesaplanırken üçüncü taraf verileri kullanılır, ancak bu kullanım şekli yanlış veya kontrol eksikliği nedeniyle fiyat kötü niyetli bir şekilde manipüle edilir.
2. Belirli adreslerin token bakiyelerini hesaplama değişkeni olarak kullanın; bu bakiyeler geçici olarak artırılabilir veya azaltılabilir.

Yeniden Giriş Saldırısı

Dış sözleşmeleri çağırmanın ana riski, kontrol akışını ele geçirebilmeleri ve verilere beklenmedik değişiklikler yapabilmeleridir. Tipik bir yeniden giriş saldırısı örneği aşağıdadır:

solidity mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(success); userBalances[msg.sender] = 0; }

Bu örnekte, kullanıcı bakiyesi yalnızca fonksiyonun sonunda 0 olarak ayarlandığı için, saldırganlar arada birden fazla kez çekim fonksiyonunu çağırabilir ve tekrarlanan çekimlere neden olabilir.

Reentrancy sorununu çözmek için aşağıdaki noktalara dikkat edilmelidir:

1. Sadece tek bir fonksiyonun tekrar çağrılmasını önlemekle kalmayıp, aynı zamanda fonksiyonlar arası ve sözleşmeler arası tekrar çağrılmayı da dikkate almak gerekir.
2. Checks-Effects-Interactions modeline göre kodlama yapın.
3. Doğrulanmış reentrancy modifier'larını kullanın.

Önemli olan, tekrardan tekerlek icat etmekten kaçınmaktır; sektörde zaten kanıtlanmış en iyi güvenlik uygulamalarının benimsenmesi gerekmektedir.

Proje Tarafı Güvenlik Önerileri

1. Akıllı sözleşme geliştirme için en iyi güvenlik uygulamalarına uyun.
2. Sözleşmenin güncellenebilir ve durdurulabilir işlevselliğini sağlamak.
3. Zaman kilidi mekanizması kullanın.
4. Güvenlik yatırımlarını artırmak ve kapsamlı bir güvenlik sistemi kurmak.
5. Tüm çalışanların güvenlik bilincini artırmak.
6. İçerideki kötü niyetli eylemleri önlemek, verimliliği artırırken risk kontrolünü güçlendirmek.
7. Üçüncü tarafları dikkatlice dahil edin, "varsayılan olarak yukarı ve aşağı akışın güvenli olmadığı" ilkesine uyun.

Kullanıcılar Akıllı Sözleşme Güvenliğini Nasıl Değerlendirir

1. Sözleşmenin açık kaynak olup olmadığını doğrulayın.
2. Owner'ın merkezi olmayan çoklu imza mekanizmasını kullanıp kullanmadığını kontrol edin.
3. Sözleşmenin mevcut işlem durumunu kontrol edin.
4. Sözleşmenin aracılık sözleşmesi olup olmadığını, yükseltilebilir olup olmadığını ve zaman kilidi olup olmadığını anlamak.
5. Sözleşmenin birden fazla kurum tarafından denetimden geçip geçmediğini ve Owner yetkisinin fazla olup olmadığını değerlendirin.
6. Projenin kullandığı oracle türüne ve güvenliğine dikkat edin.

Özetle, Merkezi Olmayan Finans alanında, güvenlik her zaman birincil önceliktir. Proje sahipleri güvenlik bilincini ve önlemlerini kapsamlı bir şekilde artırmalı, kullanıcılar ise dikkatli olmalı ve projelerin güvenliğini dikkatlice değerlendirerek karar vermelidir.