DeFi 常见安全漏洞及预防措施

近期,一位安全专家为社区成员分享了一堂 DeFi 安全课。他回顾了过去一年多 Web3 行业遭遇的重大安全事件,探讨了这些事件发生的原因以及如何规避,总结了常见智能合约的安全漏洞及预防措施,并对项目方和普通用户给出了一些安全建议。

常见的 DeFi 漏洞类型一般有闪电贷、价格操纵、函数权限问题、任意外部调用、fallback 函数问题、业务逻辑漏洞、私钥泄漏、重入等。下面重点介绍闪电贷、价格操控以及重入攻击这三种类型。

闪电贷

闪电贷本身是 DeFi 的一种创新,但被黑客利用时可能造成巨大损失:

• 攻击者通过闪电贷借出大量资金,对价格进行操纵,攻击业务逻辑等
• 开发者需考虑合约功能是否会因巨额资金导致异常,或被利用获取不当收益
• 一些项目在设计功能时没考虑闪电贷的影响,导致资金被盗

过去两年出现了很多闪电贷相关问题。有些项目看起来收益很高,但实际上存在逻辑漏洞,比如:

• 在固定时间根据持仓量发放奖励,被利用闪电贷操纵获得大量奖励
• 通过 Token 计算价格的项目,可被闪电贷影响价格

项目方应该对这些问题提高警惕。

价格操控

价格操控问题与闪电贷关系密切,主要有两种类型:

1. 计算价格时使用第三方数据,但使用方式不正确或检查缺失
2. 使用某些地址的 Token 数量作为计算变量,而这些数量可被临时操纵

重入攻击

调用外部合约可能导致控制流被接管,对数据进行未预料的更改。一个典型的重入攻击示例:

solidity mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(success); userBalances[msg.sender] = 0; }

由于用户余额直到函数最后才设为0,重复调用可以多次提取余额。

解决重入问题需注意:

1. 不只防止单一函数的重入
2. 遵循 Checks-Effects-Interactions 模式
3. 使用经过验证的防重入 modifier

建议使用成熟的最佳安全实践,避免重复造轮子。

安全建议

对项目方的建议:

1. 遵循最佳安全实践进行合约开发
2. 实现合约可升级、暂停功能
3. 采用时间锁
4. 加大安全投入,建立完善的安全体系
5. 提高所有员工的安全意识
6. 预防内部作恶,在提升效率的同时增强风控
7. 谨慎引入第三方,默认上下游都不安全

用户如何判断智能合约是否安全:

1. 检查合约是否开源
2. 检查 Owner 是否采用去中心化的多签
3. 查看合约已有的交易情况
4. 检查合约是否可升级,是否有时间锁
5. 检查是否接受多家机构审计,Owner 权限是否过大
6. 注意预言机的可靠性

总之,在 DeFi 领域,无论是项目方还是普通用户,都需要提高安全意识,采取必要的安全措施,以降低风险,保护资产安全。