Tài chính phi tập trung các lỗ hổng bảo mật phổ biến và biện pháp phòng ngừa

Gần đây, một chuyên gia an ninh đã chia sẻ khóa học an ninh DeFi cho các thành viên trong cộng đồng. Khóa học đã xem xét lại những sự kiện an ninh nghiêm trọng mà ngành Web3 đã gặp phải trong hơn một năm qua, khám phá nguyên nhân và phương pháp tránh những sự kiện này, tóm tắt các lỗ hổng bảo mật thường gặp trong hợp đồng thông minh và các biện pháp phòng ngừa, đồng thời đưa ra một số lời khuyên về an ninh cho các dự án và người dùng thông thường.

Các loại lỗ hổng DeFi thường gặp bao gồm cho vay chớp nhoáng, thao túng giá, vấn đề quyền truy cập hàm, gọi bên ngoài tùy ý, vấn đề hàm fallback, lỗ hổng logic kinh doanh, rò rỉ khóa riêng và tấn công gọi lại. Bài viết này sẽ tập trung vào ba loại: cho vay chớp nhoáng, thao túng giá và tấn công gọi lại.

Vay chớp nhoáng

Vay chớp nhoáng là một sáng tạo trong Tài chính phi tập trung, nhưng cũng có thể bị tin tặc lợi dụng. Kẻ tấn công thường vay một số tiền lớn qua vay chớp nhoáng, thao túng giá cả hoặc tấn công vào logic kinh doanh. Các nhà phát triển cần xem xét liệu chức năng của hợp đồng có thể dẫn đến bất thường do số tiền khổng lồ hay không, hoặc liệu có thể thông qua số tiền khổng lồ để tương tác với nhiều hàm trong một giao dịch để nhận phần thưởng không chính đáng.

Nhiều dự án Tài chính phi tập trung có vẻ như mang lại lợi nhuận cao, nhưng trình độ của các bên dự án lại không đồng đều. Một số dự án có thể sử dụng mã đã mua, dù mã đó không có lỗ hổng, nhưng về mặt logic vẫn có thể tồn tại vấn đề. Ví dụ, một số dự án sẽ phát thưởng theo số lượng token của người nắm giữ vào thời điểm cố định, điều này có thể bị kẻ tấn công lợi dụng vay nhanh để mua một lượng lớn token, và khi phát thưởng sẽ nhận được phần lớn phần thưởng.

Kiểm soát giá

Vấn đề thao túng giá cả liên quan chặt chẽ đến khoản vay chớp nhoáng, chủ yếu do một số tham số có thể được người dùng kiểm soát trong quá trình tính toán giá cả. Có hai loại vấn đề phổ biến:

1. Sử dụng dữ liệu bên thứ ba khi tính giá, nhưng cách sử dụng không đúng hoặc thiếu kiểm tra, dẫn đến giá bị thao túng một cách ác ý.
2. Sử dụng số lượng token của một số địa chỉ làm biến số tính toán, trong khi số dư token của những địa chỉ này có thể tạm thời tăng hoặc giảm.

Tấn công tái nhập

Một trong những rủi ro chính khi gọi hợp đồng bên ngoài là chúng có thể chiếm quyền kiểm soát luồng điều khiển và thực hiện các thay đổi không mong đợi đối với dữ liệu. Ví dụ, trong hàm rút tiền, nếu số dư của người dùng chỉ được đặt thành 0 vào cuối hàm, thì việc gọi lại (và các lần gọi sau) vẫn sẽ thành công, dẫn đến việc rút tiền trùng lặp.

Giải quyết vấn đề tái nhập cần lưu ý những điểm sau:

1. Không chỉ cần ngăn chặn vấn đề tái nhập của một hàm đơn.
2. Tuân theo mô hình Checks-Effects-Interactions khi lập trình.
3. Sử dụng modifier chống tái nhập đã được kiểm chứng theo thời gian.

Cần lưu ý rằng việc lặp lại việc tạo ra bánh xe có thể mang lại nhiều rủi ro hơn. Sử dụng các phương pháp bảo mật tốt nhất đã được xác minh thường an toàn hơn so với việc tự phát triển các phương pháp mới.

Đề xuất bảo mật cho dự án

1. Tuân thủ các thực tiễn an toàn tốt nhất trong phát triển hợp đồng.
2. Thực hiện chức năng nâng cấp và tạm dừng hợp đồng.
3. Sử dụng cơ chế khóa thời gian.
4. Tăng cường đầu tư vào an ninh, thiết lập hệ thống an ninh hoàn thiện.
5. Nâng cao nhận thức về an ninh của tất cả nhân viên.
6. Ngăn ngừa hành vi xấu bên trong, đồng thời tăng cường kiểm soát rủi ro trong khi nâng cao hiệu quả.
7. Cẩn thận khi đưa vào bên thứ ba, mặc định rằng cả đầu vào và đầu ra đều không an toàn.

Người dùng/LP làm thế nào để xác định hợp đồng thông minh có an toàn hay không

1. Xác nhận hợp đồng có mã nguồn mở hay không.
2. Kiểm tra xem Owner có sử dụng đa ký hay không, và đa ký có phi tập trung hay không.
3. Kiểm tra tình hình giao dịch hiện có của hợp đồng.
4. Xác nhận hợp đồng có phải là hợp đồng đại lý không, có thể nâng cấp không, có khóa thời gian không.
5. Kiểm tra xem hợp đồng có được nhiều tổ chức kiểm toán không, quyền Owner có quá lớn không.
6. Chú ý đến tình hình sử dụng oracle.

Bằng cách chú ý đến những khía cạnh này, người dùng có thể đánh giá tốt hơn tính an toàn của hợp đồng thông minh, giảm khả năng tham gia vào các dự án có rủi ro.