DeFi常見安全漏洞及預防措施

近期,一位安全專家爲社區成員分享了DeFi安全相關話題。該專家回顧了過去一年多Web3行業遭遇的重大安全事件,深入探討了這些事件的原因以及如何規避,總結了常見智能合約的安全漏洞及預防措施,並對項目方和普通用戶給出了一些安全建議。

常見的DeFi漏洞類型主要包括閃電貸、價格操縱、函數權限問題、任意外部調用、fallback函數問題、業務邏輯漏洞、私鑰泄漏和重入攻擊等。本文重點介紹閃電貸、價格操控以及重入攻擊這三種類型。

閃電貸

閃電貸是DeFi的一種創新,但也常被黑客利用。攻擊者可以通過閃電貸借出大量資金,對價格進行操縱或攻擊業務邏輯。開發者需要考慮合約功能是否會因爲巨額資金導致異常,或是被利用在一筆交易中與多個函數交互獲取不正當收益。

許多DeFi項目看似收益很高,但項目方水平參差不齊。即便代碼本身沒有漏洞,在邏輯上仍可能存在問題。例如,有些項目會在固定時間根據持倉量發放獎勵,卻被攻擊者利用閃電貸購買大量代幣,在獎勵發放時獲得大部分收益。還有一些通過Token計算價格的項目,也容易被閃電貸影響價格。項目方應對這些問題保持警惕。

價格操控

價格操控問題與閃電貸密切相關,主要由於價格計算時某些參數可被用戶控制。常見的有兩種情況:

1. 計算價格時使用第三方數據,但使用方式不正確或檢查缺失,導致價格被惡意操控。

2. 使用某些地址的Token餘額作爲計算變量,而這些地址的Token數量可被臨時增減。

重入攻擊

調用外部合約的主要風險之一是它們可能接管控制流,對數據進行未預料到的更改。例如:

solidity mapping (address => uint) private userBalances;

function withdrawBalance() public { uint amountToWithdraw = userBalances[msg.sender]; (bool success, ) = msg.sender.call.value(amountToWithdraw)(""); require(success); userBalances[msg.sender] = 0; }

由於用戶餘額直到函數最後才設爲0,第二次及後續調用仍會成功,並反復提取餘額。

重入攻擊的形式多樣,可能涉及同一合約的不同函數或多個合約的函數。解決重入問題時需注意:

1. 不僅防止單一函數的重入問題
2. 遵循Checks-Effects-Interactions模式編碼
3. 使用經過驗證的防重入modifier

最好避免重復造輪子,應使用行業內成熟的最佳安全實踐。新造的"輪子"缺乏充分驗證,出問題的概率往往高於久經考驗的方案。

安全建議

項目方安全建議

1. 遵循最佳安全實踐進行合約開發

2. 設計可升級、可暫停的合約:有助於及時發現並降低攻擊損失

3. 採用時間鎖:爲發現和應對潛在問題提供緩衝期

4. 加大安全投入,建立完善的安全體系:安全是系統性工作,不僅限於合約審計

5. 提高所有員工的安全意識:許多攻擊利用人性弱點,提高警惕可避免很多問題

6. 預防內部作惡,在提升效率的同時加強風控:如採用多籤、時間鎖等機制

7. 謹慎引入第三方:對上下遊都要進行安全校驗,尤其是非開源合約

用戶/LP判斷智能合約安全的方法

1. 檢查合約是否開源:不開源的項目不要參與

2. 確認Owner是否採用去中心化的多籤

3. 查看合約已有的交易情況:部署時間、交互次數等

4. 檢查合約是否爲代理合約、是否可升級、是否有時間鎖

5. 確認合約是否接受過多家機構審計,Owner權限是否過大

6. 注意預言機的可靠性:龍頭預言機較爲安全,自建或低門檻預言機需謹慎

總之,在DeFi領域參與者都應保持警惕,項目方要全方位考慮安全問題,用戶則要謹慎評估項目安全性再做決策。