التمويل اللامركزي  الشائعة وطرق الوقاية منها

في الآونة الأخيرة، شارك أحد خبراء الأمن دورة تدريبية حول أمان التمويل اللامركزي للأعضاء في المجتمع. استعرض الخبير الأحداث الأمنية الكبيرة التي واجهتها صناعة Web3 على مدار العام الماضي، وتناول بعمق أسباب حدوث هذه الأحداث وكيفية تجنبها، وقدم ملخصًا عن الثغرات الأمنية الشائعة في العقود الذكية وإجراءات الوقاية، كما قدم بعض النصائح الأمنية للمشاريع والمستخدمين العاديين.

أنواع الثغرات الشائعة في التمويل اللامركزي تشمل عادةً القروض الفورية، وتلاعب الأسعار، ومشاكل صلاحيات الدوال، والاستدعاءات الخارجية العشوائية، ومشاكل دالة التراجع، وثغرات منطق الأعمال، وتسرب المفاتيح الخاصة، وهجمات إعادة الإدخال. ستتناول هذه المقالة بالتفصيل القروض الفورية، وتلاعب الأسعار، وهجمات إعادة الإدخال.

! قسم أمان Cobo DeFi (الجزء الثاني) :D الثغرات الأمنية الشائعة والوقاية من eFi

قرض الفلاش

القروض الفورية هي نوع من الابتكار في التمويل اللامركزي ، ولكن غالبًا ما يتم استغلالها من قبل القراصنة. عادة ما يقوم المهاجمون بإقراض كميات كبيرة من الأموال عبر القروض الفورية للتلاعب بالأسعار أو مهاجمة منطق الأعمال. يحتاج المطورون إلى النظر في ما إذا كانت وظائف العقد قد تتسبب في استثنائات بسبب الأموال الضخمة، أو أن يتم استغلالها في صفقة واحدة للتفاعل مع وظائف متعددة للحصول على مكافآت غير مشروعة.

الكثير من مشاريع التمويل اللامركزي تبدو عوائدها مرتفعة، لكن في الواقع، مستويات فريق المشروع متباينة. قد يكون كود بعض المشاريع قد تم شراؤه، وحتى لو لم يحتوي الكود نفسه على ثغرات، إلا أنه قد توجد مشاكل منطقية. على سبيل المثال، تقوم بعض المشاريع بإصدار المكافآت في أوقات محددة بناءً على عدد الرموز المميزة التي يمتلكها حاملوها، لكن يتم استغلال ذلك من قبل المهاجمين الذين يشترون كميات كبيرة من الرموز المميزة من خلال قروض فورية، مما يؤدي إلى تدفق معظم المكافآت نحو المهاجمين.

التحكم في الأسعار

تتعلق مشكلة التحكم في الأسعار ارتباطًا وثيقًا بالقروض الفورية، ويرجع ذلك أساسًا إلى إمكانية التحكم في بعض المعلمات خلال حساب الأسعار من قبل المستخدمين. هناك نوعان شائعان من المشكلات:

1. عند حساب الأسعار، يتم استخدام بيانات الطرف الثالث، ولكن طريقة الاستخدام غير صحيحة أو هناك نقص في الفحص، مما يؤدي إلى التحكم الضار في الأسعار.
2. استخدام عدد الرموز في بعض العناوين كمتغيرات حسابية، حيث يمكن زيادة أو تقليل رصيد الرموز في تلك العناوين مؤقتًا.

هجوم إعادة الدخول

واحد من المخاطر الرئيسية لاستدعاء العقود الخارجية هو أنها قد تتولى تدفق التحكم وتقوم بإجراء تغييرات غير متوقعة على البيانات. مثال نموذجي لهجوم إعادة الدخول هو في دالة السحب، حيث يتم تعيين رصيد المستخدم إلى 0 فقط في نهاية الدالة، مما يؤدي إلى نجاح عمليات السحب المتكررة.

تتعدد طرق هجمات إعادة الدخول بناءً على العقود المختلفة، وقد تشمل عدة وظائف مختلفة أو عقود متعددة. عند حل مشكلة إعادة الدخول، يجب الانتباه إلى النقاط التالية:

1. يجب عدم فقط منع مشكلة إعادة الدخول لوظيفة واحدة
2. اتبع نموذج Checks-Effects-Interactions في الترميز
3. استخدام مُعدل منع إعادة الدخول المُثبت زمنياً

من الجدير بالذكر أن تكرار ابتكار العجلات غالبًا ما يكون خطرًا. في دائرة Web3 ، هناك العديد من أفضل ممارسات الأمان المتاحة ، ومن الأكثر أمانًا تبني هذه الحلول الناضجة بدلاً من تطويرها بنفسك.

نصائح للأمان

نصائح أمان لمشاريع الطرف

1. اتباع أفضل الممارسات الأمنية في تطوير العقود
2. تنفيذ وظائف ترقية العقد وإيقافه
3. استخدام آلية قفل الوقت
4. زيادة الاستثمار في الأمان، وتأسيس نظام أمان متكامل
5. تعزيز الوعي الأمني لجميع الموظفين
6. منع الأذى الداخلي، وتعزيز إدارة المخاطر أثناء زيادة الكفاءة
7. توخى الحذر عند إدخال مكونات الطرف الثالث، واتبع مبدأ "الافتراض أن جميع الأطراف غير آمنة"

كيف يمكن للمستخدمين / مزودي السيولة تحديد ما إذا كانت العقود الذكية آمنة

1. تأكيد ما إذا كان العقد مفتوح المصدر
2. تحقق مما إذا كان المالك يستخدم آلية التوقيع المتعدد اللامركزية.
3. راجع حالة التداول الحالية للعقد
4. معرفة ما إذا كانت العقد عقد وكيل، وما إذا كانت قابلة للتحديث، وما إذا كان هناك قفل زمني
5. تأكد مما إذا كان العقد قد تم تدقيقه من قبل العديد من المؤسسات، وقم بتقييم ما إذا كانت صلاحيات المالك مبالغ فيها.
6. انتبه إلى نوع وموثوقية الأوراق المالية المستخدمة في المشروع

في بيئة Web3 ، تعتبر الوعي الأمني أمرًا بالغ الأهمية. يجب على المستخدمين التفكير بشكل أكبر وزيادة اليقظة لتجنب المخاطر الأمنية المحتملة. خاصة في الأوقات التي تكون فيها ظروف السوق غير مواتية ، يجب أن يكونوا أكثر حذرًا من أنواع الاحتيال المختلفة.