ಡಿಫೈನಲ್ಲಿ ಸ್ಮಾರ್ಟ್ ಕಾನ್‌ಟ್ರ್ಯಾಕ್ ಸುರಕ್ಷತೆ: ಸಾಮಾನ್ಯ ದುರ್ಬಲತೆಗಳು ಮತ್ತು ಅವುಗಳನ್ನು ಹೇಗೆ ತಪ್ಪಿಸಲು ಸಾಧ್ಯವಿದೆ

ನಾವು ತಾಂತ್ರಿಕ ದುರ್ಬಲತೆಗಳಲ್ಲಿ ಜಾರಿಯು ಮುನ್ನಡೆಯುವ ಮುನ್ನ, ನಿಮ್ಮ ಮೂಲ ವ್ಯಾಪಾರ ಚಟುವಟಿಕೆಗಳು ಸುರಕ್ಷಿತ ವೇದಿಕೆಯ ಮೇಲೆ ಇರುವುದನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳುವುದು ಸದಾ ಬುದ್ಧಿವಂತಿಕೆ. ನೀವು ವಿವಿಧ ಆಸ್ತಿ ಗಳಿಗಾಗಿ ಇತ್ತೀಚಿನ ಬೆಲೆಗಳು ಮತ್ತು ಚಲನೆಗಳನ್ನು Exbix Markets ಪೇಜ್‌ನಲ್ಲಿ ಪರಿಶೀಲಿಸಬಹುದು.

ಭಾಗ 2: ಸಾಮಾನ್ಯ ಸ್ಮಾರ್ಟ್ ಕಾನ್‌ಟ್ರಾಕ್ಟ್ ದುರ್ಬಲತೆಗಳು ಮತ್ತು ಶೋಷಣೆಗಳು

ಗಂಭೀರವಾದವುಗಳಿಗೆ ಕಾರಣವಾದ ಸಾಮಾನ್ಯ ದುರ್ಬಲತೆಗಳ ವರ್ಗಗಳನ್ನು ನಾವು ವಿಭಜಿಸುತ್ತೇವೆ. ಡಿಫೈನಲ್ಲಿ ನಷ್ಟಗಳು.

1. ಪುನರಾವೃತ್ತ ದಾಳಿಗಳು: ಕ್ಲಾಸಿಕ್ ಕಳ್ಳತನ

ಪುನರಾವೃತ್ತ ದಾಳಿ ಎಂಬುದು ಅತ್ಯಂತ ಪ್ರಸಿದ್ಧ ಸ್ಮಾರ್ಟ್ ಕಾನ್‌ಟ್ರಾಕ್ ದುರ್ಬಲತೆ, 2016ರಲ್ಲಿ ನಡೆದ ಡಿಎಒ ಹ್ಯಾಕ್ ಮೂಲಕ ಪ್ರಸಿದ್ಧವಾಗಿ ತೋರಿಸಲಾಗಿದೆ, ಇದರಿಂದ 3.6 ಮಿಲಿಯನ್ ಇಥರ್ ನಷ್ಟವಾಯಿತು ಮತ್ತು ನಂತರ ಇಥೆರಿಯಂ ಹಾರ್ಡ್ ಫೋರ್ಕ್ ನಡೆಯಿತು.

• ಇದು ಏನು? ಪುನರಾವೃತ್ತ ದಾಳಿ ಮಾಲಿನ್ಯಕರ ಒಪ್ಪಂದವು ಪ್ರಾರಂಭಿಕ ಕಾರ್ಯಾಚರಣೆಯ ಪೂರ್ಣಗೊಳ್ಳುವ ಮೊದಲು ಕರೆ ಮಾಡುವ ಒಪ್ಪಂದಕ್ಕೆ ಹಿಂತಿರುಗುತ್ತದೆ. ಇದು ದಾಳಿ ಮಾಡುವ ವ್ಯಕ್ತಿಗೆ ತಮ್ಮ ಶ್ರೇಣಿಯನ್ನು ನವೀಕರಿಸುವ ಮೊದಲು ನಿಧಿಗಳನ್ನು ಪುನರಾವೃತ್ತವಾಗಿ ಹಿಂಪಡೆಯಲು ಅವಕಾಶ ನೀಡಬಹುದು.
• ಇದು ಹೇಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ:
  1. ಒಪ್ಪಂದ A ಗೆ withdraw() ಕಾರ್ಯವಿದೆ, ಇದು ಬಳಕೆದಾರರಿಗೆ ETH ಕಳುಹಿಸುತ್ತದೆ. ಮತ್ತು ನಂತರ ಬಳಕೆದಾರನ ಆಂತರಿಕ ಸಮತೋಲನವನ್ನು ನವೀಕರಿಸುತ್ತದೆ.
  2. ಆಕ್ರಮಣಕಾರನ ಒಪ್ಪಂದ B withdraw() ಅನ್ನು ಕರೆ ಮಾಡುತ್ತದೆ.
  3. ಒಪ್ಪಂದ A ಒಪ್ಪಂದ B ಗೆ ETH ಕಳುಹಿಸುತ್ತದೆ.
  4. ಒಪ್ಪಂದ B ಗೆ fallback() ಕಾರ್ಯವಿಧಾನವಿದೆ (ಯಾವುದು ETH ಅನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ) ಅದು ತಕ್ಷಣ ಮರುಕರೆಗೆ withdraw() ಒಪ್ಪಂದ A ಯಲ್ಲಿ ಮತ್ತೆ ಕರೆ ಮಾಡುತ್ತದೆ.
  5. ಒಪ್ಪಂದ A ಹುಡುಕಿದ ವ್ಯಕ್ತಿಯ ಶ್ರೇಣಿಯನ್ನು ಇನ್ನೂ ನವೀಕರಿಸಲಾಗಿಲ್ಲ, ಆದ್ದರಿಂದ ಇದು ಒಪ್ಪಂದ B ಇನ್ನೂ ಹೆಚ್ಚು ETHಗೆ ಹಕ್ಕು ಹೊಂದಿದೆ ಎಂದು ಕಂಡು ಮತ್ತೆ ಕಳುಹಿಸುತ್ತದೆ.
  6. ಈ ಚಕ್ರವು ಒಪ್ಪಂದ A ಅನ್ನು ಖಾಲಿ ಮಾಡುವವರೆಗೆ ಮುಂದುವರಿಯುತ್ತದೆ, ಅಥವಾ ವ್ಯವಹಾರ ಗ್ಯಾಸ್ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ.
• ಪ್ರಖ್ಯಾತ ಉದಾಹರಣೆ: ದಿ DAO ಹ್ಯಾಕ್ (2016).
• ಇದನ್ನು ತಪ್ಪಿಸಲು ಹೇಗೆ:
  • ಚೆಕ್-ಎಫೆಕ್ಟ್ಸ್-ಇಂಟರ್ಯಾಕ್ಷನ್ ಮಾದರಿಯನ್ನು ಬಳಸಿರಿ: ಇದು ಚಿನ್ನದ ನಿಯಮ. ಸದಾ:
    1. ಚೆಕ್ ಎಲ್ಲಾ ಶರತ್ತುಗಳನ್ನು (ಉದಾಹರಣೆಗೆ, require(balances[msg.sender] >= amount);).
    2. ನವೀಕರಿಸಿ ಎಲ್ಲಾ ಆಂತರಿಕ ರಾಜ್ಯ ಚರಗಳನ್ನು (ಎಫೆಕ್ಟ್ಸ್) (ಉದಾಹರಣೆಗೆ, balances[msg.sender] -= ಮಟ್ಟ;).
    3. ನಂತರ, ಇತರ ಒಪ್ಪಂದಗಳು ಅಥವಾ ಇಒಎಗಳನ್ನು (ಸಂಪರ್ಕಗಳು) (ಉದಾಹರಣೆಗೆ, msg.sender.call{value: amount}("");).
  • ರೀಎಂಟ್ರನ್ಸಿ ಗಾರ್ಡ್ಗಳನ್ನು ಬಳಸಿರಿ: OpenZeppelin ReentrancyGuard ಮೋಡಿಫೈಯರ್ ಅನ್ನು ಒದಗಿಸುತ್ತದೆ, ಇದು ಕಾರ್ಯವನ್ನು ಅದರ ಕಾರ್ಯಗತಿಯಲ್ಲಿ ಲಾಕ್ ಮಾಡುತ್ತದೆ, ಪುನರಾವೃತ್ತ ಕರೆಗಳನ್ನು ತಡೆಯುತ್ತದೆ.

2.Oracle ಮ್ಯಾನಿಪುಲೇಶನ್ ದಾಳಿ

ಸ್ಮಾರ್ಟ್ ಕಾನ್‌ಟ್ರ್ಯಾಕ್ಟ್‌ಗಳಿಗೆ ಬಹಳಷ್ಟು ಬಾರಿ ವಾಸ್ತವಿಕ ಜ್ಞಾನ ಅಗತ್ಯವಿದೆ. ಓರಕಲ್‌ಗಳು ಈ ಮಾಹಿತಿಯನ್ನು ಒದಗಿಸುವ ಸೇವೆಗಳಾಗಿವೆ. ಓರಕಲ್ ಒದಗಿಸುವ ಬೆಲೆಯ ಪೂರಕವನ್ನು ಮ್ಯಾನಿಪುಲೇಟ್ ಮಾಡುವುದು ಮುಖ್ಯ ದಾಳಿ ಮಾರ್ಗವಾಗಿದೆ.

• ಇದು ಏನು? ಒಬ್ಬ ದಾಳಿ ನಡೆಸುವವರು ಕಡಿಮೆ ಲಿಕ್ವಿಡಿಟಿಯೊಂದಿಗೆ ವಿತರಣಾ ವಿನಿಮಯದಲ್ಲಿ (DEX) ಆಸ್ತಿ ಬೆಲೆಯನ್ನು ಮ್ಯಾನಿಪುಲೇಟ್ ಮಾಡುತ್ತಾನೆ. ಒಂದು ಪ್ರೋಟೋಕಾಲ್‌ನ ಓರಾಕಲ್ ಅನ್ನು ತಪ್ಪು ಬೆಲೆಯನ್ನು ವರದಿ ಮಾಡಲು ಮೋಸ ಮಾಡುವುದು.
• ಇದು ಹೇಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ:
  1. ಒಂದು ಸಾಲದ ಪ್ರೋಟೋಕಾಲ್ ತನ್ನ ಓರಾಕಲ್ ಅನ್ನು DEX ನ ಸ್ಥಳೀಯ ಬೆಲೆಯನ್ನು ಬಳಸುತ್ತದೆ, ಇದರಿಂದ ತಲೆಯ ಮೇಲೆ ಎಷ್ಟು ಸಾಲ ಪಡೆಯಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.
  2. ಒಂದು ದಾಳಿಗಾರ ABC/ETH ಎಂಬ ವ್ಯಾಪಾರ ಜೋಡಿಯಿಂದ ದ್ರವ್ಯತೆಯನ್ನು ಕಳೆಯಲು ಫ್ಲಾಶ್ ಸಾಲವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತಾನೆ, ಇದರಿಂದ ಅದು ಬಹಳ ಅಸಂಗತವಾಗುತ್ತದೆ.
  3. ಆಕ್ರಮಣಕಾರನು ನಂತರ ABCನ ಒಂದು ಸಣ್ಣ ಪ್ರಮಾಣವನ್ನು ETH ವಿರುದ್ಧದ ಈಗ ಅಪ್ರಮಾಣಿತ ಹೂಡಿಕೆಯಲ್ಲಿ ದ್ರವ್ಯವನ್ನು ದೊಡ್ಡ ಪ್ರಮಾಣದಲ್ಲಿ ಚಲಾಯಿಸುತ್ತದೆ.
  4. ಪ್ರೋಟೋಕಾಲ್‌ನ ಓರ್ಕಲ್ ಈ ಹಂಚಿಕೆಯನ್ನು ಓದುತ್ತದೆ.
  5. ಆಕ್ರಮಣಕಾರನು ಕೃತಕವಾಗಿ ಉದ್ದೇಶಿತ ABCನನ್ನು ಹೂಡಿಕೆಗಾಗಿ collateral ಆಗಿ ಬಳಸಿಕೊಂಡು ಪ್ರೋಟೋಕಾಲ್‌ನಿಂದ ಇತರ, ಅಪ್ರಮಾಣಿತ ಆಸ್ತಿಗಳನ್ನು ದೊಡ್ಡ ಪ್ರಮಾಣದಲ್ಲಿ ಸಾಲ ಪಡೆಯುತ್ತಾನೆ.
  6. ಆಕ್ರಮಣಕಾರನು ಫ್ಲಾಶ್ ಸಾಲವನ್ನು ತೀರಿಸುತ್ತಾನೆ, ಮತ್ತು ABCನ ಬೆಲೆಯು
  ತಪ್ಪುಗಳನ್ನು ಸರಿಪಡಿಸುತ್ತದೆ, ಆದರೆ ಪ್ರೋಟೋಕಾಲ್ ಅಮೂಲ್ಯವಾದ ಹೂಡಿಕೆ ಮತ್ತು ಭಾರೀ ಕಳಂಕಿತ ಸಾಲವನ್ನು ಹೊಂದಿದೆ.
• ಪ್ರಸಿದ್ಧ ಉದಾಹರಣೆಗಳು: ಹಾರ್ವೆಸ್ಟ್ ಫೈನಾನ್ಸ್ ಹ್ಯಾಕ್ ($34 ಮಿಲಿಯನ್ ಕಳೆದುಹೋಗಿದೆ), ಕಂಪೌಂಡ್‌ನ ಡಿಎಐ ಘಟನೆ.
• ಇದನ್ನು ತಪ್ಪಿಸಲು ಹೇಗೆ:
  • ಕೇಂದ್ರಿತ ಓರಾಕಲ್‌ಗಳನ್ನು ಬಳಸುವುದು: ಚೇನ್‌ಲಿಂಕ್‌ನಂತಹ ಶಕ್ತಿಶಾಲಿ ಓರಾಕಲ್ ನೆಟ್ವರ್ಕ್‌ಗಳನ್ನು ಬಳಸಿರಿ, ಇದು ಸ್ವಾಯತ್ತ ನೋಡ್‌ಗಳು ಮತ್ತು ಮೂಲಗಳಿಂದ ಒಟ್ಟುಗೂಡಿಸಿದ ಡೇಟಾವನ್ನು ಬಳಸುವುದು, ಅವುಗಳನ್ನು ಹಾಳು ಮಾಡುವುದು ಅತ್ಯಂತ ಕಷ್ಟಕರ ಮತ್ತು ವೆಚ್ಚವರ್ಧಕವಾಗಿಸುತ್ತದೆ.
  • ಕಾಲ-ತೂಕದ ಸರಾಸರಿ ಬೆಲೆಗಳನ್ನು (TWAPs) ಬಳಸಿರಿ: ತಕ್ಷಣದ ಸ್ಥಳೀಯ ಬೆಲೆಯ ಬದಲು ಒಂದು ಅವಧಿಯ (ಉದಾಹರಣೆಗೆ, 30 ನಿಮಿಷಗಳು) ಬೆಲೆಯ ಸರಾಸರಿಯನ್ನು ಬಳಸುವುದು ಶ್ರೇಣೀಬದ್ಧ ಹಾಳು ಮಾಡುವುದನ್ನು ಲಾಭದಾಯಕವಾಗಿಸುವುದಿಲ್ಲ.
  • ಬಹು ಡೇಟಾ ಮೂಲಗಳನ್ನು ಬಳಸಿರಿ: ಬಳಸಬೇಡಿ ಒಂದು ಪ್ರಮುಖ ಬೆಲೆಯ ಮಾಹಿತಿಗೆ ಒಬ್ಬ DEX ನ ದ್ರಾವಕತೆಗೆ ಅವಲಂಬಿತವಾಗಿರಿ.

3. ಪೂರ್ಣಾಂಕ ಓವರ್ಫ್ಲೋಗಳು ಮತ್ತು ಅಂಡರ್‌ಫ್ಲೋಗಳು

ಕಂಪ್ಯೂಟರ್‌ಗಳಿಗೆ ಸಂಖ್ಯೆಯ ಗಾತ್ರದ ಮೇಲೆ ನಿರ್ಧಿಷ್ಟ ಮಿತಿಗಳು ಇವೆ. Solidity ನಲ್ಲಿ uint256 (ಅನುದೇಶಿತ ಪೂರ್ಣಾಂಕ) ಗೆ ಗರಿಷ್ಠ ಮೌಲ್ಯ 2^256 - 1 ಆಗಿದೆ.

• ಇದು ಏನು?
  • ಊರ: ಒಂದು ಕಾರ್ಯ (ಹಣಕಾಸು ಸೇರಿಸುವಂತೆ) ಗರಿಷ್ಠ ಮೌಲ್ಯಕ್ಕಿಂತ ಹೆಚ್ಚು ಸಂಖ್ಯೆಯನ್ನು ಉತ್ಪತ್ತಿ ಮಾಡಿದಾಗ, ಅದು “ಪರಿಕ್ರಮಣ” ಆಗಿ ಒಂದು ಬಹಳ ಚಿಕ್ಕ ಸಂಖ್ಯೆಗೆ ಹೋಗುತ್ತದೆ.
  • ಅಡಚಣೆ: ಒಂದು ಕಾರ್ಯ (ಹಣಕಾಸು ಕಡಿಮೆ ಮಾಡುವಂತೆ) ಶೂನ್ಯಕ್ಕಿಂತ ಕಡಿಮೆ ಸಂಖ್ಯೆಯನ್ನು ಉತ್ಪತ್ತಿ ಮಾಡಿದಾಗ (ಊರದ ಪೂರ್ಣಾಂಕಗಳಿಗೆ, ಇದು ಋಣಾತ್ಮಕವಾಗಿರಲು ಸಾಧ್ಯವಿಲ್ಲ), ಇದು ಒಂದು ಬಹಳ ದೊಡ್ಡ ಸಂಖ್ಯೆಗೆ ಪರಿಕ್ರಮಣವಾಗುತ್ತದೆ.
  ಸಂಖ್ಯೆ.
• ಇದು ಹೇಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ:
  • ಒಂದು ಶ್ರೇಣಿಯ 100 ಟೋಕನ್‌ಗಳು. ಬಳಕೆದಾರನು 101 ಖರ್ಚು ಮಾಡುತ್ತಾನೆ. ಲೆಕ್ಕಾಚಾರ 100 - 101 ಅಡಚಣೆಗೆ ಒಳಗಾಗುತ್ತದೆ, ಇದರಿಂದ 2^256 - 1 ಶ್ರೇಣಿಯು ಲಭ್ಯವಾಗುತ್ತದೆ, ಇದು ಬಳಕೆದಾರನಿಗೆ ಪ್ರಾಯೋಗಿಕವಾಗಿ ಅಸীম ಶ್ರೇಣಿಯನ್ನು ನೀಡುತ್ತದೆ.
• ಎಂತೆಗೆ ತಪ್ಪಿಸಲು ಇದು:
  • Solidity 0.8.x ಅಥವಾ ನಂತರದ ಆವೃತ್ತಿಯನ್ನು ಬಳಸಿರಿ: ಕಂಪೈಲರ್ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಓವರ್ಫ್ಲೋ/ಅಂಡರ್‌ಫ್ಲೋಗಳನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ ಮತ್ತು ಅವು ಸಂಭವಿಸಿದಾಗ ವ್ಯವಹಾರಗಳನ್ನು ಹಿಂದಿರುಗಿಸುತ್ತದೆ.
  • ಹಳೆಯ ಕಂಪೈಲರ್‌ಗಳಿಗೆ SafeMath ಅನ್ನು ಬಳಸಿರಿ: OpenZeppelin SafeMath ಗ್ರಂಥಾಲಯವು v0.8 ಮೊದಲು ಸುರಕ್ಷಿತ ಗಣಿತ ಕಾರ್ಯಾಚರಣೆಗಳಿಗೆ ಕಾರ್ಯಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ.

4. ಪ್ರವೇಶ ನಿಯಂತ್ರಣ ದೋಷಗಳು