د DeFi کې د سمارټ قرارداد امنیت: عام زیانونه او څنګه یې مخنیوی وکړو

مخکې له دې چې تخنیکي زیانونه وڅیړو، تل ښه ده چې ډاډ ترلاسه کړئ ستاسو بنسټیز سوداګریز فعالیتونه په یوه خوندي پلاتفورم کې دي. تاسو کولی شئ د مختلفو شتمنیو لپاره وروستي نرخونه او حرکتونه په Exbix Markets پاڼه کې وګورئ.

برخه ۲: عام سمارټ قرارداد کمزوري او استثمارونه

راځئ چې د هغو عامو کټګوریو تحلیل وکړو چې د مهمو کمزوریو لامل شوي دي. د DeFi کې زیانونه.

۱. د بیا ننوتلو بریدونه: کلاسیک غلا

د بیا ننوتلو برید د سمارټ قرارداد ترټولو مشهور زیان منونکی دی، چې په ۲۰۱۶ کې د DAO برید له لارې په مشهوره توګه څرګند شو، چې له امله یې ۳.۶ میلیونه ETH ضایع شول او وروسته د اتریوم سخت فورک رامنځته شو.

• دا څه شی دی؟ یو بیا ننوتلو برید وقتی یک قرارداد مخرب قبل از اینکه اجرای اولیه تابع کامل شود، به قرارداد فراخوانی شده باز می‌گردد. این می‌تواند به مهاجم اجازه دهد که به طور مکرر وجوه را قبل از اینکه موجودی آن‌ها به‌روزرسانی شود، برداشت کند.
• چگونه کار می‌کند:
  1. قرارداد A دارای یک withdraw() تابع است که ETH را به یک کاربر ارسال می‌کند او بیا تازه کوي د کارونکي داخلي توازن.
  2. د بریدګر قرارداد B withdraw() غوښتنه کوي.
  3. قرارداد A ETH قرارداد B ته لیږي.
  4. قرارداد B یوه fallback() دنده لري (چې ETH ترلاسه کوي) چې فوري بیا withdraw() په قرارداد A کې غږوي.
  5. قرارداد A ترتیب‌دهنده تراکنش تازه توازن مهاجم را تازه نکرده است، بنابراین می‌بیند که قرارداد B هنوز حق دریافت بیشتر ETH را دارد و دوباره آن را می‌فرستد.
  6. این حلقه ادامه می‌یابد، قرارداد A را خالی می‌کند تا اینکه گاز تراکنش تمام شود یا قرارداد خالی شود.
• مثال مشهور: هک DAO (2016).
• چگونه از آن اجتناب کنیم:
  • د چک-اغیز-تبادلې نمونې وکاروئ: دا د طلایي قاعده ده. تل:
    1. چک ټول شرایط (لکه، require(balances[msg.sender] >= amount);).
    2. تازه کړئ ټول داخلي حالت متغیرات (اغیزې) (لکه، balances[msg.sender] -= مقدار؛).
    3. بیا، له نورو قراردادونو یا EOAs سره تعامل وکړئ (تعاملات) (لکه، msg.sender.call{value: amount}("");).
  • د بیا رغونې ساتونکي وکاروئ: OpenZeppelin یو ReentrancyGuard موډیفیر وړاندې کوي چې د هغې د اجرا په وخت کې یوه دنده قفل کوي، او د تکراري غوښتنو مخه نیسي.

2. د اوراکل د manipulatio حملې

هوښیار قراردادونه اکثره د حقیقي نړۍ معلوماتو ته اړتیا لري. اوراکلونه هغه خدمتونه دي چې دا معلومات چمتو کوي. د اوراکل لخوا چمتو شوي قیمت تغذیه بدلول د حملې یوه اساسي لاره ده.

• دا څه دی؟ یو بریدګر د کم مایع سره په غیر مرکزي تبادله (DEX) کې د یو شتمنۍ قیمت بدلوي ترڅو فریب دادن یک اوراکل پروتکل برای گزارش قیمت نادرست.
• چگونه کار می‌کند:
  1. یک پروتکل وام‌دهی از قیمت لحظه‌ای یک DEX به عنوان اوراکل خود استفاده می‌کند تا تعیین کند چه مقدار می‌توان بر اساس وثیقه وام گرفت.
  2. یک مهاجم یک وام سریع می‌گیرد تا نقدینگی را از یک جفت تجاری، مثلاً ABC/ETH، خارج کند و آن را بسیار غیر نقدی کند.
  3. حملہ آور بیا لږ مقدار ABC د ETH پر وړاندې د اوسني غیر مایع حوض په وړاندې د هغې بیه په پراخه کچه بدلوي.
  4. د پروتوکول اوراکل دا manipulated بیه لوستلو کوي.
  5. حملہ آور د مصنوعي لوړ شوي ABC د تضمین په توګه کاروي ترڅو د پروتوکول څخه د نورو، غیر manipulated شتمنیو لوی مقدار پور واخلي.
  6. حملہ آور د فلاش پور بیرته ورکوي، او د ABC بیه
  خود را اصلاح می‌کند، اما پروتکل با وثیقه‌های بی‌ارزش و یک بدهی بزرگ باقی می‌ماند.
• نمونه‌های مشهور: هک Harvest Finance (۳۴ میلیون دلار از دست رفته)، حادثه DAI در Compound.
• چگونه از آن جلوگیری کنیم:
  • استفاده از اوراکل‌های غیرمتمرکز: از شبکه‌های اوراکل قوی مانند Chainlink استفاده کنید، که د څو خپلواکو نوډونو او سرچینو څخه ټولیز معلومات راټول کړئ، چې دا یې د بدلون لپاره خورا ګران او ستونزمن کوي.
  • د وخت وزن لرونکي اوسط قیمتونه (TWAPs) وکاروئ: د یوې دورې په اوږدو کې د قیمت اوسط کارول (لکه، ۳۰ دقیقې) د فوري ځایي قیمت پر ځای، لنډمهاله بدلون غیرمنافع کوي.
  • چند سرچینې معلومات وکاروئ: مه پر یوه واحد DEX د مایعیت په تکیه د یوه مهم قیمت فیډ.

۳. عددی زیاتوالی او کمښت

کمپیوترونه د عددونو د اندازې په اړه محدودیتونه لري. په Solidity کې یو uint256 (بې نښانه عدد) تر ټولو زیات ارزښت 2^256 - 1 لري.

• دا څه دی؟
  • Overflow: کله چې یوه عملیه (لکه جمع) د اعظمي ارزښت څخه ډیر شمېر ته ورسیږي، نو دا “چورلکه کوي” تر یوې ډیرې کوچنۍ شمېرې.
  • Underflow: کله چې یوه عملیه (لکه تفریق) د صفر څخه ټیټه شمیره تولیدوي (د غیر منفي عددونو لپاره، چې منفي کېدلی نشي)، نو دا تر یوې ډیرې لوی شمېرې پورې چورلکه کوي. شماره.
• څنګه کار کوي:
  • یو توازن د 100 توکنونو. یو کاروونکی 101100 - 101 به لاندې تګ ته لاړ شي، چې په پایله کې به د 2^256 - 1 توازن ولري، چې په مؤثره توګه کاروونکي ته تقریباً بې پای توازن ورکوي.
• څنګه مخنیوی وکړو دا:
  • د Solidity 0.8.x یا وروسته ورژن وکاروئ: کمپایلر په اوتومات ډول د اوورفلو/انډر فلو لپاره چک کوي او هغه معاملې چېرته چې دا پیښیږي، بیرته راګرځوي.
  • د زړو کمپایلرونو لپاره SafeMath وکاروئ: د OpenZeppelin SafeMath کتابتون د v0.8 نه مخکې د خوندي ریاضي عملیاتو لپاره فعالیتونه چمتو کړي.