DeFi-இல் ஸ்மார்ட் கான்ட்ராக்ட் பாதுகாப்பு: பொதுவான பாதுகாப்பு குறைகள் மற்றும் அவற்றை தவிர்க்க எப்படி

நாம் தொழில்நுட்ப புலனாய்வுகளில் முந்தி செல்லும் முன், உங்கள் அடிப்படைக் கையெழுத்து செயல்பாடுகள் ஒரு பாதுகாப்பான மேடையில் இருப்பதை உறுதி செய்துகொள்வது எப்போதும் புத்திசாலித்தனமாக இருக்கும். நீங்கள் பல சொத்துகளுக்கான சமீபத்திய விலைகள் மற்றும் இயக்கங்களை Exbix Markets பக்கம் பார்த்து சரிபார்க்கலாம்.

பகுதி 2: பொதுவான ஸ்மார்ட் கான்ட்ராக்ட் பலவீனங்கள் மற்றும் பாவனைகள்

முக்கியமான பலவீனங்களின் பொதுவான வகைகளைப் பிரிக்கலாம், இது முக்கியமான DeFi இல் இழப்புகள்.

1. மீண்டும் நுழைவு தாக்குதல்கள்: பாரம்பரிய கொள்ளை

மீண்டும் நுழைவு தாக்குதல் என்பது மிகவும் புகழ்பெற்ற ஸ்மார்ட் கான்டிராக்ட் பலவீனம் ஆகும், 2016 இல் நடந்த DAO கொள்ளை மூலம் புகழ்பெற்றது, இதனால் 3.6 மில்லியன் ETH இழப்பு மற்றும் பின்னர் Ethereum கடுமையான கிளை ஏற்பட்டது.

• இதன் பொருள் என்ன? மீண்டும் நுழைவு தாக்குதல் ஒரு தீய நோக்கம் கொண்ட ஒப்பந்தம், ஆரம்ப செயல்பாட்டின் நிறைவுக்கு முன்பே அழைக்கும் ஒப்பந்தத்தில் மீண்டும் அழைக்கும்போது நிகழ்கிறது. இதனால் தாக்குதலாளர் தங்கள் சமநிலையை புதுப்பிக்கப்படுவதற்கு முன்பே நிதிகளை மீண்டும் மீண்டும் எடுக்க அனுமதிக்கலாம்.
• எப்படி வேலை செய்கிறது:
  1. ஒப்பந்தம் A-க்கு withdraw() என்பது பயனருக்கு ETH அனுப்பும் செயல்பாடு உள்ளது. மற்றும் பிறகு பயனர் உள்ளக சமநிலையை புதுப்பிக்கிறது.
  2. தாக்குதலாளியின் ஒப்பந்தம் B withdraw() என்பதை அழைக்கிறது.
  3. ஒப்பந்தம் A, ஒப்பந்தம் Bக்கு ETH ஐ அனுப்புகிறது.
  4. ஒப்பந்தம் B இல் ஒரு fallback() செயல்பாடு உள்ளது (ETH ஐ பெறுகிறது) அது உடனடியாக ஒப்பந்தம் A இல் withdraw() ஐ மீண்டும் அழைக்கிறது.
  5. ஒப்பந்தம் A என்னுடையது இன்னும் தாக்குதலாளியின் சமநிலையை புதுப்பிக்கவில்லை, எனவே இது ஒப்பந்தம் B இன்னும் அதிக ETH பெறுவதற்கான உரிமையை கொண்டதாகக் காண்கிறது மற்றும் அதை மீண்டும் அனுப்புகிறது.
  6. இந்த சுற்று தொடர்கிறது, ஒப்பந்தம் A-ஐ காலியாக்கும் வரை, அல்லது பரிவர்த்தனை எரிபொருள் முடிவுக்கு வரும் வரை.
• பிரபலமான எடுத்துக்காட்டு: The DAO களவாணி (2016).
• இதிலிருந்து எப்படி தவிர்க்கலாம்:
  • சேக்குகள்-எழுத்துகள்-அறிக்கைகள் முறைபாடு பயன்படுத்தவும்: இது தங்க விதி. எப்போதும்:
    1. சேக்கிங் அனைத்து நிலைகளை (எடுத்துக்காட்டாக, require(balances[msg.sender] >= amount);).
    2. புதுப்பிக்கவும் அனைத்து உள்ளக மாநில மாறிகள் (எழுத்துகள்) (எடுத்துக்காட்டாக, balances[msg.sender] -= amount;).
    3. அதற்குப் பிறகு, பிற ஒப்பந்தங்கள் அல்லது EOAs உடன் தொடர்பு கொள்ளுங்கள் (தொடர்புகள்) (எடுத்துக்காட்டாக, msg.sender.call{value: amount}("");).
  • மீண்டும் அழைப்புகளை தடுக்கும் பாதுகாப்புகளைப் பயன்படுத்துங்கள்: OpenZeppelin ஒரு ReentrancyGuard மாற்றியை வழங்குகிறது, இது ஒரு செயல்பாட்டின் செயல்பாட்டின் போது அதை பூட்டுகிறது, மீண்டும் அழைப்புகளைத் தடுக்கும்.

2.Oracle கையாளல் தாக்குதல்கள்

சிறந்த ஒப்பந்தங்களுக்கு அடிப்படையான உலக தரவுகள் தேவைப்படுகிறது. Oracle கள் இந்த தரவுகளை வழங்கும் சேவைகள் ஆகும். ஒரு Oracle வழங்கும் விலை தகவலை கையாள்வது முக்கியமான தாக்குதலின் வழிமுறை ஆகும்.

• இதென்ன? ஒரு தாக்குதலாளர் குறைந்த திரவத்துடன் கூடிய மையமில்லா பரிமாற்றத்தில் (DEX) ஒரு சொத்தின் விலையை கையாள்கிறார். ஒரு புரோட்டோக்கோலின் ஒரக்கிளை தவறான விலையைப் புகாரளிக்க ஏமாற்றவும்.
• இது எப்படி செயல்படுகிறது:
  1. ஒரு கடன் புரோட்டோக்கோல், அதன் ஒரக்கிளாக DEX இன் ஸ்பாட் விலையைப் பயன்படுத்தி, எவ்வளவு கடன் பெறலாம் என்பதைக் கணிக்கிறது.
  2. ஒரு தாக்குதலாளர், ABC/ETH என்ற வர்த்தக ஜோடியிலிருந்து திரவத்தைப் போக Flash Loan எடுத்து, அதை மிகவும் திரவமற்றதாக மாற்றுகிறார்.
  3. தாக்குதலாளர் பின்னர் ABC-ஐ சிறிய அளவுக்கு வர்த்தகம் செய்கிறார், இதனால் இப்போது திரவமில்லாத கிணற்றில் ETH-க்கு எதிராக அதன் விலை பெரிதாக நகர்கிறது.
  4. திட்டத்தின் ஒரக்கிள் இந்த மாற்றிய விலையை படிக்கிறது.
  5. தாக்குதலாளர் செயற்கையாக உயர்த்தப்பட்ட ABC-ஐ உறுதியாக பயன்படுத்தி, திட்டத்திலிருந்து மிகப்பெரிய அளவிலான மற்ற, மாற்றப்படாத சொத்துகளை கடன் எடுக்கிறார்.
  6. தாக்குதலாளர் ஃபிளாஷ் கடனை திருப்பி செலுத்துகிறார், மற்றும் ABC-இன் விலை
  தவிர்க்கிறது, ஆனால் புரொட்டோக்கோல் மதியற்ற உள்கட்டமைப்புடன் மற்றும் பெரும் மோசமான கடனுடன் விட்டுவிடப்படுகிறது.
• பிரபலமான எடுத்துக்காட்டுகள்: Harvest Finance ஹேக் ($34 மில்லியன் இழப்பு), Compound இன் DAI சம்பவம்.
• இதை தவிர்க்க எப்படி:
  • மையமற்ற ஓரக்கோள்களை பயன்படுத்தவும்: Chainlink போன்ற வலுவான ஓரக்கோள் நெட்வொர்க்களை பயன்படுத்தவும், இது பல சுயாதீன நொடிகள் மற்றும் ஆதாரங்களில் இருந்து தரவுகளை தொகுக்கவும், அவற்றைப் மாற்றுவது மிகவும் கடினமாகவும் செலவாகவும் இருக்கிறது.
  • கால அளவுக்கேற்ப சராசரி விலைகளை (TWAPs) பயன்படுத்தவும்: ஒரு காலப்பகுதியில் (எ.கா., 30 நிமிடங்கள்) உடனடி இடம் விலையைப் பொறுத்து விலை சராசரியைப் பயன்படுத்துவது குறுகிய கால மாற்றத்தை லாபகரமாக்காது.
  • பல தரவுத்தொகுப்புகளைப் பயன்படுத்தவும்: இல்லை ஒரு முக்கிய விலை தகவலுக்கு ஒரு தனி DEX இன் திரவத்தைக் கையாளுங்கள்.

3. முழு எண்கள் அதிகரிப்பு மற்றும் குறைப்பு

கணினிகளுக்கு எவ்வளவு பெரிய எண் இருக்க முடியும் என்பதற்கான எல்லைகள் உள்ளன. ஒரு uint256 (அறிக்கையிடாத முழு எண்) Solidity இல் அதிகபட்ச மதிப்பு 2^256 - 1 ஆகும்.

• இதுவே என்ன?
  • Overflow: ஒரு செயல்பாடு (சேர்க்கை போன்றது) அதிகபட்ச மதிப்பை விட அதிகமான எண்ணிக்கையை உருவாக்கும் போது, அது “சுற்றி” ஒரு மிகச் சிறிய எண்ணிக்கைக்கு செல்லும்.
  • Underflow: ஒரு செயல்பாடு (கழித்தல் போன்றது) பூஜ்யத்தின் கீழ் உள்ள எண்ணிக்கையை உருவாக்கும் போது (எதிர்மறை ஆக முடியாத unsigned integers க்காக), அது ஒரு மிகப் பெரிய எண்ணிக்கைக்கு சுற்றி செல்லும்.
  எண்.
• எப்படி செயல்படுகிறது:
  • ஒரு சமநிலை 100 டோக்கன்கள். ஒரு பயனர் 101 செலவழிக்கிறார். கணக்கீடு 100 - 101 குறைவாக இருக்கும், இதனால் 2^256 - 1 எனும் சமநிலையை உருவாக்குகிறது, இது பயனருக்கு Almost infinite balance வழங்குகிறது.
• எப்படி தவிர்க்கலாம் இது:
  • Solidity 0.8.x அல்லது பிறகு பயன்படுத்தவும்: கம்பைலர் தானாகவே ஓவர்ஃப்ளோ/அண்டர்ஃப்ளோவுகளை சரிபார்க்கிறது மற்றும் அவை நிகழும் போது பரிமாற்றங்களை திரும்பப் பெறுகிறது.
  • பழைய கம்பைலர்களுக்கு SafeMath பயன்படுத்தவும்: OpenZeppelin SafeMath நூலகம் v0.8 க்கு முன்பு பாதுகாப்பான கணித செயல்பாடுகளுக்கான செயல்பாடுகளை வழங்கியது.

4. Access Control Flaws

பல ஒப்பந்தங்களில் குறிப்பிட்ட முகவரிகளுக்கே (எடுத்துக்காட்டாக, உரிமையாளர், நிர்வாகி) மட்டுமே அணுகலுக்கான செயல்பாடுகள் உள்ளன.

• இது என்ன? ஒப்பந்தத்தின் செயல்பாட்டிற்கு முக்கியமான ஒரு செயல்பாடு (எடுத்துக்காட்டாக, ஒப்பந்தத்தை மேம்படுத்துதல், புதிய டோக்கன்களை உருவாக்குதல், கட்டணங்களை மாற்றுதல்) பாதுகாக்கப்படுவதற்குப் பதிலாக தவறுதலாக பொதுவாக வெளியிடப்படுகிறது. மாற்றியமைப்பாளர் போல onlyOwner.
• பிரபலமான எடுத்துக்காட்டு: Parity Wallet ஹாக் (2017), ஒரு பயனர் தவறுதலாக ஒரு செயல்பாட்டை செயல்படுத்தி, தன்னை நூலக ஒப்பந்தத்தின் உரிமையாளராக மாற்றி, பின்னர் “சுயகோலமாக்கியது”, ~500,000 ETH ஐ என்றும் உறுதியாக்கியது.
• இதிலிருந்து எப்படி தவிர்க்கலாம்:
  • அணுகல் கட்டுப்பாட்டைப் பயன்படுத்தவும் மாற்றிகள்: உண்மையான செயல்பாடுகளை தெளிவாகக் கட்டுப்படுத்த OpenZeppelin இன் Ownable அல்லது AccessControl போன்ற மாற்றிகளைப் பயன்படுத்தவும்.
  • ஆய்வு மற்றும் சோதனைச் செய்யவும்: அனுமதியில்லாத பயனர்கள் சிறப்பு செயல்பாடுகளை அழைக்க முடியாது என்பதை உறுதிப்படுத்துவதற்காக தானாக சோதனைகள் குறிப்பாக சோதிக்க வேண்டும்.