డీఫైలో స్మార్ట్ కాంట్రాక్ట్ భద్రత: సాధారణ దుర్బలతలు మరియు వాటిని ఎలా నివారించాలి

మేము సాంకేతిక బలహీనతలలోకి వెళ్లే ముందు, మీ ప్రాథమిక ట్రేడింగ్ కార్యకలాపాలు ఒక భద్రతా ప్లాట్‌ఫారమ్‌పై ఉన్నాయని నిర్ధారించడం ఎల్లప్పుడూ మంచిది. మీరు వివిధ ఆస్తుల కోసం తాజా ధరలు మరియు చలనాలను Exbix మార్కెట్లు పేజీలో చూడవచ్చు.

భాగం 2: సాధారణ స్మార్ట్ కాంట్రాక్ట్ దుర్వినియోగాల మరియు దోపిడీల

ముఖ్యమైన దుర్వినియోగాల సాధారణ వర్గాలను విభజిద్దాం, ఇవి గణనీయమైన డీఫైలో నష్టాలు.

1. రీఎంట్రన్సీ దాడులు: క్లాసిక్ హైస్ట్

రీఎంట్రన్సీ దాడి అనేది అత్యంత ప్రసిద్ధ స్మార్ట్ కాంట్రాక్ట్ దుర్బలత, 2016లో డీఏఓ హ్యాక్ మార్గం ద్వారా ప్రదర్శించబడింది, ఇది 3.6 మిలియన్ ETH నష్టానికి మరియు తరువాత ఎథీరియం కఠిన ఫార్క్‌కు దారితీసింది.

• ఇది ఏమిటి? రీఎంట్రన్సీ దాడి ఒక దుర్వినియోగ కాంట్రాక్ట్ పిలిచే కాంట్రాక్ట్‌లో తిరిగి కాల్ చేయడం జరుగుతుంది, మొదటి ఫంక్షన్ అమలు పూర్తయ్యే ముందు. ఇది దాడి చేసే వ్యక్తికి వారి బ్యాలెన్స్ నవీకరించబడే ముందు నిధులను పునరావృత్తంగా ఉపసంహరించడానికి అనుమతించవచ్చు.
• ఇది ఎలా పనిచేస్తుంది:
  1. కాంట్రాక్ట్ A వద్ద withdraw() ఫంక్షన్ ఉంది, ఇది ఒక వినియోగదారుకు ETH పంపుతుంది. మరియు తర్వాత వాడుకరి యొక్క అంతర్గత బ్యాలెన్స్‌ను అప్‌డేట్ చేస్తుంది.
  2. అటాకర్ యొక్క కాంట్రాక్ట్ B withdraw()ను పిలుస్తుంది.
  3. కాంట్రాక్ట్ A, కాంట్రాక్ట్ Bకి ETH పంపుతుంది.
  4. కాంట్రాక్ట్ Bలో fallback() ఫంక్షన్ ఉంది (ఇది ETHని అందుకుంటుంది) ఇది తక్షణంగా మరల withdraw() ను కాంట్రాక్ట్ Aలో పిలుస్తుంది.
  5. కాంట్రాక్ట్ A ఇది ఇంకా దాడి చేసిన వ్యక్తి యొక్క బ్యాలెన్స్‌ను నవీకరించలేదు, కాబట్టి ఇది కాంట్రాక్ట్ B ఇంకా ఎక్కువ ETHకి అర్హత కలిగి ఉందని చూసి మళ్లీ పంపుతుంది.
  6. ఈ చక్రం కాంట్రాక్ట్ Aని drained చేస్తూ కొనసాగుతుంది, ట్రాన్సాక్షన్ గ్యాస్ ముగిసే వరకు లేదా కాంట్రాక్ట్ ఖాళీ అయ్యే వరకు.
• ప్రసిద్ధ ఉదాహరణ: The DAO హాక్ (2016).
• ఇది ఎలా నివారించాలి:
  • చెక్స్-ఎఫెక్ట్స్-ఇంటరాక్షన్స్ ప్యాటర్న్ ఉపయోగించండి: ఇది బంగారు నిబంధన. ఎప్పుడూ:
    1. చెక్ అన్ని పరిస్థితులను (ఉదాహరణకు, require(balances[msg.sender] >= amount);).
    2. అప్‌డేట్ అన్ని అంతర్గత రాష్ట్ర మార్పులను (ఎఫెక్ట్స్) (ఉదాహరణకు, balances[msg.sender] -= amount;).
    3. తరువాత, ఇతర కాంట్రాక్టులతో లేదా EOAs తో (ఇంటరాక్షన్స్) పరస్పర చర్యలు చేయండి (ఉదాహరణకు, msg.sender.call{value: amount}("");).
  • రీఐంట్రన్సీ గార్డులను ఉపయోగించండి: OpenZeppelin ReentrancyGuard మోడిఫయర్‌ను అందిస్తుంది, ఇది ఒక ఫంక్షన్‌ను దాని అమలులో లాక్ చేస్తుంది, పునరావృత కాల్స్‌ను నివారిస్తుంది.

2.Oracle మానిప్యులేషన్ దాడులు

స్మార్ట్ కాంట్రాక్టులు తరచుగా నిజమైన ప్రపంచ డేటాను అవసరం చేస్తాయి. ఒరాకిలు ఈ డేటాను అందించే సేవలు. ఒరాకిల్ అందించే ధర ఫీడ్‌ను మానిప్యులేట్ చేయడం ప్రధాన దాడి మార్గం.

• ఇది ఏమిటి? ఒక దాడికారి తక్కువ ద్రవ్యత కలిగిన వికేంద్రీకృత మార్పిడి (DEX)లో ఆస్తి ధరను మానిప్యులేట్ చేస్తాడు. ఒక ప్రోటోకాల్ యొక్క ఓరాకిల్‌ను తప్పు ధరను నివేదించడానికి మోసగించండి.
• ఇది ఎలా పనిచేస్తుంది:
  1. ఒక లెండింగ్ ప్రోటోకాల్ దాని ఓరాకిల్‌గా DEX యొక్క స్పాట్ ధరను ఉపయోగించి, భద్రతపై ఎంత రుణం తీసుకోవచ్చో నిర్ణయిస్తుంది.
  2. ఒక దాడికారుడు ఒక ఫ్లాష్ లోన్ తీసుకుని, ABC/ETH వంటి ట్రేడింగ్ జంట నుండి ద్రవ్యతను తీసి, దాన్ని చాలా ద్రవ్యం లేని విధంగా చేస్తాడు.
  3. దాడి చేసే వ్యక్తి అప్పుడు ABC యొక్క చిన్న మొత్తాన్ని ETH పై ప్రాముఖ్యంగా ద్రవ్యమానాన్ని కదిలించడానికి మారుస్తాడు, ఇప్పుడు ద్రవ్యరహిత పూల్‌లో.
  4. ప్రోటోకాల్ యొక్క ఒరాకిల్ ఈ మానిప్యులేటెడ్ ధరను చదువుతుంది.
  5. దాడి చేసే వ్యక్తి వాస్తవానికి పెంచబడిన ABC ను బాంధవంగా ఉపయోగించి ప్రోటోకాల్ నుండి పెద్ద మొత్తంలో ఇతర, మానిప్యులేట్ చేయని ఆస్తులను అప్పు తీసుకుంటాడు.
  6. దాడి చేసే వ్యక్తి ఫ్లాష్ లోన్‌ను చెల్లించి, ABC యొక్క ధర
  తనను సరిదిద్దుకుంటుంది, కానీ ప్రోటోకాల్ విలువ లేని కాల్షీట్స్ మరియు భారీ చెడు రుణంతో మిగిలిపోతుంది.
• ప్రసిద్ధ ఉదాహరణలు: హార్వెస్ట్ ఫైనాన్స్ హాక్ ($34 మిలియన్ కోల్పోయింది), కాంపౌండ్ యొక్క డీఏఐ సంఘటన.
• ఇది ఎలా నివారించాలి:
  • డిసెంట్రలైజ్డ్ ఒరాకుల్స్ ఉపయోగించండి: చెయిన్‌లింక్ వంటి బలమైన ఒరాకుల్ నెట్‌వర్క్‌లను ఉపయోగించండి, ఇవి బహుళ స్వతంత్ర నోడ్స్ మరియు వనరుల నుండి సమాహార డేటాను సేకరించడం, వాటిని మానిపులేట్ చేయడం చాలా కష్టమైన మరియు ఖరీదైనది చేస్తుంది.
  • సమయ-భారిత సగటు ధరలను (TWAPs) ఉపయోగించండి: తక్షణ స్థానం ధర కంటే ఒక కాలంలో (ఉదాహరణకు, 30 నిమిషాలు) ధర సగటును ఉపయోగించడం, తాత్కాలిక మానిపులేషన్‌ను లాభదాయకంగా మారుస్తుంది.
  • బహుళ డేటా వనరులను ఉపయోగించండి: ఉపయోగించకండి ఒక కీలక ధర ఫీడ్ కోసం ఒకే DEX యొక్క ద్రవ్యతపై ఆధారపడండి.

3. పూర్తి సంఖ్యా అధికాలు మరియు దిగువలు

కంప్యూటర్లకు సంఖ్య ఎంత పెద్దగా ఉండాలో పరిమితులు ఉంటాయి. ఒక uint256 (అనంత సంఖ్య) సొలిడిటీలో 2^256 - 1 యొక్క గరిష్ట విలువ కలిగి ఉంటుంది.

చాలా ఒప్పందాలలో కొన్ని చిరునామాలకు పరిమితం చేయబడాల్సిన ఫంక్షన్లు ఉంటాయి (ఉదాహరణకు, యజమాని, ఒక అడ్మిన్).

• ఇది ఏమిటి? ప్రోటోకాల్ యొక్క కార్యకలాపానికి కీలకమైన ఫంక్షన్ (ఉదాహరణకు, ఒప్పందాన్ని అప్‌గ్రేడ్ చేయడం, కొత్త టోకెన్లను మింట్ చేయడం, ఫీజులను మార్చడం) తప్పుగా ప్రజలకు అందుబాటులో ఉంచబడింది, రక్షించబడాల్సినదిగా కాకుండా
మార్పిడి onlyOwner వంటి.
• ప్రసిద్ధ ఉదాహరణ: పారిటీ వాలెట్ హ్యాక్ (2017), ఒక వినియోగదారు అపరాధంగా ఒక ఫంక్షన్‌ను ప్రారంభించి, తనను లైబ్రరీ కాంట్రాక్ట్ యొక్క యజమానిగా మార్చుకున్నాడు మరియు తరువాత “సూసైడ్” చేసి, ~500,000 ETHని శాశ్వతంగా ఆపివేశాడు.
• ఇది ఎలా నివారించాలి:
  • అక్సెస్ కంట్రోల్ ఉపయోగించండి మోడిఫైయర్లు: సున్నితమైన ఫంక్షన్లను స్పష్టంగా పరిమితం చేయడానికి OpenZeppelin’s Ownable లేదా AccessControl లాంటి మోడిఫైయర్లను ఉపయోగించండి.
  • సమగ్రంగా ఆడిట్ చేయండి మరియు పరీక్షించండి: ఆటోమేటెడ్ పరీక్షలు అనధికారిక వినియోగదారులు ప్రత్యేకంగా అధికారం ఉన్న ఫంక్షన్లను కాల్ చేయలేరు అని నిర్ధారించాలి.