3 сумнозвісні хаки в історії DeFi та їхнє відношення до аудиту

Перевидано Платоном

читають: 0

Зміст

DeFi був динамічним компонентом індустрії криптовалют з прибл $80 мільярдів активів заблоковано в протоколах у березні 2021 року. Але, як кажуть, проблеми накопичуються там, де є гроші.

Проекти в DeFi були підробкою та шахрайством, а ключем у такій діяльності були погано складені смарт-контракти. Це стає очевидним, якщо подивитися на шахрайство останніх місяців.

Атака мережі Poly

Розроблено для забезпечення сумісності блокчейнів, Мережа Poly швидко розвивалася і заблокував криптоактиви на суму близько одного мільярда доларів США. Однак зацікавлені сторони були в шоці, коли більше ніж $600 мільйон доларів США криптовалюти було вкрадено за одну атаку. Це призвело до скорочення активів протоколу в управлінні (AUM) більш ніж удвічі.

Для успіху злому зловмисники володіли завдяки вразливості в смарт-контракті, який використовується в протоколі для міжланцюжкової передачі активів. Хакери замінили адресу свого гаманця на адресу, яка зазвичай використовується смарт-контрактом. Порядок роботи було відтворено в блокчейнах Polygon, Ethereum і BSC, щоб отримати доступ до криптовалют, залишивши десятки тисяч користувачів протоколу на відкритому повітрі.

Команда безпеки Poly Network змогла дізнатися електронну пошту, IP та інші відомості про хакерів. Під тиском вони повернули велику частину вкраденого! Але не всім протоколам пощастило.

Атака PancakeBunny

У травні 2021 року протокол PancakeBunny зазнав атаки, коли хакери заволоділи криптоактивами на суму $45 мільйон. Для цього вони використали експлойт флеш-позики. Гірше того, хакери обмінялися БУНІЙ жетони для монет Binance, що робить ціну токенів BUNNY рівною $6 від $146.

Гірше того, наступний напад послідував швидко. Незважаючи на атаку, розробникам з Bunny Finance не вдалося запобігти атаці на PolyBunny, блокчейн-форк компанії Polygon. Зловмисники карбували $2.1 POLYBUNNY вартістю мільйон. Ціна токенів POLYBUNNY впала до 2 доларів з 10 доларів.

Флеш-позика передбачає смарт-контракт, який дозволяє будь-кому позичити та повернути за одну транзакцію. Вони маніпулювали ціною BNB, використовуючи вразливість у пулі ліквідності BNB-USDT PancakeBunny, успішно викарбувавши майже сім мільйонів BUNNY у шестиетапному процесі.

Атака BurgerSwap

28 травня 2021 року BurgerSwap у блокчейні BSC зазнав атаки флеш-позики. Хакери вкрали $ 7.2M в 14 операціях. Знову ж таки, винуватцем був експлойт швидкої позики.

Зловмисники створили власну фальшиву монету (нестандартні токени BEP-20) і створили нову торгову пару з $BURGER. Використовуючи маршрутизацію $WBNB, хакери повторно увійшли BurgerSwap через фальшиві монети та маніпулювання резервами в контракті пари, викликаючи зміну ціни та заробляючи гроші.

Роль договору

Проекти DeFi самостійно керуються смарт-контрактами, тому будь-який збій стає головною проблемою для зацікавлених сторін. Розумний контракт включає в себе набір програмних кодів, призначених для автоматизації виконання та розрахунків. Саме цей рівень робить автоматизацію в протоколах блокчейну реальністю. Розумні контракти мають визначені початкові та кінцеві події на основі події, яка відбувається зовні.

Найчитаніші - Що не слід забувати при аудиті смарт -контрактів у DeFi

Багатосторонній підпис контролює доступ до договору. Доступ до зовнішніх і внутрішніх джерел даних ініціює виконання умов. Розумні контракти можуть отримати доступ до розподілених баз даних, де зберігаються активи. Вони також містять вбудовану інформацію про право власності на активи та залучених сторін.

Чому так важливо зробити розумні контракти дійсно розумними

Розумні контракти – це розум і душа протоколів DeFi. Протоколи поводяться точно так, як запрограмовано смарт-контракти, які їх живлять. Помилка може призвести до величезних втрат для протоколу. Гірше того, це може призвести до незворотного вимкнення.

Обов’язок створення бездоганних розумних контрактів лежить на розробниках. Недоліки дизайну контракту призводять до помилок, які можуть бути серйозними, середніми або помірними. Розробники повинні мати можливість створювати безпечні та функціонувати належним чином контракти. Не повинно бути бекдорів, якими можуть скористатися хакери. Коли контракт буде заповнений криптовалютою, недобросовісні елементи можуть спробувати вичерпати контракт.

Роль аудитів

Аудит розумних контрактів є обов’язковим, щоб виявити помилки, лазівки та вразливі місця в коді та запропонувати вдосконалення. Хоча блокчейни є практично безпечною екосистемою, погано написаний смарт-контракт створює вразливість. Розробникам не можна повністю довіряти створення бездоганних контрактів з двох причин.

По-перше, один розробник або команда з них не здатні забезпечити дотримання всіх параметрів щодо вразливостей. По-друге, розробники можуть навмисно залишити бекдор, щоб злити контракт у будь-який час. Щоб усунути обидві ці перешкоди, необхідний ретельний аудит.

Аудит безпеки смарт-контрактів передбачає ретельний аналіз коду, на якому виконується програма, з метою виправлення проблем дизайну, помилок у коді або вразливостей безпеки. Вам потрібно зосередитися на аудиторській фірмі безпеки, якій можна довірити аудит. Процес зазвичай включає такі кроки, як узгодження набору специфікацій, виконання тестів, запуск автоматизованих інструментів виконання, ручний аналіз коду та створення звіту.

Підводячи підсумок

Хакі, такі як Poly Network, PancakeBunny та BurgerSwap, підкреслюють, як це зробити критичний аудит смарт-контрактів для успіху блокчейн-проекту. Аудити допомогти виявити помилки, проблеми та вразливі місця в безпеці, допомагаючи закрити лазівки до того, як буде завдано будь-якої шкоди.

Зверніться до QuillAudits

QuillAudits - це безпечна платформа перевірки смарт -контрактів, розроблена QuillHash
Технології.
Це платформа аудиту, яка ретельно аналізує та перевіряє розумні контракти, щоб перевірити наявність уразливостей безпеки шляхом ефективного керівництво огляд з статичний та динамічний інструменти аналізу, газові аналізатори а також тренажери. Крім того, процес аудиту також включає в себе широкий спектр одиничне тестування а також структурний аналіз.
Ми укладаємо обидва розумні контракти аудит та проникнення тести для виявлення потенціалу
вразливості безпеки, які можуть завдати шкоди платформі цілісність.