Одитите на сигурността на интелигентни договори ви помагат да идентифицирате потенциални уязвимости в сигурността на вашата система. Те ви позволяват да адресирате тези уязвимости, преди злонамерена страна да се възползва от тях и да съсипе вашата платформа.
С такава нова технология обаче може да се чудите какво представлява одитът на интелигентен договор, защо одитът на интелигентен договор е важен и дали наистина имате нужда от одит на интелигентен договор.
Какво е интелигентен одит на договор?
Одитът на интелигентен договор е задълбочена, систематична проверка и анализ на кода използвани от интелигентен договор за взаимодействие с криптовалута или блокчейн. Този процес се използва за намиране на грешки, технически проблеми и пропуски в сигурността в кода. С това експертите по одит на интелигентни договори могат да препоръчват решения и да правят промени. Обикновено се изискват интелигентни одити на договори, тъй като повечето договори се занимават със ценни предмети и финансови активи.
Одитът на интелигентен договор не предоставя 100% гаранция, че договорът няма да съдържа грешки или уязвимости. Той обаче гарантира, че интелигентният договор е безопасен, след като е оценен от технически експерт.
Кибератаки срещу блокчейн и интелигентни договори
Тежестта е върху разработчиците на блокчейн да намерят уязвимости в сигурността и да ги коригират, преди експлойтите да бъдат използвани в атаки в реалния свят.
Злонамерените субекти използват два основни метода за стартиране на успешна атака: Baiting и Reentrancy атака. Първият разчита на трикове за социално инженерство като убеждаване на жертва да изпрати криптовалута в портфейла на нападателя; втората и по-сложна стратегия изисква цялостно разбиране на блокчейн интелигентните договори и свързани елементи като портфейли със странична верига и кръстосана верига, както и познаване на няколко протоколи.
Ето три забележителни блокчейн атаки.
Червеева дупка
Хакването на Wormhole Bridge е втората най-голяма атака с криптовалута до момента. Wormhole, популярен мост, който свързва блокчейните Ethereum и Solana, загуби приблизително 320 милиона долара от хакване. Нападателят се възползва от вратичка на моста, за да открадне 120k Wrapped Ether на стойност 323 милиона долара.
Нападателят успя да изсече около 20 000 wETH, еквивалент на Ethereum в блокчейна Solana, на стойност 325 милиона долара по време на инцидента. Те направиха това, като подправиха валиден подпис за транзакция, без да предоставят обезпечение.
Крем финансов
Хакери източиха около 130 милиона долара в токени на Ethereum, използвайки грешка в договора за флаш заем на Cream Finance. Технологията Cream Oracle и нейният метод за изчисляване на цените на активите имат значителни ограничения.
Нападателят се възползва от ограниченията в изчисленията на цените, направени от интелигентните договори, използвани от CREAM Платформата на Finance и промени цената на пула от yUSD, използван като обезпечение, в резултат на което акция от 1 yUSD стана $2.
В резултат на това първоначалният депозит на нападателя от $1,5 милиарда в yUSD, според Cream Finance, се е удвоил. След това хакерът конвертира техния депозит в yUSD в Cream Finance в $3 милиарда и използва печалбата от $1 милиард, за да източи общата ликвидност на проекта.
Обратни финанси
Първо, нападателят изтегли 901 ETH от Tornado Cash — миксер на Ethereum. След това нападателят използва INV/WETH и INV/DOLA ликвидните пулове на SushiSwap, за да ги търгува за INV. След това те надуха цената на INV, използвайки и двата пула, записани от ценовия оракул Keep3r, който наблюдава цената на INV. Това позволи на нападателя да надуе цената на INV в Inverse Finance и да източи заем от $15,6 милиона, обезпечен с INV в ETH, WBTC, YFI и DOLA.
Значението на одита на сигурността на интелигентния договор
Уязвимият интелигентен договор отразява повече от просто грешен опит за програмиране. Може да опетни имиджа на разработчика и да съсипе проекти, чието стартиране е отнело месеци или години. В резултат на това интелигентният одит на договори сега е един от стъпките в разработката, които предприемат програмистите за всеки нов проект. Процесът предлага следните невероятни предимства:
- Подобрена защита срещу хакери
- Предотвратява скъпи грешки в кода на интелигентния договор
- По-безопасни децентрализирани финансови продукти
- Повишено доверие в проекта и цялата индустрия
- По-високо доверие в индустрия, която става все по-конкурентна
Способността на разработчиците да вършат по-добра и по-трайна работа, което води до по-безопасни продукти и приложения, е възможна благодарение на този интелигентен одит на договора. Освен това одиторският доклад служи като одобрение на трета страна за нов проект, на който инвеститорите и потребителите могат да разчитат.
Процесът на одит на сигурността на интелигентния договор
Одитът на интелигентен договор следва до голяма степен стандартен процес сред доставчиците на одит. Въпреки че всеки одитор може да възприеме малко по-различен подход, стандартната процедура е следната:
1. Определете обхвата на одита
Проектът (и неговото предназначение) и цялостната архитектура определят интелигентния договор и спецификациите на проекта. Спецификацията позволява на одитния екип да разбере целите на проекта, когато пише и изпълнява кода.
Спецификацията на интелигентния договор и друга свързана документация предоставят подробни описания на архитектурата на проекта, процеса на изграждане и дизайнерските решения. Обикновено файлът README за проекта съдържа описание на спецификацията.
2. Единично тестване
Тук отговорността на разработчика е да напише случаи на единица тест. Докато изпълнява модулни тестове, одиторът проверява дали интелигентният договор работи по предназначение. В този момент одиторите на интелигентни договори използват тестова мрежа и инструменти за одит, за да гарантират, че тестването на модула покрива всички съответни рискове.
Освен това тестовете предоставят на одиторите на интелигентни договори достъп до неофициална документация, която предоставя допълнителни подробности относно планираната функционалност на проекта.
3. Ръчен одит
Най-важната част от процеса на одит. Одиторът проверява всеки ред от кода за грешки.
4. Автоматизирано одитиране
След ръчния одит одиторът извършва подробен одит на кода, като използва инструменти за одит като Slither, Scribble, Mythril и MythX. Одиторите препоръчват одит на интелигентен договор въз основа на идентифицирани уязвимости и оптимизиране на кода.
5. Първоначално отчитане
Одиторът прави първоначална чернова на доклада, включително откритите грешки, и след това го изпраща на екипа за разработка на проекта за обратна връзка и съответните корекции.
6. Окончателен доклад
Последният етап от процеса на одит на интелигентен договор е окончателното написване на одитен доклад. Одиторите трябва да завършат тестовете и процесите на ръчен и автоматичен анализ, преди да изготвят подробен одитен доклад. Те публикуват окончателния доклад, след като вземат предвид всички стъпки, предприети от екипа за разрешаване на докладваните проблеми.
Тестове за проникване за интелигентни договори
Чрез провеждане на тестове за проникване можете да предотвратите катастрофи, свързани с киберсигурността, които биха могли да навредят на репутацията на вашата компания и да доведат до големи финансови загуби. Ефективното използване на уязвимостите на интелигентния договор ще позволи както откриването на сериозни уязвимости в сигурността, така и идентифицирането на потенциални входни точки в информационните системи.
Можете да извършите тест за проникване на интелигентен договор по три начина.
Тест Черна кутия
в тестване на черна кутия, тестер за проникване, който тества интелигентен договор в „черна кутия“, прави това, без да знае как работи вътрешно. Тестерът въвежда данни и наблюдава изхода, генериран от интелигентния договор, подложен на теста. Това дава възможност за идентифициране на времето за реакция на интелигентния договор, проблемите с използваемостта и надеждността и как договорът реагира на неочаквани и очаквани потребителски дейности.
Тест на сивата кутия
Тестването в сива кутия е метод за тестване на интелигентен договор, използван за тестване на интелигентен договор, като същевременно се познава само част от вътрешната му структура. Тестването в сива кутия търси и открива уязвимости, причинени от лоша структура или употреба на код на интелигентен договор.
Тест с бяла кутия
Тестване на бяла кутия анализира вътрешните структури на интелигентен договор срещу тестване на функционалността на интелигентен договор. Нарича се също като тестване на прозрачна кутия, тестване на прозрачна кутия, тестване на стъклена кутия и структурно тестване.
Целта на този тест е да анализира задълбочено цялата система. Той определя обхвата и капацитета на щетите на атакуващата група.
Одитите на сигурността на интелигентните договори са жизненоважни за DeFi и NFT проекти
В заключение, няколко високопоставени проекта, които са загубили средства, послужиха като примери и накараха всички да осъзнаят спешната нужда от добър одит на интелигентни договори. Въпреки това, дори ако направите одит на интелигентен договор, няма гаранция, че интелигентният договор винаги ще бъде имунизиран срещу атаки.
