Home-theater-designers
Viedi līgumu drošības auditi palīdz jums noteikt iespējamās drošības ievainojamības jūsu sistēmā. Tie ļauj novērst šīs ievainojamības, pirms ļaunprātīga puse tās izmanto un sagrauj jūsu platformu.
Tomēr, izmantojot šādu jauno tehnoloģiju, jums varētu rasties jautājums, kas ir vieda līgumu audits, kāpēc viedais līgumu audits ir svarīgs un vai jums tiešām ir nepieciešams vieds līgumu audits.
DIENAS VIDEO MAKEUSEOF
Kas ir vieda līgumu audits?
Gudrais līguma audits ir rūpīga, sistemātiska koda pārbaude un analīze izmanto ar viedo līgumu mijiedarboties ar kriptovalūtu vai blokķēdi. Šis process tiek izmantots, lai kodā atrastu kļūdas, tehniskas problēmas un drošības nepilnības. Ar to viedie līgumu audita eksperti var ieteikt risinājumus un veikt izmaiņas. Parasti ir nepieciešamas viedas līgumu revīzijas, jo lielākā daļa līgumu attiecas uz vērtīgiem priekšmetiem un finanšu aktīviem.
Gudrais līguma audits nesniedz 100% garantiju, ka līgumā nebūs kļūdu vai ievainojamību. Tomēr tas nodrošina, ka viedais līgums ir drošs, un to ir novērtējis tehnoloģiju eksperts.
Kiberuzbrukumi blokķēdēm un viedajiem līgumiem
Blokķēdes izstrādātāju pienākums ir atrast drošības ievainojamības un novērst tās, pirms tiek izmantoti reālie uzbrukumi.
Ļaunprātīgas vienības izmanto divas galvenās metodes veiksmīga uzbrukuma uzsākšanai: ēsmu un atkārtotu uzbrukumu. Pirmais balstās uz sociālās inženierijas trikiem, piemēram, upura pierunāšanu nosūtīt kriptovalūtu uzbrucēja makā; otrā un sarežģītākā stratēģija prasa visaptverošu izpratni par blokķēdes viedajiem līgumiem un saistītiem elementiem, piemēram, sānu ķēdes un šķērsķēžu makiem, kā arī zināšanas par vairākiem protokoliem.
Šeit ir trīs ievērības cienīgi blokķēdes uzbrukumi.
Tārpu caurums
Wormhole Bridge uzlaušana ir līdz šim otrais lielākais kriptovalūtas uzbrukums. Wormhole, populārs tilts, kas savieno Ethereum un Solana blokķēdes, uzlaušanas rezultātā zaudēja aptuveni 320 miljonus USD. Uzbrucējs izmantoja nepilnību uz tilta, lai nozagtu 120 000 Wrapped Ether 323 miljonu dolāru vērtībā.
kā atiestatīt administratora paroli operētājsistēmā Windows 10
Uzbrucējs varēja kalt aptuveni 20 000 WETH — Ethereum ekvivalentu Solana blokķēdē, kura vērtība incidenta brīdī bija 325 miljoni USD. Viņi to izdarīja, viltojot derīgu parakstu darījumam, nesniedzot nekādu nodrošinājumu.
Krēms Finanšu
Hakeri izmantoja kļūdu Cream Finance ātrās aizdevuma līgumā, izmantojot Ethereum žetonus, izmantojot aptuveni 130 miljonus USD. Cream Oracle tehnoloģijai un tās aktīvu cenu aprēķināšanas metodei ir būtiski ierobežojumi.
Uzbrucējs izmantoja ierobežojumus cenu aprēķinos, ko veica CREAM Finance platformā izmantotie viedie līgumi, un mainīja kā nodrošinājumu izmantotā yUSD pūla cenu, kā rezultātā 1 yUSD akcija kļuva par 2 USD.
Rezultātā uzbrucēja sākotnējais depozīts USD 1,5 miljardu apmērā, saskaņā ar Cream Finance datiem, dubultojās. Pēc tam hakeris konvertēja savu yUSD depozītu Cream Finance uz 3 miljardiem USD un izmantoja USD 1 miljardu, lai iztukšotu projekta kopējo likviditāti.
Apgrieztās finanses
Pirmkārt, uzbrucējs izņēma 901 ETH no Tornado Cash — Ethereum miksera. Pēc tam uzbrucējs izmantoja SushiSwap INV/WETH un INV/DOLA likviditātes fondus, lai tos apmainītu pret INV. Pēc tam viņi palielināja INV cenu, izmantojot abus kopumus, ko reģistrēja Keep3r cenu orākuls, kas uzraudzīja INV cenu. Tas ļāva uzbrucējam paaugstināt INV cenu uzņēmumā Inverse Finance un saņemt 15,6 miljonu ASV dolāru INV nodrošināto aizdevumu ETH, WBTC, YFI un DOLA.
Viedā līguma drošības audita nozīme
Neaizsargāts viedais līgums atspoguļo vairāk nekā tikai kļūdainu programmēšanas mēģinājumu. Tas var sabojāt izstrādātāja tēlu un sagraut projektus, kuru palaišana prasīja mēnešus vai gadus. Tā rezultātā vieda līgumu auditēšana tagad ir viena no attīstības soļi, ko programmētāji veic katram jaunam projektam. Process sniedz šādas pārsteidzošas priekšrocības:
- Uzlabota aizsardzība pret hakeriem
- Novērš dārgas viedā līguma koda kļūdas
- Drošāki decentralizēti finanšu produkti
- Palielināta uzticēšanās projektam un visai nozarei
- Lielāka uzticamība nozarē, kas kļūst konkurētspējīgāka
Izstrādātāju spēja veikt labāku, noturīgāku darbu, kas rada drošākus produktus un lietojumprogrammas, ir iespējama, pateicoties šim viedajam līgumu auditam. Turklāt audita ziņojums kalpo kā trešās puses eksperta apstiprinājuma zīmogs jaunam projektam, uz kuru investori un lietotāji var paļauties.
Viedais līgumu drošības audita process
Viedā līguma audits lielā mērā atbilst standarta procesam starp audita nodrošinātājiem. Lai gan katrs revidents var izmantot nedaudz atšķirīgu pieeju, standarta procedūra ir šāda:
1. Definējiet audita jomu
Projekts (un tā paredzētais lietojums) un vispārējā arhitektūra nosaka viedo līgumu un projekta specifikācijas. Specifikācija ļauj audita komandai izprast projekta mērķus, rakstot un palaižot kodu.
Viedā līguma specifikācijā un citā saistītajā dokumentācijā ir sniegti detalizēti apraksti par projekta arhitektūru, būvniecības procesu un projektēšanas lēmumiem. Parasti projekta README failā ir specifikācijas apraksts.
2. Vienības pārbaude
Šeit izstrādātāja pienākums ir rakstīt vienības pārbaudes gadījumus. Veicot vienības testus, auditors pārbauda, vai viedais līgums darbojas, kā paredzēts. Šajā brīdī viedie līgumu auditori izmanto testu tīklu un audita rīkus, lai nodrošinātu, ka vienības pārbaude aptver visus attiecīgos riskus.
Turklāt testi nodrošina viedajiem līgumu auditoriem piekļuvi neoficiālai dokumentācijai, kas sniedz papildu informāciju par plānotā projekta funkcionalitāti.
3. Manuālais audits
Revīzijas procesa svarīgākā daļa. Revidents pārbauda, vai katrā koda rindā nav kļūdu.
4. Automatizētais audits
Pēc manuālās auditēšanas auditors veic detalizētu koda auditu, izmantojot auditēšanas rīkus, piemēram, Slither, Scribble, Mythril un MythX. Auditori iesaka veikt viedo līguma auditu, pamatojoties uz konstatētajām ievainojamībām un koda optimizāciju.
5. Sākotnējā atskaite
Auditors sagatavo sākotnējo ziņojuma projektu, iekļaujot tajā atrastās kļūdas, un pēc tam nosūta to projekta izstrādes komandai, lai saņemtu atsauksmes un attiecīgos labojumus.
6. Nobeiguma ziņojums
Viedā līguma audita procesa pēdējais posms ir audita ziņojuma noslēguma rakstīšana. Pirms detalizēta revīzijas ziņojuma sagatavošanas revidentiem jāpabeidz testi, kā arī manuālās un automātiskās analīzes procesi. Viņi publicē gala ziņojumu pēc tam, kad ir ņemti vērā visi pasākumi, ko komanda veica, lai atrisinātu ziņotās problēmas.
kā darbojas snap score
Viedo līgumu iespiešanās testi
Veicot iespiešanās testēšanu, jūs varat novērst ar kiberdrošību saistītas katastrofas, kas var sabojāt jūsu uzņēmuma reputāciju un radīt lielus finansiālus zaudējumus. Efektīva viedo līgumu ievainojamību izmantošana ļaus gan atklāt nopietnas drošības ievainojamības, gan identificēt iespējamos ieejas punktus informācijas sistēmās.
Viedo līguma iespiešanās testu varat veikt trīs veidos.
Melnās kastes tests
In melnās kastes pārbaude , iespiešanās testeris, kas pārbauda viedo līgumu 'melnajā kastē', to dara, nezinot, kā tas darbojas iekšēji. Testeris ievada datus un uzrauga testējamā viedā līguma ģenerēto izvadi. Tas ļauj identificēt viedā līguma reakcijas laiku, lietojamības un uzticamības problēmas un to, kā līgums reaģē uz negaidītām un sagaidāmām lietotāja darbībām.
Pelēkās kastes tests
Pelēkās kastes testēšana ir viedā līguma testēšanas metode, ko izmanto, lai pārbaudītu viedo līgumu, zinot tikai daļu no tā iekšējās struktūras. Pelēkās kastes testēšana meklē un precīzi nosaka ievainojamības, ko izraisa slikta, viedā līguma koda struktūra vai lietošana.
Baltās kastes tests
Baltās kastes pārbaude analizē viedā līguma iekšējās struktūras, salīdzinot viedā līguma funkcionalitāti. To sauc arī par skaidras kastes testēšanu, caurspīdīgas kastes testēšanu, stikla kastes testēšanu un strukturālo testēšanu.
Šī testa mērķis ir rūpīgi analizēt visu sistēmu. Tas nosaka uzbrucējas puses diapazonu un bojājumu spēju.
Viedi līgumu drošības auditi ir ļoti svarīgi DeFi un NFT projektiem
Noslēgumā jāsaka, ka vairāki skaļi projekti, kas zaudējuši līdzekļus, ir kalpojuši kā piemēri un likuši ikvienam apzināties, ka steidzami nepieciešams labs gudrs līgumu audits. Tomēr pat tad, ja veicat viedo līguma auditu, nav garantijas, ka viedais līgums vienmēr būs imūna pret uzbrukumiem.