Sigurnosne revizije pametnih ugovora pomažu vam u prepoznavanju potencijalnih sigurnosnih propusta u vašem sustavu. Omogućuju vam da riješite te ranjivosti prije nego što ih zlonamjerna strana iskoristi i uništi vašu platformu.
Međutim, s takvom novom tehnologijom, možda se pitate što je revizija pametnih ugovora, zašto je revizija pametnih ugovora važna i treba li vam revizija pametnih ugovora uopće.
Što je revizija pametnog ugovora?
Revizija pametnog ugovora je temeljit, sustavan pregled i analiza koda koristi pametni ugovor za interakciju s kriptovalutom ili blockchainom. Ovaj se postupak koristi za pronalaženje grešaka, tehničkih problema i sigurnosnih rupa u kodu. Uz to, stručnjaci za reviziju pametnih ugovora mogu preporučiti rješenja i napraviti promjene. Revizije pametnih ugovora obično su potrebne jer se većina ugovora bavi vrijednim stavkama i financijskom imovinom.
Revizija pametnog ugovora ne daje 100% jamstvo da ugovor neće sadržavati pogreške ili ranjivosti. Međutim, osigurava da je pametni ugovor siguran, budući da ga je procijenio tehnički stručnjak.
Kibernetički napadi na lance blokova i pametne ugovore
Teret je na programerima blockchaina da pronađu sigurnosne ranjivosti i poprave ih prije nego što se eksploatacije iskoriste u napadima iz stvarnog svijeta.
Zlonamjerni entiteti koriste dvije glavne metode za pokretanje uspješnog napada: Mamljenje i Reentrancy napad. Prvi se oslanja na trikove društvenog inženjeringa poput uvjeravanja žrtve da pošalje kriptovalutu u napadačev novčanik; druga i složenija strategija zahtijeva sveobuhvatno razumijevanje pametnih ugovora u blockchainu i povezani elementi kao što su side-chain i cross-chain novčanici, kao i poznavanje nekoliko njih protokoli.
Evo tri napada vrijedna pažnje blockchainom.
Crvotočina
Hakiranje Wormhole Bridgea drugi je najveći napad na kriptovalute dosad. Crvotočina, popularni most koji povezuje blockchaine Ethereum i Solana, izgubio je otprilike 320 milijuna dolara zbog hakiranja. Napadač je iskoristio rupu na mostu kako bi ukrao 120k Wrapped Ether vrijedan 323 milijuna dolara.
Napadač je uspio iskovati oko 20.000 wETH, Ethereum ekvivalent na Solana blockchainu, vrijedan 325 milijuna dolara u vrijeme incidenta. To su učinili krivotvorivši valjani potpis za transakciju bez davanja ikakvog kolaterala.
Krema financijska
Hakeri su izvukli oko 130 milijuna dolara u Ethereum tokenima iskoristivši grešku u ugovoru o flash zajmu Cream Financea. Tehnologija Cream Oracle i njezina metoda izračuna cijena imovine imaju značajna ograničenja.
Napadač je iskoristio ograničenja u izračunima cijena koje su napravili pametni ugovori koje koristi CREAM Finance's platforma i promijenili cijenu skupa yUSD koji se koristio kao kolateral, uzrokujući da dionica od 1 yUSD postane $2.
Kao rezultat toga, napadačev izvorni depozit od 1,5 milijardi dolara u yUSD, prema Cream Finance, udvostručio se. Haker je zatim pretvorio njihov depozit u yUSD na Cream Finance u 3 milijarde dolara i iskoristio zaradu od 1 milijarde dolara da iscrpi ukupnu likvidnost projekta.
Inverzne financije
Najprije je napadač povukao 901 ETH iz Tornado Casha—miksera za Ethereum. Zatim je napadač iskoristio SushiSwap INV/WETH i INV/DOLA fondove likvidnosti kako bi ih trgovao za INV. Nakon toga su napuhali cijenu INV-a koristeći oba skupa koje je zabilježio Keep3r price oracle, koji je pratio INV cijenu. To je omogućilo napadaču da napuha cijenu INV-a u Inverse Financeu i izvuče 15,6 milijuna dolara zajma podržanog INV-om u ETH, WBTC, YFI i DOLA.
Važnost revizije sigurnosti pametnog ugovora
Ranjiv pametni ugovor odražava više od pukog pokušaja programiranja s greškom. Može narušiti imidž programera i uništiti projekte za čije su pokretanje bili potrebni mjeseci ili godine. Kao rezultat toga, revizija pametnih ugovora sada je jedan od razvojne korake koje programeri poduzimaju za svaki novi projekt. Proces nudi sljedeće nevjerojatne prednosti:
- Poboljšana zaštita od hakera
- Sprječava skupe pogreške koda pametnog ugovora
- Sigurniji decentralizirani financijski proizvodi
- Povećano povjerenje u projekt i cjelokupnu industriju
- Veći kredibilitet u industriji koja postaje sve konkurentnija
Sposobnost programera da obavljaju bolji, dugotrajniji posao, što rezultira sigurnijim proizvodima i aplikacijama, omogućena je ovom revizijom pametnog ugovora. Osim toga, revizorsko izvješće služi kao pečat odobrenja treće strane za novi projekt, na koji se investitori i korisnici mogu pouzdati.
Proces revizije sigurnosti pametnog ugovora
Revizija pametnog ugovora slijedi uglavnom standardni postupak među pružateljima revizije. Iako svaki revizor može imati nešto drugačiji pristup, standardna procedura je sljedeća:
1. Definirajte opseg revizije
Projekt (i njegova namjena) i cjelokupna arhitektura definiraju specifikacije pametnog ugovora i projekta. Specifikacija omogućuje revizorskom timu razumijevanje ciljeva projekta prilikom pisanja i izvođenja koda.
Specifikacija pametnog ugovora i druga povezana dokumentacija pružaju detaljne opise arhitekture projekta, procesa izgradnje i odluka o dizajnu. Obično datoteka README za projekt sadrži opis specifikacije.
2. Jedinično testiranje
Ovdje je odgovornost programera napisati slučajeve jediničnog testiranja. Tijekom izvođenja jediničnih testova, revizor provjerava radi li pametni ugovor kako je predviđeno. U ovom trenutku revizori pametnih ugovora koriste testnet i alate za reviziju kako bi osigurali da testiranje jedinica pokriva sve relevantne rizike.
Osim toga, testovi osiguravaju revizorima pametnih ugovora pristup neslužbenoj dokumentaciji koja pruža dodatne pojedinosti o planiranoj funkcionalnosti projekta.
3. Ručna revizija
Najvažniji dio procesa revizije. Auditor provjerava svaki red koda radi grešaka.
4. Automatizirana revizija
Nakon ručne revizije, revizor radi detaljnu reviziju koda pomoću alata za reviziju kao što su Slither, Scribble, Mythril i MythX. Revizori preporučuju reviziju pametnog ugovora na temelju identificiranih ranjivosti i optimizacije koda.
5. Početno izvješćivanje
Revizor izrađuje početni nacrt izvješća, uključujući pogreške koje je pronašao, a zatim ga šalje timu za razvoj projekta na povratne informacije i relevantne popravke.
6. Završno izvješće
Posljednja faza u postupku revizije pametnog ugovora je završno pisanje revizorskog izvješća. Revizori bi trebali završiti testove te procese ručne i automatske analize prije izrade detaljnog izvješća o reviziji. Objavljuju konačno izvješće nakon što uzmu u obzir sve korake koje je tim poduzeo za rješavanje prijavljenih problema.
Penetracijski testovi za pametne ugovore
Provođenjem penetracijskog testiranja možete spriječiti katastrofe povezane s kibernetičkom sigurnošću koje bi mogle naštetiti ugledu vaše tvrtke i rezultirati velikim financijskim gubitkom. Učinkovito iskorištavanje ranjivosti pametnih ugovora omogućit će i otkrivanje ozbiljnih sigurnosnih ranjivosti i identifikaciju potencijalnih ulaznih točaka u informacijske sustave.
Test penetracije pametnog ugovora možete provesti na tri načina.
Test crne kutije
U testiranje crne kutije, tester penetracije koji testira pametni ugovor u "crnoj kutiji" radi to ne znajući kako interno funkcionira. Tester unosi podatke i prati izlaz koji generira pametni ugovor koji prolazi test. To omogućuje prepoznavanje vremena odgovora pametnog ugovora, pitanja upotrebljivosti i pouzdanosti te kako ugovor reagira na neočekivane i očekivane aktivnosti korisnika.
Test sive kutije
Testiranje sive kutije je metoda testiranja pametnog ugovora koja se koristi za testiranje pametnog ugovora uz poznavanje samo dijela njegove unutarnje strukture. Testiranje u sivoj kutiji traži i ukazuje na ranjivosti uzrokovane lošom strukturom koda pametnog ugovora ili uporabom.
Test bijele kutije
Testiranje bijele kutije analizira unutarnje strukture pametnog ugovora u usporedbi s testiranjem funkcionalnosti pametnog ugovora. Također se naziva ispitivanje prozirne kutije, ispitivanje prozirne kutije, ispitivanje staklene kutije i ispitivanje strukture.
Svrha ovog testa je temeljita analiza cijelog sustava. Određuje domet i kapacitet napadača.
Revizije sigurnosti pametnih ugovora ključne su za DeFi i NFT projekte
Zaključno, nekoliko projekata visokog profila koji su izgubili sredstva poslužilo je kao primjer i osvijestilo sve o hitnoj potrebi za dobrom revizijom pametnih ugovora. Međutim, čak i ako napravite reviziju pametnog ugovora, nema jamstva da će pametni ugovor uvijek biti imun na napade.