Khi nhóm kiểm toán thực hiện kiểm toán hợp đồng, chính xác họ đang tìm kiếm điều gì?
Tiêu đề gốc: "Khi chúng ta xem xét việc kiểm tra hợp đồng, chúng ta đang xem xét điều gì?"丨Witness"
Tác giả gốc: Blocklike
"Với sự bùng nổ về số lượng dự án DeFi, các tổ chức kiểm toán bảo mật đã bị choáng ngợp. Ở một mức độ nhất định, kiểm toán hợp đồng là cách đầu tiên để nắm bắt rủi ro của hợp đồng thông minh Ngưỡng.
Theo cách giải thích của nhóm bảo mật, một DeFi hoàn chỉnh = hợp đồng thông minh + trang giao diện người dùng . Người ta nói rằng sau khi kiểm tra bảo mật hợp đồng thông minh, vẫn sẽ có một số rủi ro.
Khi chúng ta xem xét báo cáo kiểm toán Chúng ta đang xem xét điều gì?
Là người tham gia DeFi, kiểm toán hợp đồng có thể thực sự mang lại những bài học và tài liệu tham khảo nào ? "
Khi số lượng "Hệ thống hoán đổi" tăng lên, các sự cố "dông giông" và "bỏ chạy" của các dự án DeFi cũng theo đó tăng dần.
Đối mặt với những lo ngại của cộng đồng về rủi ro của các dự án DeFi, nhiều bên dự án đã chọn tiến hành kiểm tra hợp đồng hoặc để chứng minh sự vô tội của mình, Hoặc để chiếm được lòng tin của nhà đầu tư, đôi khi các dự án DeFi tiến hành kiểm toán hợp đồng cũng được hiểu là một lợi ích.
Cách tiếp cận này có vẻ hiệu quả: sau khi người sáng lập "Sushi" Sushiswap bị lộ và rời khỏi thị trường, cùng sự kiểm soát của dự án đã đổi chủ, Một tin tức về "Việc kiểm tra hợp đồng thông minh của dự án Sushiswap đang tiến triển thuận lợi" khiến Sushi ngay lập tức cho thấy mức tăng nhỏ, đồng thời cũng giúp một số nhà đầu tư lấy lại niềm tin; tại JustSwap, ba dự án liên tiếp đều gặp sơ hở, và nhóm dự án đã bị cáo buộc Sau khi kiểm tra và kiểm tra chi tiết, tin tức về dự án khai thác chính thức SUN của Tron đã vượt qua kiểm toán báo cáo cũng đã làm tăng mức độ phổ biến của cộng đồng Tron một lần nữa.
Đồng thời, một số nền tảng đã bị nghi ngờ trong quá trình kiểm tra do có sơ hở. Tuần trước, một số nhà đầu tư bày tỏ lo ngại về nền tảng mới nổi " Nền tảng hoán đổi Moonswap đã nêu ra các vấn đề như "khai thác trước đã được tìm thấy", "hợp đồng không có khóa thời gian", "nhiều lỗi xuất hiện trên nền tảng", v.v. và đặt câu hỏi về việc kiểm toán của nó, điều này đã thu hút sự chú ý của cộng đồng. 
Hiện tại, MoonSwap đã thêm khóa thời gian vào lúc 18:00 ngày ra mắt và Slow Sương mù an toàn Nhóm đã ban hành một báo cáo kiểm tra an ninh chính thức.
Khi xem báo cáo kiểm toán, chúng ta đang xem xét điều gì?
Là một người tham gia DeFi, việc kiểm tra hợp đồng thực sự có thể mang lại những bài học và tài liệu tham khảo nào?
Trong khi đối mặt với những vấn đề này, Blocklike cũng nhận thấy rằng ai đó đã đưa ra bản tóm tắt này về vai trò của việc kiểm tra: "Mã có thể được kiểm tra, nhưng bản chất con người không thể được kiểm tra."
Phạm vi kiểm tra bị giới hạn, Rủi ro hợp đồng tiềm ẩn
Trong cơn sốt DeFi, tình hình hiện tại của nhiều nhà đầu tư có thể giống như mô tả của Dovey, đối tác sáng lập của Primitive Ventures như thế này: "Đừng hỏi tôi liệu xxx có thể đào được không. Bây giờ một người đang giúp tôi xem xét vùng đất mới toàn thời gian, một người đang giúp tôi xem xét các dự án toàn thời gian và hai nhà giao dịch đang làm việc toàn thời gian- giao dịch thời gian (tất cả mọi thứ, bao gồm cả quản lý sản phẩm nông nghiệp) và Nhiều lập trình viên nội bộ và bên ngoài khác nhau giúp tôi kiểm tra tính bảo mật của hợp đồng. Tôi chỉ là một robot xác nhận nhiều chữ ký trong ví. Làm sao nông nghiệp hiện đại có thể đơn giản như vậy? "
Quả thực, bảo mật hợp đồng là chủ đề được nhiều nhà đầu tư quan tâm. Gần đây, để nhắc nhở các nhà đầu tư về rủi ro, cộng đồng đã tóm tắt sơ đồ tư duy sinh thái DeFi và các điểm rủi ro này:
1. Rủi ro hợp đồng, lỗ hổng mã, chưa được kiểm tra, tổn thất tài sản do các cuộc tấn công của hacker
2. Rủi ro khóa riêng. Không có hợp đồng DeFi nhiều chữ ký, có nghĩa là những người có khóa riêng của hợp đồng có thể thay đổi ký hợp đồng hoặc tùy ý bỏ chạy
3. Nguy cơ mất mát tạm thời , chẳng hạn như bản thân hoạt động khai thác thanh khoản. Các tổn thất nhất thời, đặc biệt là tính thanh khoản của hai tài sản rủi ro, cũng có rủi ro cao về lợi nhuận
4. Rủi ro xung đột giao dịch. Tỷ lệ gas hiện tại cho các giao dịch Ethereum là cực kỳ cao. Một vài giao dịch có thể tốn một ether và tiền gốc của các nhà đầu tư bán lẻ có thể không đủ để qua lại nhiều lần
5. Nguy cơ xảy ra lỗi vận hành. Những sai sót trong quá trình quá trình chuyển nhượng dẫn đến mất tài sản vĩnh viễn, gần đây xảy ra một số sai sót chuyển nhượng lớn, nên đầu tư vào các dự án nước ngoài đã trải qua kiểm toán nguồn mở, đa chữ ký, tự chủ dân chủ cộng đồng, chỉ mang tính chất tham khảo.
Có thể thấy điểm rủi ro đầu tiên trong số đó là "rủi ro hợp đồng. Lỗ hổng mã, chưa được kiểm tra, hacker tấn công gây tổn thất tài sản.” Ở một mức độ nào đó, kiểm toán hợp đồng đã trở thành ngưỡng đầu tiên để nắm bắt rủi ro hợp đồng.
Khi nói đến DeFi, xét từ thực trạng và mức độ phổ biến của các nhà đầu tư tham gia vào các dự án chưa được kiểm toán, nhiều người chưa hiểu rõ về ý nghĩa về kiểm tra an ninh. Không rõ ràng. Ngay từ khi Yam ra mắt, tâm lý Fomo trên thị trường đã được khơi dậy, mặc dù Yam đã được tuyên bố là "chưa kiểm toán" và hợp đồng được ký trong vòng một tuần nhưng mức độ phổ biến của nó vẫn rất đáng kinh ngạc.
Vậy, với tư cách là nhà đầu tư DeFi, bạn nên xem hoạt động kiểm tra hợp đồng như thế nào?
Blocklike đã học được từ nhóm bảo mật SlowMist rằng hiện tại, việc kiểm tra bảo mật cơ bản của hợp đồng thông minh chủ yếu được chia thành phần ETH (TRON , tiền tệ Một chuỗi thông minh cũng tương tự, cả hai đều dựa trên các bộ phận EVM) và EOS. Trong số đó, kiểm tra bảo mật ETH bao gồm 13 danh mục chính và kiểm tra bảo mật EOS bao gồm 15 danh mục chính.
(Mẫu kiểm tra bảo mật ETH)
Lớp hợp đồng:
1. Các hạng mục kiểm tra bảo mật cơ bản của hợp đồng thông minh, trong đó có vấn đề về độ chính xác một điểm cần được chú ý đặc biệt
2. Rủi ro về quyền lực quá mức: đúc tiền, di chuyển được ủy quyền
3. Rủi ro về mô hình kinh tế: khai thác trước, phân bổ và sử dụng nhóm
4. Rủi ro di chuyển nền tảng cùng chuỗi
5. Rủi ro nhóm mới: Thêm phần thưởng Token độc hại
6 . Hợp đồng trực tiếp nhận rủi ro tạo ra
> 7. Rủi ro tương thích với mã thông báo: mã thông báo giảm phát, 777 mã thông báo
8.Rủi ro DoS: đệ quy vòng tròn, hợp đồng độc hại từ chối chấp nhận Ethereum
9. Rủi ro hợp đồng quản trị : chi tiêu gấp đôi số phiếu quản trị, quản trị Rủi ro độc quyền
10. Rủi ro di chuyển nền tảng chuỗi: Các phương pháp tương thích EVM giữa các chuỗi có thể không nhất quán
11. Rủi ro tấn công flash loan: Tác động đến sự ổn định của hệ thống thông qua flash loan (dự kiến)
12 . Rủi ro thao túng Oracle
13. Rủi ro thanh lý khoản vay và khoản vay: thanh lý toàn bộ, thanh lý một phần, thanh lý tự động, thanh lý đấu thầu
Lớp giao diện người dùng:
1. Rủi ro về độ chính xác
2. Rủi ro bị kẻ trung gian tấn công, chẳng hạn như thay thế địa chỉ hợp đồng
3. Rủi ro thay thế hợp đồng
4. Rủi ro lừa đảo ủy quyền
5.GasLimit Hạn chế rủi ro
"Những điều này thực sự khó hiểu đối với người dùng bình thường bởi một." Nhóm bảo mật SlowMist giải thích thêm: "Nhưng người dùng thông thường có thể hiểu đơn giản rằng sau khi DeFi vượt qua cuộc kiểm tra bảo mật, nguyên tắc trong hợp đồng thông minh mà người dùng tham gia sẽ được an toàn. Đối với những tổn thất kinh tế do đầu cơ tiền tệ hoặc tổn thất gây ra ở cấp độ ngoài hợp đồng do tham gia vào DeFi, chúng không nằm trong phạm vi kiểm tra bảo mật hợp đồng thông minh. 》
Cần lưu ý rằng theo cách giải thích của nhóm bảo mật, một DeFi hoàn chỉnh = hợp đồng thông minh + trang giao diện người dùng.
Điều này có nghĩa là sau khi kiểm tra bảo mật hợp đồng thông minh, vẫn sẽ có một số rủi ro: Thứ nhất, kiểm tra bảo mật có thể chưa được hoàn thành Đã phát hiện lỗ hổng hoặc phương pháp tấn công mới; thứ hai, hợp đồng thông minh có thể được nâng cấp hoặc giả mạo và làm thế nào để biến việc nâng cấp hoặc giả mạo thành hành vi quản trị cộng đồng không thể hoặc hiệu quả và đáng tin cậy; thứ ba, với sự phát triển của các bên tham gia dự án, hợp đồng thông minh mới sẽ được thêm vào , chẳng hạn như nhóm mới và mô-đun chức năng mới. Bạn cần chú ý đến báo cáo kiểm tra bảo mật hợp đồng thông minh để hiểu rõ những gì đang được kiểm tra.
Vì trang giao diện người dùng là nội dung tập trung nên nếu có lỗi hoặc sơ hở trong giao diện người dùng hoặc điều gì đó xấu xa sẽ được thực hiện , tác hại thực sự có thể trực tiếp hơn và lớn hơn. Đây không chỉ là việc mà cơ quan kiểm tra an toàn có thể kiểm toán (thực tế là rất khó) mà còn là vấn đề giám sát của cộng đồng.
Khi nói đến kiểm tra bảo mật EOS, tình hình lại khác.
Người sáng lập Hufu Wang Ruixi từng công khai tuyên bố: "Tính năng hợp đồng của EOS có thể sửa đổi được. Mọi người nên nhìn rõ điều đó và không nên tin tưởng một cách mù quáng vào kiểm toán. Bởi vì hầu hết các hợp đồng trên EOS hiện không phải là nguồn mở. Kiểm toán nhưng không phải nguồn mở cũng giống như không kiểm tra. Nếu có vấn đề, kiểm toán sẽ chịu trách nhiệm và cái được nhiều hơn cái mất."
Đối với các hợp đồng thông minh trên EOS, nhóm bảo mật SlowMist đã thêm: "Nếu quyền của chủ dự án đã có nhiều chữ ký, bên dự án và ít nhất 2 các bên đáng tin cậy cần phải cùng nhau ký nhiều chữ ký để cập nhật hợp đồng Hoặc chuyển giao và các hoạt động khác, đồng thời quyền hoạt động đã xóa các quyền khóa riêng tư của bên dự án. Điều này có thể kiểm soát tốt hơn vấn đề cấp phép quá mức của bên dự án hợp đồng thông minh EOS."
Do đó, ngay cả đối với các dự án DeFi đã vượt qua kiểm toán bảo mật, nhà đầu tư vẫn cần sàng lọc cẩn thận và chú ý đến rủi ro.
Các nhà đầu tư nên tham khảo nó như thế nào?
Dựa trên kinh nghiệm làm việc, nhóm bảo mật SlowMist cũng đưa ra một số đề xuất với các nhà đầu tư: "Kiểm toán bảo mật hợp đồng thông minh Mặc dù nó không phải là viên đạn bạc, còn hơn là chạy trần trụi.Các tổ chức kiểm toán bảo mật chuyên nghiệp sẽ giảm thiểu rủi ro DeFi rất nhiều;hãy nhớ không vào các trang web lừa đảo vì việc ủy quyền tùy tiện sẽ khiến tiền gốc về 0;ngay cả khi bạn đầu tư và đã được kiểm toán bởi nhiều tổ chức kiểm toán bảo mật DeFi, hãy chuẩn bị cho khả năng bùng phát thiên nga đen và đừng nghiện, hãy sử dụng môi trường đáng tin cậy để chơi DeFi đáng tin cậy. Một môi trường đáng tin cậy đề cập đến (máy tính an toàn, trình duyệt an toàn, điện thoại di động an toàn và Ví nổi tiếng, mạng được sử dụng an toàn, v.v.); không đặt tất cả tiền vào một giỏ, quản lý bảo mật phi tập trung là quan trọng."
Người phụ trách bảo mật hợp đồng thông minh của Thành Đô Lian'an tóm tắt Blocklike: "Theo kinh nghiệm của Thành Đô Lian'an, mục đích kiểm toán hợp đồng chủ yếu là kiểm tra tiêu chuẩn hóa mã và các lỗ hổng thông thường (chủ yếu đề cập đến các lỗi chung, chẳng hạn như lỗi hiển thị dữ liệu, v.v.), các lỗ hổng bảo mật (như tràn, truy cập lại và các lỗ hổng bảo mật phổ biến khác), các lỗ hổng logic nghiệp vụ. Các rủi ro chính cần loại bỏ chủ yếu là hai điểm, giảm khả năng bị tin tặc tấn công và giảm tình trạng doanh nghiệp không thể hoạt động như mong đợi do mã.hoạt động (chẳng hạn như sự cố Yam)."
"Báo cáo kiểm toán sẽ chỉ ra logic kinh doanh và mô tả chức năng, v.v. Bạn có thể so sánh nó với tuyên truyền của bên dự án xem các chức năng có chính xác hay không; báo cáo kiểm toán cũng sẽ mô tả các quyền. Nhà đầu tư thông thường có thể sử dụng các quyền được mô tả để xem liệu bên dự án có khả năng trốn thoát hay không. Ví dụ: bên dự án có quyền chuyển toàn bộ số tiền trong hợp đồng, v.v. Hoặc bạn có thể kiểm soát một số thông số chính nhất định để kiểm soát quỹ của người dùng một cách ngụy trang, "Thành Đô Liên An đề nghị.
Thực trạng hiện nay có thể thấy là sự phổ biến của DeFi đã khiến nhiều bên tham gia dự án quá háo hức. Giờ thì đã rõ rồi rằng các tổ chức kiểm toán an ninh ở xa, tình trạng quá bận rộn không phải là điều tốt cho người dùng. Do nhiều người dùng thiếu nhận thức về bảo mật, ngay cả khi DeFi không vượt qua được cuộc kiểm tra bảo mật, một số lượng lớn người dùng vẫn có thể trực tiếp tham gia.
Blocklike nhắc nhở các nhà đầu tư chú ý đến vấn đề bảo mật hợp đồng thông minh khi tham gia vào các dự án DeFi. Khi đầu tư, cần đảm bảo an toàn về tiền gốc Nhìn vào thông số đánh giá quan trọng đầu tiên, hacker nhiệt tình hơn các nhà đầu tư thông thường khi đối mặt với số vốn tham gia khổng lồ.
Rốt cuộc, ngay từ giữa tháng 8, đã có tiếng nói trong cộng đồng hỏi thăm tâm hồn của những nhà đầu tư nhiệt huyết: "Bạn có bao giờ nghĩ về nó? , thực sự có vấn đề với các dự án DeFi khác nhau này, bạn muốn in tên ai trên biểu ngữ bảo vệ quyền?"
Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:
Nhóm Telegram đăng ký: https://t.me/theblockbeats
Nhóm Telegram thảo luận: https://t.me/BlockBeats_App
Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia
Bài viết liên quan
