SSO మాడ్యూల్ 2 - స్మార్ట్ కాంట్రాక్ట్ హాని కలిగించే లోపాలు: రీఎంట్రెన్సీ దాడులపై లోతైన పరిశీలన

స్మార్ట్ కాంట్రాక్టులు తమ సామర్థ్యం, పారదర్శకత మరియు మార్పులేని లక్షణాలతో ప్రపంచ పరిశ్రమలను విప్లవాత్మకంగా మారుస్తున్నాయి. అయినప్పటికీ, వాటి బహిరంగ మరియు స్వయంచాలక రూపకల్పన వాటిని నష్టాలకు గురిచేస్తుంది. వాటి సామర్థ్యాన్ని గరిష్ఠం చేస్తూనే ముప్పులను తగ్గించడానికి, వాటి హాని కలిగించే లోపాలు మరియు సాధ్యమయ్యే దాడి మార్గాలను అర్థం చేసుకోవడం చాలా ముఖ్యం. ఈ కాంట్రాక్టులను రూపొందించడం మరియు నిర్వహించడం జాగ్రత్తగా శ్రద్ధ మరియు ఉత్తమ పద్ధతుల పాటింపు అవసరం. ఈ వ్యాసం సాధారణ హాని కలిగించే లోపాలను పరిశీలిస్తూ, అవగాహనను పెంచడానికి వాటిని వాస్తవ ప్రపంచ ఉదాహరణలతో వివరిస్తుంది. Salus Security అందించిన ఈ క్రింది వ్యాసాన్ని చూద్దాం.

ముఖ్యమైన హాని కలిగించే లోపాలు:

**రీఎంట్రెన్సీ:** ఇక్కడ దాడికారులు ముఖ్యమైన కార్యకలాపాలు పూర్తికాకముందు లేదా విలువలు నవీకరించబడకముందు ఫంక్షన్లలోకి తిరిగి ప్రవేశించి, ఒక లోపాన్ని దుర్వినియోగం చేస్తారు.

ఒకే ఫంక్షన్ రీఎంట్రెన్సీ: ఒక కాంట్రాక్ట్ ఒక దుష్ట కాంట్రాక్ట్‌తో పరస్పర చర్య చేసినప్పుడు ఇది సంభవిస్తుంది, దీని వల్ల రెండోది ఒక ఫంక్షన్‌లోకి తిరిగి ప్రవేశించగలదు. ఉదాహరణకు, హానికరమైన కాంట్రాక్టులు బ్యాలెన్స్‌లు నవీకరించబడకముందే ఎక్కువ ఈథర్‌ను తీసుకెళ్లడానికి 'withdrawBalance' ఫంక్షన్‌లోకి నిరంతరం తిరిగి ప్రవేశించగలవు.

గమనార్హమైన దాడులు:

• The DAO (2016): $150 మిలియన్ సేకరించిన తర్వాత, కోడింగ్ లోపాల కారణంగా ఇది హ్యాక్ చేయబడింది. ఇది Ethereum నెట్వర్క్లో చీలికకు దారితీసింది.
• PolyDex (2021): PLX Locker స్మార్ట్ కాంట్రాక్ట్పై రీఎంట్రెన్సీ దాడి కారణంగా $500k నష్టపోయింది.
• Bacon Protocol (2022): lend() ఫంక్షన్లోని రీఎంట్రెన్సీ బగ్ కారణంగా $1M నష్టాన్ని ఎదుర్కొంది.
• Lendf.Me (2020): బహుళ క్రిప్టోకరెన్సీలలో సుమారు $24.7 మిలియన్లు కోల్పోయింది.

**క్రాస్-ఫంక్షన్ రీఎంట్రెన్సీ:** వివిధ ఫంక్షన్ల మధ్య పంచుకున్న స్థితుల నుండి మరియు బలహీనమైన రీఎంట్రీ రక్షణ నుండి ఉత్పన్నమవుతుంది. పైన ఉన్న 'balances' ఉదాహరణ, 'withdrawAll'కు రక్షణ ఉన్నప్పటికీ, దాడి చేసేవారు ఇప్పటికీ 'transfer' ఫంక్షన్ను దోపిడీ చేయగలరని సూచిస్తుంది.

అపఖ్యాతి పొందిన సంఘటనలు:

• DFX Finance (2022): రీఎంట్రెన్సీ రక్షణ లేని ఫంక్షన్ను దోపిడీ చేసిన దాడి కారణంగా $7 మిలియన్లకు పైగా కోల్పోయింది.
• Hundred Finance (2022): రీఎంట్రెన్సీ దాడి borrowFresh ఫంక్షన్ను దోపిడీ చేసిన తర్వాత సుమారు $6.5 మిలియన్లు కోల్పోయింది.
• Fei Protocol (2022): రీఎంట్రెన్సీ లూఫ్‌హోల్‌ను ఉపయోగించిన దాడి ద్వారా సుమారు $80 మిలియన్లు కోల్పోయింది.

**క్రాస్-కాంట్రాక్ట్ రీఎంట్రెన్సీ:** వివిధ కాంట్రాక్టుల మధ్య పంచుకున్న స్థితులు మరియు తప్పు వేరియబుల్ మార్పిడి క్రమాల నుండి ఏర్పడుతుంది. ఫంక్షన్లకు రక్షణ ఉన్నప్పటికీ, 'burnAccount' వంటి ఇతర ఫంక్షన్లను ఇప్పటికీ దోపిడీ చేయవచ్చు.

ప్రముఖ దాడులు:

• Rari Capital (2021): ఒక గంటలోపే సుమారు $10 మిలియన్లు (~2600 ETH) కోల్పోయింది.
• ValueDefi (2021): బాహ్య డేటాపై ఆధారపడిన చెల్లని షేర్ లెక్కల కారణంగా 5345.314 WBNB కోల్పోయింది.

రీడ్-ఓన్లీ రీఎంట్రెన్సీ:

రీడ్-ఓన్లీ రీఎంట్రెన్సీ అనేది కాంట్రాక్ట్ స్థితిని మార్చని ఫంక్షన్‌ను దుర్వినియోగం చేస్తుంది, అయినప్పటికీ స్థితి స్థిరంగా లేనప్పుడు అది తప్పుడు ఫలితాలను ఇవ్వగలదు.

గమనార్హమైన దాడులు:

• QuickSwap (2022): దోపిడీదారులు ఫ్లాష్ లోన్‌ను దుర్వినియోగం చేసి ఆస్తి స్పాట్ ధరను మార్చి 138 ETH మరియు 700 MATIC టోకెన్‌లను మోసం చేశారు. Curve LP oracle లోని లోపం వల్ల ఇది సాధ్యమైంది.
• dForce (2023): Arbitrum మరియు Optimism చైన్‌లలో Curve Finance తో కలిపి ధర oracle‌లను యాక్సెస్ చేసే కోడ్‌లో రీడ్-ఓన్లీ రీఎంట్రెన్సీ బగ్ ఉంది.
• Sentimente (2023): రీడ్-ఓన్లీ రీఎంట్రెన్సీ లోపాన్ని దుర్వినియోగం చేసిన దాడి $1 మిలియన్ దొంగతనానికి దారితీసింది. అదృష్టవశాత్తూ, 90% నేరస్థుడు తిరిగి ఇచ్చాడు.
• **Sturdy (2023)**Balancer యొక్క read-only reentrancy సమస్య కారణంగా B-stETH-STABLE ధర ట్యాంపర్ చేయబడి, సుమారు 442 ETH నష్టపోయింది.

Reentrancy దుర్బలత్వ నివారణ:

1. ఎల్లప్పుడూ check-effect-interaction నమూనాను పాటించండి.
2. అన్ని సున్నితమైన కార్యకలాపాలకు re-entry రక్షణను ఉపయోగించండి.
3. ప్రతి బాహ్య కాల్‌ను జాగ్రత్తగా నిర్వహించండి.

Integer Overflow:

గణనలు పరిమితులను దాటినప్పుడు అవి overflow అవుతాయి, తరచుగా అతి చిన్న లేదా అతి పెద్ద విలువలకు దారితీస్తాయి.

ఉదాహరణాత్మక దాడులు:

• BeautyChain (2018): దాడి చేసినవారు పూర్ణాంక ఓవర్ఫ్లో ద్వారా 10^58 BECలను దక్కించుకున్నారు, ఇది ఆశ్చర్యకరమైన $900 మిలియన్లను విడుదల చేసింది.
• Poolz (2023): Ethereum, Binance మరియు Polygon ఆన్-చైన్లలో సుమారు $665,000 నష్టం సంభవించింది.

పూర్ణాంక ఓవర్ఫ్లో నివారణ చర్యలు:

1. safeMath లైబ్రరీ వంటి సురక్షిత గణన పద్ధతులను ఉపయోగించండి.
2. ఫలితాలు పరిధిలోనే ఉండేలా నిర్ధారించడానికి సరిహద్దు తనిఖీకి ప్రాధాన్యత ఇవ్వండి.
3. అంతర్నిర్మిత ఓవర్ఫ్లో గుర్తింపు కోసం Solidity కంపైలర్ వెర్షన్ 0.8.0 లేదా ఆ తర్వాతి వెర్షన్ను స్వీకరించండి.

యాక్సెస్ నియంత్రణ:
కీలక కార్యకలాపాలను నిర్వహించే ఫంక్షన్లపై కఠినమైన యాక్సెస్ నియంత్రణలు లేకపోవడం వల్ల యాక్సెస్ నియంత్రణ లోపాలు తలెత్తుతాయి.

• ప్రముఖ దాడులు:
• DAOMaker (2021): సుమారు $4M భారీ మొత్తం init ఫంక్షన్ హాని కలిగించే స్థితిలో ఉండిపోవడంతో దోచుకోబడింది.
• GymNetwork (2022): దోపిడీదారులు depositFromOtherContract()లో ధృవీకరణ నిర్లక్ష్యాన్ని ఉపయోగించి, ఎటువంటి వాస్తవ చెల్లింపు లేకుండా చట్టవిరుద్ధ బ్యాలెన్స్ పెంపును సులభతరం చేశారు. నష్టం? సుమారు 2,475.91 WBNB.
• Tempdao (2023): migrateStake ఫంక్షన్‌కు యాక్సెస్ నియంత్రణలో అశ్రద్ధ వల్ల $2.34 మిలియన్లకు పైగా నష్టం జరిగింది.

యాక్సెస్ నియంత్రణ లోపం

• వివరణ: ఒక సిస్టమ్‌లోని నిర్దిష్ట కార్యకలాపాలకు యాక్సెస్ మరియు అధికారాలను నియంత్రించే సరిపోని పరిమితి యంత్రాంగాల వల్ల ఏర్పడే లోపాలు.

నివారణ చర్యలు:

1. కఠిన అనుమతి తనిఖీ: ఫంక్షన్లకు ఎల్లప్పుడూ కఠినమైన అనుమతి ప్రోటోకాల్లను అమలు చేయండి, ముఖ్యంగా సున్నితమైన కార్యకలాపాలను నిర్వహించే వాటికి.
2. బహుళ సంతకం యంత్రాంగం: ఉమ్మడి నిర్ణయం అవసరమయ్యే పనుల కోసం, సున్నితమైన కార్యకలాపాలను అమలు చేయడానికి ముందు బహుళ ఆమోదాలు అవసరమయ్యే బహుళ సంతకం ప్రోటోకాల్లను ఉపయోగించండి.

---

సాధారణ దాడి మార్గాలు

• వివరణ: దాడి చేసేవారు సిస్టమ్‌లోని లోపాలను, ప్రధానంగా స్మార్ట్ కాంట్రాక్టులలో, దోపిడీ చేసే వివిధ పద్ధతులు లేదా మార్గాలు.

గమనార్హమైన ఉదాహరణలు:

• ఫ్లాష్‌లోన్ దాడులు: హానికరమైన కార్యకలాపాలను నిర్వహించడానికి వికేంద్రీకృత ఫైనాన్స్ సిస్టమ్‌ల తక్షణ రుణ సౌకర్యాన్ని దోపిడీ చేస్తుంది.
• ఫ్రంట్-రన్నింగ్: దాడి చేసేవారు మరొక వినియోగదారు పెండింగ్‌లో ఉన్న లావాదేవీ గురించి తెలుసుకుని, అధిక గ్యాస్ ఫీజు అందించడం ద్వారా దానిపై చర్య తీసుకుంటారు.

---

ఫ్లాష్‌లోన్ దాడి

• వివరణ: అంతర్లీనంగా ఇది దాడి కాకపోయినా, FlashLoan అనేది వినియోగదారులు ఎటువంటి పూచీకత్తు లేకుండా పెద్ద మొత్తాలను తక్షణమే అప్పుగా తీసుకోవడానికి అనుమతించే DeFi ఫీచర్. కాంట్రాక్ట్ పరస్పర చర్యలు మరియు సంబంధాలలోని లాజికల్ లోపాల కారణంగా ఇది దుర్వినియోగం చేయబడింది.

గమనార్హమైన దాడులు:

1. Harves Finance (2020.10.26): $38 మిలియన్ నష్టానికి దారితీసింది.
2. InverseFinance (2022.6.16): 53.2445 WBTC మరియు 99,976.29 USDT నష్టానికి దారితీసింది.
3. NewFreeDAO (2022.9.8): 4,481 WBNB డ్రెయిన్ చేయబడింది, ఇది సుమారు $1.25 మిలియన్లకు సమానం.
4. Lodestar (2022.12.11): ఆరాకిల్ ధర మానిప్యులేషన్ ద్వారా దోపిడీ చేయబడింది.
5. 0vix (2023.4.28): Polygon చైన్‌లో $2 మిలియన్ల నష్టం సంభవించింది.

నివారణ సిఫార్సులు:

1. ప్రాజెక్ట్ అభివృద్ధి సమయంలో Flashloan లక్షణాలను గుర్తించండి.
2. ఖచ్చితమైన ధర నిర్ణయం కోసం, సమయ-భారిత సగటు లేదా బహుళ ఆరాకిల్‌లను ఉపయోగించండి.

---

ఫ్రంట్-రన్నింగ్

• వివరణ: దాడి చేసే వ్యక్తి memPool నుండి మరొక వినియోగదారు లావాదేవీ గురించి తెలుసుకుని, అధిక గ్యాస్ ఫీజు అందించడం ద్వారా దాన్ని దుర్వినియోగం చేస్తాడు.

ప్రముఖ దాడులు:

1. Sushi Badger Digg (2021.1.25): 81.68 ETH నష్టం జరిగింది.
2. Sushiswap Ape-ETH పూల్ (2022.5.17): దాడి చేసే వ్యక్తి సుమారు 0.3 ETH లాభం పొందాడు.
3. Uniswap (2023.4.2): స్యాండ్విచ్ దాడి ద్వారా సుమారు $25 మిలియన్ల నష్టం సంభవించింది.

నివారణ సిఫార్సులు:

1. వ్యాపారం చేసేటప్పుడు స్లిప్పేజ్ రక్షణను ఉపయోగించండి.
2. పీక్ కాని సమయాల్లో, ముఖ్యంగా అస్థిర మార్కెట్లలో వ్యాపారాలను అమలు చేయండి.
3. మెమ్‌పూల్‌ను బైపాస్ చేస్తూ నేరుగా మైనర్లకు వ్యాపారాలను పంపడానికి 1inch యొక్క FlashBot rpcను ఉపయోగించండి.

సారాంశం

అభినందనలు! మీరు మాడ్యూల్ 2 - స్మార్ట్ కాంట్రాక్ట్ ఎదురుదెబ్బలు: రీఎంట్రెన్సీ దాడులు మరియు సాధారణ దోపిడీలపై లోతైన పరిశీలనను పూర్తి చేశారు

మీ నేర్చుకున్న విషయాలను సమీక్షిద్దాం:

పునఃప్రవేశ భద్రతా లోపాలు - దాడి చేసేవారు ఫంక్షన్లు పూర్తిగా ముగిసే ముందే వాటిలోకి తిరిగి ప్రవేశించి, లోపాలను దుర్వినియోగం చేస్తారు.

• ఏక ఫంక్షన్ పునఃప్రవేశం: ఒక దుష్ట కాంట్రాక్ట్ మరో కాంట్రాక్ట్లోని ఫంక్షన్లోకి తిరిగి ప్రవేశిస్తుంది.
• అంతర్-ఫంక్షన్ పునఃప్రవేశం: బలహీనమైన పునఃప్రవేశ రక్షణ కారణంగా వేర్వేరు ఫంక్షన్ల మధ్య పంచుకున్న స్థితులు దుర్వినియోగం చేయబడతాయి.
• అంతర్-కాంట్రాక్ట్ పునఃప్రవేశం: వివిధ కాంట్రాక్టులలో పంచుకున్న స్థితులను దోపిడీ చేస్తుంది.
• రీడ్-ఓన్లీ రీఎంట్రెన్సీ: స్థితి స్థిరంగా లేనప్పుడు తప్పుడు ఫలితాలను ఉత్పత్తి చేసే ఫంక్షన్‌ను దోపిడీ చేస్తుంది.

పూర్ణాంక ఓవర్‌ఫ్లో - నిర్ణయించిన పరిమితులను మించిన గణనలు, తీవ్రమైన విలువలకు దారితీస్తాయి.

యాక్సెస్ నియంత్రణ లోపాలు - అవసరమైన ఫంక్షన్లపై కఠినమైన యాక్సెస్ పరిమితులు లేకపోవడం వల్ల ఏర్పడతాయి.

సాధారణ దాడి మార్గాలు - దాడి చేసేవారు సిస్టమ్ లోపాలను దోపిడీ చేసే పద్ధతులు.

**FlashLoan దాడి** - తక్షణమే పెద్ద మొత్తంలో పూచీకత్తు లేకుండా అప్పు తీసుకోవడానికి అనుమతించే DeFi ఫీచర్, కానీ లాజికల్ లోపాల కారణంగా దోపిడీకి గురవుతుంది.

ఫ్రంట్-రన్నింగ్ దాడి- దాడి చేసేవారు పెండింగ్ లో ఉన్న లావాదేవీల గురించి తెలుసుకుని, ఎక్కువ గ్యాస్ ఫీజులు అందించడం ద్వారా లాభపడతారు.

ఈ వ్యాసాన్ని మీకు అందించినది: