Объяснение аудита смарт-контрактов
Смарт-контракты — это адаптируемые инструменты, которые могут отслеживать движение физических вещей и интеллектуальной собственности, а также облегчать и проверять финансовые транзакции. Поскольку смарт-контракты имеют право распределять ценные ресурсы между сложными системами и по большей части являются автономными, безопасность и согласованность имеют решающее значение.
Поэтому понимание вероятности и критического характера возможных недостатков контракта или обнаруженных ошибок имеет важное значение для безопасности смарт-контракта. Аудит безопасности смарт-контрактов тщательно изучает смарт-контракты проекта и необходим для защиты денег, вложенных в них.
Если средства будут изъяты, их нельзя будет вернуть, потому что все транзакции в блокчейне необратимы.
Таким образом, метод аудита смарт-контрактов фокусируется на проверке кода, лежащего в основе условий смарт-контракта, чтобы разработчики могли быстро выявить уязвимости и недостатки перед развертыванием смарт-контрактов с помощью такого аудита.
В этой статье мы обсудим ключевые уязвимости в смарт-контрактах и ответим на различные вопросы о том, как выполняется аудит смарт-контрактов, почему он важен и как стать аудитором смарт-контрактов.
Почему важен аудит безопасности смарт-контрактов?
В настоящее время одной из самых насущных проблем при развертывании смарт-контрактов является безопасность. Опасения по поводу неэффективности, безопасности и недобросовестного поведения существуют, потому что их игнорирование при использовании сети блокчейн для создания смарт-контрактов может привести к чрезвычайно высоким дополнительным затратам.
Кроме того, незначительные ошибки в коде могут привести к краже крупных сумм денег. Нарушение DAO в блокчейне Ethereum, например, конфисковало около 60 миллионов долларов в эфире (ETH) и привело к хард-форку сети Ethereum.
В результате предприятия обеспокоены их развертыванием из-за необратимого характера смарт-контрактов. Кроме того, из-за недостатков безопасности в смарт-контрактах вы рискуете потерять весь контракт и связанные с ним активы. Таким образом, в последние годы аудит смарт-контрактов стал критически важным требованием по следующим причинам:
-
Избегайте дорогостоящих ошибок: аудит вашего кода на ранних этапах жизненного цикла разработки может помочь вам избежать потенциально фатальных ошибок после запуска.
-
Экспертная проверка: чтобы исключить ложные результаты, опытные аудиторы безопасности вручную дважды проверяют ваш код.
-
Предотвращение атак на систему безопасности. Когда вы пишете и изменяете код, следите за любыми недостатками безопасности, чтобы предотвратить атаки на систему безопасности.
-
Повышенная безопасность: аудит безопасности смарт-контрактов гарантирует владельцам децентрализованных продуктов безопасность их кода.
-
Непрерывная оценка безопасности: процесс аудита смарт-контрактов позволяет вам проводить текущие оценки безопасности, предлагая улучшить вашу среду разработки.
-
Аналитические отчеты. Получите сводку, сведения об уязвимостях и рекомендации по их устранению в отчете об уязвимостях.
Как провести аудит смарт-контракта?
Служба аудита смарт-контрактов обеспечивает проверку известных уязвимостей, применимых к конкретной бизнес-логике каждого смарт-контракта. Он также оценивает соответствие Руководству по стилю кода Solidity и проверяет, что смарт-контракт свободен от проблем логики и контроля доступа. Стандарты аудита безопасности смарт-контрактов варьируются от проекта к проекту. Смарт-контракты можно проверять с использованием ручных или автоматизированных подходов, как описано ниже.
Ручной аудит
Ручной аудит предполагает, что группа экспертов/аудиторов просматривает каждую строку кода на наличие проблем с компиляцией и повторным вводом. Это также может помочь в обнаружении других уязвимостей безопасности, которые часто упускают из виду, например неэффективных методов шифрования.
Ручной анализ кода может принимать две формы:
Поскольку он обнаруживает скрытые дефекты, такие как трудности проектирования, а не просто ошибки кода, этот метод считается наиболее точным и полным.
Автоматизированный аудит
Напротив, автоматизированный подход к аудиту смарт-контрактов использует программное обеспечение для обнаружения ошибок, которое помогает аудиторам смарт-контрактов определить точное место, ответственное за ошибки. Проекты, требующие более быстрого выхода на рынок, часто предпочитают автоматизированный подход, потому что он помогает гораздо быстрее находить уязвимости. Однако автоматизированное программное обеспечение может не всегда понимать контекст и пропускать уязвимости при проверке кода.
Классификация ошибок кода
Каждый недостаток исходного кода классифицируется в соответствии с его серьезностью, учитывая потенциальное влияние эксплойта:
Сложность эксплуатации
Еще одной ключевой характеристикой обнаружения каждой уязвимости является сложность, с которой ее можно использовать:
Процесс аудита смарт-контракта
Аудит смарт-контрактов следует очень стандартной процедуре и может значительно различаться среди аудиторов смарт-контрактов. Ниже приводится типичная процедура:
Сбор моделей дизайна кода
Чтобы гарантировать гарантированную интеграцию сторонних смарт-контрактов, аудиторы собирают спецификации кода и изучают архитектуру. Это помогает аудиторам понять цели проекта и определить его объем.
Запуск модульных тестов
Затем аудиторы тестируют случаи, чтобы проверить каждую функцию смарт-контракта. Специалисты по аудиту используют инструменты (как ручные, так и автоматизированные), чтобы гарантировать, что модульные тестовые примеры включают весь код смарт-контракта.
Выберите подход к аудиту
Поскольку ручной аудит более эффективен, чем автоматический, аудиторы часто проверяют смарт-контракты без помощи программного обеспечения. При таком подходе можно эффективно обнаруживать такие атаки, как опережающие атаки.
Набросайте первоначальный отчет
После завершения аудита аудиторы набрасывают обнаруженные недостатки кода и предоставляют обратную связь команде проекта для исправления этих ошибок. У некоторых поставщиков услуг смарт-контрактов есть команда экспертов, которые помогают исправить каждую найденную ошибку.
Опубликовать окончательный аудиторский отчет
После исправления ошибок аудиторы публикуют окончательный отчет с учетом любых действий, предпринятых командой проекта или внешними экспертами для решения возникших вопросов.
Ключевые уязвимости в смарт-контрактах
В этом разделе объясняются распространенные уязвимости безопасности, обнаруженные в смарт-контрактах:
Зависимость от метки времени
В отличие от обычных программ, среда исполнения смарт-контракта находится на стороне майнера. Когда логика контракта зависит от текущего времени, майнер может манипулировать текущим временем, чтобы повлиять на результат выполнения и достичь заранее определенной цели.
Ошибки видимости функции
Свойство видимости функции по умолчанию в Solidity общедоступно. В результате любой может получить к нему доступ, если разработчик забудет определить видимость частной функции. Например, любой может вызвать функцию Destruct для немедленного уничтожения контракта.
Повторные атаки
Одной из самых разрушительных атак в смарт-контракте Solidity является повторная атака. Безразличное отношение разработчика потенциально может привести к проблемам повторного входа. Когда функция выполняет внешний вызов другого недоверенного контракта, это называется реентерабельной атакой. Затем, пытаясь вывести средства, недостоверное соглашение делает рекурсивный вызов исходной функции.
Уязвимость случайных чисел
Злоумышленник может точно угадать случайное число, сгенерированное контрактом, в котором в качестве начального значения используется общеизвестная переменная.
Неудача в дифференциации людей и контрактов
Неспособность определить, является ли вызывающий смарт-контракт человеком или контрактом, может иметь непредвиденные последствия. Например, правильно угадав блок в популярной игре Fomo3d, хакер может заработать деньги с помощью функции раздачи (т. е. путем точного предсказания метки времени контракта).
Орфографические ошибки
Конструкторы обычно используются для инициализации контракта и определения владельца контракта. Компилятор не заметит неправильного написания функции во время программирования, в результате чего функция станет общедоступной, поэтому любой может ее вызвать.
В Solidity функция используется для установки переменных состояния контракта. Когда контракт создается впервые, вызывается функция, и ее можно использовать для установки начальных значений. Существует два типа конструкторов: общедоступные и внутренние. Более того, код Solidity компилируется с помощью компилятора Solidity, который создает байтовый код и другие артефакты, необходимые для развертывания смарт-контрактов.
Рассмотрим случай, когда функция контракта HelloWorld написана с ошибкой как Helloworld; любой пользователь может выполнить функцию Helloworld, чтобы изменить владельца контракта.
Сколько стоит аудит смарт-контракта?
Поставщики аудита смарт-контрактов берут в среднем от 5000 до 15000 долларов, в зависимости от сложности кода, хотя в определенных ситуациях цена может быть значительно выше. В результате аудиторская фирма составляет отчет, в котором подробно описаны потенциальные недостатки кода и даются дополнительные рекомендации по повышению его безопасности.
Специалисты также изучают динамику контрактов, чтобы увидеть, как они отражают современные тенденции в области безопасности. Но почему аудит смарт-контрактов такой дорогой? Аудитор смарт-контрактов проверяет код построчно, что является трудоемкой и сложной задачей; поэтому услуги аудита смарт-контрактов очень дороги.
Несмотря на свою стоимость, процесс аудита смарт-контрактов необходим для исправления недостатков кода, которые могут привести к гораздо большим затратам и уязвимостям безопасности, как упоминалось в предыдущем разделе. Итак, сколько времени занимает аудит смарт-контракта? В зависимости от проекта, размера смарт-контракта и срочности процесс аудита смарт-контракта (первый аудит) может занять от двух до 14 дней.
Аудит может занять до месяца для крупных проектов или протоколов. Клиент получает рекомендации по внесению исправлений после завершения первоначального аудита, а время, необходимое для исправления ошибок, определяется клиентом. После этого проводится проверка исправления, которая обычно занимает один день.
Как стать аудитором смарт-контрактов?
Аудит смарт-контрактов требует знаний в области программирования, поскольку он включает проверку кода построчно. Если у вас нет предварительных навыков программирования, имейте в виду, что потребуются годы, чтобы ваша критика кода стала значимой.
Вам необходимо понимать основы блокчейна Ethereum и Solidity (язык программирования, используемый для написания смарт-контрактов Ethereum). Чтение документации Ethereum и посещение курсов по фундаментальной технологии блокчейна — хорошее начало. Еще один оптимальный способ изучения любого блокчейна или языка программирования — использовать его на практике.
Важно отметить, что блокчейны используют разные языки программирования. Чтобы ознакомиться, ознакомьтесь с нашим руководством: Руководство для начинающих по популярным блокчейнам, используемым в разработке NFT.
Наличие финансового опыта является дополнительным преимуществом при аудите проектов децентрализованного финансирования (DeFi). В большинстве проектов DeFi используются стандартные условия финансирования; поэтому аудитор должен понимать основные финансовые термины, такие как крипто-деривативы, для эффективного аудита смарт-контракта.
Аудиторские фирмы по смарт-контрактам
Давайте посмотрим на некоторые из организаций по аудиту смарт-контрактов, которые обеспечивают безопасность криптоэкосистемы, теперь, когда мы осознаем важность процесса аудита смарт-контрактов.
Аудит безопасности смарт-контрактов был впервые проведен CertiK (организацией безопасности сети и блокчейна). BNB Smart Chain, Bancor и Huobi прошли аудит CertiK. Кроме того, прежде чем инвестировать в какой-либо проект, фонд-акселератор Binance проводит аудит смарт-контрактов CertiK.
Chainsulting — известная фирма по аудиту смарт-контрактов, основанная в 2017 году. Среди ее основных клиентов — 1inch, MakerDAO и другие известные протоколы DeFi. Кроме того, OpenZeppelin предоставляет аудиторские услуги Coinbase и Ethereum Foundation, двум наиболее известным компаниям в мире блокчейнов. Кроме того, платформа обеспечивает создание безопасных смарт-контрактов Ethereum с помощью своих модульных шаблонов контрактов.
