Огляд вразливостей Cetus: виявлення системних недоліків безпеки в індустрії децентралізованих фінансів

Cetus Protocol нещодавно опублікував звіт про безпеку після хакерської атаки, що викликало глибоку думку в галузі про проблеми безпеки Децентралізованих фінансів. У звіті детально розкрито технічні деталі та процеси реагування на надзвичайні ситуації, але при поясненні причин атаки він дещо неясний.

Звіт зосереджений на перевірці помилок функції checked_shlw бібліотеки integer-mate, вважаючи це проблемою "семантичного непорозуміння". Проте таке тлумачення, здається, занадто спрощує суть події.

Ретельно аналізуючи шлях атаки хакера, ми виявили, що атакуючому потрібно одночасно використати чотири умови для успішного виконання: помилкова перевірка переповнення, значне зсувне обчислення, правила округлення вгору та відсутність перевірки економічної доцільності. Вражає, що Cetus має очевидні вразливості на кожному з цих етапів.

Ця подія виявила серйозні недоліки команди Cetus у кількох аспектах:

1. Слабка свідомість щодо безпеки в ланцюгу постачання. Незважаючи на використання відкритого та широко застосовуваного програмного забезпечення, при управлінні величезними активами не вдалося повністю усвідомити межі безпеки цього програмного забезпечення та потенційні ризики.

2. Відсутність адекватних обмежень на введення. Дозволяє вводити нетрадиційні астрономічні числа, не встановлюючи відповідні граничні умови, що виявляє відсутність усвідомлення управління ризиками.

3. Уявлення про безпеку аудиту. Надмірна залежність від стороннього безпекового аудиту ігнорує власну відповідальність за безпеку системи.

Ця подія є не лише проблемою Cetus, вона відображає загальні системні безпекові недоліки, що існують у всій індустрії Децентралізовані фінанси. Багато команд надто покладаються на чисто технічне мислення, не маючи необхідної фінансової ризикової обізнаності.

Щоб підвищити загальну безпеку проектів Децентралізовані фінанси, рекомендується вжити наступні заходи:

1. Запросити експертів з фінансового ризик-менеджменту, щоб заповнити прогалини в знаннях технічної команди у фінансовій сфері.
2. Створення багатостороннього механізму аудиту, який не лише звертає увагу на аудит коду, але й підкреслює важливість аудиту економічної моделі.
3. Виховувати в команді "фінансовий нюх", змоделювати різні можливі сценарії атак і розробити заходи реагування.
4. Завжди бути насторожі щодо аномальних дій, встановити ефективний механізм ризикового попередження.

З розвитком індустрії Децентралізовані фінанси чисті технічні помилки можуть поступово зменшуватися, але "свідомі помилки" в бізнес-логіці стануть більшою проблемою. Майбутні проекти Децентралізовані фінанси потребують не лише високої технічної майстерності, але й команди з глибоким розумінням суті бізнесу та здатністю точно його контролювати. Тільки глибоке поєднання технологій та бізнесу дозволить зберегти конкурентоспроможність та безпеку в цій швидко зростаючій сфері.