How Auditors Detect a DeFi Rug Pull Scam: Can You Do It Yourself?

A hackerek minden eddiginél több kriptovalutát loptak el a decentralizált pénzügyi (DeFi) platformokról 2022-ben. A DeFi zászlóshajóján, a DEX Uniswapon elindított tokenek közel 98%-át szőnyeghúzóként azonosították.

A legújabb, a Defrost Finance, jött a kriptobefektetők karácsonyi rémálmaként, 12 millió dollárt törölve el a pénzükből. 

A DeFi platformokon a legtöbb feltörés a biztonsági rések és a kód kihasználása révén történik. Projects that end up being rug pull scams have serious security issues that have been allowed to slide, or maybe, undetected on purpose. To prevent similar risks, DeFi security audits are critical.

Here we’ll find out more about these audits, how they are conducted, and whether it is possible to run a DeFi audit by yourself. 

DeFi projects are implemented as complex, self-executing smart contracts, often transparent and open-source. They act as legal agreements between two parties. And since no centralized entity is behind them, even a small bug in smart contracts might lead to irreversible consequences.

Ez azt jelenti, hogy az intelligens szerződésekben nem lehet hely a hibáknak. A DeFi intelligens szerződésbiztonsági auditjai ezt hivatottak biztosítani.

Security audits examine the code of smart contracts and how it grounds contracts’ terms and conditions. The detailed analysis searches for potential security flaws, violations, and system bugs in the code, so it cannot be exploited. 

Security audits, usually conducted by third parties, are vital to ensuring the security and credibility of projects and maintaining a healthy DeFi ecosystem.

A rug pull is a type of exit scam that operates in a simple model: developers create a legit-looking DeFi protocol, run and promote it until the project attracts enough liquidity, then pull out the funds and disappear. 

Well, not always. Occasionally, rug-pull scammers blame hackers for stealing liquidity and stay in business until the next time.

A támadás végrehajtása érdekében a csalók rosszindulatú kódot ágyaznak be az intelligens szerződésekbe. Módosítják őket, hogy megakadályozzák a befektetők eladását: beállítják a maximális (100%) eladási díjat, feketelistára teszik a tokentulajdonosokat, és szerződésbe zárják a felhasználók pénzét.

Egyes intelligens szerződések tartalmazzák a rosszindulatú „hátsó ajtó” kódolását, amely lehetővé teszi a fejlesztők számára a likviditás visszavonását.  

A módosított intelligens szerződéseket legtöbbször nem ellenőrzik a biztonsági ellenőrök, és el vannak rejtve a nyilvánosság elől. Mivel a legtöbb láncon belüli szerződés nyilvánosan elérhető, az átláthatóság hiánya GitHub lehet egy piros zászló. 

A blokklánc és az intelligens szerződések iparága még viszonylag fiatal, és az intelligens szerződések könyvvizsgálati szektora is. Számos cég szakosodott intelligens szerződésbiztonsági auditokra, fejleszti eszközeit és formálja know-how-ját. 

Az intelligens szerződésbiztonsági iparági szabványok és legjobb gyakorlatok fejlődnek. Ennek ellenére a DeFi könyvvizsgálói ágazat szereplői alkalmaznak néhány meglehetősen standard auditálási módszert.

Vizsgálataik jellemzően az intelligens szerződésértékeléssel kezdődnek. Az auditor elemzi a DeFi protokoll ismertetőjét, üzleti logikáját és műszaki specifikációit, hogy megbecsülje a lehetséges kockázatokat és biztonsági jellemzőket.

Aztán figyelmüket az okosszerződés kódjára irányítják. Ekkor kezdődik a kód áttekintése és elemzése. 

Auditors inspect code line by line, looking for vulnerabilities of different levels: critical ones that can result in a liquidity leak; medium-level, which could partially damage the smart contract; and low-level issues, which affect the contract’s security the least.

Számos audit technikát alkalmaznak, beleértve az automatizált és manuális elemzést. Mindkettőnek megvannak az előnyei és hátrányai.

An automated security audit means scanning the code with automated analysis software, which searches for bugs against the database of known vulnerabilities and identifies their precise location in the code.

The software-based audit is typically conducted before the manual analysis to detect errors that humans might overlook. It is faster and less time-consuming, but at the same time, it may not always be aware of the context and thus miss certain vulnerabilities. 

Manual code analysis is king in smart contract auditing and is the most critical part of a comprehensive and accurate smart code security audit. It is conducted by at least two separate experts that inspect the code line by line.

A cél annak ellenőrzése, hogy a projekt specifikációjában szereplő minden részlet beépül az intelligens szerződésbe, és semmi sem sérti az eredetileg tervezett viselkedést. 

The auditors scrutinize the code for unintended, unexpected behavior, crucial security issues, and vulnerabilities like re-entrance, data manipulations, flash loans, and other manipulations that might be implemented while the smart contract interacts with others.

In addition to that, manual audits run simulations to evaluate how well the DeFi project’s smart contract responds to unidentified threats and how capable it is of defending itself against them. 

A kézi kódelemzés utolsó részében az auditor összehasonlítja az intelligens szerződés logikáját a projekt fehér könyvében szereplő leírással. 

Az összes sérülékenység azonosítása és kijavítása után az auditorok kétszeri ellenőrzést hajtanak végre, hogy megbizonyosodjanak arról, hogy az intelligens kód a várt módon fut.

Végül a biztonsági audit befejezése után az auditorok átfogó jelentést készítenek. Itt adnak részletes visszajelzést arról, amit felfedeztek. Jellemzően a jelentésük ajánlásokat tartalmaz arra vonatkozóan, hogy az észlelt kódhiányokat hogyan lehet javítani a projekt biztonságának csökkentése érdekében. 

Smart contracts are a relatively new innovation. Their security standards are evolving accordingly. This means no golden rule guarantees total smart contract safety.

Ráadásul nem minden intelligens szerződés könyvvizsgáló cég egyforma, és nem minden audit garantálja a biztonságot. Az auditorok különböző képzettségi szintekkel, eltérő célokkal és költségekkel rendelkezhetnek.

Not to mention the fact that the market is full of sketchy developers that forge audits and still benefit from the name of a respectable company. This is what happened to Peckshield, a blockchain security and data analytics company, more than a year ago.

Az ehhez hasonló helyzetek meglehetősen gyakoriak a kriptovaluta terén. Felveszik egy törvényes és tekintélyes auditor nevét, és beleírják a fehér könyvükbe, mondván, hogy a protokolljukat auditálták.

The only way to avoid cases like this is to check for confirmation on the auditor’s original channels. If there aren’t any, chances are that the auditor’s name has been stolen. 

Always check its client portfolio to evaluate whether the auditor is solid and reputable. Google the cases to verify their experience records, and check if any of the audited projects have suffered a rug pull or other attacks.

With so many hacks and rug pulls in the crypto space, it’s naive to imagine that DeFi projects are safe without looking into them in more detail. Smart contract audits provide a critical layer of safety. 

However, even the most professional ones do not guarantee that a DeFi project is absolutely bug-free. Smart contracts are complex. They require detailed and comprehensive analysis, expertise, tools, and, most importantly, more than one pair of eyes.