זמן קריאה: 6 דקות
יצירת ה-DAO ייחודית ל-web3, הממנפת את יכולת הבלוקצ'יין בניהול הפרוטוקולים מבלי לערב גופים מרכזיים.
DAO מרוכז בכבדות סביב שני היבטים- הצפנה ואחסון מבוזר. זה מקנה להם את היכולות לפעול על בסיס החלטה קולקטיבית של חברי הקהילה.
כמו בכל פרוטוקול Web3, חששות אבטחה תלויים גם בפרוטוקולי DAO.
מאמר זה נועד להציג את התשתית הבסיסית של DAO והנחיות לאלתור אבטחת החוזה החכמה שלהם כדי לעמוד בהתקפות.
מטרת DAO
Ethereum תמיד מחזיק בקרדיט על היותו הבלוקצ'יין הראשון אי פעם שניתן לתכנות. יש לו תפקיד עצום בהבאת ביזור אמיתי בכך שהוא מאפשר למפתחים לשחק עם קוד.
מהבחינה הזו, חוזים חכמים של DAO נועדו לטפח ממשל על השרשרת
” data-gt-translate-attributes=”[{“attribute”:”data-cmtooltip”, “format”:”html”}]">ממשל על השרשרת שמצדיק את העובדה שקהילות מפעילות את הבלוקצ'יין בלבד.
בדיוק כמו כל חוזים חכמים אחרים, חוזי DAO נועדו בעצם להפוך את התהליך לאוטומטי ולבצע פעולות כאשר מתקיימים התנאים המוגדרים מראש.
כדי להמחיש עם דוגמה, שקול חוזה אסימון ERC-20. הוא נוצר על בסיס תקני ERC-20 עם מידע כגון כתובת חוזה, אספקת אסימון, שם אסימון, תנאי העברת אסימון וכו'.
פעולת האסימון מבוצעת כאשר הכללים שנקבעו מתקיימים. באופן דומה, חוזה ה-DAO מקודד להכתיב את עבודת הארגון, כגון החלטה על חלוקת הקרן לפי הצעות ההצבעה של החברים.
לדוגמה, ל-DAO יש אוצרות מובנים. הכספים מאלה מושקעים לאחר אישור הקבוצה, ולאף רשות אחת אין גישה לביצוע תוכנית כלשהי.
הצעות ההצבעה לקבלת החלטות קריטיות הנוגעות לפרויקט מבטיחות שקולו של כל משתתף יישמע, מה שמוביל לאמון ושקיפות טובים יותר בפעילויות בשרשרת.
זכויות השלטון על פעילות הארגונים משתנות מפרוטוקול לפרוטוקול, והיא סובייקטיבית לחלוטין לאופן שבו מתבצע קידוד DAO. לכן, חשוב לשים לב לזכויות השלטון שיש למשתמשים בפרוטוקול לפני ההרשמה ל-DAOs כלשהם.
שלבים הכרוכים בהקמת חוזים חכמים של DAO
המכניקה של ממשל על השרשרת
” data-gt-translate-attributes=”[{“attribute”:”data-cmtooltip”, “format”:”html”}]">ממשל על השרשרת מתבצע באמצעות סט של חוזים – אסימון, מושל ומנעול זמן . בואו לגלות את התפקיד של כל אחד מהם.
אסימון: אסימונים קובעים את כוח ההצבעה של חברי הקהילה להשתתף ממשל על השרשרת
" data-gt-translate-attributes="[{"attribute":"data-cmtooltip", "format":"html"}]">ממשל על השרשרת. החוזה האסימוני מבטיח שהאיזון מאומת כדי לאחזר את הכוח ולאפשר למשתתפים להביע את בחירתם על הצעות ממשל.
נגיד: חוזה הנגיד מקודד בתנאים על הקצאת כוח לבעלי אסימונים, סוג האסימונים המקובלים, ספירה על מספר ההצבעות הנדרש לפורום וכן הלאה. עם זאת, מפתחים יכולים לקודד עם המאפיינים הספציפיים כיצד הם רוצים שהחוזים יבוצעו.
חוץ מזה, חוזה הנגיד כולל גם עיכוב בהצבעה ופרטי הצעת הצבעה בקוד. היא משרתת את המטרה של מתן הנחיות לגבי משך הזמן שבו הצעת ההצבעה פתוחה להצבעה של המשתתפים.
Timelock: היבט Timelock כולל את הגדרת AcessControl עבור התפקיד המוצע, תפקיד המבצע ותפקיד המנהל. שילוב רכיב Timelock עם מערכות הממשל נותן את החופש למשתתפים להתרחק במקרה של אי הסכמה עם ההחלטה.
תצוגה ברמה גבוהה על פחדי אבטחה עבור DAOs.
ההסתמכות של ה-DAO על חוזים חכמים מחזיקה אותם באחריות להצבעה בממשל ותחזוקת האוצר. ולכל אחד מהמרכיבים הללו יש דאגות ביטחוניות משלו; בואו נשחרר אותם למטה.
דאגות אבטחה בחוזה חכם
בואו נדלג מעט אחורה ונזכר ב'נפילת DAO' הידועה. הסיבה העיקרית הייתה הבאג בקוד ה-DAO. ההאקר הצליח לנצל את הפגיעות ולנקז כספים מהחוזה על ידי ביצוע שיחות רקורסיביות
" data-gt-translate-attributes="[{"attribute":"data-cmtooltip", "format":"html"}]">שיחות רקורסיביות.
החוזה החזיק 12.7M Ether, מתוכם ההאקר גנב 3.6M ETH על ידי מינוף הפרצה בחוזה.
תקרית זו מתארת בבירור את הצורך ביותר ניסיון וניסוי באבטחת DAO. למרות ש-DAO זוכה לשבחים רבים על החדשנות שלו, איכות הקוד גרמה לנזק גדול יותר.
יתר על כן, הקידוד של החוזים החכמים צריך להיות שקוף לחלוטין כדי להבטיח שאף תכונה לא תהפוך לבאג מאוחר יותר.
דאגות ביטחוניות בנושא ממשל
ישנן מספר דרכים שבהן האקרים יכולים לחדור לניהול הפרוטוקול. ראשית, הודעות מבוזרות הן דרך אחת שבה אם האקר יכול לחסום הודעות, הוא יכול להציג הצעות זדוניות שאינן מורגשות על ידי חברי DAO אחרים.
הבא היא ההצעה המחייבת עסקאות ריבוי שיחות. אם ההצעה לא נבדקת או מבוקרת על ידי DAO, התוקף יכול להשתמש בהן כדי לייצר תוצאות מורכבות.
ספים שגויים ומנעולי זמן לא הולמים מובילים לאפשרות של פעילויות רעות. הלוואות פלאש הן דאגה נוספת לביטחון הממשל. תוקפים יכולים ללוות סכום עצום של אסימונים שמעניק להם את כוח הרוב לדחוף הצעה.
ההצעות בכוונות זדון מעלות א דאגה ביטחונית רצינית על השינויים שיושמו בפרוטוקול. AAVE ו-Compound סבלו מפריצות מסוג זה בעבר.
חששות אבטחה בביצוע
MakerDAO, שהושק ברשת Ethereum ב-2017, הצליח היטב. עד שהתמוטטות השוק התרחשה בשנת 2020 כאשר מחירו של אתר ירד ב-50%. זה היה הבטוחה החשובה ביותר בשימוש ב-MakerDAO, והתרסקות המחיר גרמה לנזילות מסיבית.
MakerDAO לא תוכנן לטפל בפירוק ענק שכזה שהביא להפסד כספי גדול יותר. למרות שהקידוד היה חזק כאן, התקלה הייתה בביצוע מנגנון הפירוק.
מאז נוספה גם ביצוע מנגנון ה-DAO לרשימת חששות האבטחה הקיימים האחרים.
רשימת ביקורת לביקורות חוזים חכמים של DAO
ביטחון הוא ההיבט השולט ב ממשל על השרשרת
” data-gt-translate-attributes=”[{“attribute”:”data-cmtooltip”, “format”:”html”}]">ממשל על השרשרת כדי להגן על הכוח מפני נפילה לידיים רעות. אז, מנקודת מבט אבטחה, בואו נמצא את ההנחיות לפיתוח חוזי DAO חזקים.
שיחות ברמה נמוכה: יש לטפל בקריאות לחוזים שרירותיים שמביאים נתונים שרירותיים.
טיפול בשיחות ברמה נמוכה הוא מסובך מכיוון שהוא עשוי לפתוח את הסיכוי לוקטורים של התקפה חוזרת. לכן, זה תמיד נוהג טוב לאמת את מצב ההצלחה של השיחות ולאחר מכן לטפל בנתונים המוחזרים.
אחזקות ETH: בהתבסס על ממצאי הביקורת, היו מקרים רבים שבהם ETH אינו מטופל כראוי בחוזים הקשורים לממשל. לכן, מומלץ להבטיח את הדרך של שליחת ETH כאשר חוזי הממשל דורשים טיפול ב-ETH.
אמצעי זהירות נוסף שיש להקפיד עליו הוא בעת שימוש ב-msg.value המאפשר שיחות אצווה. רוב הסיכויים שהדפוס הזה יכול להשתבש.
הימנע מניצול הלוואות פלאש: על הלוואות פלאש מסתמכים על מנצלים שרוצים להשפיע על החלטות הממשל ולפתוח במתקפה. הם לוקחים הלוואות בזק ומבטיחים את קולות הממשל באמצעות החזקות סמליות כדי לתמרן החלטת ממשל.
לכן, אתה יכול להימנע ממדידת כוח ההצבעה בבלוק הנוכחי, שכן הלוואת הבזק שנלקחה לצורך השגת כוח שלטון מסכנת את המערכת.
עדכונים שוטפים: גם אם אין בהכרח פגמים בחוזה, תמיד כדאי לבדוק בשוק אסימוני ממשל ולהתאים את הסף בהתאם. אחרת, זה יאפשר לשחקנים זדוניים להשתלט על ההחלטות.
ודא שאתה שם לב לפרטים בעת ההגירה והשדרוג של מערכת הממשל. היו מקרים כמו זה שקרה עם Uniswap. ההגירה שלה למושל בראבו אתחלה פגם בחוזה שעצר זמנית את החלטות הממשל.
כלול עיכובים באמצעות חוזה Timelock: פעולות עם עיכוב בזמן מאפשרות לקהילה לבדוק את השינויים בפרוטוקול לפני שהם נכנסים לתוקף. ניתן ליישם עיכובי זמן אלו באמצעות חוזי Timelock.
נקודות תורפה הקשורות לפרוטוקול: התוכנה המשמשת לקידוד פרוטוקול עובדת על לוגיקה עסקית ספציפית שעשויה להשתנות זה מזה. כך גם הבעיות המתעוררות בעת ביצוע שינויים באותה מערכת.
למען האמת, פרוטוקול המתחם סבל מבעיה עקב אישור הצעה קהילתית מניפולטיבית. לכן, תמיד טוב לעבור סקירה יסודית של הקוד על ידי עמיתים וגורמים בלתי תלויים כדי להבטיח את עוצמתו ואמינותו של החוזה.
QuillAudits Eminence בביקורת חוזים חכמים של DAO
בזמנים של היום, כדי שמערכת תתפקד באופן עצמי בלבד, פרויקטים רבים מוצאים את דרכם להטמע ממשל על השרשרת
" data-gt-translate-attributes="[{"attribute":"data-cmtooltip", "format":"html"}]">ממשל על השרשרת. אז, התחום מתפתח ופורח במהירות בהתאם לצרכי הקהילה שלהם.
גם ההתקפות מסתבכות, וזה גם מאתגר וגם עולה כבד. לכן, יש צורך לוודא שהתהליכים קיימים ומעקב אחר הקוד מקרוב. QuillAudits מבצע מחקר מקיף ומבקר את הקוד כדי לשלול כל מלכודות אפשריות ולהגן על הפרויקט מפני פעילויות זדוניות.
16 צפיות
