ผู้ตรวจสอบตรวจพบกลโกง DeFi Rug Pull ได้อย่างไร: คุณสามารถทำเองได้หรือไม่?

แฮ็กเกอร์ขโมยเงินดิจิทัลจากแพลตฟอร์มการเงินแบบกระจายอำนาจ (DeFi) มากกว่าที่เคยเป็นมาในปี 2022 เกือบ 98% ของโทเค็นทั้งหมดที่เปิดตัวบน DEX Uniswap ของแฟล็กแมนของ DeFi ถูกระบุว่าเป็นการหลอกลวง

ล่าสุด การเงินละลายน้ำแข็ง มา เป็นฝันร้ายในวันคริสต์มาสสำหรับนักลงทุน crypto โดยกวาดเงินไป 12 ล้านดอลลาร์ 

การแฮ็กส่วนใหญ่บนแพลตฟอร์ม DeFi เกิดขึ้นจากการละเมิดความปลอดภัยและการใช้ประโยชน์จากโค้ด โปรเจ็กต์ที่กลายเป็นกลโกงการดึงพรมมีปัญหาด้านความปลอดภัยร้ายแรงซึ่งได้รับอนุญาตให้เลื่อนหรืออาจตรวจไม่พบโดยเจตนา เพื่อป้องกันความเสี่ยงที่คล้ายกัน การตรวจสอบความปลอดภัยของ DeFi จึงมีความสำคัญ

ที่นี่เราจะหาข้อมูลเพิ่มเติมเกี่ยวกับการตรวจสอบเหล่านี้ วิธีดำเนินการ และเป็นไปได้ไหมที่จะทำการตรวจสอบ DeFi ด้วยตัวเอง 

โครงการ DeFi ได้รับการปรับใช้ในรูปแบบสัญญาอัจฉริยะที่ซับซ้อนและดำเนินการได้เอง ซึ่งมักจะโปร่งใสและเป็นโอเพ่นซอร์ส พวกเขาทำหน้าที่เป็นข้อตกลงทางกฎหมายระหว่างทั้งสองฝ่าย และเนื่องจากไม่มีหน่วยงานแบบรวมศูนย์อยู่เบื้องหลัง แม้แต่ข้อบกพร่องเล็กๆ น้อยๆ ในสัญญาอัจฉริยะก็อาจนำไปสู่ผลลัพธ์ที่แก้ไขไม่ได้

ซึ่งหมายความว่าไม่ควรมีที่ว่างสำหรับข้อผิดพลาดในสัญญาอัจฉริยะ การตรวจสอบความปลอดภัยของสัญญาอัจฉริยะของ DeFi มีขึ้นเพื่อให้มั่นใจว่า

การตรวจสอบความปลอดภัยจะตรวจสอบรหัสของสัญญาอัจฉริยะและเหตุผลของข้อกำหนดและเงื่อนไขของสัญญา การวิเคราะห์โดยละเอียดจะค้นหาข้อบกพร่องด้านความปลอดภัย การละเมิด และข้อบกพร่องของระบบที่อาจเกิดขึ้นในโค้ด ดังนั้นจึงไม่สามารถหาประโยชน์ได้ 

การตรวจสอบความปลอดภัยซึ่งโดยปกติดำเนินการโดยบุคคลที่สาม มีความสำคัญต่อการรับรองความปลอดภัยและความน่าเชื่อถือของโครงการ และการรักษาระบบนิเวศ DeFi ที่ดี

การดึงพรมเป็นรูปแบบของการหลอกลวงทางออกที่ทำงานในรูปแบบง่ายๆ: นักพัฒนาสร้างโปรโตคอล DeFi ที่ดูถูกกฎหมาย เรียกใช้และโปรโมตจนกว่าโครงการจะดึงดูดสภาพคล่องเพียงพอ จากนั้นจึงดึงเงินทุนออกและหายไป 

ไม่เสมอไป ในบางครั้ง นักต้มตุ๋นมักโทษแฮกเกอร์ที่ขโมยสภาพคล่องและอยู่ในธุรกิจต่อไปจนกว่าจะถึงครั้งต่อไป

ในการดำเนินการโจมตี นักต้มตุ๋นจะฝังโค้ดที่เป็นอันตรายลงในสัญญาอัจฉริยะ พวกเขาแก้ไขเพื่อป้องกันไม่ให้นักลงทุนขาย: กำหนดค่าธรรมเนียมการขายสูงสุด (100%) เจ้าของโทเค็นบัญชีดำ และล็อคเงินของผู้ใช้ไว้ในสัญญา

สัญญาอัจฉริยะบางอย่างเกี่ยวข้องกับการเข้ารหัส "ประตูหลัง" ที่เป็นอันตรายซึ่งช่วยให้นักพัฒนาสามารถถอนสภาพคล่องได้  

ส่วนใหญ่แล้ว สัญญาอัจฉริยะที่ได้รับการแก้ไขจะไม่ได้รับการตรวจสอบโดยผู้ตรวจสอบความปลอดภัยและถูกซ่อนจากสายตาของสาธารณชน เนื่องจากสัญญาออนไลน์ส่วนใหญ่เปิดเผยต่อสาธารณะ ทำให้ขาดความโปร่งใส GitHub อาจเป็นธงสีแดง 

อุตสาหกรรมบล็อกเชนและสัญญาอัจฉริยะยังค่อนข้างใหม่ และภาคการตรวจสอบสัญญาอัจฉริยะก็เช่นกัน บริษัทจำนวนมากมีความเชี่ยวชาญในการตรวจสอบความปลอดภัยของสัญญาอัจฉริยะ พัฒนาเครื่องมือและกำหนดรูปแบบความรู้ของพวกเขา 

มาตรฐานอุตสาหกรรมการรักษาความปลอดภัยสัญญาอัจฉริยะและแนวปฏิบัติที่ดีที่สุดกำลังพัฒนา ถึงอย่างนั้น ผู้เล่นในอุตสาหกรรมการตรวจสอบของ DeFi ก็ใช้วิธีการตรวจสอบที่ค่อนข้างมาตรฐานอยู่บ้าง

โดยปกติแล้ว การสืบสวนของพวกเขาจะเริ่มต้นด้วยการประเมินสัญญาอัจฉริยะ ผู้ตรวจสอบวิเคราะห์เอกสารรายงาน ตรรกะทางธุรกิจ และข้อกำหนดทางเทคนิคของโปรโตคอล DeFi เพื่อประเมินความเสี่ยงที่อาจเกิดขึ้นและคุณลักษณะด้านความปลอดภัย

จากนั้นพวกเขาก็เปลี่ยนความสนใจไปที่โค้ดของสัญญาอัจฉริยะ นี่คือเวลาที่การตรวจสอบและการวิเคราะห์โค้ดเริ่มต้นขึ้น 

ผู้ตรวจสอบตรวจสอบโค้ดทีละบรรทัด มองหาช่องโหว่ในระดับต่างๆ: ช่องโหว่ที่สำคัญที่อาจส่งผลให้เกิดสภาพคล่องรั่วไหล; ระดับกลางซึ่งอาจสร้างความเสียหายให้กับสัญญาอัจฉริยะได้บางส่วน และประเด็นระดับต่ำซึ่งกระทบต่อความมั่นคงของสัญญาน้อยที่สุด

พวกเขาใช้เทคนิคการตรวจสอบจำนวนมาก รวมถึงการวิเคราะห์แบบอัตโนมัติและแบบแมนนวล ทั้งสองมีข้อดีและข้อเสีย

การตรวจสอบความปลอดภัยอัตโนมัติหมายถึงการสแกนโค้ดด้วยซอฟต์แวร์วิเคราะห์อัตโนมัติ ซึ่งจะค้นหาจุดบกพร่องกับฐานข้อมูลของช่องโหว่ที่ทราบ และระบุตำแหน่งที่แม่นยำในโค้ด

โดยทั่วไปการตรวจสอบโดยใช้ซอฟต์แวร์จะดำเนินการก่อนการวิเคราะห์ด้วยตนเองเพื่อตรวจจับข้อผิดพลาดที่มนุษย์อาจมองข้าม เร็วกว่าและใช้เวลาน้อยลง แต่ในขณะเดียวกันก็อาจไม่ได้ตระหนักถึงบริบทเสมอไปและทำให้พลาดช่องโหว่บางอย่างไป 

การวิเคราะห์โค้ดด้วยตนเองเป็นสิ่งสำคัญในการตรวจสอบสัญญาอัจฉริยะ และเป็นส่วนที่สำคัญที่สุดของการตรวจสอบความปลอดภัยของโค้ดอัจฉริยะที่ครอบคลุมและแม่นยำ ดำเนินการโดยผู้เชี่ยวชาญอย่างน้อยสองคนที่ตรวจสอบโค้ดทีละบรรทัด

เป้าหมายคือการตรวจสอบว่าทุกรายละเอียดในข้อมูลจำเพาะของโครงการถูกนำไปใช้ในสัญญาอัจฉริยะ และไม่มีสิ่งใดที่ละเมิดพฤติกรรมที่ตั้งใจไว้แต่เดิม 

ผู้ตรวจสอบจะตรวจสอบโค้ดเพื่อหาพฤติกรรมที่ไม่คาดคิดและไม่คาดคิด ปัญหาด้านความปลอดภัยที่สำคัญ และช่องโหว่ เช่น การกลับเข้ามาใหม่ การจัดการข้อมูล การกู้ยืมแบบแฟลช และการจัดการอื่น ๆ ที่อาจนำไปใช้ในขณะที่สัญญาอัจฉริยะโต้ตอบกับผู้อื่น

นอกจากนั้น การตรวจสอบด้วยตนเองยังใช้การจำลองเพื่อประเมินว่าสัญญาอัจฉริยะของโครงการ DeFi ตอบสนองต่อภัยคุกคามที่ไม่ปรากฏหลักฐานได้ดีเพียงใด และมีความสามารถในการป้องกันตัวเองจากภัยคุกคามเหล่านั้นได้ดีเพียงใด 

ภายในส่วนสุดท้ายของการวิเคราะห์โค้ดด้วยตนเอง ผู้ตรวจสอบจะเปรียบเทียบตรรกะของสัญญาอัจฉริยะกับคำอธิบายในสมุดปกขาวของโครงการ 

เมื่อช่องโหว่ทั้งหมดได้รับการระบุและแก้ไขแล้ว ผู้ตรวจสอบจะดำเนินการตรวจสอบซ้ำเพื่อให้แน่ใจว่ารหัสอัจฉริยะทำงานตามที่คาดไว้

สุดท้าย หลังจากการตรวจสอบความปลอดภัยเสร็จสิ้น ผู้สอบบัญชีจะจัดทำรายงานที่ครอบคลุม นี่คือที่ที่พวกเขาให้ข้อเสนอแนะโดยละเอียดเกี่ยวกับสิ่งที่ค้นพบ โดยทั่วไปแล้วรายงานของพวกเขาจะมาพร้อมกับคำแนะนำเกี่ยวกับวิธีการแก้ไขจุดอ่อนของโค้ดที่ตรวจพบเพื่อลดความปลอดภัยของโครงการ 

สัญญาอัจฉริยะเป็นนวัตกรรมที่ค่อนข้างใหม่ มาตรฐานความปลอดภัยของพวกเขากำลังพัฒนาตามนั้น ซึ่งหมายความว่าไม่มีกฎทองใดที่จะรับประกันความปลอดภัยของสัญญาอัจฉริยะโดยรวม

ยิ่งไปกว่านั้น ไม่ใช่ว่าบริษัทตรวจสอบบัญชีแบบสมาร์ทคอนแทรคทุกแห่งจะเหมือนกัน และไม่ใช่การตรวจสอบทุกแห่งที่รับประกันความปลอดภัย ผู้ตรวจประเมินอาจมีระดับทักษะต่างกัน มีเป้าหมายต่างกัน และมีต้นทุนต่างกัน

ไม่ต้องพูดถึงความจริงที่ว่าตลาดเต็มไปด้วยนักพัฒนาที่ไม่ชัดเจนซึ่งปลอมแปลงการตรวจสอบและยังคงได้รับประโยชน์จากชื่อของบริษัทที่น่านับถือ นี่คือสิ่งที่เกิดขึ้นกับ Peckshield บริษัทรักษาความปลอดภัยและวิเคราะห์ข้อมูลบล็อคเชนเมื่อกว่าปีที่แล้ว

สถานการณ์เช่นนี้พบได้ทั่วไปในพื้นที่สกุลเงินดิจิทัล พวกเขาใช้ชื่อของผู้ตรวจสอบที่ถูกต้องและน่าเชื่อถือและใส่ลงในสมุดปกขาวโดยบอกว่าโปรโตคอลของพวกเขาได้รับการตรวจสอบแล้ว

วิธีเดียวที่จะหลีกเลี่ยงกรณีเช่นนี้คือการตรวจสอบการยืนยันจากช่องทางเดิมของผู้ตรวจสอบบัญชี หากไม่มีก็มีโอกาสที่ชื่อของผู้สอบบัญชีจะถูกขโมยไป 

ตรวจสอบพอร์ตโฟลิโอของลูกค้าเสมอเพื่อประเมินว่าผู้ตรวจสอบบัญชีมีความแข็งแกร่งและมีชื่อเสียงหรือไม่ Google จะทำกรณีต่างๆ เพื่อยืนยันบันทึกประสบการณ์ของพวกเขา และตรวจสอบว่าโครงการที่ได้รับการตรวจสอบใดๆ ประสบปัญหาการดึงพรมหรือการโจมตีอื่นๆ หรือไม่

ด้วยการแฮ็กและการเจาะข้อมูลมากมายในพื้นที่ crypto จึงไร้เดียงสาที่จะจินตนาการว่าโครงการ DeFi นั้นปลอดภัยโดยไม่ต้องพิจารณารายละเอียดเพิ่มเติม การตรวจสอบสัญญาอัจฉริยะมีชั้นความปลอดภัยที่สำคัญ 

อย่างไรก็ตาม แม้แต่ผู้ที่เป็นมืออาชีพที่สุดก็ไม่รับประกันว่าโครงการ DeFi จะปราศจากข้อบกพร่องอย่างแน่นอน สัญญาอัจฉริยะมีความซับซ้อน พวกเขาต้องการการวิเคราะห์ที่ละเอียดและครอบคลุม ความเชี่ยวชาญ เครื่องมือ และที่สำคัญที่สุดคือมีดวงตามากกว่าหนึ่งคู่