Вразливість контракту цифрових колекцій призвела до постійної блокування 34 мільйонів доларів США, підкреслюючи важливість безпекового аудиту.

Нещодавно одна безпекова компанія виявила два серйозні вразливості в контракті цифрових колекцій. Ці вразливості можуть призвести до того, що активи користувачів будуть заблоковані або кошти вечірки проєкту не зможуть бути вилучені.

Перший вразливість існує у функції обробки повернень. Ця функція використовує циклічний метод для повернення коштів всім користувачам, але якщо певний користувач є зловмисним контрактом, він може відмовитися приймати повернення і перервати транзакцію, що призведе до невдачі операцій повернення всіх користувачів. На щастя, ця вразливість не була фактично використана.

Щоб уникнути подібних проблем, рекомендується вечірці проєкту вжити такі заходи безпеки:

1. Обмеження: тільки облікові записи особистих користувачів можуть брати участь у вечірці проєкту.
2. Використовуйте токени ERC20, а не рідні активи
3. Розробити механізм активного запиту на повернення коштів користувачами, а не масове повернення.

!

Другий вразливий момент викликаний логічною помилкою в коді. У функції вилучення коштів проєкту є оператор умовного порівняння, але об'єкт для порівняння неправильний. Це призводить до того, що умова ніколи не може бути виконана, і вечірка проєкту не може вилучити активи з контракту. Наразі понад 34 мільйони доларів активів назавжди заблоковані в цьому контракті.

!

Ці питання ще раз підкреслюють, що навіть у відомих проєктах можуть виникати грубі помилки. В процесі розробки достатнє тестування та базова обізнаність у безпеці є надзвичайно важливими. Хоча в галузі децентралізованих фінансів безпековий аудит став звичним, у проєктах цифрових колекцій безпекового аудиту все ще бракує. Це недбалість безпосередньо призвела до величезних фінансових втрат.

Ця подія нагадує нам, що незалежно від масштабу проєкту, слід приділяти увагу безпеці коду, проводити всебічне тестування та аудит, щоб запобігти повторенню подібних суттєвих втрат.

!