Bu makale serisi, OKX Web3 ve BlockSec tarafından ortaklaşa hazırlanan "Güvenlik Özel Sayısı 05" adlı yayından alınmış olup DeFi kullanıcılarının ve DeFi proje ekiplerinin karşılaştığı güvenlik endişelerini ele almaktadır.
S1 : DeFi projeleri ne tür risklerle karşılaşır ve bunlarla nasıl başa çıkabilirler?
BlockSec Güvenlik Ekibi : DeFi projeleri; kod güvenliği riskleri, operasyonel güvenlik riskleri ve dış bağımlılık riskleri dahil olmak üzere çeşitli risk türleriyle karşı karşıya kalmaktadır.
Her şeyden önce, kod güvenliği riskleri, DeFi projelerinin kod düzeyindeki potansiyel güvenlik açıklarını ifade eder. DeFi projeleri için akıllı sözleşmeler iş mantığının çekirdeğini oluşturur (ön uç ve arka uç işleme mantığı geleneksel yazılım geliştirmeye aittir ve nispeten olgunlaşmıştır); bu nedenle dikkatimizi ve tartışmamızı odaklandırdığımız alan burası olmaktadır:
- 1）İlk olarak, geliştirme perspektifinden bakıldığında, yeniden giriş açıklarını önlemek için kullanılan Checks-Effects-Interactions modeli gibi sektörde kabul görmüş akıllı sözleşme güvenli geliştirme uygulamalarına uymak gerekmektedir; ayrıca yaygın işlevler, tekerleği yeniden icat etmenin bilinmeyen risklerinden kaçınmak için güvenilir üçüncü taraf kütüphaneler kullanılarak uygulanmalıdır.
- 2）İkinci olarak, kapsamlı dahili testler zorunludur. Test, birçok sorunu keşfetmeye yardımcı olan yazılım geliştirmenin önemli bir parçasıdır. Ancak DeFi projeleri için yalnızca yerel test, sorunları ortaya çıkarmak için yeterli değildir; gerçek dağıtıma yakın bir ortamda daha ileri testler yapılması gerekmektedir.
- 3）Son olarak, testler tamamlandıktan sonra saygın üçüncü taraf denetim hizmetlerinden yararlanılmalıdır. Denetimler %100 sorunsuzluğu garanti edemese de sistematik denetimler, proje ekiplerinin yaygın güvenlik sorunlarını tespit etmesine büyük ölçüde yardımcı olabilir; bunlar genellikle geliştiricilerin farklı düşünme biçimleri nedeniyle aşina olmadığı veya ulaşmakta zorlandığı alanlardır. Elbette denetim şirketleri uzmanlık ve odak noktaları bakımından farklılık gösterdiğinden, bütçe elveriyorsa pratikte iki veya daha fazla denetim şirketinin dahil edilmesi önerilir.
İkinci olarak, operasyonel güvenlik riskleri, lansman sonrasında ortaya çıkar ve titiz geliştirme, test ve denetim süreçlerinden geçmiş olsa bile tespit edilmemiş potansiyel kod açıklarını; özel anahtar sızıntıları ve yanlış yapılandırılmış sistem parametreleri gibi dağıtım sonrası zorlukları kapsar. Bunlar ciddi sonuçlara ve önemli kayıplara yol açabilir. Bu riskleri azaltmak için önerilen stratejiler şunlardır:
- 1）Güvenilir donanım cüzdanları veya MPC tabanlı cüzdan çözümleri gibi sağlam bir özel anahtar yönetim sistemi oluşturun.
- 2）Ayrıcalıklı işlemleri ve projenin güvenlik durumunu tespit etmek için operasyonel durumu gerçek zamanlı olarak izleyin.
- 3）Riskler için otomatik bir yanıt mekanizması oluşturun; örneğin, bir saldırıyla karşılaşıldığında daha fazla kayıp yaşanmasını önlemek amacıyla otomatik olarak engelleme uygulayabilen BlockSec Phalcon kullanımı gibi.
- 4）Ayrıcalıklı işlemlerde tek nokta risklerinden kaçının; örneğin ayrıcalıklı işlemleri gerçekleştirmek için çoklu imza cüzdanı Safe{Wallet} kullanın.
Üçüncü olarak, dış bağımlılık riskleri, projenin dış bağımlılıklarının getirdiği riskleri ifade eder; örneğin diğer DeFi protokolleri tarafından sağlanan fiyat kahinlerine güvenmek, ancak kahinin sorun yaşaması durumunda yanlış fiyat hesaplamalarına yol açmak. Dış bağımlılık risklerini ele almak için öneriler şunlardır:
- 1）Sektörde tanınan üst düzey protokoller gibi güvenilir dış iş ortakları seçin.
- 2）Operasyonel durumu izleyin; operasyonel güvenlik risklerine benzer şekilde, ancak buradaki izleme hedefi dış bağımlılıklardır.
- 3）Riskler için otomatik bir yanıt mekanizması oluşturun; operasyonel güvenlik risklerine benzer şekilde, ancak yanıt yöntemleri farklı olabilir; örneğin tüm protokolü doğrudan duraklatmak yerine yedek bağımlılıklara geçmek gibi.
Ayrıca izleme kapasitesi oluşturmak isteyen proje tarafları için bazı izleme tavsiyeleri de sunuyoruz:
- 1）İzleme noktalarını doğru belirleyin: Protokolün hangi temel durumlarının (değişkenlerin) izlenmesi gerektiğini ve nerede izleneceğini belirlemek, izleme kapasitesi oluşturmanın ilk adımıdır. Ancak tüm izleme noktalarını kapsamlı biçimde ele almak zordur; özellikle saldırı izlemede, gerçek ortamda test edilmiş harici bir profesyonel üçüncü taraf saldırı tespit motoru kullanılması önerilir.
BlockSec Phalcon, kanıtlanmış bir sicile sahip dünyanın tek saldırı izleme ve engelleme platformudur. 20'den fazla beyaz şapkalı hacker kurtarma operasyonunda 20 milyon dolardan fazla değerde varlık kurtarmıştır. Daha fazla bilgi için 👇
- 2）İzlemenin hassasiyetini ve zamanındalığını sağlayın: İzlemenin hassasiyeti, minimum düzeyde yanlış pozitif (FP) ve yanlış negatif (FN) sonuç üretmek anlamına gelir. Doğruluğu yetersiz bir izleme sistemi özünde kullanılamaz; zamanındalık ise yanıtın ön koşuludur (örneğin, şüpheli bir sözleşme dağıtılmadan önce veya bir saldırı işlemi zincire eklenmeden önce tespit edilip edilemeyeceği); aksi takdirde yalnızca olay sonrası analiz için kullanılabilir; bu da izleme sisteminden yüksek performans ve kararlılık gerektirmektedir.
- 3）Otomatik yanıt kapasitesi gereklidir: Doğru ve gerçek zamanlı izlemeye dayalı olarak; protokolü duraklatma ve saldırıları engelleme gibi işlemleri kapsayan otomatik bir yanıt oluşturulabilir. Burada, proje tarafının ihtiyaçlarına göre yanıt stratejilerinin esnek biçimde özelleştirilmesini desteklemek ve bunları otomatik olarak tetiklemek için özelleştirilebilir ve güvenilir bir otomatik yanıt çerçevesine ihtiyaç duyulmaktadır.
Genel olarak, izleme kapasitesinin oluşturulması profesyonel harici güvenlik satıcılarının katılımını gerektirmektedir.
OKX Web3 Cüzdan Güvenlik Ekibi : DeFi proje ekipleri çeşitli risklerle karşı karşıya kalmakta olup bunlar ağırlıklı olarak şu kategorileri içermektedir:
- 1）Teknik riskler: Ağırlıklı olarak akıllı sözleşme açıklarını ve siber saldırıları kapsar. Koruma önlemleri arasında güvenli geliştirme uygulamalarının benimsenmesi, kapsamlı akıllı sözleşme denetimi için profesyonel üçüncü taraf denetim şirketlerinin tutulması, beyaz şapkalı hackerları açık bulmaya teşvik etmek için hata ödül programlarının kurulması ve fonların güvenliğini artırmak için varlıkların izole edilmesi yer almaktadır.
- 2）Piyasa riskleri: Ağırlıklı olarak fiyat dalgalanmalarını, likidite risklerini, piyasa manipülasyonunu ve birleştirilebilirlik risklerini kapsar. Koruma önlemleri arasında fiyat dalgalanmalarına karşı korunmak için stabilcoinler ve risk riskten korunma araçları kullanmak; likidite risklerini gidermek için likidite madenciliği ve dinamik ücret mekanizmalarından yararlanmak; piyasa manipülasyonunu önlemek için DeFi protokollerinin desteklediği varlık türlerini titizlikle incelemek ve merkezi olmayan kahinler kullanmak; rekabet risklerini ele almak için ise protokol işlevlerini sürekli olarak yenilemek ve optimize etmek yer almaktadır.
- 3）Operasyonel riskler: Ağırlıklı olarak insan hatası ve yönetişim mekanizması risklerini kapsar. Koruma önlemleri arasında insan hatalarını azaltmak için katı iç kontroller ve operasyonel süreçler oluşturmak; operasyonel verimliliği artırmak için otomatik araçlar kullanmak; oy gecikmeleri ve çoklu imza mekanizmaları gibi önlemleri devreye alarak merkeziyetsizlik ile güvenliği dengeleyen sağlam yönetişim mekanizmaları tasarlamak yer almaktadır. Ayrıca yayında olan projeleri izleyin ve acil durum planlarını hazır bulundurun; böylece anormallik durumunda derhal harekete geçip kayıpları en aza indirebilirsiniz.
- 4）Düzenleyici riskler: Ağırlıklı olarak yasal uyumluluk gerekliliklerini ve Kara Para Aklamayla Mücadele (AML) / Müşterini Tanı (KYC) yükümlülüklerini kapsar. Koruma önlemleri arasında projenin yasal ve düzenleyici gerekliliklere uygunluğunu sağlamak için hukuk danışmanları tutmak, şeffaf uyumluluk politikaları oluşturmak ve kullanıcılarla düzenleyici otoriteler nezdinde güveni artırmak için AML ve KYC önlemlerini aktif biçimde uygulamak yer almaktadır.
S2 : DeFi projeleri saygın bir denetim şirketini nasıl değerlendirmeli ve seçmelidir?
BlockSec Güvenlik Ekibi : Referans olarak bazı basit standartlar şunlardır:
- 1）Tanınmış projeleri denetleyip denetlemedikleri: Bu durum, denetim şirketinin söz konusu tanınmış projeler tarafından kabul gördüğünü gösterir.
- 2）Denetlenen projelerin saldırıya uğrayıp uğramadığı: Teorik olarak bir denetim %100 güvenliği garanti edemese de pratik deneyimler, saygın denetim şirketleri tarafından denetlenen projelerin büyük çoğunluğunun saldırıya uğramadığını göstermektedir.
- 3）Geçmiş raporlar aracılığıyla denetim kalitesinin değerlendirilmesi: Denetim raporu, denetim şirketinin profesyonelliğinin önemli bir göstergesidir; özellikle aynı denetim projesi ve aynı denetim kapsamı karşılaştırılabildiğinde bu daha da belirginleşir. Bulunan güvenlik açıklarının kalitesine (ciddiyetine) ve miktarına, ayrıca bulguların genellikle proje tarafı tarafından kabul edilip edilmediğine odaklanılmalıdır.
- 4）Profesyonel personel: Denetim şirketi personelinin yapısı; eğitim ve mesleki geçmişleri, sistematik eğitimleri ve sektördeki deneyimleri, denetim kalitesinin güvence altına alınmasında büyük ölçüde yardımcı olmaktadır.
