Rustle를 출시하게 되어 매우 기쁩니다: BlockSec이 NEAR 커뮤니티를 위해 제공하는 최초의 자동 감사 도구입니다.
Rustle에는 여러 가지 훌륭한 기능이 있습니다:
- Rustle은 현재 NEAR 컨트랙트에서 20가지 이상의 문제 유형을 탐지할 수 있습니다. 전체 탐지기 목록은 탐지기 섹션을 참조하세요.
- Rustle은 사용하기 쉽습니다. 철저한 설치 명령어와 튜토리얼을 제공합니다. 또한 빠른 시작을 위한 도커도 준비했습니다.
- Rustle은 매우 빠르며, 대부분의 NEAR 컨트랙트를 3분 이내에 분석할 수 있습니다.
- Rustle은 CSV 및 JSON 형식의 보고서를 제공하여 사용자 친화적입니다. 또한 결과를 Notion으로 가져오는 데 도움이 되는 스크립트도 제공합니다.
탐지기
Rustle이 탐지할 수 있는 모든 취약점입니다. 자세한 문서는 여기에서 확인할 수 있습니다.
| 탐지기 ID | 설명 | 심각도 |
|---|---|---|
| unhandled-promise | 처리되지 않은 Promise 탐지 | 높음 |
| non-private-callback | 콜백 함수에 #[private] 매크로 누락 | 높음 |
| reentrancy | 재진입 공격에 취약한 함수 탐지 | 높음 |
| unsafe-math | 산술 연산에 대한 오버플로우 검사 부재 | 높음 |
| self-transfer | 송신자 != 수신자 검사 누락 | 높음 |
| incorrect-json-type | 매개변수 또는 반환 값에 잘못된 타입 사용 | 높음 |
| div-before-mul | 잘못된 연산 순서로 인한 정밀도 손실 | 중간 |
| round | 올림 또는 내림을 지정하지 않은 반올림 | 중간 |
| lock-callback | 콜백 함수의 패닉으로 인해 컨트랙트가 잠길 수 있음 | 중간 |
| yocto-attach | 권한 있는 함수에 assert_one_yocto 없음 | 중간 |
| prepaid-gas | ft_transfer_call에서 선불 가스 검사 누락 | 낮음 |
| non-callback-private | 비콜백 함수에 #[private] 매크로 사용 | 낮음 |
| unused-ret | 함수 결과가 사용되거나 확인되지 않음 | 낮음 |
| upgrade-func | 컨트랙트에 업그레이드 함수 없음 | 낮음 |
| tautology | 조건 분기에 항진 명제 사용 | 낮음 |
| inconsistency | 유사하지만 약간 다른 기호 사용 | 낮음 |
| timestamp | 타임스탬프의 모든 사용 탐지 | 정보 |
| complex-loop | DoS를 유발할 수 있는 복잡한 로직을 가진 모든 루프 탐지 | 정보 |
| ext-call | 모든 크로스 컨트랙트 호출 탐지 | 정보 |
| promise-result | promise 결과의 모든 사용 탐지 | 정보 |
| transfer | 모든 전송 액션 탐지 | 정보 |
사용 방법
Rustle을 활용하여 인기 있는 NEAR 컨트랙트(예: LiNEAR)를 분석합니다. 명령어는 Ubuntu 20.04 LTS에서 테스트되었습니다.
-
GitHub 페이지의 설치 매뉴얼을 따르세요. 도커를 사용하려면 이 단계를 건너뛰고 도커 매뉴얼로 이동하세요.
-
Rustle이 분석할 NEAR 컨트랙트를 준비합니다.
git clone https://github.com/linear-protocol/LiNEAR.git ~/near-repo/LiNEAR -
./rustle을 실행하여 분석을 시작합니다../rustle -t ~/near-repo/LiNEAR ~/near-repo/LiNEAR/contracts/linear
audit-result/summary.csv에서 보고서를 확인합니다.
- 사용할 탐지기 또는 심각도 그룹을 지정할 수 있습니다.
./rustle -h 자세한 내용은 여기를 참조하세요.
예시:
./rustle -t ~/near-repo/LiNEAR ~/near-repo/LiNEAR/contracts/linear -d high,medium,complex-loop
한 가지 더
Rustle은 개발 과정에서 NEAR 스마트 컨트랙트를 반복적으로 스캔하는 데 사용할 수 있습니다. 이를 통해 많은 수동 작업을 절약하고 잠재적인 문제의 일부를 완화할 수 있습니다. 그러나 복잡한 로직이나 의미론과 관련된 취약점은 여전히 Rustle의 한계입니다. 복잡한 의미론적 문제를 찾아내려면 BlockSec의 전문가들이 철저하고 꼼꼼한 검토를 수행해야 합니다. 감사 서비스를 위해 문의하세요.
BlockSec 소개
BlockSec은 세계적으로 著名한 보안 전문가 그룹이 2021년에 설립한 선구적인 블록체인 보안 회사입니다. 이 회사는 대규모 도입을 촉진하기 위해 새롭게 부상하는 Web3 세계의 보안과 사용성을 향상시키는 데 전념하고 있습니다. 이를 위해 BlockSec은 스마트 컨트랙트 및 EVM 체인 보안 감사 서비스, 보안 개발 및 위협 사전 차단을 위한 Phalcon 플랫폼, 자금 추적 및 조사를 위한 MetaSleuth 플랫폼, 그리고 크립토 세계에서 Web3 빌더들이 효율적으로 탐색할 수 있는 MetaSuites 확장 프로그램을 제공합니다.
현재까지 MetaMask, Uniswap Foundation, Compound, Forta, PancakeSwap 등 300개 이상의 저명한 고객사에 서비스를 제공했으며, Matrix Partners, Vitalbridge Capital, Fenbushi Capital을 포함한 저명한 투자자들로부터 두 차례의 투자 라운드에서 수천만 달러를 유치했습니다.
공식 웹사이트: https://blocksec.com/
공식 트위터 계정: https://twitter.com/BlockSecTeam
