DeFi 安全性駭客：主要類型及預防技術

DeFi（去中心化金融）是指利用區塊鏈技術，從傳統金融體系中移除傳統中介機構。不可否認，DeFi大大提升了金融的可近性。然而， DeFi安全漏洞和攻擊的風險也引發了許多擔憂。令人驚訝的是， 2023年第二季度， DeFi駭客攻擊和詐騙造成的損失總額超過204億美元。因此，我們必須認識到，去中心化金融並非新興科技領域的偶然趨勢，而是未來金融生態系統的全新定義。

了解 DeFi 黑客技術的重要性

近年來，由於駭客攻擊的頻率和規模不斷上升，DeFi 招致了相當多的批評。對 DeFi 漏洞的擔憂日益加劇，這可能會嚴重阻礙用戶採用 DeFi 協議。不同的報告顯示，過去幾年 DeFi 攻擊對產業造成的損失持續上升。

另一個值得關注的問題是 DeFi 市場 TVL（總鎖定價值）的下降。穩定幣價值的暴跌是 TVL 點數下降的主要原因。 DeFi TVL 下降的另一個原因是 DeFi 協議和代幣的漏洞造成的財務損失。因此，DeFi 攻擊可能會導致人們對去中心化金融作為傳統或中心化金融替代方案的可行性失去信心。因此，深入了解不同類型的 DeFi 駭客攻擊及其預防技術變得至關重要。 

DeFi 安全駭客的類型及其預防

現在，讓我們深入了解不同類型的DeFi 安全攻擊和欺詐，以及如何正確地預防它們。

黑客

1. 智能合約漏洞

智能合約的漏洞使得惡意行為者能夠利用這些漏洞來竊取資金。智能合約中最常見的漏洞包括反彈攻擊、邏輯缺陷以及未經審核的用戶輸入。例如，我們可以回顧一下2016年的DAO駭客事件，這是最早也是最引人注目的DeFi攻擊之一。 DAO的智能合約中存在一個漏洞，使得惡意用戶能夠從該平台竊取約3.6萬以太幣（ETH）。因此，聘請專業的智能合約安全審計服務對於檢查智能合約中的缺陷大有裨益。

預防方法

在智慧合約開發中，利用成熟的設計模式並遵循最佳編碼實踐，可以輕鬆降低漏洞風險。以太坊最常見的智慧合約程式語言是 Solidity，它為程式設計師提供了詳細的指導方針和適當的建議，以確保編碼的完全安全。

• 徹底檢查程式碼

建議在部署之前，請經驗豐富的智能合約審計公司對程式碼進行徹底審查，以便識別智能合約中所有潛在的漏洞，從而確保更好的安全性。

• 進行安全審計

對智能合約進行安全審計是理想的做法，這樣可以輕鬆發現智能合約中的任何漏洞，並據此提出改進建議。

• 廣泛的測試

必須進行廣泛的測試，包括一系列單元測試、整合測試以及壓力測試，以確保智慧合約能夠相應地執行，以安全的方式適當地處理不同類型的場景。

• 利用形式化驗證

考慮使用不同的形式驗證工具，例如 Slither、Mythril 或 Truffle 工具套件，以分析智慧合約程式碼，從而正確識別潛在的漏洞。

• 小心所有外部調用

謹慎使用外部呼叫至關重要，在與任何外部合約互動時務必格外謹慎。建議您注意調用任何不受信任或未知合約的所有潛在風險。

a). 重入攻擊

重入攻擊是指DeFi 安全漏洞，它可以透過惡意合約遞歸呼叫原始函數，然後呼叫提取函數，從而從智慧合約資金中轉移資金。

預防方法

可以透過以下方式防止重入攻擊。

• 採用「檢查-效果-互動」模式

您需要遵循 Solidity 和以太坊開發最佳實踐中建議的「檢查-效果-互動」模式。這意味著您需要在與任何外部合約互動之前執行所有計算和檢查。 

• 實施退出模式

理想情況下，採用單獨的功能從合約中提取資金，並確保只有所有者或任何授權方才能發起提取。 

• 明智地使用“轉帳”和“發送”功能

在轉帳至任何外部地址或合約時，盡可能使用「轉帳」或「傳送」函數，而不是「呼叫」。使用這些函數可以限制轉發到外部合約的 Gas 數量，從而在降低重入風險方面發揮重要作用。

• 使用最新版本的 Solidity

始終使用最新版本的 Solidity 來更新智能合約。較新版本通常會改善安全功能並進行最佳化。

• 檢查已知漏洞

利用靜態分析器、自動安全掃描器等各種工具來檢查智能合約中是否有已知漏洞。此外，Slither 和 MythX 等工具可以幫助識別潛在問題。

• 重入防護

確保在程式碼的各個關鍵點實現可重入保護，以防止對外部合約的遞歸呼叫。這些保護有助於在函數執行過程中限制進一步的交互作用。

• 限制“外部”函數的使用

確保限制「external」可見性修飾符的使用，尤其是對於與其他合約互動的函數。對於無法從外部存取的函數，可以使用“private”或“internal”。

• 避免「回退」函數中的複雜邏輯

理想情況下，「fallback」函數應該保持極簡，避免複雜的邏輯或外部呼叫。建議使用專門的函數來處理傳入的以太幣轉帳。

• 定期進行安全審計

尋求專業智能合約審計公司的協助，並定期進行安全審計，以查找任何地址漏洞。

• 安全標準

在製定 DeFi 協議或代幣時，請務必遵守 ERC-20、ERC-721 或任何其他相關標準等安全標準，因為它們通常包含建議的安全實踐。

b). 預言機操縱攻擊

操縱預言機是另一種DeFi安全防護技術。 DeFi協議（例如資產價格）依賴預言機來取得外部資料。駭客往往會篡改預言機，使其提供虛假數據，從而導致智能合約執行錯誤。

預防方法

以下是一些可以防止操縱預言的方法。

• 只使用可信的預言機

建議僅選擇值得信賴且信譽良好、可靠性和安全性經過驗證的預言機提供者。 Witnet、Band Protocol 和 Chainlink 是一些常見的預言機提供者。

• 實施去中心化預言機

去中心化預言機網路的實作確保了來自多個來源的資料聚合，並依賴驗證者或節點網路來提供資料。因此，它們不易受到任何一方的篡改。

• 聚合來自多個來源的數據

需要實現從多個來源聚合數據，以降低數據被篡改的風險。這反過來又使駭客更難以篡改數據，因為這些數據是從多個來源聚合而來的。 

• 檢查資料品質和安全性

在智慧合約中實施資料品質檢查，以驗證傳入資料的準確性和可靠性，已被證明可有效防止資料操縱。任何不一致或可疑的數據都應立即被拒絕。

• 延遲數據和平均

在依賴任何外部資料之前，引入時間延遲是合適的，以便進行驗證並收集多個資料點。將一定時間跨度內來自多個來源的資料進行平均，可以輕鬆降低異常資料點的影響。

• 利用去中心化治理

建議利用去中心化的治理機制來確定資料來源和預言機的調整，從而防止像中心化機制那樣的資料被竄改。 

• 追蹤 Oracle 的活動

建議持續追蹤預言機的活動，包括資料來源和資料流，以發現任何異常行為或偏差。理想情況下，在偵測到異常活動時設定警報。

• 標記 Oracle 數據

透過建立代表特定數據點的令牌來標記預言機數據，允許用戶驗證和交易數據，從而增加額外的透明度和安全性。

2. 網路釣魚和社會工程

網路釣魚和社會工程是駭客攻擊DeFi的另一種常用手段。駭客利用釣魚網站、惡意連結和身分冒用等手段，誘騙用戶將資金轉移到虛假地址或洩漏私鑰。

預防方法

防止網路釣魚和社會工程的一些方法如下： 

• 驗證網站的 URL

請務必仔細檢查您造訪的網站和平台的網址。您需要注意，一些釣魚網站的網址通常與合法網址非常相似，但略有不同或拼寫錯誤。因此，您需要確保只訪問正確的網站。

• 使用瀏覽器擴展

使用瀏覽器擴充功能或外掛程式可以幫助識別和阻止已知的釣魚網站。 MetaMask 內建的釣魚偵測器和以太坊的 EtherAddressLookup 是一些常用的擴充功能。

• 注意未經請求的通信

切勿點擊任何未經請求的訊息、電子郵件甚至社交媒體貼文中的連結或下載任何附件。這些郵件可能看似來自可靠來源，但您需要注意，這可能是網路釣魚攻擊。

• 驗證社群媒體資料

在任何社交媒體平台上與 DeFi 項目或個人互動之前，必須驗證其個人資料的真實性。詐騙者往往會創建虛假個人資料來冒充合法項目或網紅。

• 全面啟用 2FA

在所有線上帳戶（尤其是與 DeFi 相關的帳戶）上啟用雙重認證 (2FA) 可增加額外的安全層，使駭客更難以存取。

• 自我教育並保持知情

我們始終建議您學習並了解駭客使用的最新網路釣魚技術和社會工程策略，以便您隨時做好準備並提前識別它們。

• 依靠可靠的資訊來源

您應該只依賴可靠的來源來獲取 DeFi 專案和更新資訊。請務必僅信任官方網站、官方社群媒體帳號和信譽良好的新聞來源。

• 仔細檢查訊息和請求

每當您收到任何要求您提供敏感資訊的訊息或請求時，您需要在提出任何回應之前仔細檢查其真實性。

• 驗證智能合約地址

在與 DeFi 專案互動之前，請聘請經驗豐富的智慧合約審計公司來驗證該專案的智慧合約地址。

3. 搶先交易

搶先交易是指駭客利用交易執行的延遲，將自己的交易置於其他用戶的交易之前，從價格差異中獲利。

預防方法

以下是一些可以防止或減輕去中心化金融中搶先交易行為的有效策略。

• 利用去中心化交易所或DEX進行訂單匹配

利用執行訂單配對機制的 DEX，例如 Uniswap 等自動做市商或 SushiSwap 等去中心化訂單簿交易所，與在中心化交易所手動下單相比，可以輕鬆減少搶先交易的機會。

• 避免容易預測的交易策略

領先者通常會瞄準那些容易預測的交易策略。因此，理想情況下，應避免同時進行大額交易，或使用容易識別的模式，從而降低交易的可預測性。

• 使用限價單

建議使用限價單而非市價單。市價單會以當前市場價格立即執行，而限價單則允許用戶指定願意買入或賣出的價格，從而顯著降低搶先交易和滑點的風險。

• 利用保護隱私的技術

重點應放在使用能夠保護隱私並隱藏用戶交易意圖的 DeFi 解決方案。利用零知識證明等技術，在交易執行完成前隱藏交易細節，從而保護訂單免於駭客攻擊。

• 第 2 層解決方案

有一些 Layer 2 擴充解決方案，例如 zk-Rollups，可以提供高度安全且私密的交易環境。這反過來又降低了以太坊主網遭受搶先交易攻擊的風險。

• 延遲交易

另一種防止DeFi駭客攻擊搶先交易的技術是延遲交易執行幾個區塊，從而降低駭客的獲利空間。一些錢包和DeFi平台允許用戶設定自訂交易延遲。

• 了解天然氣價格

交易中使用的 Gas Price 應格外謹慎。需要注意的是，高 Gas Price 可能會吸引駭客，因為他們可能認為這筆交易會左右市場走勢。

• 僅使用值得信賴的工具 

始終建議僅使用具有嚴格安全功能或實踐的知名 DeFi 平台、錢包和工具，以適當緩解搶先交易。

• 多步驟交易

防止搶先交易的另一種方法是使用多步驟交易。它可以將複雜的交易分解成幾個步驟，使駭客難以預測用戶的意圖。  

4. 閃電貸攻擊

閃電貸是指無需任何抵押品，通常只需一次交易即可藉入和償還的貸款。 DeFi閃電貸攻擊是指駭客利用閃電貸操縱價格或利用 DeFi 協議中存在的漏洞。例如，我們可以考慮 bZx。 bZx 是一個DeFi 借貸平台，在 2020 年 2 月遭受了多次閃電貸攻擊，造成了巨額損失。

預防方法

防止DeFi 加密貨幣閃電貸攻擊需要以下步驟。

• 確保使用可信任的 DeFi 平台

選擇一個值得信賴、信譽良好且可靠的DeFi平台進行借貸和交易，對於消除DeFi平台的漏洞至關重要。這是因為這些平台擁有更完善的安全措施，並配備了嚴格的安全機制來抵禦DeFi閃電貸攻擊。

• 監控安全審計

請務必確認 DeFi 專案是否已由專業服務提供者進行智慧合約審計。審計報告能夠詳細揭露潛在的安全漏洞以及現有的安全措施。

• 實施斷路器

DeFi 協議中可以實現熔斷機制，允許協議在檢測到任何可疑活動或異常市場狀況時停止交易或提現。例如，MakerDAO 系統附帶一個治理安全模組 (GSM)，它就扮演了熔斷機制的角色。

• 限制閃電貸的訪問 

頂級的智能合約審計公司始終會採取嚴格措施，透過限制DeFi協議中的某些功能或合約來限制對閃電貸的存取。這反過來可以降低潛在的駭客攻擊風險。

• 利用具有安全保障的預言機

DeFi 專案通常依賴預言機來獲取外部資料。因此，最好使用具備適當機制的預言機，以防止任何形式的駭客攻擊或操縱。為了防止資料錯誤，一些預言機實施了安全措施。 

• 使用多重簽名的錢包

使用具有多重簽名的錢包來管理大量 DeFi 資產或加密貨幣，使得單一人利用閃電貸變得更加困難，因為批准任何交易都需要多重簽名。 

• 逐步更改程式碼

專業的智能合約安全審計服務提供者會確保以極為謹慎的態度逐步實施重大程式碼變更。這樣一來，測試人員就有充足的時間審查程式碼並徹底測試變更，有助於提前發現所有潛在的安全漏洞…

• 限制交易規模

限制所有交易或活動的規模可以輕鬆降低任何閃電貸攻擊的整體影響。

• 留意任何異常活動

密切注意所有 DeFi 帳戶，發現任何異常或意外交易至關重要。越早發現，就越容易減少損失。 

• 保持知情是關鍵

隨時了解 DeFi 領域的最新動態是防範攻擊的關鍵。建議始終做好策略準備，並根據不斷變化的情況靈活實施。 

• 多元化控股

專家始終建議在不同平台和資產之間實現持股多元化，以減少單次攻擊對整個投資組合的影響。 

5.私鑰洩露

私鑰外洩可能會造成災難性的後果。這是因為個人在私鑰的幫助下控制其加密資產並與 DeFi 協議進行互動。如果任何駭客獲得了用戶的私鑰，他們就能夠控制並竊取資產。

預防方法

以下是如何預防和應對 DeFi 中的私鑰洩漏。

• 利用硬體錢包

Trezor、Ledger 等硬體錢包是用於儲存私鑰的離線設備，任何交易都需要實體確認。

• 選擇安全的錢包軟體

確保選擇具有強大安全功能（包括加密和多因素身份驗證 (MFA)）的高度可信、可靠且經過良好評價的錢包軟體應用程序，以確保增強的安全性。 

• 啟用雙重認證 (2FA)

盡可能為錢包帳戶啟用雙重身分驗證 (2FA) 是理想之選。這樣一來，存取錢包時，只需從任何輔助設備或應用程式輸入一次性驗證碼，即可提供額外的安全保障。

• 安全密碼實踐 

務必始終為錢包帳戶選擇強大且獨特的密碼。您也可以考慮使用密碼管理器，以便安全可靠地產生和儲存複雜的密碼。

• 警惕網路釣魚 

您需要警惕各種網路釣魚攻擊。務必驗證網站的網址，切勿點擊任何可疑連結。切勿與任何人分享私鑰或恢復短語。無論您造訪哪個網站，都要反覆核實其真實性。

• 維持私鑰離線

如果您不積極交易或使用您的資產，請將私鑰離線儲存在極其安全的位置，例如紙錢包或硬體錢包，尤其是在您不積極交易時，以減少線上攻擊的風險。

• 安全備份復原短語 

建議在多個離線位置安全備份復原短語，而不是選擇數位儲存。

• 使用 MPC 錢包

使用 MPC 錢包，多方可以共同計算輸入函數，同時確保輸入完全保密。這些錢包提供私鑰安全保護，防止未經授權的交易，抵禦網路釣魚攻擊，並減少單點故障，從而輕鬆增強 DeFi 協定的安全性。

詐騙

地毯拉扯和退出騙局

擁有匿名開發者的 DeFi 項目可能會進行“地毯式拉動”，即創建一個項目，吸引資金，然後突然關閉或捲款退出。 

預防方法

以下討論一些防止詐欺和退出騙局的主要方法。

• 進行盡職調查

在投資任何 DeFi 專案之前，始終建議對其背後的團隊進行徹底的研究。務必檢查團隊的背景、信譽和經驗。

• 檢查社區聲譽

DeFi 計畫社群的聲譽至關重要。理想情況下，加入社群的所有溝通管道，並與成員互動，收集所有必要的資訊。避免選擇缺乏活躍社群或溝通有限的 DeFi 專案。

• 審計報告

聘請專業服務提供者進行智慧合約安全審計。智慧合約審計可以確保程式碼已充分審查，不存在安全漏洞。但要注意的是，審計報告並不能保證完全消除「跑路」風險。

• 驗證智能合約

智慧合約的程式碼需要在 GitHub 等公共儲存庫上進行審查，並檢查是否有任何潛在的違規行為或漏洞。

• 合約所有權

需要檢查合約所有權和控制機制，以確保開發人員不會對其擁有進一步的控制。

• 只選擇值得信賴的平台

確保只選擇成熟且值得信賴的 DeFi 平台進行借貸、交易和收益耕作，因為它們在透明度和安全性方面更安全。

• 驗證代幣地址

每位用戶在投資或交易代幣前務必仔細檢查其地址，因為駭客可能會創建名稱相似的代幣來欺騙用戶。

• 避免匿名項目

謹慎選擇 DeFi 項目，避免選擇匿名開發者的項目。誠然，所有匿名項目都是騙局，但一旦出現問題，追究任何個人責任都會變得非常困難。 

• 不要成為高回報和模糊承諾的受害者

在選擇 DeFi 專案時，您需要謹慎，並注意那些承諾以極小或無風險的方式提供異常高回報的專案。

• 多元化投資

預防 DeFi 駭客攻擊的關鍵之一是分散投資，因為它可以減輕駭客攻擊對整體投資組合的影響。

• 設定投資限額

對 DeFi 專案的資本投資額度設定限制是一個非常好的主意，這有助於防止在出現問題時造成巨額損失。

關閉的思考

閱讀這篇文章，您可以深入了解不同類型的DeFi 安全攻擊以及如何正確應對這些攻擊以保護自身安全。然而，DeFi 專案還可能面臨其他類型的安全威脅。使用者應始終牢記，DeFi 領域瞬息萬變，因此安全性始終是需要關注的問題。為了確保自身安全，使用者應隨時保持謹慎，並密切關注 DeFi 領域的最新動態。