Duvarlarımızı Güçlendirmek: Certik Denetimi ile Sağlamlaştırılan V1 Güvenliği

Yazar: DeHub Team — 2021-07-04

V1 akıllı sözleşme güvenlik açığını takiben, 2021 'in üçüncü çeyreğinde Certik ile tam bir denetim yaptırdık ve bulduklarını ele aldık.

Denetimler bu sektörde pazarlama olarak kullanılır, bu yüzden bunu doğru bir şekilde yazmakta fayda var: ne için yaptık, neyi kapsadı ve neyi engellemedi.

Neden önce değil de sonra?

Rahatsız edici cevap, v1 'in bir tane olmadan gönderilmesidir. Topluluk, token'ın temelleri üzerinde oy kullanmıştı, lansman hareket ediyordu ve tam bir denetim, haftalarca süren bir takvim zamanı ve henüz listelenmemiş bir proje için anlamlı bir maliyettir.

Bu yanlış ticaretti ve kırılganlık bunu kanıtladı. O zamandan beri uyguladığımız her sözleşme, yürürlüğe girmeden önce denetlendi, sonra değil. Bu çeyrek nedeniyle var olan bir politikadır.

Denetimin gerçekte ne olduğu

Denetim, bir şeyleri bulmak için para alan ve sonuçta hiçbir çıkarı olmayan kişiler tarafından kodun yapılandırılmış, düşmanca bir okumasıdır. İyi bir bulgu, önem derecesine göre bir bulgu listesi, bir dizi önerilen değişiklik ve gerçekte hangilerini yaptığınızın bir kaydını oluşturur.

Bu son kısım, denetimlerin yanlış tanıtıldığı kısımdır. "Certik tarafından denetlendi" bir bulgu değildir — çözülmemiş kritiklere sahip bir rapor hala bir denetimdir. Yararlı iddia, bulguların çözüldüğü ve kararların doğrulandığıdır, burada yaptığımız şey budur ve o zamandan beri yayınladığımız versiyondur.

Bir denetim size ne kazandırmaz?

Sınırlar hakkında doğrudan olmak, çünkü daha sonra bazılarını zor yoldan öğrendik:

• Tasarımı değil kodu kapsar. Bir sözleşme kullanılabilir hatalardan arınmış olabilir ve yine de modellenmemiş koşullar altında kötü davranabilir.
• Bu bir anlık görüntüdür. Denetlenen versiyon için geçerlidir. Bundan sonraki herhangi bir değişiklik denetlenmeyene kadar denetlenmez.
• Kod olmayan parçaları göremez. O yılki en zarar verici olayımız hiç de teknik değildi; وكيل إدراج احتيالي ve mevcut hiçbir sözleşme denetimi bunu yakalamazdı.

En net örnek Q4 2022. V2 sözleşmesinin vergi tetikleyicileri gerçek piyasa koşullarında arızalandı ve hem tokeni hem de likidite havuzumuzu dondurdu. Bu bir tasarım sorunuydu, yamalanmamış bir hata değil ve bu yüzden nihayetinde plain standard ERC-20 tokenomics adresine taşındık ve aktarım yolunda hiçbir şey akıllıca değildi.

Ne sakladık

Denetim görevini yaptı. Tutucular bir otomatik 1:1 airdrop aracılığıyla bütünleştirildi, sertleştirilmiş sözleşme bir sonraki yıl boyunca DHB'yi taşıdı ve süreç standart hale geldi.

Burada öğrenilecek daha büyük ders, daha sonra öğrenilecek olandan daha ucuzdu: denetim güvenlik değildir. Güvenlik, nazik olmak için hiçbir nedeni olmayan biri bunu kanıtlamaya çalışana kadar sözleşmenizin yanlış olduğunu varsayma alışkanlığıdır.

Bunun hakkında nasıl konuşuyoruz

"Denetlenmiş" i kendi başına bir iddia olarak kullanmıyoruz ve bir projeyi değerlendiren herkesi, kelimeyi bir sorunun sonu yerine bir sorunun başlangıcı olarak ele almaya teşvik ediyoruz.

Yararlı sorular şunlardır: kim tarafından, hangi versiyona karşı denetlenir, ne bulurlar ve sonuç olarak gerçekte ne değişmiştir. Çözülmemiş kritik bulguları olan bir rapor hala bir denetimdir. O zamandan beri değiştirilen bir sözleşmeyle ilgili bir rapor, artık uygulanmayan bir şeyi açıklar.

Bu sorular, şeffaflık raporlarının ve nihayetinde dhbscan.com var olmasının nedenidir. Kimseye sormadan cevap verirler.