Солана Шашка 1
Сьогодні ми представляємо перевірку зниклого власника.
Це наш перший @solana чекер із серії Chain-Fox щодо аналізу смарт-контрактів та інструментів безпеки.
Давайте зануримося в 🧵
Що робить ця шашка?
Він виявляє, коли смарт-контракти Solana використовують облікові записи без підтвердження того, що вони належать очікуваній програмі.
Ця проста помилка може призвести до небезпечних вразливостей.
У чому проблема
Програми Solana покладаються на зовнішні облікові записи. Якщо в контракті не перевіряється, чи відповідає поле власника облікового запису запланованій програмі, зловмисник може надати підроблений обліковий запис, що належить іншій програмі.
Результатом може стати підвищення привілеїв, порушення логіки або крадіжка.
Чому це важливо
Обліковий запис може здаватися дійсним, але повністю контролюватися зловмисником.
Якщо перевірки права власності будуть пропущені, договір може:
• Схвалюйте фальшиві перекази токенів
• Прийняття шкідливих облікових записів конфігурації або авторитету
• Запис в небезпечні області пам'яті
Ці баги вже призвели до реальних експлойтів в екосистемі.
Як працює шашка
Цей засіб перевірки сканує програми Solana, щоб проаналізувати використання облікових записів у обробниках інструкцій.
Він відстежує:
• Де можна отримати доступ до облікових записів
• Чи перевірено account.owner==expected_program_id
• Контексти інструкцій з відсутніми валідаціями
Потім він позначає конкретні сайти використання облікових записів, де відсутні перевірки власників.
Вплив у реальному світі
Ми помітили, що відсутність перевірок власників є поширеною причиною експлойтів @solana контрактів.
У кількох гучних проєктах неперевірені облікові записи дозволяли зловмисникам обходити логічні шлюзи та маніпулювати станом програми.
Ця перевірка створена для виявлення та запобігання цьому.
Чому це важливо для розробників Solana
Незважаючи на те, що Solana пропонує продуктивність, вона має певні складнощі.
Безпека залежить від ретельної перевірки облікового запису.
Ця перевірка допомагає забезпечити дотримання критичного припущення, яке занадто часто залишається неперевіреним.
Це перша шашка Solana, якою ми ділимося. У нашій наступній публікації ми розповімо про ще один ключовий інструмент у наборі Chain-Fox для виявлення вразливостей, специфічних для Solana.
44
2,84 тис.
Вміст на цій сторінці надається третіми сторонами. Якщо не вказано інше, OKX не є автором цитованих статей і не претендує на авторські права на матеріали. Вміст надається виключно з інформаційною метою і не відображає поглядів OKX. Він не є схваленням жодних дій і не має розглядатися як інвестиційна порада або заохочення купувати чи продавати цифрові активи. Короткий виклад вмісту чи інша інформація, створена генеративним ШІ, можуть бути неточними або суперечливими. Прочитайте статтю за посиланням, щоб дізнатися більше. OKX не несе відповідальності за вміст, розміщений на сторонніх сайтах. Утримування цифрових активів, зокрема стейблкоїнів і NFT, пов’язане з високим ризиком, а вартість таких активів може сильно коливатися. Перш ніж торгувати цифровими активами або утримувати їх, ретельно оцініть свій фінансовий стан.