mt logoMyToken
总市值:
0%
恐慌指数:
0%
币种:--
平台 --
ETH Gas:--
EN
USD
APP
Ap Store QR Code

Scan Download

Hegic出事,Trail of Bits该背锅吗?来看看Hegic代码评审报告

收藏
分享

撰文:MyCrypto

翻译:Perry Wang

来源:链闻

对那些懒得打开 PDF 文档的读者,这里给大家概括一下「审计报告」。

对那些根本一点不懂的小白来说:

  1. 这是一份审计报告的摘要
  2. 摘要中有投资预警
  3. 阅读审计报告你需要字斟句酌。读这份摘要就清算多了。

第一部分:事实陈述

  • 何时审计,用时多少天
  • 具体审计了什么
  • 由谁进行了审计
就算是小白都知道这种规模的合同,一个工程师用时两天进行审计,不会让我买账。16 个小时就想搞懂所有代码、找到 bug,找到攻击方法,然后完事交差?

1.1 一位熟悉系统底层架构和理念的专家面对总量很小、非常简单、语言非常漂亮的代码库,也许能做到这一点(Hegic 的情况可不是这样)。

此外,他们没有时间考虑代码的经济影响。

1.2 只进行了小型审计,可能是由于 Hegic 财力所限,我对此表示赞赏。但是,审计的目的是要避免发生坏事,不要将审计作为一种促销手段,出了问题不能说「不是我们的错,只能怪安全审计机构 @trailofbits!」

1.3 要改善审计的投资回报率,更简单的方式是让审计人员的工作变得更简单

  • 代码干净 + 恰当的论述
  • 使用所有免费工具来发现基本问题,以便专家可以专注于复杂的问题
  • 请他人帮忙查看代码,提出问题
  • 提供文件,提供摘要+重点 / 关注领域

第二部分:看看他们在寻找什么问题+找到了什么问题(摘要版)

值得注意的提示:

  • 有三个领域,也被称为「糟糕情况可能出现吗?」
  • 三个领域的答案都是「是 Yes」,程度级别不同而已。
  • 另外他们认为这些风险与算法有关

(审计报告图片中译)

  • 从资金池窃取财产
  • 以低于预期的行权价创建期权合约
  • 免费创建期权合约 我们发现多数问题与算法有关,包括
  • 如果资金池代币的供应量低于资产供应量,攻击者可以吸干资金
  • 如果 ETH 价格低于 1 美元,期权合同行权价可以为 0
  • 当流动性增加,资金池恶意参数可以允许 0 铸币
有多个问题可能导致恶意合约所有者伤害 Hegic 用户,包括:
  • 通过费用收取来窃取期权资产

2.1 稍后将详细介绍算法方面,但接下来看看(加密行业教育家、顾问、DeFi 观察者)@ChrisBlec 所谓的「管理员漏洞」,比特币至上主义者会以此为例证发表所谓中心化目前优于 DeFi 的胡言乱语。

他们说的都没有错。你可能不喜欢这个事实,但只能接受它。

(审计报告图文中译)有多个问题可能导致恶意合约所有者伤害 Hegic 用户,包括:

  • 通过费用收取来窃取期权资产
  • 将资金困在期权合约中,阻止流动性提供者撤资
  • 可以免费创建期权合约

2.2 < 这里插入有关去中心化的渐进论证 >

无论如何,你应该注意到这种可能性以及知道审计人员在上面花了时间。 在一个全新的金融体系中发现所有的漏洞攻击方法,这 16 个小时中有多少时间被用于验证有效的、(甚至可能)已知的攻击方法?

2.2 只有 16 个小时找到所有攻击方法

  • 数学 / 密码学中的 Bug
  • 比如重入攻击(re-entrancy)
  • 金融 / 经济方面的影响
  • 内部作恶者
  • 外部恶意攻击者
  • 意外错误 / 意外结果
  • 资金损失
等等等等。

16 个小时不可能搞清楚这一切。绝无可能。

2.3 审计机构永远不会说:「这些代码烂的像臭狗屎」。

扪心自问,为什么他们指出蛛丝马迹。不要指望他们彻底告诉你想要的东西或他们自己的反应。这就是事情被忽略的完美例证,因为它没有成为 Twitter 热门话题: (图中文字中译) 另外我们还发现,当资金池增加或减少资产时会出现账簿记录错误,没有体现出期权合约中的相关资产,因此攻击者可能窃取资金池中资产。

2.3 我来帮你。

Hegic 内的合约并不清楚合约中的资产被谁以何种方式偷走。

我实在不明白如果都不清楚这些情况,资金池还怎么运转。老人看手机脸。

另外请注意:记账簿。

第三部分:推荐

这一直是最重要的部分,因为这里是审计机构字斟句酌的部分。

在实际的审计报告中,会向 Hegic 指出需要解决的大量代码、 漏洞及事情。但这篇摘要是供外部人了解所用的。是给我们普通人的。

(图中文字中译)由于发现的算法问题较多以及时间限制,无法进行深入的算法验证,(审计机构) Trait of Bits 推荐使用符号执行和 fuzzing 测试合约的变量。代码库中可能存在更多问题。

另外 Trait of Bits 作出以下推荐:

  • 未来开发利用 crytic.io 。采用该平台发现两个问题。
  • 评估和记录合约所有者特权
  • 验证和记录不同合约之间的资产记账
  • 评估和记录系统的套利机会
  • 推荐用户在保障资产的前提下使用提供资产和撤资功能

3.1 一定做更多来确保安全!!!

3.2 我们真的没有时间展开深入讲,基本的数学问题已经占用了大部分时间,我们连数学问题都没搞懂,更别说更大范围的问题了。

3.3 我们当然知道有更多问题,你现在知道了。

3.4 你付钱给我们找一些自己本可以用更便宜的方式找到的基本问题,然后付钱给我们找到了另一个错误。

3.5 你们的项目文档记录匮乏实在令人厌恶,我们在五点建议中用三条的篇幅去描述这个问题,因为这是你们发现问题、并为安全人员 / 白帽黑客提供挽救用户资产的最佳机会。

3.6 评估合约所有者的特权: 我们的工作不到位。

验证你们的算法: 小心打补丁。重新查验一切因为你们的算法真的太烂了。

验证套利交易: 我们都还没开始考虑这个问题。

也许你们在写文档的时候就会发现问题了。

3.7 我真的不知道怎么收尾。

通常在完整审核中,你会发现带有代码片段的内容。事实是这一行代码有分量。

3.8 或者是他们选择让读者注意到最后一句特别重要,或者他们也意识到「我们真的检查了所有东西 / 所有功能了吗」?在概要最后扔下一句。

不管是哪种情况,依据这份审计报告,这是致命硬伤的所在地。

总体心得

1 @trailofbits 没有足够时间在最佳状况下完成审计。

2 代码库没有提供「最佳状态」。

3 没有文档纪录。

4 要构建金融系统,必须要有出色的数学 / 记账簿 / 会计能力。

Hegic 有太多问题,让 @trailofbits 的审计工作更麻烦。但更重要的是,这里存在根本性问题。这一解决方案「更重视数学,在数学方面也更出色」,但「在审计方面很糟糕」。

5 Hegic 无权 利用这份审计报告宣称自己是个安全的系统,或者像当前这样转嫁责任「甚至 trailofbits 都没有发现问题!」

6 Hegic 将审计当作敷衍他人的挡箭牌,而不是为了切实保护用户或者了解及确保系统的安全。这种态度显示团队对用户利益的漠视,可能是一种性质恶劣的文化,对我而言总是拉响警报。

7 Hegic 项目目前不该推出。如果他们是被枪指着头被迫发布产品,他们也应该宣称自己是未经审计的、受限的 Pre-alpha 项目。

8 @trailofbits 没有提到测试。不确定他们为什么在其他审计中有测试。也许是因为在测试前的基本文档就有问题?

有点像如果我的院子里长满了 6 英尺高的野草,我就去考虑修剪更高的灌木问题。

9 作为社区一个整体,我们需要注意,即使是名头最响亮机构所做的审计报告,也不意味着是安全的。也许还更不安全。

来源链接: twitter.com

免责声明:本文版权归原作者所有,不代表MyToken(www.mytokencap.com)观点和立场;如有关于内容、版权等问题,请与我们联系。