امنیت PSA: محافظت از دارایی های ERC-20 در برابر عوامل مخرب | توسط Coinbase | آگوست 2022

Tl;dr: در Coinbase، اولویت اصلی ما محافظت از شما و دارایی های دیجیتال شما بوده و همیشه خواهد بود. به همین دلیل است که ما Coinbase را با جدیدترین فناوری پیشرو در صنعت ایمن می کنیم و با جامعه بزرگتر برای ایجاد یک اکوسیستم رمزنگاری امن تر کار می کنیم تا همه بتوانند موفق شوند.

در این پست وبلاگ، ما به اشتراک می‌گذاریم که چگونه یک قرارداد با نقش‌های خطرناک ابرکاربر فقط به اندازه محافظت‌های آن نقش‌ها ایمن است و در مورد کنترل‌هایی از جمله multisig، قرارداد حاکمیتی یا امتیازات لغو شده که صادرکنندگان دارایی می‌توانند برای جلوگیری از اعمال امتیازات توسط یک بازیگر استفاده کنند، بحث می‌کنیم. به روشی مخرب

توسط تیم امنیت پروتکل و دارایی دیجیتال Coinbase

در Coinbase، هنگام در نظر گرفتن دارایی‌ها برای فهرست، ما یک تابع ریسکی را به عنوان هر عملکردی تعریف می‌کنیم که می‌تواند بر انتقال یا مبالغ موجودی کاربر تأثیر بگذارد – به طور مستقیم یا غیر مستقیم. این می‌تواند به‌اندازه‌ای مستقیم باشد که یک ابرکاربر قادر به سوزاندن وجوه از طرف هر کسی باشد، یا به‌اندازه غیرمستقیم توانایی ارتقای توکن، که می‌تواند توکن و/یا موجودی کاربر را تغییر دهد، باشد. از آنجایی که Coinbase دارایی‌ها را از طرف کاربران نگه می‌دارد، Coinbase Security باید بتواند خیال کاربران را از ایمن بودن توکن‌هایشان راحت کند. بنابراین، هر عملکرد مخاطره آمیزی در یک دارایی، واجد شرایط بودن آن برای فهرست شدن در Coinbase را کاهش می دهد.

با این حال، حتی یک توکن با عملکرد مخاطره‌آمیز می‌تواند به طور بالقوه برای فهرست کردن واجد شرایط باشد، در صورتی که حفاظت کافی در آن وجود داشته باشد. حفاظت های رایج از این طبیعت هستند چند سیگ، قراردادهای حاکمیتی و لغو امتیاز.

زمانی که پروژه ها نیاز به استفاده از توابعی مانند burn() یا upgrade() دارند، توسعه دهندگان باید کنترل های دسترسی مناسب را برای جلوگیری از فراخوانی تابع مخاطره آمیز توسط یک کاربر در نظر بگیرند. هر فردی که نقشی را ایفا کند که بتواند کارکردهای مخاطره آمیز انجام دهد، دارایی را در معرض تهدیدات داخلی قرار می دهد. به‌علاوه، حتی اگر آن کاربر قابل اعتماد باشد، مهاجمی که کلید آن‌ها را به خطر می‌اندازد مسیر دیگری است که توسط آن دارندگان توکن می‌توانند توسط امتیازات ابرکاربر متمرکز آسیب ببینند.

قرارداد با نقش‌های خطرناک ابرکاربر فقط به اندازه محافظت‌های آن نقش‌ها امن است. هنگامی که یک کاربر ممتاز کلید خود را در معرض خطر قرار می دهد، مهاجم ممکن است از نقش ابرکاربر برای فراخوانی توابع مخاطره آمیز سوء استفاده کند. در زیر یک پروژه توکن در معرض خطر را معرفی کرده‌ایم که از یک اصلاح کننده دسترسی برای محدود کردن پروژه به یک ابرکاربر که توسط یک فرد واحد کنترل می‌شود، استفاده می‌کند.

اگرچه تیم و تیمش دسترسی به عملکرد مخاطره آمیز را محدود کردند، این نقش تنها توسط یک کلید متعلق به تیم کنترل می شد. کلید تیم به خطر افتاد و مهاجم قرارداد را ارتقا داد، مهاجم کنترل کامل پروژه را داشت.

برای کاهش ریسک ابرکاربر در عملکردهای محدود به دسترسی، تیم های پروژه توکن می توانند اجرا کنند چند سیگ، قراردادهای حاکمیتی یا لغو امتیازات پشت نقش superuser برای غیرمتمرکز کردن/لغو دسترسی برای فراخوانی تابع. تیم‌ها می‌توانند نقش‌های ممتاز را به یک قرارداد multisig/governance یا آدرس پوچ (0x00…) اختصاص دهند تا از وقوع سناریوهایی مانند Tim’s Downfall Token جلوگیری کنند.

برای درک بهتر کاهش ریسک ابرکاربر، ما سه سناریو (3) را بیان کرده‌ایم که در آن طراحی دسترسی ممتاز نگاشت شده به نقش ابرکاربر به محافظت از پروژه توکن در زمانی که کلید ابرکاربر اصلی به خطر می‌افتد، کمک می‌کند.

افزایش امنیت ارائه شده توسط ارزهای دیجیتال دلیل بزرگی برای ایجاد پول دیجیتال است. برخلاف ارزهای سنتی، ارزهای رمزنگاری شده مانند بیت‌کوین و اتریوم منبع باز هستند، به این معنی که هر کسی می‌تواند زنجیره‌های بلوکی را که روی آن‌ها اجرا می‌شود بررسی کند و اطمینان حاصل کند که هر تراکنش دقیق است.

برای ایجاد یک سیستم مالی منصفانه و باز، ما یک رویکرد عمدی برای افزودن دارایی های جدید به پلتفرم خود ایجاد کرده ایم. هر دارایی ERC-20 در Coinbase یک فرآیند بررسی امنیتی گسترده را طی می کند تا ریسک نگهداری وجوه را ارزیابی کند و اطمینان حاصل کند که عملکردهای مخاطره آمیز به طور مناسب کاهش می یابد. این امر به دارندگان توکن، خواه توکن‌های خود را در صرافی‌هایی مانند کوین‌بیس یا در کیف پول‌های خود نگهبانی نگه می‌دارند، اطمینان قوی‌تری در مالکیت توکن‌های خود می‌دهد.

در کوین بیس، ما بر این باوریم که همه افراد شایسته دسترسی به خدمات مالی هستند که می تواند به آنها کمک کند تا زندگی بهتری برای خود و خانواده خود ایجاد کنند. اگر اقتصاد جهانی بر اساس مجموعه استانداردهای مشترکی پیش می رفت که توسط هیچ بازیگری قابل دستکاری نبود، جهان مکانی عادلانه تر و آزادتر می شد و پیشرفت بشر شتاب می گرفت.

اگر علاقه مند به فهرست کردن توکن خود در کوین بیس هستید، از مرکز دارایی کوین بیس دیدن کنید.

ما می دانیم که اعتماد مبتنی بر امنیت قابل اعتماد است – به همین دلیل ما محافظت از حساب و دارایی های دیجیتال شما را اولویت شماره یک خود قرار می دهیم. اینجا بیشتر بیاموزید