서명하기 전에 스마트 계약 상호 작용을 확인하는 방법

계약 상호작용 위험 이해

1. 이더리움 및 EVM 호환 체인에 배포된 스마트 계약은 여러 계약 주소에서 의도하지 않은 상태 변경을 유발할 수 있는 외부 호출을 실행합니다.

2. 재진입 취약점은 원래 실행이 완료되기 전에 악의적인 계약이 반복적으로 함수를 호출하여 자금을 소모하거나 논리를 손상시킬 때 발생합니다.

3. 교차 계약 호출은 종종 가시성 수정자를 우회하여 액세스 제어가 잘못 구성된 경우 신뢰할 수 없는 코드가 내부 저장소를 조작할 수 있도록 허용합니다.

4. 가스 제한 및 스택 깊이 제약으로 인해 중첩된 상호 작용 중에 자동 오류가 발생하여 되돌리기 신호 없이 부분적인 상태 업데이트가 발생할 수 있습니다.

5. ABI 정의와 실제 바이트 코드 간의 인터페이스 불일치로 인해 호출 데이터 인코딩이 잘못되어 폴백 기능이 예기치 않게 트리거됩니다.

Etherscan을 통한 수동 검증

1. Etherscan에서 트랜잭션 해시를 찾고 "계약" 탭으로 이동하여 관련된 각 계약의 검증된 소스 코드를 확인하세요.

2. "프록시로 쓰기" 또는 "계약 읽기" 섹션을 사용하여 모든 외부 함수 호출을 식별하고 계약의 공개 인터페이스와 상호 참조합니다.

3. 외부 호출이 발생하기 전에 상태 변수가 업데이트되는지 확인하여 호출된 함수가 Checks-Effects-Interactions 패턴을 구현하는지 확인합니다.

4. 상호 작용 중에 생성된 이벤트 로그를 검토하여 예상되는 상태 전환이 계약서 주석에 문서화된 동작과 일치하는지 확인합니다.

5. "입력 데이터 디코딩" 도구를 사용하여 원시 호출 데이터를 재구성하고 매개변수 유형 및 값을 Solidity 함수 서명과 비교합니다.

도구를 이용한 정적 분석

1. 컴파일된 바이트코드에서 Slither를 실행하여 보호되지 않은 selfdestruct, 위험한 대리자 호출 사용 또는 require 문 누락과 같은 알려진 안티 패턴을 감지합니다.

2. 계약 쌍을 MythX에 로드하고 결합된 제어 흐름 그래프에 대한 기호 실행을 사용하여 계약 간 재진입 경로를 검색하도록 구성합니다.

3. Securify 규칙을 적용하여 반환 값이 검증되지 않거나 확인되지 않은 산술 연산이 상태 변이보다 먼저 발생하는 안전하지 않은 외부 호출에 플래그를 지정합니다.

4. 두 계약을 Remix IDE로 가져오고 JavaScript VM을 사용하여 상호 작용을 시뮬레이션하여 가스 소비를 관찰하고 극단적인 경우 조건을 되돌립니다.

5. VeriSolid 배포 다이어그램을 사용하여 공식 모델을 생성하여 상호 작용 시퀀스가 ​​지정된 안전 불변성을 준수하는지 확인합니다.

런타임 동작 검사

1. Tenderly 또는 Hardhat Network를 사용하여 메인넷의 로컬 포크를 배포하여 잔액 상태 및 스토리지 레이아웃을 포함한 정확한 트랜잭션 컨텍스트를 재생합니다.

2. ganache-cli --fork를 사용하여 사용자 정의 추적 후크를 삽입하여 상호 계약 호출 중에 실행된 모든 opcode를 기록하고 예기치 않은 점프를 식별합니다.

3. 각 외부 호출 전후에 eth_getStorageAt를 사용하여 스토리지 슬롯 수정을 모니터링하여 무단 쓰기를 감지합니다.

4. 각 CALL 명령에서 메모리 덤프를 캡처하여 호출 데이터가 구성되는 방식과 민감한 매개변수가 외부 컨텍스트로 유출되는지 여부를 검사합니다.

5. 성공 및 실패한 시뮬레이션 실행의 스택 추적을 비교하여 초기화되지 않은 변수 또는 초기화되지 않은 매핑으로 인해 발생하는 비결정적 분기를 격리합니다.

일반적인 질문과 답변

Q1: 소스 코드 없이 계약 상호 작용을 확인할 수 있나요? 예. evm-opcodes.com과 같은 바이트코드 디스어셈블리 도구를 사용하면 Solidity 소스 없이도 기능 선택기와 스토리지 레이아웃 패턴을 리버스 엔지니어링할 수 있습니다.

Q2: 단일 계약을 확인하면 다른 사람과의 안전한 상호 작용이 보장됩니까? 아니요. 검증된 계약은 다른 계약과 구성될 때 여전히 논리 결함을 포함할 수 있습니다. 특히 공개 인터페이스가 임의 호출자에게 변경 가능한 상태를 노출하는 경우 더욱 그렇습니다.

Q3: Etherscan에서 일부 거래에 "경고! 계약 실행 중 오류가 발생했습니다"라고 표시되는 이유는 무엇입니까? 이는 어설션 실패, 오버플로 또는 명시적인 되돌리기 문으로 인해 실행 도중 EVM이 되돌려졌음을 나타냅니다. 종종 호환되지 않는 상호 작용 가정에 의해 트리거됩니다.

Q4: DeFi 프로토콜에 대한 무제한 토큰 허용을 승인하는 것이 안전한가요? 아니요. 무제한 승인은 대상 계약에 대한 토큰 잔액에 대한 모든 권한을 부여하므로 논리가 손상되거나 잘못 구성된 경우 잠재적인 유출이 가능합니다.