ஸ்மார்ட் ஒப்பந்த தணிக்கை: பிளாக்செயினில் உள்ள பாதுகாப்பு பாதிப்புகளை வெளிக்கொணர்தல்

ஸ்மார்ட் ஒப்பந்தங்கள் என்பவை குறியீட்டில் எழுதப்பட்டு பிளாக்செயினில் பயன்படுத்தப்படும் சுய-செயல்படுத்தும் ஒப்பந்தங்கள் ஆகும். அவற்றின் மாற்ற முடியாத மற்றும் பரவலாக்கப்பட்ட தன்மை, நிதிப் பரிவர்த்தனைகள் முதல் விநியோகச் சங்கிலி மேலாண்மை வரை பல்வேறு செயல்முறைகளை தானியக்கமாக்குவதற்கு சக்திவாய்ந்த கருவிகளாக ஆக்குகின்றன. இருப்பினும், ஸ்மார்ட் ஒப்பந்தங்களை கவர்ச்சிகரமானதாக மாற்றும் அம்சங்களே குறிப்பிடத்தக்க பாதுகாப்பு அபாயங்களையும் அறிமுகப்படுத்துகின்றன. ஒருமுறை பயன்படுத்தப்பட்டால், ஸ்மார்ட் ஒப்பந்தங்களை மாற்றுவது மிகவும் கடினம், சாத்தியமற்றது என்றே கூறலாம். எனவே, நிதியிழப்பு, தரவு மீறல்கள், மற்றும் நற்பெயருக்கு சேதம் போன்ற பேரழிவு விளைவுகளைத் தடுக்கும் வகையில், பயன்படுத்தும் முன் பாதிப்புகளைக் கண்டறிந்து தணிக்கை செய்வது மிகவும் முக்கியமானது. இந்த வழிகாட்டி ஸ்மார்ட் ஒப்பந்த தணிக்கை பற்றிய ஒரு விரிவான கண்ணோட்டத்தை வழங்குகிறது, பொதுவான பாதிப்புகள், தணிக்கை முறைகள் மற்றும் பாதுகாப்பான பிளாக்செயின் மேம்பாட்டிற்கான சிறந்த நடைமுறைகள் மீது கவனம் செலுத்துகிறது, இது பல்வேறு தொழில்நுட்ப பின்னணிகளைக் கொண்ட உலகளாவிய பார்வையாளர்களுக்காக உருவாக்கப்பட்டுள்ளது.

ஸ்மார்ட் ஒப்பந்த தணிக்கை ஏன் முக்கியமானது?

ஸ்மார்ட் ஒப்பந்த தணிக்கையின் முக்கியத்துவத்தை மிகைப்படுத்த முடியாது. பாரம்பரிய மென்பொருளைப் போலல்லாமல், ஸ்மார்ட் ஒப்பந்தங்கள் பெரும்பாலும் குறிப்பிடத்தக்க நிதி மதிப்பைக் கையாளுகின்றன மற்றும் மாற்ற முடியாத குறியீட்டால் நிர்வகிக்கப்படுகின்றன. ஒரு ஒற்றை பாதிப்பு மில்லியன் கணக்கான டாலர்களைத் திருடவும், பரவலாக்கப்பட்ட பயன்பாடுகளை (dApps) சீர்குலைக்கவும், மற்றும் முழு பிளாக்செயின் சூழல் அமைப்பிலும் நம்பிக்கையை சிதைக்கவும் பயன்படுத்தப்படலாம். தணிக்கை ஏன் அவசியம் என்பதற்கான காரணங்கள் இங்கே:

• நிதியிழப்புகளைத் தடுத்தல்: ஸ்மார்ட் ஒப்பந்தங்கள் அடிக்கடி டிஜிட்டல் சொத்துக்களை நிர்வகிக்கின்றன. தணிக்கைகள் திருட்டு அல்லது நிதிகளின் எதிர்பாராத பரிமாற்றத்திற்கு வழிவகுக்கும் பாதிப்புகளைக் கண்டறிய முடியும். 2016 ஆம் ஆண்டில் நடந்த DAO ஹேக், சுமார் $60 மில்லியன் மதிப்புள்ள ஈதர் இழப்புக்கு வழிவகுத்தது, இது தணிக்கை செய்யப்படாத ஸ்மார்ட் ஒப்பந்தங்களுடன் தொடர்புடைய நிதி அபாயங்களுக்கு ஒரு கடுமையான நினைவூட்டலாகும்.
• தரவு ஒருமைப்பாட்டைப் பராமரித்தல்: ஸ்மார்ட் ஒப்பந்தங்கள் முக்கியமான தரவை சேமிக்க முடியும். தணிக்கைகள் இந்தத் தரவு அங்கீகரிக்கப்படாத அணுகல், கையாளுதல் அல்லது நீக்குதலிலிருந்து பாதுகாக்கப்படுவதை உறுதிசெய்ய உதவுகின்றன. உதாரணமாக, விநியோகச் சங்கிலி பயன்பாடுகளில், சமரசம் செய்யப்பட்ட தரவு கள்ளப் பொருட்கள் அல்லது மோசடி பரிவர்த்தனைகளுக்கு வழிவகுக்கும்.
• ஒழுங்குமுறை இணக்கத்தை உறுதி செய்தல்: பிளாக்செயின் தொழில்நுட்பம் முதிர்ச்சியடையும்போது, ஒழுங்குமுறை ஆய்வு அதிகரித்து வருகிறது. தரவு தனியுரிமைச் சட்டங்கள் மற்றும் நிதி விதிமுறைகள் போன்ற தொடர்புடைய சட்டங்கள் மற்றும் ஒழுங்குமுறைகளுடன் ஸ்மார்ட் ஒப்பந்தங்கள் இணங்குவதை உறுதிசெய்ய தணிக்கைகள் உதவும். வெவ்வேறு அதிகார வரம்புகளுக்கு வெவ்வேறு தேவைகள் உள்ளன, இது உலகளவில் அறிந்த தணிக்கையை இன்னும் முக்கியமானதாக ஆக்குகிறது.
• நம்பிக்கை மற்றும் நற்பெயரை மேம்படுத்துதல்: பொதுவில் கிடைக்கும் ஒரு தணிக்கை அறிக்கை பாதுகாப்பு மற்றும் வெளிப்படைத்தன்மைக்கான ஒரு அர்ப்பணிப்பை நிரூபிக்கிறது, இது பயனர்கள் மற்றும் முதலீட்டாளர்களிடையே நம்பிக்கையை உருவாக்குகிறது. பாதுகாப்பிற்கு முன்னுரிமை அளிக்கும் திட்டங்கள் பயனர்களை ஈர்ப்பதற்கும் நீண்ட காலத்திற்கு நேர்மறையான நற்பெயரைப் பராமரிப்பதற்கும் அதிக வாய்ப்புள்ளது.
• சட்டப் பொறுப்புகளைக் குறைத்தல்: பாதுகாப்பற்ற ஸ்மார்ட் ஒப்பந்தங்கள், பாதிப்புகள் பயன்படுத்தப்பட்டு பயனர்கள் சேதமடைந்தால், டெவலப்பர்கள் மற்றும் நிறுவனங்களுக்கு சட்டப் பொறுப்புகளை ஏற்படுத்தக்கூடும். தணிக்கைகள் இந்த அபாயங்களைக் கண்டறிந்து தணிக்க உதவும்.

பொதுவான ஸ்மார்ட் ஒப்பந்த பாதிப்புகள்

பொதுவான பாதிப்புகளைப் புரிந்துகொள்வது பயனுள்ள ஸ்மார்ட் ஒப்பந்த தணிக்கைக்கான முதல் படியாகும். மிகவும் பரவலான சில பாதுகாப்பு அபாயங்கள் இங்கே விரிவாகக் கொடுக்கப்பட்டுள்ளன:

மீண்டும் நுழைதல் (Reentrancy)

விளக்கம்: மீண்டும் நுழைதல் என்பது, ஒரு ஒப்பந்தம் தனது நிலையை புதுப்பிக்கும் முன் மற்றொரு ஒப்பந்தத்தை அழைக்கும்போது ஏற்படுகிறது. அழைக்கப்பட்ட ஒப்பந்தம் பின்னர் மீண்டும் அசல் ஒப்பந்தத்திற்குள் நுழைய முடியும், இது நிதிகளைத் திருட அல்லது தரவைக் கையாள வாய்ப்புள்ளது. இது மிகவும் அறியப்பட்ட மற்றும் ஆபத்தான ஸ்மார்ட் ஒப்பந்த பாதிப்புகளில் ஒன்றாகும். ஒரு பயனர் தனது நிதியை திரும்பப் பெறக்கூடிய எளிமைப்படுத்தப்பட்ட கடன் நெறிமுறையைக் கவனியுங்கள். திரும்பப் பெறும் செயல்பாடு, நிதியை அனுப்புவதற்கு முன் பயனரின் இருப்பைப் புதுப்பிக்கவில்லை என்றால், ஒரு தீங்கிழைக்கும் ஒப்பந்தம் திரும்பப் பெறும் செயல்பாட்டிற்குள் பலமுறை மீண்டும் நுழைந்து, அவர்களுக்கு உரிமையுள்ளதை விட அதிகமான நிதியைத் திரும்பப் பெறலாம்.

எடுத்துக்காட்டு: DAO ஹேக் அதன் திரும்பப் பெறும் செயல்பாட்டில் ஒரு மீண்டும் நுழைதல் பாதிப்பைப் பயன்படுத்தியது. ஒரு தீங்கிழைக்கும் நடிகர் திரும்பப் பெறும் செயல்பாட்டை மீண்டும் மீண்டும் அழைத்தார், இருப்பு புதுப்பிக்கப்படுவதற்கு முன்பு DAO-வின் நிதியைக் காலி செய்தார்.

தணிப்பு:

• சோதனைகள்-விளைவுகள்-தொடர்புகள் முறை (Checks-Effects-Interactions Pattern): இந்த முறை, வெளிப்புற அழைப்புகள் (Interactions) செய்வதற்கு முன் நிலை மாறிகள் புதுப்பிக்கப்பட வேண்டும் (Effects) என்று கூறுகிறது.
• மீண்டும் நுழைதல் காவலர்கள் (Reentrancy Guards): ஒரு செயல்பாடு மீண்டும் மீண்டும் அழைக்கப்படுவதைத் தடுக்க மாற்றிப்பான்களை (modifiers) பயன்படுத்தவும். OpenZeppelin-இன் `ReentrancyGuard` இதற்காக பரவலாகப் பயன்படுத்தப்படும் ஒரு நூலகமாகும்.
• தள்ளுவதற்குப் பதிலாக இழுத்தல் (Pull over Push): ஒரு பயனருக்கு நிதியைத் தள்ளுவதற்குப் பதிலாக, ஒப்பந்தத்திலிருந்து நிதியை இழுக்க அவர்களை அனுமதிக்கவும். இது தாக்குபவரின் செயலாக்க ஓட்டத்தின் மீதான கட்டுப்பாட்டைக் கட்டுப்படுத்துகிறது.

முழு எண் ஓவர்ஃப்ளோ மற்றும் அண்டர்ஃப்ளோ (Integer Overflow and Underflow)

விளக்கம்: ஒரு தரவு வகை வைத்திருக்கக்கூடிய அதிகபட்ச மதிப்பை விட பெரிய மதிப்பை ஒரு கணித செயல்பாடு உருவாக்கும்போது முழு எண் ஓவர்ஃப்ளோ ஏற்படுகிறது. ஒரு தரவு வகை வைத்திருக்கக்கூடிய குறைந்தபட்ச மதிப்பை விட சிறிய மதிப்பை ஒரு கணித செயல்பாடு உருவாக்கும்போது முழு எண் அண்டர்ஃப்ளோ ஏற்படுகிறது. Solidity-யின் 0.8.0-க்கு முந்தைய பதிப்புகளில், இந்த நிலைமைகள் எதிர்பாராத நடத்தை மற்றும் பாதுகாப்பு பாதிப்புகளுக்கு வழிவகுக்கும்.

எடுத்துக்காட்டு: ஒரு கையொப்பமிடப்படாத 8-பிட் முழு எண் (uint8) 255 மதிப்பைக் கொண்டிருந்தால், அதனுடன் 1-ஐக் கூட்டினால், அது ஓவர்ஃப்ளோ ஆகி 0-க்கு மாறும். இதேபோல், ஒரு uint8 0 மதிப்பைக் கொண்டிருந்தால், அதிலிருந்து 1-ஐக் கழித்தால், அது அண்டர்ஃப்ளோ ஆகி 255-க்கு மாறும். இது இருப்புகள், டோக்கன் விநியோகங்கள் அல்லது பிற முக்கியமான தரவுகளைக் கையாள பயன்படுத்தப்படலாம்.

தணிப்பு:

• SafeMath நூலகங்களைப் பயன்படுத்துதல் (Solidity பதிப்புகள் < 0.8.0-க்கு): OpenZeppelin-இன் `SafeMath` போன்ற நூலகங்கள் ஓவர்ஃப்ளோ மற்றும் அண்டர்ஃப்ளோ நிலைகளைச் சரிபார்த்து, அவை ஏற்பட்டால் பரிவர்த்தனையைத் திரும்பப்பெறும் செயல்பாடுகளை வழங்குகின்றன.
• Solidity 0.8.0 அல்லது அதற்குப் பிந்தைய பதிப்பிற்கு மேம்படுத்துதல்: இந்த பதிப்புகளில் உள்ளமைக்கப்பட்ட ஓவர்ஃப்ளோ மற்றும் அண்டர்ஃப்ளோ பாதுகாப்பு உள்ளது, இது இந்த நிலைமைகள் ஏற்பட்டால் தானாகவே பரிவர்த்தனைகளைத் திரும்பப்பெறும்.
• உள்ளீட்டு சரிபார்ப்பைச் செய்தல்: பயனர் உள்ளீடுகளை ஒப்பந்தம் கையாளக்கூடிய அதிகபட்ச அல்லது குறைந்தபட்ச மதிப்புகளைத் தாண்டாமல் தடுக்க கவனமாக சரிபார்க்கவும்.

நேரமுத்திரை சார்பு (Timestamp Dependency)

விளக்கம்: முக்கியமான தர்க்கத்திற்கு பிளாக் நேரமுத்திரையை (`block.timestamp`) நம்பியிருப்பது ஆபத்தானது, ஏனெனில் சுரங்கத் தொழிலாளர்களுக்கு நேரமுத்திரையின் மீது కొంత கட்டுப்பாடு உள்ளது. இது லாட்டரிகள் அல்லது ஏலங்கள் போன்ற நேர-உணர்திறன் செயல்பாடுகளின் முடிவைக் கையாள பயன்படுத்தப்படலாம். வெவ்வேறு புவியியல் இடங்களில் உள்ள சுரங்கத் தொழிலாளர்களுக்கு சற்று வித்தியாசமான கடிகார அமைப்புகள் இருக்கலாம், ஆனால் மிக முக்கியமாக, சுரங்கத் தொழிலாளர்கள் ஒரு குறிப்பிட்ட வரம்பிற்குள் நேரமுத்திரையை தந்திரோபாயமாக சரிசெய்ய முடியும்.

எடுத்துக்காட்டு: வெற்றியாளரைத் தீர்மானிக்க பிளாக் நேரமுத்திரையைப் பயன்படுத்தும் ஒரு லாட்டரி ஸ்மார்ட் ஒப்பந்தம், சில பங்கேற்பாளர்களுக்கு சாதகமாக சுரங்கத் தொழிலாளர்களால் கையாளப்படலாம். ஒரு சுரங்கத் தொழிலாளர், விரும்பிய பங்கேற்பாளர் சமர்ப்பித்த பரிவர்த்தனை, அவர்களை வெற்றியாளராக்கும் நேரமுத்திரையுடன் ஒரு பிளாக்கில் சேர்க்கப்படுவதை உறுதிசெய்ய நேரமுத்திரையை சற்று சரிசெய்யலாம்.

தணிப்பு:

• முக்கியமான தர்க்கத்திற்கு நேரமுத்திரைகளை நம்புவதைத் தவிர்க்கவும்: கமிட்-ரிவீல் திட்டங்கள் அல்லது சரிபார்க்கக்கூடிய சீரற்ற செயல்பாடுகள் (VRFs) போன்ற மாற்று சீரற்ற மூலங்களைப் பயன்படுத்தவும்.
• பிளாக் எண்களின் ஒரு வரம்பைப் பயன்படுத்துதல்: ஒரு ஒற்றை பிளாக் நேரமுத்திரையை நம்புவதற்குப் பதிலாக, சாத்தியமான கையாளுதலை மென்மையாக்க பிளாக் எண்களின் ஒரு வரம்பைப் பயன்படுத்தவும்.
• வெளிப்புற தரவுகளுக்கு ஆரக்கிள்களைப் பயன்படுத்துதல்: உங்களுக்கு நம்பகமான நேரத் தரவு தேவைப்பட்டால், சரிபார்க்கப்பட்ட நேரமுத்திரைகளை வழங்கும் ஒரு நம்பகமான ஆரக்கிள் சேவையைப் பயன்படுத்தவும்.

அணுகல் கட்டுப்பாட்டு பாதிப்புகள் (Access Control Vulnerabilities)

விளக்கம்: முறையற்ற அணுகல் கட்டுப்பாடு, அங்கீகரிக்கப்படாத பயனர்களை ஒப்பந்த அளவுருக்களை மாற்றுவது, நிதியைத் திரும்பப் பெறுவது அல்லது தரவை நீக்குவது போன்ற சிறப்புரிமை பெற்ற செயல்களைச் செய்ய அனுமதிக்கலாம். தீங்கிழைக்கும் நடிகர்கள் முக்கியமான ஒப்பந்த செயல்பாடுகளின் கட்டுப்பாட்டைப் பெற்றால் இது பேரழிவு விளைவுகளுக்கு வழிவகுக்கும்.

எடுத்துக்காட்டு: உரிமையாளர் முகவரியை மாற்ற எவரையும் அனுமதிக்கும் ஒரு ஸ்மார்ட் ஒப்பந்தம், ஒரு தாக்குபவரால் பயன்படுத்தப்படலாம், அவர் உரிமையாளரை தனது சொந்த முகவரிக்கு மாற்றுவார், இது அவர்களுக்கு ஒப்பந்தத்தின் மீது முழு கட்டுப்பாட்டையும் கொடுக்கும்.

தணிப்பு:

• `Ownable` ஒப்பந்தத்தைப் பயன்படுத்துதல்: OpenZeppelin-இன் `Ownable` ஒப்பந்தம் ஒப்பந்த உரிமையை நிர்வகிக்க ஒரு எளிய மற்றும் பாதுகாப்பான வழியை வழங்குகிறது. இது உரிமையாளரை மட்டுமே சில சிறப்புரிமை பெற்ற செயல்களைச் செய்ய அனுமதிக்கிறது.
• பங்கு அடிப்படையிலான அணுகல் கட்டுப்பாட்டை (RBAC) செயல்படுத்துதல்: குறிப்பிட்ட அனுமதிகளுடன் வெவ்வேறு பங்குகளை வரையறுத்து, பயனர்களை அந்தப் பங்குகளுக்கு ஒதுக்கவும். இது பயனரின் பங்கின் அடிப்படையில் வெவ்வேறு செயல்பாடுகளுக்கான அணுகலைக் கட்டுப்படுத்த உங்களை அனுமதிக்கிறது.
• அணுகல் கட்டுப்பாட்டிற்கான மாற்றிப்பான்களைப் பயன்படுத்துதல்: அழைப்பாளரின் முகவரி அல்லது பங்கு போன்ற சில நிபந்தனைகளின் அடிப்படையில் குறிப்பிட்ட செயல்பாடுகளுக்கான அணுகலைக் கட்டுப்படுத்த மாற்றிப்பான்களைப் பயன்படுத்தவும்.
• அணுகல் கட்டுப்பாட்டுக் கொள்கைகளைத் தொடர்ந்து மதிப்பாய்வு செய்து புதுப்பித்தல்: அணுகல் கட்டுப்பாட்டுக் கொள்கைகள் புதுப்பித்த நிலையில் இருப்பதையும், பயன்பாட்டின் தற்போதைய தேவைகளைப் பிரதிபலிப்பதையும் உறுதி செய்யவும்.

எரிவாயு மேம்படுத்தல் (Gas Optimization)

விளக்கம்: பரிவர்த்தனை செலவுகளைக் குறைப்பதற்கும் சேவை மறுப்பு (DoS) தாக்குதல்களைத் தடுப்பதற்கும் எரிவாயு மேம்படுத்தல் மிகவும் முக்கியமானது. திறனற்ற குறியீடு அதிகப்படியான எரிவாயுவை நுகரக்கூடும், இது பரிவர்த்தனைகளை விலை உயர்ந்ததாக அல்லது செயல்படுத்த முடியாததாக மாற்றும். DoS தாக்குதல்கள் எரிவாயு திறமையின்மைகளைப் பயன்படுத்தி ஒரு ஒப்பந்தத்தின் நிதியைக் காலி செய்யலாம் அல்லது முறையான பயனர்களை அதனுடன் தொடர்புகொள்வதைத் தடுக்கலாம்.

எடுத்துக்காட்டு: எரிவாயு நுகர்வுக்கு உகந்ததாக இல்லாத ஒரு லூப்பைப் பயன்படுத்தி ஒரு பெரிய வரிசையை மீண்டும் மீண்டும் செய்யும் ஒரு ஸ்மார்ட் ஒப்பந்தம், அதிகப்படியான எரிவாயுவை நுகரக்கூடும், இது லூப்பை உள்ளடக்கிய பரிவர்த்தனைகளை செயல்படுத்துவதை விலை உயர்ந்ததாக மாற்றும். ஒரு தாக்குபவர் இதை பயன்படுத்தி, லூப்பைத் தூண்டும் பரிவர்த்தனைகளை அனுப்புவதன் மூலம், ஒப்பந்தத்தின் நிதியைக் காலி செய்யலாம் அல்லது முறையான பயனர்களை அதனுடன் தொடர்புகொள்வதைத் தடுக்கலாம்.

தணிப்பு:

• திறமையான தரவு கட்டமைப்புகள் மற்றும் வழிமுறைகளைப் பயன்படுத்துதல்: எரிவாயு நுகர்வைக் குறைக்கும் தரவு கட்டமைப்புகள் மற்றும் வழிமுறைகளைத் தேர்வு செய்யவும். உதாரணமாக, பெரிய தரவுத்தொகுப்புகளுக்கு வரிசைகளுக்குப் பதிலாக மேப்பிங்குகளைப் பயன்படுத்துவது எரிவாயு செலவுகளை கணிசமாகக் குறைக்கும்.
• சேமிப்பகப் படிப்புகள் மற்றும் எழுதுதல்களைக் குறைத்தல்: சேமிப்பக செயல்பாடுகள் எரிவாயு அடிப்படையில் விலை உயர்ந்தவை. தரவை நினைவகத்தில் தற்காலிகமாக சேமிப்பதன் மூலம் அல்லது மாற்ற முடியாத மாறிகளைப் பயன்படுத்துவதன் மூலம் சேமிப்பகப் படிப்புகள் மற்றும் எழுதுதல்களின் எண்ணிக்கையைக் குறைக்கவும்.
• எரிவாயு-அதிகம் தேவைப்படும் செயல்பாடுகளுக்கு அசெம்பிளியைப் (Yul) பயன்படுத்துதல்: சில எரிவாயு-அதிகம் தேவைப்படும் செயல்பாடுகளுக்கு அசெம்பிளி குறியீடு சாலிடிட்டி குறியீட்டை விட திறமையானதாக இருக்கும். இருப்பினும், அசெம்பிளி குறியீட்டை எழுதுவதும் பிழைதிருத்துவதும் கடினம், எனவே அதை குறைவாகவும் கவனமாகவும் பயன்படுத்தவும்.
• லூப் கட்டமைப்புகளை மேம்படுத்துதல்: எரிவாயு நுகர்வைக் குறைக்க லூப் கட்டமைப்புகளை மேம்படுத்துங்கள். உதாரணமாக, லூப்பிற்குள் தேவையற்ற மறுசெயல்கள் அல்லது கணக்கீடுகளைத் தவிர்க்கவும்.
• குறுக்குவழியைப் பயன்படுத்துதல் (Short Circuiting): தேவையற்ற கணக்கீடுகளைத் தவிர்க்க நிபந்தனை அறிக்கைகளில் (`&&` மற்றும் `||`) குறுக்குவழியைப் பயன்படுத்தவும்.

சேவை மறுப்பு (DoS)

விளக்கம்: DoS தாக்குதல்கள் ஒரு ஸ்மார்ட் ஒப்பந்தத்தை முறையான பயனர்களுக்கு கிடைக்காமல் செய்வதை நோக்கமாகக் கொண்டுள்ளன. இது எரிவாயு திறமையின்மைகளைப் பயன்படுத்துவதன் மூலமும், ஒப்பந்த நிலையை கையாளுவதன் மூலமும், அல்லது செல்லுபடியாகாத பரிவர்த்தனைகளால் ஒப்பந்தத்தை நிரப்புவதன் மூலமும் அடையப்படலாம். சில DoS பாதிப்புகள் மோசமான குறியீட்டு நடைமுறைகளால் தற்செயலாக ஏற்படலாம்.

எடுத்துக்காட்டு: பயனர்களை ஈதர் பங்களிக்க அனுமதித்து, பின்னர் அனைத்துப் பங்களிப்பாளர்களையும் பணத்தைத் திரும்பப் பெறச் செய்யும் ஒரு ஒப்பந்தம் DoS தாக்குதலுக்கு ஆளாக நேரிடலாம். ஒரு தாக்குபவர் அதிக எண்ணிக்கையிலான சிறிய பங்களிப்புகளை உருவாக்கலாம், இது பணத்தைத் திரும்பப் பெறும் செயல்முறையை மிகவும் விலை உயர்ந்ததாக மாற்றி, முறையான பயனர்கள் தங்கள் பணத்தைத் திரும்பப் பெறுவதைத் தடுக்கும்.

தணிப்பு:

• லூப்கள் மற்றும் தரவுக் கட்டமைப்புகளின் அளவைக் கட்டுப்படுத்துங்கள்: வரம்பற்ற லூப்களைத் தவிர்ப்பது அல்லது அதிகப்படியான எரிவாயுவை நுகரக்கூடிய பெரிய தரவுக் கட்டமைப்புகளைப் பயன்படுத்துவதைத் தவிர்க்கவும்.
• பணம் செலுத்தும் வரம்புகளைச் செயல்படுத்தவும்: ஒரே பரிவர்த்தனையில் திரும்பப் பெறக்கூடிய அல்லது மாற்றக்கூடிய நிதியின் அளவைக் கட்டுப்படுத்துங்கள்.
• பணம் செலுத்துவதற்கு புஷ் செய்வதற்குப் பதிலாக புல் முறையைப் பயன்படுத்தவும்: பயனர்களுக்கு நிதியை அனுப்புவதற்குப் பதிலாக ஒப்பந்தத்திலிருந்து நிதியை இழுக்க அனுமதிக்கவும். இது தாக்குபவரின் செயலாக்க ஓட்டத்தின் மீதான கட்டுப்பாட்டைக் கட்டுப்படுத்துகிறது.
• விகித வரம்பை செயல்படுத்துதல்: ஒரு பயனர் ஒரு குறிப்பிட்ட காலத்திற்குள் சமர்ப்பிக்கக்கூடிய பரிவர்த்தனைகளின் எண்ணிக்கையைக் கட்டுப்படுத்துங்கள்.
• தோல்விக்காக வடிவமைத்தல்: எதிர்பாராத பிழைகள் அல்லது விதிவிலக்குகளை மென்மையாக கையாள ஒப்பந்தத்தை வடிவமைக்கவும்.

Delegatecall பாதிப்புகள்

விளக்கம்: `delegatecall` செயல்பாடு ஒரு ஒப்பந்தத்தை மற்றொரு ஒப்பந்தத்தின் குறியீட்டை அழைக்கும் ஒப்பந்தத்தின் சேமிப்பக சூழலில் செயல்படுத்த அனுமதிக்கிறது. அழைக்கப்பட்ட ஒப்பந்தம் நம்பத்தகாததாகவோ அல்லது தீங்கிழைக்கும் குறியீட்டைக் கொண்டதாகவோ இருந்தால் இது ஆபத்தானது, ஏனெனில் அது அழைக்கும் ஒப்பந்தத்தின் சேமிப்பகத்தை மேலெழுதலாம் மற்றும் ஒப்பந்தத்தின் கட்டுப்பாட்டை எடுக்கலாம். இது ப்ராக்ஸி முறைகளைப் பயன்படுத்தும்போது குறிப்பாக பொருத்தமானது.

எடுத்துக்காட்டு: ஒரு செயல்படுத்தும் ஒப்பந்தத்திற்கு அழைப்புகளை அனுப்ப `delegatecall` ஐப் பயன்படுத்தும் ஒரு ப்ராக்ஸி ஒப்பந்தம், செயல்படுத்தும் ஒப்பந்தம் சமரசம் செய்யப்பட்டால் பாதிக்கப்படலாம். ஒரு தாக்குபவர் ஒரு தீங்கிழைக்கும் செயல்படுத்தும் ஒப்பந்தத்தைப் பயன்படுத்தலாம் மற்றும் ப்ராக்ஸி ஒப்பந்தத்தை அதற்கு அழைப்புகளை அனுப்பும்படி ஏமாற்றலாம், இது அவர்களுக்கு ப்ராக்ஸி ஒப்பந்தத்தின் சேமிப்பகத்தை மேலெழுதவும் ஒப்பந்தத்தின் கட்டுப்பாட்டை எடுக்கவும் அனுமதிக்கும்.

தணிப்பு:

• நம்பகமான ஒப்பந்தங்களுக்கு மட்டுமே Delegatecall செய்யவும்: நீங்கள் நம்பும் மற்றும் முழுமையாக தணிக்கை செய்த ஒப்பந்தங்களை அழைக்க மட்டுமே `delegatecall` ஐப் பயன்படுத்தவும்.
• செயல்படுத்தும் ஒப்பந்தங்களுக்கு மாற்ற முடியாத முகவரிகளைப் பயன்படுத்தவும்: செயல்படுத்தும் ஒப்பந்தத்தின் முகவரியை ஒரு மாற்ற முடியாத மாறியில் சேமித்து, அது மாற்றப்படுவதைத் தடுக்கவும்.
• மேம்படுத்தக்கூடிய முறைகளை கவனமாக செயல்படுத்தவும்: நீங்கள் செயல்படுத்தும் ஒப்பந்தத்தை மேம்படுத்த வேண்டும் என்றால், தாக்குபவர்கள் மேம்படுத்தல் செயல்முறையைக் கடத்துவதைத் தடுக்கும் ஒரு பாதுகாப்பான மேம்படுத்தக்கூடிய முறையைப் பயன்படுத்தவும்.
• Delegatecall க்கு பதிலாக நூலகங்களைப் பயன்படுத்துவதைக் கருத்தில் கொள்ளவும்: `delegatecall` க்கு நூலகங்கள் ஒரு பாதுகாப்பான மாற்றாகும், ஏனெனில் அவை அழைக்கும் ஒப்பந்தத்தின் குறியீட்டின் சூழலில் செயல்படுத்தப்படுகின்றன, அதன் சேமிப்பகத்தில் அல்ல.

கையாளப்படாத விதிவிலக்குகள்

விளக்கம்: விதிவிலக்குகளை சரியாகக் கையாளத் தவறினால் எதிர்பாராத நடத்தை மற்றும் பாதுகாப்பு பாதிப்புகளுக்கு வழிவகுக்கும். ஒரு விதிவிலக்கு ஏற்படும்போது, பரிவர்த்தனை பொதுவாகத் திரும்பப்பெறுகிறது, ஆனால் விதிவிலக்கு சரியாகக் கையாளப்படாவிட்டால், ஒப்பந்தத்தின் நிலை ஒரு சீரற்ற அல்லது பாதிப்புக்குள்ளான நிலையில் விடப்படலாம். வெளிப்புற ஒப்பந்தங்களுடன் தொடர்புகொள்ளும்போது இது மிகவும் முக்கியமானது.

எடுத்துக்காட்டு: டோக்கன்களை மாற்றுவதற்காக ஒரு வெளிப்புற ஒப்பந்தத்தை அழைத்து, ஆனால் பிழைகளைச் சரிபார்க்காத ஒரு ஒப்பந்தம், வெளிப்புற ஒப்பந்தம் பரிவர்த்தனையைத் திரும்பப்பெற்றால் பாதிக்கப்படலாம். அழைக்கும் ஒப்பந்தம் பிழையைக் கையாளவில்லை என்றால், அதன் நிலை ஒரு சீரற்ற நிலையில் விடப்படலாம், இது நிதியிழப்புக்கு வழிவகுக்கும்.

தணிப்பு:

• திரும்பும் மதிப்புகளை எப்போதும் சரிபார்க்கவும்: வெளிப்புற செயல்பாட்டு அழைப்புகளின் திரும்பும் மதிப்புகள் வெற்றிகரமாக இருந்தனவா என்பதை உறுதிப்படுத்த எப்போதும் சரிபார்க்கவும். பிழைகளைக் கையாள `require` அல்லது `revert` அறிக்கைகளைப் பயன்படுத்தவும்.
• “சோதனைகள்-விளைவுகள்-தொடர்புகள்” முறையைப் பயன்படுத்தவும்: பிழைகளின் தாக்கத்தைக் குறைக்க வெளிப்புற அழைப்புகளைச் செய்வதற்கு முன் நிலை மாறிகளைப் புதுப்பிக்கவும்.
• Try-Catch பிளாக்குகளைப் பயன்படுத்தவும் (Solidity 0.8.0 மற்றும் அதற்குப் பிறகு): விதிவிலக்குகளை மென்மையாகக் கையாள `try-catch` பிளாக்குகளைப் பயன்படுத்தவும்.

முன்னோட்டம் (Front Running)

விளக்கம்: முன்னோட்டம் என்பது, ஒரு தாக்குபவர் ஒரு நிலுவையில் உள்ள பரிவர்த்தனையைக் கவனித்து, அசல் பரிவர்த்தனைக்கு முன்பு அதைச் செயல்படுத்த அதிக எரிவாயு விலையுடன் தனது சொந்த பரிவர்த்தனையைச் சமர்ப்பிக்கும்போது ஏற்படுகிறது. இது அசல் பரிவர்த்தனையின் விளைவிலிருந்து லாபம் பெற அல்லது கையாள பயன்படுத்தப்படலாம். இது பரவலாக்கப்பட்ட பரிமாற்றங்களில் (DEXs) பரவலாக உள்ளது.

எடுத்துக்காட்டு: ஒரு தாக்குபவர் ஒரு DEX-இல் ஒரு பெரிய கொள்முதல் ஆர்டரை, தனது சொந்த கொள்முதல் ஆர்டரை அதிக எரிவாயு விலையுடன் சமர்ப்பிப்பதன் மூலம் முன்னோட்டம் செய்யலாம், அசல் ஆர்டர் செயல்படுத்தப்படுவதற்கு முன்பு சொத்தின் விலையை உயர்த்தலாம். இது விலை உயர்விலிருந்து லாபம் பெற தாக்குபவரை அனுமதிக்கிறது.

தணிப்பு:

• கமிட்-ரிவீல் திட்டங்களைப் பயன்படுத்தவும்: பயனர்கள் தங்கள் செயல்களை உடனடியாக வெளிப்படுத்தாமல் அவற்றுக்கு உறுதியளிக்க அனுமதிக்கவும். இது தாக்குபவர்கள் தங்கள் பரிவர்த்தனைகளைக் கவனித்து முன்னோட்டம் செய்வதைத் தடுக்கிறது.
• பூஜ்ய-அறிவு சான்றுகளைப் பயன்படுத்தவும்: பார்வையாளர்களிடமிருந்து பரிவர்த்தனைகளின் விவரங்களை மறைக்க பூஜ்ய-அறிவு சான்றுகளைப் பயன்படுத்தவும்.
• ஆஃப்-செயின் வரிசைப்படுத்தலைப் பயன்படுத்தவும்: பிளாக்செயினுக்கு சமர்ப்பிக்கும் முன் கொள்முதல் மற்றும் விற்பனை ஆர்டர்களைப் பொருத்த ஆஃப்-செயின் வரிசைப்படுத்தல் அமைப்புகளைப் பயன்படுத்தவும்.
• நழுவல் கட்டுப்பாட்டைச் செயல்படுத்தவும் (Slippage Control): பயனர்கள் தாங்கள் பொறுத்துக்கொள்ளத் தயாராக இருக்கும் அதிகபட்ச நழுவலைக் குறிப்பிட அனுமதிக்கவும். இது தாக்குபவர்கள் விலையை தங்களுக்குப் பாதகமாக கையாளுவதைத் தடுக்கிறது.

குறுகிய முகவரி தாக்குதல் (Short Address Attack)

விளக்கம்: குறுகிய முகவரி தாக்குதல், பேடிங் தாக்குதல் என்றும் அழைக்கப்படுகிறது, இது சில ஸ்மார்ட் ஒப்பந்தங்கள் முகவரிகளைக் கையாளும் விதத்தில் உள்ள பாதிப்புகளைப் பயன்படுத்துகிறது. எதிர்பார்க்கப்படும் நீளத்தை விடக் குறைவான முகவரியைச் சமர்ப்பிப்பதன் மூலம், தாக்குபவர்கள் உள்ளீட்டுத் தரவைக் கையாளலாம் மற்றும் நிதியைத் திசைதிருப்பலாம் அல்லது எதிர்பாராத செயல்பாட்டைத் தூண்டலாம். இந்த பாதிப்பு சாலிடிட்டியின் பழைய பதிப்புகளைப் பயன்படுத்தும்போது அல்லது முறையான உள்ளீட்டு சரிபார்ப்பைச் செயல்படுத்தாத ஒப்பந்தங்களுடன் தொடர்புகொள்ளும்போது குறிப்பாக பொருத்தமானது.

எடுத்துக்காட்டு: 20-பைட் முகவரியை உள்ளீடாக எதிர்பார்க்கும் ஒரு டோக்கன் பரிமாற்ற செயல்பாட்டைக் கற்பனை செய்து பாருங்கள். ஒரு தாக்குபவர் 19-பைட் முகவரியைச் சமர்ப்பிக்கலாம், மேலும் EVM முகவரியை ஒரு பூஜ்ஜிய பைட்டுடன் பேட் செய்யலாம். ஒப்பந்தம் நீளத்தை சரியாக சரிபார்க்கவில்லை என்றால், இது நிதி திட்டமிடப்பட்டதை விட வேறு முகவரிக்கு அனுப்பப்படுவதற்கு வழிவகுக்கும்.

தணிப்பு:

• உள்ளீட்டு நீளத்தைச் சரிபார்க்கவும்: உள்ளீட்டுத் தரவின் நீளத்தை, குறிப்பாக முகவரிகளை, அவை எதிர்பார்க்கப்படும் அளவுக்குப் பொருந்துகின்றனவா என்பதை உறுதிப்படுத்த எப்போதும் சரிபார்க்கவும்.
• SafeMath நூலகங்களைப் பயன்படுத்தவும்: முதன்மையாக முழு எண் ஓவர்ஃப்ளோ/அண்டர்ஃப்ளோவைத் தடுப்பதற்காக இருந்தாலும், SafeMath நூலகங்கள் கையாளப்பட்ட மதிப்புகள் மீதான செயல்பாடுகள் எதிர்பார்த்தபடி செயல்படுவதை உறுதிசெய்வதன் மூலம் மறைமுகமாக உதவ முடியும்.
• நவீன சாலிடிட்டி பதிப்புகள்: சாலிடிட்டியின் புதிய பதிப்புகளில் உள்ளமைக்கப்பட்ட சோதனைகள் உள்ளன, மேலும் சில பேடிங் சிக்கல்களைத் தணிக்கலாம், ஆனால் வெளிப்படையான சரிபார்ப்பைச் செயல்படுத்துவது இன்னும் முக்கியமானது.

ஸ்மார்ட் ஒப்பந்த தணிக்கை முறைகள்

ஸ்மார்ட் ஒப்பந்த தணிக்கை என்பது கைமுறை பகுப்பாய்வு, தானியங்கி கருவிகள் மற்றும் முறையான சரிபார்ப்பு நுட்பங்களின் கலவையை உள்ளடக்கிய ஒரு பன்முக செயல்முறையாகும். முக்கிய முறைகளின் ஒரு கண்ணோட்டம் இங்கே:

கைமுறை குறியீடு ஆய்வு (Manual Code Review)

கைமுறை குறியீடு ஆய்வு ஸ்மார்ட் ஒப்பந்த தணிக்கையின் மூலக்கல்லாகும். இது ஒரு பாதுகாப்பு நிபுணர் சாத்தியமான பாதிப்புகள், தர்க்கப் பிழைகள் மற்றும் சிறந்த நடைமுறைகளிலிருந்து விலகல்களைக் கண்டறிய மூலக் குறியீட்டை கவனமாக ஆராய்வதை உள்ளடக்கியது. இதற்கு ஸ்மார்ட் ஒப்பந்த பாதுகாப்பு கொள்கைகள், பொதுவான தாக்குதல் திசையன்கள் மற்றும் தணிக்கை செய்யப்படும் ஒப்பந்தத்தின் குறிப்பிட்ட தர்க்கம் பற்றிய ஆழமான புரிதல் தேவை. தணிக்கையாளர் முரண்பாடுகள் அல்லது பாதிப்புகளை துல்லியமாகக் கண்டறிய திட்டமிடப்பட்ட செயல்பாட்டைப் புரிந்து கொள்ள வேண்டும்.

முக்கிய படிகள்:

• ஒப்பந்தத்தின் நோக்கத்தைப் புரிந்துகொள்ளுதல்: குறியீட்டிற்குள் செல்வதற்கு முன், தணிக்கையாளர் ஒப்பந்தத்தின் நோக்கம், கட்டமைப்பு மற்றும் பிற ஒப்பந்தங்களுடனான தொடர்புகளைப் புரிந்து கொள்ள வேண்டும்.
• குறியீட்டை வரி வரியாக மதிப்பாய்வு செய்தல்: அணுகல் கட்டுப்பாடு, தரவு சரிபார்ப்பு, கணித செயல்பாடுகள் மற்றும் வெளிப்புற அழைப்புகள் போன்ற முக்கியமான பகுதிகளுக்கு கவனம் செலுத்தி, ஒவ்வொரு குறியீட்டு வரியையும் கவனமாக ஆராயுங்கள்.
• சாத்தியமான தாக்குதல் திசையன்களைக் கண்டறிதல்: ஒரு தாக்குபவரைப் போல சிந்தித்து, ஒப்பந்தத்தைப் பயன்படுத்தக்கூடிய சாத்தியமான வழிகளைக் கண்டறிய முயற்சிக்கவும்.
• பொதுவான பாதிப்புகளைச் சரிபார்த்தல்: மீண்டும் நுழைதல், முழு எண் ஓவர்ஃப்ளோ/அண்டர்ஃப்ளோ, நேரமுத்திரை சார்பு மற்றும் அணுகல் கட்டுப்பாட்டு சிக்கல்கள் போன்ற பொதுவான பாதிப்புகளைத் தேடுங்கள்.
• பாதுகாப்பு சிறந்த நடைமுறைகளுடன் இணக்கத்தைச் சரிபார்த்தல்: ஒப்பந்தம் சோதனைகள்-விளைவுகள்-தொடர்புகள் முறை போன்ற நிறுவப்பட்ட பாதுகாப்பு சிறந்த நடைமுறைகளைக் கடைப்பிடிப்பதை உறுதி செய்யவும்.
• கண்டுபிடிப்புகளை ஆவணப்படுத்துதல்: பாதிப்பின் இடம், சாத்தியமான தாக்கம் மற்றும் பரிந்துரைக்கப்பட்ட தீர்வு நடவடிக்கைகள் உட்பட அனைத்து கண்டுபிடிப்புகளையும் தெளிவாக ஆவணப்படுத்துங்கள்.

தானியங்கி பகுப்பாய்வு கருவிகள் (Automated Analysis Tools)

தானியங்கி பகுப்பாய்வு கருவிகள் பொதுவான பாதிப்புகள் மற்றும் குறியீட்டு வாசனைகளை தானாகக் கண்டறிவதன் மூலம் தணிக்கை செயல்முறையை நெறிப்படுத்த உதவும். இந்த கருவிகள் குறியீட்டை உண்மையில் செயல்படுத்தாமல் சாத்தியமான பாதுகாப்பு சிக்கல்களைக் கண்டறிய நிலையான பகுப்பாய்வு நுட்பங்களைப் பயன்படுத்துகின்றன. இருப்பினும், தானியங்கி கருவிகள் கைமுறை குறியீடு ஆய்வுக்கு மாற்றாகாது, ஏனெனில் அவை நுட்பமான பாதிப்புகளைத் தவறவிடலாம் அல்லது தவறான நேர்மறைகளை உருவாக்கலாம்.

பிரபலமான கருவிகள்:

• Slither: மீண்டும் நுழைதல், முழு எண் ஓவர்ஃப்ளோ/அண்டர்ஃப்ளோ மற்றும் நேரமுத்திரை சார்பு உட்பட பரந்த அளவிலான பாதிப்புகளைக் கண்டறியும் ஒரு நிலையான பகுப்பாய்வுக் கருவி.
• Mythril: சாத்தியமான பாதுகாப்பு சிக்கல்களைக் கண்டறிய ஒரு ஸ்மார்ட் ஒப்பந்தத்தின் அனைத்து சாத்தியமான செயல்படுத்தல் பாதைகளையும் ஆராயும் ஒரு குறியீட்டு செயல்படுத்தல் கருவி.
• Oyente: பரிவர்த்தனை வரிசைப்படுத்தல் சார்பு மற்றும் நேரமுத்திரை சார்பு போன்ற பொதுவான பாதிப்புகளைக் கண்டறியும் ஒரு நிலையான பகுப்பாய்வுக் கருவி.
• Securify: ஒரு முறையான விவரக்குறிப்பின் அடிப்படையில் பாதுகாப்பு பண்புகளுடன் இணக்கத்தைச் சரிபார்க்கும் ஒரு நிலையான பகுப்பாய்வுக் கருவி.
• SmartCheck: பல்வேறு குறியீட்டு வாசனைகள் மற்றும் சாத்தியமான பாதிப்புகளைக் கண்டறியும் ஒரு நிலையான பகுப்பாய்வுக் கருவி.

ஃபஸ்ஸிங் (Fuzzing)

ஃபஸ்ஸிங் என்பது ஒரு ஸ்மார்ட் ஒப்பந்தத்திற்கு அதிக எண்ணிக்கையிலான சீரற்ற அல்லது பகுதி-சீரற்ற உள்ளீடுகளை அளித்து சாத்தியமான பாதிப்புகள் அல்லது எதிர்பாராத நடத்தைகளைக் கண்டறியும் ஒரு டைனமிக் சோதனை நுட்பமாகும். ஃபஸ்ஸிங் நிலையான பகுப்பாய்வுக் கருவிகள் அல்லது கைமுறை குறியீடு ஆய்வால் தவறவிடக்கூடிய பிழைகளைக் கண்டறிய உதவும். இருப்பினும், ஃபஸ்ஸிங் ஒரு விரிவான சோதனை நுட்பம் அல்ல, மேலும் இது மற்ற தணிக்கை முறைகளுடன் இணைந்து பயன்படுத்தப்பட வேண்டும்.

பிரபலமான ஃபஸ்ஸிங் கருவிகள்:

• Echidna: ஒப்பந்தத்தின் நடத்தைக்கான ஒரு முறையான விவரக்குறிப்பின் அடிப்படையில் சீரற்ற உள்ளீடுகளை உருவாக்கும் ஒரு ஹாஸ்கெல் அடிப்படையிலான ஃபஸ்ஸிங் கருவி.
• Foundry: எத்தேரியம் பயன்பாட்டு மேம்பாட்டிற்கான ஒரு வேகமான, கையடக்க மற்றும் மட்டுப்படுத்தப்பட்ட கருவித்தொகுப்பு, இது சக்திவாய்ந்த ஃபஸ்ஸிங் திறன்களை உள்ளடக்கியது.

முறையான சரிபார்ப்பு (Formal Verification)

முறையான சரிபார்ப்பு என்பது ஸ்மார்ட் ஒப்பந்தங்களின் சரியான தன்மை மற்றும் பாதுகாப்பை உறுதி செய்வதற்கான மிகக் கடுமையான முறையாகும். இது ஒரு ஸ்மார்ட் ஒப்பந்தம் முன்னரே வரையறுக்கப்பட்ட விவரக்குறிப்புகளின் தொகுப்பை திருப்திப்படுத்துகிறது என்பதை முறையாக நிரூபிக்க கணித நுட்பங்களைப் பயன்படுத்துவதை உள்ளடக்கியது. முறையான சரிபார்ப்பு ஒரு ஸ்மார்ட் ஒப்பந்தம் பிழைகள் மற்றும் பாதிப்புகளிலிருந்து விடுபட்டுள்ளது என்பதற்கு உயர் மட்ட உறுதியை வழங்க முடியும், ஆனால் இது ஒரு சிக்கலான மற்றும் நேரத்தைச் செலவழிக்கும் செயல்முறையாகும்.

முக்கிய படிகள்:

• முறையான விவரக்குறிப்புகளை வரையறுத்தல்: ஒரு முறையான மொழியில் ஸ்மார்ட் ஒப்பந்தத்தின் விரும்பிய நடத்தையை தெளிவாக வரையறுக்கவும்.
• ஸ்மார்ட் ஒப்பந்தத்தை மாதிரியாக்குதல்: ஒரு கணித கட்டமைப்பைப் பயன்படுத்தி ஸ்மார்ட் ஒப்பந்தத்தின் ஒரு முறையான மாதிரியை உருவாக்கவும்.
• விவரக்குறிப்புகளுடன் இணக்கத்தை நிரூபித்தல்: ஸ்மார்ட் ஒப்பந்தம் முறையான விவரக்குறிப்புகளை திருப்திப்படுத்துகிறது என்பதை நிரூபிக்க தானியங்கி தேற்றம் நிரூபிகள் அல்லது மாதிரி சரிபார்ப்பிகளைப் பயன்படுத்தவும்.
• முறையான மாதிரியை சரிபார்த்தல்: முறையான மாதிரி ஸ்மார்ட் ஒப்பந்தத்தின் நடத்தையை துல்லியமாக பிரதிபலிக்கிறது என்பதை உறுதி செய்யவும்.

கருவிகள்:

• Certora Prover: சாலிடிட்டியில் எழுதப்பட்ட ஸ்மார்ட் ஒப்பந்தங்களை முறையாக சரிபார்க்கக்கூடிய கருவி.
• K Framework: நிரலாக்க மொழிகளைக் குறிப்பிடுவதற்கும் நிரல்களைச் சரிபார்ப்பதற்கும் ஒரு கட்டமைப்பு.

பக் பவுண்டி திட்டங்கள் (Bug Bounty Programs)

பக் பவுண்டி திட்டங்கள் பாதுகாப்பு ஆராய்ச்சியாளர்களை ஸ்மார்ட் ஒப்பந்தங்களில் உள்ள பாதிப்புகளைக் கண்டறிந்து புகாரளிக்க ஊக்குவிக்கின்றன. செல்லுபடியாகும் பிழை அறிக்கைகளுக்கு வெகுமதிகளை வழங்குவதன் மூலம், பக் பவுண்டி திட்டங்கள் உள் தணிக்கை முயற்சிகளால் தவறவிடக்கூடிய பாதிப்புகளைக் கண்டறிய உதவும். இந்தத் திட்டங்கள் ஒரு தொடர்ச்சியான பின்னூட்ட வளையத்தை உருவாக்குகின்றன, இது ஸ்மார்ட் ஒப்பந்தத்தின் பாதுகாப்பு நிலையை மேலும் மேம்படுத்துகிறது. பக் பவுண்டி திட்டத்தின் நோக்கம் தெளிவாக வரையறுக்கப்பட்டுள்ளதா என்பதை உறுதிப்படுத்திக் கொள்ளுங்கள், எந்த ஒப்பந்தங்கள் மற்றும் பாதிப்பு வகைகள் வரம்பிற்குள் உள்ளன, மற்றும் பங்கேற்பு மற்றும் வெகுமதி விநியோகத்திற்கான விதிகளை கோடிட்டுக் காட்டுங்கள். Immunefi போன்ற தளங்கள் பக் பவுண்டி திட்டங்களை எளிதாக்குகின்றன.

பாதுகாப்பான ஸ்மார்ட் ஒப்பந்த மேம்பாட்டிற்கான சிறந்த நடைமுறைகள்

பாதிப்புகளை முதலில் தடுப்பதே ஸ்மார்ட் ஒப்பந்தங்களின் பாதுகாப்பை உறுதி செய்வதற்கான மிகச் சிறந்த வழியாகும். பாதுகாப்பான ஸ்மார்ட் ஒப்பந்த மேம்பாட்டிற்கான சில சிறந்த நடைமுறைகள் இங்கே:

• பாதுகாப்பான குறியீட்டு நடைமுறைகளைப் பின்பற்றவும்: உள்ளீட்டு சரிபார்ப்பு, வெளியீட்டு குறியாக்கம் மற்றும் பிழை கையாளுதல் போன்ற நிறுவப்பட்ட பாதுகாப்பான குறியீட்டு நடைமுறைகளைக் கடைப்பிடிக்கவும்.
• நிறுவப்பட்ட நூலகங்களைப் பயன்படுத்தவும்: சக்கரத்தை மீண்டும் கண்டுபிடிப்பதையும் சாத்தியமான பாதிப்புகளை அறிமுகப்படுத்துவதையும் தவிர்க்க OpenZeppelin Contracts போன்ற நன்கு சரிபார்க்கப்பட்ட மற்றும் தணிக்கை செய்யப்பட்ட நூலகங்களைப் பயன்படுத்தவும்.
• குறியீட்டை எளிமையாகவும் மட்டுப்படுத்தப்பட்டதாகவும் வைத்திருங்கள்: புரிந்துகொள்ளவும் தணிக்கை செய்யவும் எளிதான எளிய, மட்டுப்படுத்தப்பட்ட குறியீட்டை எழுதுங்கள்.
• யூனிட் சோதனைகளை எழுதுங்கள்: ஸ்மார்ட் ஒப்பந்தத்தின் செயல்பாட்டைச் சரிபார்க்கவும் சாத்தியமான பிழைகளைக் கண்டறியவும் விரிவான யூனிட் சோதனைகளை எழுதுங்கள்.
• ஒருங்கிணைப்பு சோதனைகளைச் செய்யவும்: ஸ்மார்ட் ஒப்பந்தத்திற்கும் பிற ஒப்பந்தங்கள் அல்லது அமைப்புகளுக்கும் இடையிலான தொடர்புகளைச் சரிபார்க்க ஒருங்கிணைப்பு சோதனைகளைச் செய்யவும்.
• தொடர்ச்சியான பாதுகாப்பு தணிக்கைகளை நடத்துங்கள்: பாதிப்புகளைக் கண்டறிந்து தணிக்க அனுபவம் வாய்ந்த தணிக்கையாளர்களால் தொடர்ச்சியான பாதுகாப்பு தணிக்கைகளை நடத்துங்கள்.
• ஒரு பாதுகாப்பு மறுமொழி திட்டத்தை செயல்படுத்தவும்: பாதுகாப்பு சம்பவங்கள் மற்றும் பாதிப்புகளை சரியான நேரத்தில் மற்றும் திறம்பட கையாள ஒரு பாதுகாப்பு மறுமொழி திட்டத்தை உருவாக்கவும்.
• பாதுகாப்பு செய்திகளில் புதுப்பித்த நிலையில் இருங்கள்: பிளாக்செயின் சூழல் அமைப்பில் சமீபத்திய பாதுகாப்பு அச்சுறுத்தல்கள் மற்றும் பாதிப்புகள் குறித்து தகவலறிந்து இருங்கள்.
• உங்கள் குறியீட்டை ஆவணப்படுத்துங்கள்: சரியான குறியீட்டு ஆவணப்படுத்தல் மற்றவர்கள் உங்கள் குறியீட்டைப் புரிந்துகொள்வதை எளிதாக்குகிறது, சக மதிப்பாய்வு மற்றும் தணிக்கைகளின் போது பாதிப்புகள் கண்டறியப்படுவதற்கான வாய்ப்புகளை மேம்படுத்துகிறது.
• மேம்படுத்தக்கூடிய தன்மையைக் கருத்தில் கொள்ளவும்: உங்கள் ஸ்மார்ட் ஒப்பந்தங்களை மேம்படுத்தக்கூடியதாக வடிவமைக்கவும், இது பாதிப்புகளை சரிசெய்யவும் புதிய அம்சங்களைச் சேர்க்கவும் இருக்கும் தரவை மாற்றாமல் உங்களை அனுமதிக்கிறது. இருப்பினும், புதிய பாதுகாப்பு அபாயங்களை அறிமுகப்படுத்துவதைத் தவிர்க்க மேம்படுத்தக்கூடிய முறைகளை கவனமாக செயல்படுத்தவும்.
• எரிவாயு வரம்பு விழிப்புணர்வு: ஸ்மார்ட் ஒப்பந்தங்களை வடிவமைக்கும் மற்றும் செயல்படுத்தும் போது எரிவாயு வரம்புகளை மனதில் கொள்ளுங்கள். அதிகப்படியான எரிவாயுவை நுகரும் குறியீடு பரிவர்த்தனை தோல்விகள் அல்லது சேவை மறுப்பு தாக்குதல்களுக்கு வழிவகுக்கும்.
• முடிந்தால் முறையான சரிபார்ப்பைப் பயன்படுத்தவும்: உயர் மதிப்புள்ள சொத்துக்களை நிர்வகிக்கும் முக்கியமான ஸ்மார்ட் ஒப்பந்தங்களுக்கு, ஒப்பந்தம் பிழைகள் மற்றும் பாதிப்புகளிலிருந்து விடுபட்டுள்ளது என்பதற்கு உயர் மட்ட உறுதியை வழங்க முறையான சரிபார்ப்பு நுட்பங்களைப் பயன்படுத்துவதைக் கருத்தில் கொள்ளவும்.

ஒரு ஸ்மார்ட் ஒப்பந்த தணிக்கையாளரைத் தேர்ந்தெடுப்பது

உங்கள் ஸ்மார்ட் ஒப்பந்தங்களின் பாதுகாப்பை உறுதி செய்வதற்கு சரியான தணிக்கையாளரைத் தேர்ந்தெடுப்பது மிகவும் முக்கியமானது. ஒரு தணிக்கையாளரைத் தேர்ந்தெடுக்கும்போது கருத்தில் கொள்ள வேண்டிய சில காரணிகள் இங்கே:

• அனுபவம் மற்றும் நிபுணத்துவம்: ஸ்மார்ட் ஒப்பந்தப் பாதுகாப்பில் விரிவான அனுபவமும் பிளாக்செயின் தொழில்நுட்பத்தில் ஆழ்ந்த புரிதலும் கொண்ட ஒரு தணிக்கையாளரைத் தேர்வு செய்யவும்.
• நற்பெயர்: தணிக்கையாளரின் நற்பெயர் மற்றும் சாதனைப் பதிவைச் சரிபார்க்கவும். முந்தைய வாடிக்கையாளர்களிடமிருந்து சான்றுகள் மற்றும் தொழில் வல்லுநர்களிடமிருந்து மதிப்புரைகளைத் தேடுங்கள்.
• முறை: தணிக்கையாளரின் தணிக்கை முறை குறித்து விசாரிக்கவும். அவர்கள் கைமுறை பகுப்பாய்வு, தானியங்கி கருவிகள் மற்றும் முறையான சரிபார்ப்பு நுட்பங்களின் கலவையைப் பயன்படுத்துகிறார்கள் என்பதை உறுதிப்படுத்தவும்.
• தொடர்பு: பதிலளிக்கக்கூடிய, தகவல்தொடர்பு திறன் கொண்ட மற்றும் தங்கள் கண்டுபிடிப்புகளையும் பரிந்துரைகளையும் தெளிவாக விளக்கக்கூடிய ஒரு தணிக்கையாளரைத் தேர்வு செய்யவும்.
• வெளிப்படைத்தன்மை: தங்கள் செயல்முறை மற்றும் கண்டுபிடிப்புகள் குறித்து வெளிப்படையாக இருக்கும் ஒரு தணிக்கையாளரைத் தேர்வு செய்யவும். அவர்கள் தங்கள் தணிக்கை அறிக்கையைப் பகிர்ந்து கொள்ளவும், உங்களிடம் உள்ள எந்தக் கேள்விகளுக்கும் பதிலளிக்கவும் தயாராக இருக்க வேண்டும்.
• செலவு: தணிக்கையின் செலவைக் கருத்தில் கொள்ளுங்கள், ஆனால் விலையை மட்டுமே தீர்மானிக்கும் காரணியாக இருக்க விடாதீர்கள். ஒரு மலிவான தணிக்கை ஒரு விலை உயர்ந்த தணிக்கையைப் போல முழுமையானதாகவோ அல்லது நம்பகமானதாகவோ இருக்காது.
• தொழில் அங்கீகாரம்: பிளாக்செயின் பாதுகாப்பு சமூகத்தில் அங்கீகரிக்கப்பட்ட தணிக்கையாளர்களைத் தேடுங்கள்.
• குழு அமைப்பு: தணிக்கைக் குழுவின் அமைப்பைப் புரிந்து கொள்ளுங்கள். பாதுகாப்பின் பல்வேறு பகுதிகளில் (எ.கா., குறியாக்கவியல், வலைப் பாதுகாப்பு, ஸ்மார்ட் ஒப்பந்த மேம்பாடு) நிபுணத்துவம் பெற்ற ஒரு பன்முகக் குழு ஒரு விரிவான தணிக்கையை வழங்க முடியும்.

ஸ்மார்ட் ஒப்பந்த தணிக்கையின் எதிர்காலம்

புதிய பாதிப்புகள் கண்டறியப்பட்டு புதிய தொழில்நுட்பங்கள் வெளிவரும்போது ஸ்மார்ட் ஒப்பந்த தணிக்கைத் துறை தொடர்ந்து உருவாகி வருகிறது. ஸ்மார்ட் ஒப்பந்த தணிக்கையின் எதிர்காலத்தை வடிவமைக்கும் சில போக்குகள் இங்கே:

• அதிகரித்த தன்னியக்கமாக்கல்: தானியங்கி பகுப்பாய்வுக் கருவிகள் மிகவும் நுட்பமானவையாகவும், பரந்த அளவிலான பாதிப்புகளைக் கண்டறியும் திறன் கொண்டவையாகவும் மாறி வருகின்றன.
• முறையான சரிபார்ப்பு: முறையான சரிபார்ப்பு நுட்பங்கள் மிகவும் அணுகக்கூடியவையாகவும் பயன்படுத்த எளிதானவையாகவும் மாறி வருகின்றன.
• செயற்கை நுண்ணறிவு-இயங்கும் தணிக்கை: ஸ்மார்ட் ஒப்பந்தக் குறியீட்டில் வடிவங்களையும் முரண்பாடுகளையும் தானாகக் கண்டறியக்கூடிய புதிய தணிக்கைக் கருவிகளை உருவாக்க செயற்கை நுண்ணறிவு (AI) பயன்படுத்தப்படுகிறது.
• தரப்படுத்தப்பட்ட தணிக்கை கட்டமைப்புகள்: ஸ்மார்ட் ஒப்பந்த தணிக்கைக்கு ஒரு நிலையான மற்றும் மீண்டும் செய்யக்கூடிய அணுகுமுறையை வழங்கும் தரப்படுத்தப்பட்ட தணிக்கை கட்டமைப்புகளை உருவாக்க முயற்சிகள் நடந்து வருகின்றன.
• சமூகம்-இயக்கும் தணிக்கை: பக் பவுண்டி திட்டங்கள் போன்ற சமூகம்-இயக்கும் தணிக்கை முயற்சிகள் மிகவும் பிரபலமாகவும் பயனுள்ளதாகவும் மாறி வருகின்றன.
• மேம்பாட்டுக் கருவிகளுடன் ஒருங்கிணைப்பு: பாதுகாப்பு தணிக்கைக் கருவிகள் மேம்பாட்டுச் சூழல்களில் ஒருங்கிணைக்கப்படுகின்றன, இது டெவலப்பர்கள் மேம்பாட்டுச் செயல்முறையின் ஆரம்பத்திலேயே பாதிப்புகளைக் கண்டறிந்து சரிசெய்ய அனுமதிக்கிறது.
• புதிய மொழிகள் மற்றும் தளங்களில் கவனம்: புதிய ஸ்மார்ட் ஒப்பந்த மொழிகள் மற்றும் தளங்கள் (எ.கா., சோலானாவிற்கான ரஸ்ட்) வெளிவரும்போது, அவற்றை ஆதரிக்க தணிக்கைக் கருவிகளும் நுட்பங்களும் உருவாக்கப்படுகின்றன.

முடிவுரை

ஸ்மார்ட் ஒப்பந்த தணிக்கை என்பது பிளாக்செயின் பயன்பாடுகளின் பாதுகாப்பு மற்றும் நம்பகத்தன்மையை உறுதி செய்வதற்கான ஒரு முக்கியமான செயல்முறையாகும். பொதுவான பாதிப்புகளைப் புரிந்துகொள்வதன் மூலமும், பாதுகாப்பான குறியீட்டு நடைமுறைகளைச் செயல்படுத்துவதன் மூலமும், முழுமையான தணிக்கைகளை நடத்துவதன் மூலமும், டெவலப்பர்கள் பாதுகாப்பு மீறல்களின் அபாயத்தைக் குறைத்து, தங்கள் பயனர்களின் சொத்துக்களைப் பாதுகாக்க முடியும். பிளாக்செயின் சூழல் அமைப்பு தொடர்ந்து வளரும்போது, ஸ்மார்ட் ஒப்பந்த தணிக்கையின் முக்கியத்துவம் மட்டுமே அதிகரிக்கும். உலகளவில் பிளாக்செயின் தொழில்நுட்பத்தின் நம்பிக்கையை வளர்ப்பதற்கும் அதன் தழுவலை ஊக்குவிப்பதற்கும், வளர்ந்து வரும் தணிக்கை முறைகளுடன் இணைந்த முன்முயற்சியான பாதுகாப்பு நடவடிக்கைகள் அவசியமானவை. பாதுகாப்பு என்பது ஒரு தொடர்ச்சியான செயல்முறை, ஒரு முறை நிகழ்வு அல்ல என்பதை நினைவில் கொள்ளுங்கள். உங்கள் ஸ்மார்ட் ஒப்பந்தங்களின் நீண்டகால பாதுகாப்பைப் பராமரிக்க, தொடர்ச்சியான கண்காணிப்பு மற்றும் பராமரிப்புடன் இணைந்த வழக்கமான தணிக்கைகள் மிக முக்கியமானவை.