스마트 컨트랙트 취약점

스마트 컨트랙트 취약점과 예방 방법을 모아 놓은 문서입니다.

LLM에 최적화된 참고 자료는 /references를 참조하세요.

접근 제어

• tx.origin을 통한 인가
• 불충분한 접근 제어
• 신뢰할 수 없는 호출 대상에 대한 Delegatecall
• 서명 변조 가능성
• 서명 재생 공격에 대한 보호 부재

수학

• 정수 오버플로 및 언더플로
• Off-By-One
• 정밀도 부족

제어 흐름

• 재진입
• 블록 가스 한도로 인한 DoS
• (예기치 않은) revert로 인한 DoS
• 루프에서 msg.value 사용
• 트랜잭션 순서 의존성
• 불충분한 가스 그리핑

데이터 처리

• 확인되지 않은 반환 값
• 임의 저장 위치에 쓰기
• 무제한 반환 데이터
• 초기화되지 않은 저장소 포인터
• 예기치 않은 ecrecover 널 주소

안전하지 않은 로직

• 체인 속성에서 비롯된 취약한 난수 소스
• 여러 가변 길이 인수와 함께 abi.encodePacked()를 사용할 때의 해시 충돌
• 타임스탬프 의존성
• 안전하지 않은 저수준 호출
• 지원되지 않는 Opcode
• 체인 상의 암호화되지 않은 개인 데이터
• 코드 크기로 컨트랙트 여부 확인

코드 품질

• 부동 Pragma
• 오래된 컴파일러 버전
• 더 이상 사용되지 않는 함수 사용
• 잘못된 생성자 이름
• 상태 변수 섀도잉
• 잘못된 상속 순서
• 사용되지 않는 변수 존재
• 기본 가시성
• 표준 미준수
• Assert 위반
• Requirement 위반