Уязвимости смарт-контрактов

Подборка уязвимостей смарт-контрактов и методов их предотвращения.

См. /references для справочных материалов, оптимизированных под LLM.

Контроль доступа

• Авторизация через tx.origin
• Недостаточный контроль доступа
• Delegatecall на недоверенный вызываемый контракт
• Изменяемость подписи
• Отсутствие защиты от атак повторного использования подписи

Математика

• Целочисленное переполнение и потеря значимости
• Ошибка на единицу
• Недостаточная точность

Поток управления

• Реентерабельность
• DoS из-за лимита газа блока
• DoS с (неожиданным) revert
• Использование msg.value в цикле
• Зависимость от порядка транзакций

Обработка данных

• Непроверенное возвращаемое значение
• Запись в произвольное место хранилища
• Неограниченные возвращаемые данные
• Неинициализированный указатель на хранилище
• Неожиданный нулевой адрес от ecrecover

Небезопасная логика

• Слабые источники случайности из атрибутов блокчейна
• Коллизия хеша при использовании abi.encodePacked() с несколькими аргументами переменной длины
• Зависимость от временной метки
• Небезопасный низкоуровневый вызов
• Неподдерживаемые опкоды
• Незашифрованные приватные данные в блокчейне
• Определение контракта по размеру кода

Качество кода

• Плавающая прагма
• Устаревшая версия компилятора
• Использование устаревших функций
• Некорректное имя конструктора
• Затенение переменных состояния
• Некорректный порядок наследования
• Наличие неиспользуемых переменных
• Видимость по умолчанию
• Несоблюдение стандартов
• Нарушение assert
• Нарушение require