Tinjauan Kejadian Keamanan Cetus dan Analisis Audit Kode

Baru-baru ini, DEX Cetus dari ekosistem SUI mengalami serangan, yang memicu perhatian kembali dalam industri mengenai keamanan proyek DeFi. Artikel ini akan meninjau situasi audit keamanan kode Cetus dan membahas pengaruh audit kode terhadap keamanan proyek DeFi.

Situasi audit kode Cetus

Cetus telah mempublikasikan beberapa laporan audit kode di Github, yang terutama berasal dari tiga lembaga: MoveBit, OtterSec, dan Zellic. Karena serangan ini terjadi di rantai SUI, kami fokus pada hasil audit yang terkait dengan rantai SUI.

Laporan Audit MoveBit

Laporan audit MoveBit diunggah pada 28 April 2023, ditemukan total 18 masalah risiko:

• 1 risiko fatal
• 2 risiko utama
• 3 risiko sedang
• 12 risiko ringan

Perlu dicatat bahwa masalah ini semua telah diselesaikan.

Laporan Audit OtterSec

Laporan audit OtterSec diunggah pada 12 Mei 2023, menemukan masalah berikut:

• 1 masalah risiko tinggi (sudah diselesaikan)
• 1 masalah risiko sedang (sudah diselesaikan)
• 7 risiko informasi (2 sudah diselesaikan, 2 mengirimkan perbaikan, 3 menunggu penanganan)

Risiko informasi yang belum sepenuhnya teratasi meliputi:

1. Kode versi SUI dan Aptos tidak konsisten, yang mungkin mempengaruhi perhitungan harga kolam likuiditas.
2. Kurangnya verifikasi status jeda dapat menyebabkan perdagangan masih dapat dilakukan dalam status jeda.
3. Pada transaksi besar, mungkin terjadi overflow konversi tipe dari u256 ke u64

Laporan Audit Zellic

Laporan audit Zellic menemukan 3 risiko informasi, yang semuanya belum diperbaiki:

1. Masalah otorisasi fungsi, memungkinkan siapa saja untuk menyetor biaya ke akun mitra
2. Terdapat fungsi yang telah usang tetapi masih dirujuk, menyebabkan kode menjadi redundan
3. Tipe data TypeName yang kompleks digunakan dalam data tampilan NFT

Masalah-masalah ini terutama berkaitan dengan kepatuhan kode, dengan risiko yang relatif rendah.

Audit Kode dan Keamanan Proyek

Dari kasus Cetus, terlihat bahwa proyek yang telah diaudit oleh banyak lembaga masih bisa mengalami serangan. Ini mengingatkan kita bahwa, meskipun audit kode itu penting, itu bukan jaminan keamanan yang mutlak.

Membandingkan langkah-langkah keamanan beberapa proyek DEX baru yang muncul:

1. GMX V2: 5 perusahaan audit, hadiah bug maksimum 500.000 dolar AS
2. DeGate: 35 perusahaan diaudit, bounty kerentanan hingga 1,11 juta dolar AS
3. DYDX V4: Diaudit oleh Informal Systems, hadiah bug hingga 5 juta dolar
4. Hyperliquid: audit mandiri, hadiah bug hingga 1 juta dolar
5. UniversalX: Audit ganda oleh Certik dan Slow Mist
6. GMGN: Laporan audit belum dipublikasikan, tetapi ada program hadiah kerentanan hingga $10.000.

Kesimpulan

Audit yang dilakukan oleh banyak pihak dengan program hadiah kerentanan yang tinggi dapat meningkatkan keamanan proyek hingga tingkat tertentu. Namun, protokol DeFi yang baru muncul masih mungkin memiliki kerentanan keamanan yang belum diperbaiki. Oleh karena itu, investor harus memperhatikan situasi audit kode dan langkah-langkah keamanan saat berpartisipasi dalam proyek baru.

Untuk proyek DeFi, audit keamanan yang berkelanjutan dan perbaikan kerentanan yang tepat waktu sangat penting. Selain itu, membangun mekanisme manajemen risiko yang baik, termasuk rencana respons darurat, juga merupakan langkah penting untuk memastikan operasi proyek yang stabil dalam jangka panjang.