Cetus Güvenlik Olayı İncelemesi ve Kod Denetim Analizi

Son zamanlarda, SUI ekosistemindeki DEX Cetus saldırıya uğradı ve bu durum DeFi projelerinin güvenliği üzerine sektörde yeniden bir dikkat çekti. Bu makalede, Cetus'un kod güvenlik denetimi durumu gözden geçirilecek ve kod denetiminin DeFi projelerinin güvenliği üzerindeki etkisi ele alınacaktır.

Cetus'un kod denetim durumu

Cetus, Github'ta MoveBit, OtterSec ve Zellic adlı üç kurumdan gelen birçok kod denetim raporunu yayımladı. Bu saldırının SUI zincirinde gerçekleşmesi nedeniyle, SUI zinciriyle ilgili denetim sonuçlarına odaklanıyoruz.

MoveBit denetim raporu

MoveBit'in denetim raporu 28 Nisan 2023'te yüklendi, toplamda 18 risk sorunu tespit edildi:

• 1 ölümcül risk
• 2 ana risk
• 3 orta risk
• 12 hafif risk

Dikkate değer olan, bu sorunların hepsinin çözüldüğüdür.

OtterSec denetim raporu

OtterSec'in denetim raporu 12 Mayıs 2023'te yüklendi ve aşağıdaki sorunları tespit etti:

• 1 yüksek riskli sorun (çözüldü)
• 1 orta düzey risk sorunu (çözüldü)
• 7 bilgi riski (2'si çözüldü, 2'si düzeltme yaması gönderildi, 3'ü beklemede)

Tam olarak çözülmemiş bilgi riskleri şunlardır:

1. SUI ile Aptos versiyon kodları uyuşmuyor, bu da likidite havuzu fiyat hesaplamasını etkileyebilir.
2. Duraklatma durumu doğrulaması eksik, bu da duraklatma durumundayken hala işlem yapılmasına neden olabilir.
3. Yüksek değerli işlemlerde u256'dan u64'e tür dönüşüm taşması olabilir.

Zellic denetim raporu

Zellic'in denetim raporu, hiçbiri düzeltilmemiş 3 bilgi riski tespit etti:

1. Fonksiyon yetkilendirme sorunu, herkesin ortak hesaplarına ücret yatırmasına izin veriyor.
2. Kullanımdan kaldırılmış ancak hâlâ referans verilen fonksiyonlar var, bu da kodun gereksiz yere uzamasına neden oluyor.
3. NFT gösterim verilerinde karmaşık TypeName veri türü kullanılmıştır.

Bu sorunlar esas olarak kod standartlarına ilişkin olup, risk oldukça düşüktür.

Kod Denetimi ve Proje Güvenliği

Cetus örneğinden de görülebileceği gibi, birçok kurum tarafından denetlenen projeler bile saldırıya uğrayabilir. Bu, kod denetiminin önemli olduğunu ancak kesin bir güvenlik garantisi sağlamadığını hatırlatıyor.

Yeni ortaya çıkan DEX projelerinin güvenlik önlemlerini karşılaştırma:

1. GMX V2: 5 şirketin denetimi, en yüksek 5 milyon dolar güvenlik açığı ödülü
2. DeGate: 35 şirket denetimi, en yüksek 111 milyon dolar açık ödülü
3. DYDX V4: Informal Systems tarafından denetlendi, en yüksek 5 milyon dolarlık açık ödülü
4. Hyperliquid: Bağımsız denetim, en yüksek 1.000.000 dolar hata ödülü
5. UniversalX: Certik ve Slow Mist çift denetimi
6. GMGN: Henüz yayınlanmamış bir denetim raporu var, ancak en yüksek 10.000 dolarlık bir açık ödül programı mevcut.

Sonuç

Çoklu denetimlerin yüksek ödül avı planlarıyla bir araya gelmesi, projelerin güvenliğini belirli bir ölçüde artırabilir. Ancak, yeni ortaya çıkan DeFi protokollerinin hala düzeltilmemiş güvenlik açıkları barındırma ihtimali bulunmaktadır. Bu nedenle, yatırımcıların yeni projelere katılırken, özellikle kod denetim durumlarına ve güvenlik önlemlerine dikkat etmeleri gerekir.

DeFi projeleri için sürekli güvenlik denetimi ve zamanında zafiyet onarımları son derece önemlidir. Aynı zamanda, acil durum yanıt planlarını da içeren kapsamlı bir risk yönetim mekanizması oluşturmak, projenin uzun vadeli istikrarlı bir şekilde çalışmasını sağlamak için gerekli önlemlerdir.