Phân tích lỗ hổng trình biên dịch Solidity và chiến lược ứng phó

Trình biên dịch là một phần quan trọng của hệ thống máy tính hiện đại, có chức năng chuyển đổi ngôn ngữ lập trình cao cấp thành mã lệnh có thể thực thi bởi máy tính. Mặc dù hầu hết các nhà phát triển và nhân viên an ninh chủ yếu tập trung vào tính bảo mật của mã ứng dụng, nhưng vấn đề an ninh của chính trình biên dịch cũng không thể bị xem nhẹ. Lỗ hổng trong trình biên dịch có thể mang lại rủi ro an ninh nghiêm trọng trong một số trường hợp.

Chức năng của trình biên dịch Solidity là chuyển đổi mã hợp đồng thông minh thành mã lệnh (EVM) cho máy ảo Ethereum. Khác với các lỗ hổng của chính EVM, lỗ hổng của trình biên dịch Solidity sẽ không ảnh hưởng trực tiếp đến mạng Ethereum, nhưng có thể dẫn đến mã EVM được tạo ra không khớp với mong đợi của nhà phát triển, từ đó gây ra các vấn đề về an ninh.

Dưới đây là một số ví dụ về lỗ hổng trong trình biên dịch Solidity thực tế:

1. SOL-2016-9 HighOrderByteCleanStorage

Lỗ hổng này tồn tại trong các phiên bản trình biên dịch Solidity sớm hơn (>=0.1.6 <0.4.4). Trong một số trường hợp, trình biên dịch không làm sạch đúng cách các byte cao, dẫn đến giá trị của biến lưu trữ bị thay đổi một cách không mong muốn.

2. SOL-2022-4 Ảnh hưởng của Bộ nhớ InlineAssembly

Lỗ hổng này ảnh hưởng đến các phiên bản trình biên dịch từ 0.8.13 đến 0.8.15. Do vấn đề với chiến lược tối ưu hóa của trình biên dịch, có thể vô tình loại bỏ các thao tác ghi vào bộ nhớ, dẫn đến giá trị trả về của hàm bất thường.

3. SOL-2022-6 AbiReencodingHeadOverflowWithStaticArrayCleanup

Lỗi này tồn tại trong các phiên bản biên dịch từ 0.5.8 đến 0.8.16. Khi mã hóa ABI cho mảng kiểu calldata, có thể xóa sai một số dữ liệu, dẫn đến việc dữ liệu liền kề bị sửa đổi.

Để đối phó với rủi ro do lỗ hổng của trình biên dịch Solidity, các nhà phát triển và nhân viên an ninh có thể thực hiện các biện pháp sau:

Đối với nhà phát triển:

• Sử dụng phiên bản trình biên dịch Solidity mới hơn
• Hoàn thiện các trường hợp kiểm tra đơn vị, nâng cao tỷ lệ bao phủ mã
• Tránh sử dụng các tính năng cao cấp như lắp ráp nội tuyến, mã hóa và giải mã ABI phức tạp.

Đối với nhân viên an ninh:

• Cân nhắc các rủi ro an ninh có thể được biên dịch viên đưa vào trong quá trình kiểm toán.
• Thúc đẩy nâng cấp phiên bản trình biên dịch trong quy trình SDL
• Giới thiệu kiểm tra tự động phiên bản biên dịch trong CI/CD

Tài nguyên hữu ích để tham khảo:

• Blog cảnh báo an toàn chính thức của Solidity
• Danh sách lỗi trong kho GitHub Solidity
• Danh sách lỗi của các phiên bản biên dịch
• Trang hợp đồng trên Etherscan cung cấp thông báo lỗ hổng trình biên dịch

Tóm lại, mặc dù không cần quá lo lắng về lỗ hổng của biên dịch viên, nhưng trong quá trình phát triển và kiểm toán hợp đồng thông minh, cần phải nhận thức đầy đủ về rủi ro tiềm ẩn này và thực hiện các biện pháp phòng ngừa tương ứng.