🔐 Analisi delle conoscenze | Come difendersi da questo "APT a livello di contratto"?
✅ Piano di difesa a tre livelli
1. Fase di distribuzione: indurimento del processo, prevenire i ritardi
Script di distribuzione standardizzati: utilizzare script rigorosamente verificati e non modificabili per l'inizializzazione dell'agente, evitando operazioni manuali.
Inizializzazione multi-firma: i diritti di inizializzazione del contratto agente devono essere eseguiti dopo la conferma da parte di un portafoglio multi-firma offline, e non da una singola chiave privata.
2. Fase di audit: oltre il codice, esaminare il processo
Audit specifico per agenti: l'audit deve coprire l'intero percorso di aggiornamento dell'agente, i diritti di inizializzazione e tutte le funzioni di gestione.
Controllo del ritardo temporale: l'auditor deve presumere l'esistenza di una "logica di ibernazione" e controllare se ci sono funzioni che possono essere attivate in futuro da parti non autorizzate.
3. Fase operativa: monitoraggio continuo, allerta in tempo reale
Monitoraggio delle azioni di aggiornamento: impostare allerta in tempo reale per qualsiasi chiamata relativa all'aggiornamento, come upgradeTo, del contratto agente.
Tracciamento delle modifiche ai diritti: monitorare i cambiamenti dei diritti chiave come owner del contratto o DEFAULT_ADMIN_ROLE.
💎 Suggerimenti per le parti del progetto
Di fronte a tali attacchi, è necessario stabilire una visione della sicurezza a ciclo completo "dalla distribuzione all'aggiornamento". I partner di sicurezza scelti non devono solo essere in grado di auditare il codice, ma anche fornire soluzioni per il vostro processo di distribuzione e monitoraggio delle operazioni.