സ്മാർട്ട് കരാറുകളുടെ സുരക്ഷ സാധാരണ സോഫ്‌റ്റ്‌വെയർ സുരക്ഷയിൽനിന്ന് വ്യത്യസ്തമാകുന്നത് എന്തുകൊണ്ട്?

സ്മാർട്ട് കരാറുകളുടെ സുരക്ഷ വ്യത്യസ്തമാണ്. കാരണം അവയുടെ കോഡ് പൊതുവായി ലഭ്യമാണ്, അവ പലപ്പോഴും പണം നേരിട്ട് കൈവശം വയ്ക്കുന്നു, വിന്യസിച്ചുകഴിഞ്ഞാൽ സാധാരണയായി മാറ്റാനാകില്ല. ഒരു വെബ് ആപ്പിലെ പിശക് ഒറ്റ രാത്രി കൊണ്ട് തിരുത്താം; എന്നാൽ ഒരു കരാറിലെ പിശക് കോഡ് വായിക്കുന്ന ആർക്കും കണ്ടെത്താനും ടീം ഉണരുന്നതിന് മുമ്പ് ചൂഷണം ചെയ്യാനും കഴിയും. സ്മാർട്ട് കരാറുകളിലെ തകരാറുകൾ മൂലമുള്ള നഷ്ടം നൂറ് കോടി ഡോളറിലധികമാണെന്ന് Ethereum.org കണക്കാക്കുന്നു. ആദ്യകാല ഉദാഹരണമായി 2016 DAO ഹാക്കും അത് ചൂണ്ടിക്കാട്ടുന്നു.

ലാർക്സ്പർ ലാബ്സ് എന്ന നാലുപേരുള്ള സാങ്കൽപ്പിക സ്റ്റുഡിയോയെ പരിഗണിക്കുക. അംഗങ്ങൾക്ക് പണം നിക്ഷേപിക്കാനും സ്വന്തം വിഹിതം പിൻവലിക്കാനും കഴിയുന്ന ലളിതമായ ഒരു കൂട്ടുസമ്പാദ്യ സംവിധാനം അവർ നിർമിക്കുകയാണ്. വിന്യസിക്കുന്നതിനുമുമ്പ് ഡെവലപ്പറായ കോഫി പരിശോധനയ്ക്കായി കുറിപ്പുകൾ ഇടുന്നു: 'withdraw ആദ്യം പണം അയയ്ക്കുന്നു, പിന്നെ ബാലൻസ് 0 ആക്കുന്നു. setFee പൊതുവായി ലഭ്യമാണ്, പിന്നീട് നിയന്ത്രിക്കും. പഠനസഹായിയിലെ പഴയ കംപൈലർ പതിപ്പാണ് ഉപയോഗിക്കുന്നത്. റിവാർഡ് ടോക്കണിന്റെ വില ഒരു ചെറിയ എക്സ്ചേഞ്ച് പൂളിൽനിന്ന് വായിക്കുന്നു. പരിശോധനകൾ: deposit + withdraw ഒരിക്കൽ കൈകൊണ്ട് പരീക്ഷിച്ചു, പ്രവർത്തിക്കുന്നു'. ഓരോ വരിയും അറിയപ്പെടുന്ന ഒരു സുരക്ഷാ ദൗർബല്യത്തിന്റെ വിഭാഗത്തിൽപ്പെടുന്നു.

സ്മാർട്ട് കരാറുകളിൽ ഏറ്റവും സാധാരണയായി കാണുന്ന സുരക്ഷാ ദൗർബല്യങ്ങൾ എന്തൊക്കെയാണ്?

പ്രവേശന നിയന്ത്രണത്തിലെ പിഴവുകൾ, വില ഒറാക്കിളിൽ കൃത്രിമം കാണിക്കൽ, യുക്തിപരമായ പിശകുകൾ, ഇൻപുട്ട് സാധൂകരിക്കാതിരിക്കൽ, വീണ്ടും പ്രവേശിക്കൽ എന്നിവയാണ് സ്മാർട്ട് കരാറുകളിലെ ഏറ്റവും സാധാരണമായ ദൗർബല്യങ്ങൾ. 2025-ലെ OWASP Smart Contract Top 10 പട്ടികയിൽ ഇവയാണ് മുന്നിലുള്ളത്. Ethereum.org ഇതേ അടിസ്ഥാന വിഭാഗങ്ങളും വിശദീകരിക്കുന്നു.

പുനഃപ്രവേശനം

സ്വന്തം രേഖകൾ പുതുക്കുന്നതിനുമുമ്പ് ഒരു കരാർ പണം അയയ്ക്കുകയോ മറ്റൊരു കരാറിനെ വിളിക്കുകയോ ചെയ്യുന്നു. പഴയ ബാലൻസ് കാണിച്ചുകൊണ്ടിരിക്കുമ്പോൾത്തന്നെ ദുഷ്ടലക്ഷ്യത്തോടെ പ്രവർത്തിക്കുന്ന സ്വീകർത്താവ് വീണ്ടും തിരികെ വിളിച്ച് പണം പിൻവലിക്കുന്നു. ബാലൻസ് പൂജ്യമാക്കുന്നതിനുമുമ്പ് പണം നൽകുന്ന കോഫിയുടെ പിൻവലിക്കൽ ഫങ്ഷൻ ഇതിന്റെ പതിവ് ഉദാഹരണമാണ്. ആദ്യം അവസ്ഥ പുതുക്കുകയും അവസാനം മറ്റു കരാറുകളുമായി ഇടപെടുകയും ചെയ്യുന്നതാണ് സാധാരണ പരിഹാരം. ഇതിനെ പലപ്പോഴും പരിശോധനകൾ, ഫലങ്ങൾ, ഇടപെടലുകൾ എന്ന ക്രമം എന്നു വിളിക്കുന്നു.

പ്രവേശന നിയന്ത്രണം

ആർക്കും വിളിക്കാവുന്ന, നിയന്ത്രണം ആവശ്യമായ ഫങ്ഷനുകൾ. കോഫിയുടെ പൊതുവായി ലഭ്യമായ setFee ഫങ്ഷൻ ഏതൊരു അപരിചിതനും ഫീസ് മാറ്റാൻ അനുവദിക്കുന്നു. ഉടമയുടെ ചുമതല, ചുമതലാധിഷ്ഠിത പ്രവേശനം, ഒന്നിലധികം ഒപ്പുകളോടെയുള്ള അംഗീകാരം തുടങ്ങിയ രീതികൾ Ethereum.org വിവരിക്കുന്നു.

പൂർണ്ണസംഖ്യാ ഓവർഫ്ലോയും അണ്ടർഫ്ലോയും

പരിധി കടക്കുമ്പോൾ മറുവശത്തുനിന്ന് തുടരുന്ന ഗണിതക്രിയ; അതിനാൽ പൂജ്യത്തിന് താഴെയുള്ള ബാലൻസ് വലിയൊരു സംഖ്യയായി മാറുന്നു. Solidity 0.8.0 മുതലുള്ള പതിപ്പുകൾ സ്വതവേ ഇത് നിരസിക്കുന്നുവെന്നും പഴയ കോഡിൽ വ്യക്തമായ പരിശോധനകൾ വേണമെന്നും Ethereum.org പറയുന്നു. അതുകൊണ്ടാണ് കോഫിയുടെ പഴയ കമ്പൈലർ പ്രസക്തമാകുന്നത്.

ഒറാക്കിളിനെ കൈകാര്യം ചെയ്ത് സ്വാധീനിക്കൽ

ആക്രമണകാരിക്ക് വില മാറ്റാൻ കഴിയുന്ന, ഇടപാടുകൾ കുറവുള്ള ഒരൊറ്റ വിപണിയിൽനിന്ന് വില എടുക്കൽ. പലപ്പോഴും ഇതിനായി ഒരൊറ്റ ഇടപാടിനുള്ളിൽ കടമെടുക്കുകയും തിരിച്ചടയ്ക്കുകയും ചെയ്യുന്ന ഫ്ലാഷ് വായ്പ ഉപയോഗിക്കുന്നു. കരുത്തുറ്റ സംവിധാനങ്ങൾ വികേന്ദ്രീകൃത ഒറാക്കിളുകളോ ഒരു കാലയളവിലെ ശരാശരി വിലകളോ ഉപയോഗിക്കുന്നു.

യുക്തിയിലെയും സാധുതാ പരിശോധനയിലെയും പിശകുകൾ

ഉദ്ദേശിച്ച രൂപകൽപ്പനയുമായി പൊരുത്തപ്പെടാത്ത നിയമങ്ങൾ, അല്ലെങ്കിൽ ഒരിക്കലും പരിശോധിക്കപ്പെടാത്ത ഇൻപുട്ടുകൾ; ഉദാഹരണത്തിന് പൂജ്യം തുകയോ പ്രതീക്ഷിക്കാത്ത വിലാസമോ.

ടീമുകൾ സ്മാർട്ട് കരാറുകൾ എങ്ങനെയാണ് പരിശോധിക്കുകയും ഓഡിറ്റ് ചെയ്യുകയും ചെയ്യുന്നത്?

ഒരൊറ്റ രീതിക്കും എല്ലാ പ്രശ്നങ്ങളും കണ്ടെത്താനാകാത്തതിനാൽ, ടീമുകൾ സ്മാർട്ട് കരാറുകൾ പല തലങ്ങളിലായി പരിശോധിക്കുകയും ഓഡിറ്റ് ചെയ്യുകയും ചെയ്യുന്നു: സ്വയമേവയുള്ള പരിശോധനകൾ, വിശകലന ഉപകരണങ്ങൾ, പരീക്ഷണ നെറ്റ്‌വർക്കിൽ വിന്യസിക്കൽ, സ്വതന്ത്ര അവലോകനം, കൂടാതെ ഗണ്യമായ മൂല്യമുള്ള ആസ്തികൾ കൈവശം വയ്ക്കുന്ന കരാറുകൾക്ക് ബാഹ്യ ഓഡിറ്റും പിഴവുകൾ കണ്ടെത്തുന്നവർക്ക് പ്രതിഫലവും.

1. യൂണിറ്റ് പരിശോധനകളും സവിശേഷതാ പരിശോധനകളും

തിരികെ വിളിക്കുന്ന സ്വീകർത്താവ് പോലുള്ള പ്രതികൂല സാഹചര്യങ്ങൾ ഉൾപ്പെടെ ഓരോ ഫങ്ഷനും പരിശോധനകൾ എഴുതുക. ഫസിങ് ആയിരക്കണക്കിന് ക്രമരഹിത ഇൻപുട്ടുകൾ സ്വയം പരീക്ഷിക്കുന്നു.

2. കോഡ് പ്രവർത്തിപ്പിക്കാതെയുള്ള വിശകലനം

അറിയപ്പെടുന്ന അപകടസാധ്യതയുള്ള രീതികൾക്കായി കോഡ് പരിശോധിക്കുന്ന Slither, Mythril, Aderyn തുടങ്ങിയ ഉപകരണങ്ങളെ Ethereum.org പരാമർശിക്കുന്നു.

3. നെറ്റ്‌വർക്കുകൾ പരീക്ഷിക്കുക

പ്രധാന നെറ്റ്‌വർക്കിൽ വിന്യസിക്കുന്നതിന് മുമ്പ് പൊതുവായ പരീക്ഷണ നെറ്റ്‌വർക്കിൽ വിന്യസിക്കുക. ആപ്ലിക്കേഷനുകളും സ്മാർട്ട് കോൺട്രാക്ടുകളും വികസിപ്പിക്കാൻ Ethereum.org ശുപാർശ ചെയ്യുന്നത് സെപോളിയയാണ്; പരീക്ഷണ നെറ്റ്‌വർക്കിലെ ഈഥറിന് യഥാർഥ മൂല്യം ഉണ്ടാകാൻ ഉദ്ദേശിച്ചിട്ടില്ല, അതിനാൽ തെറ്റുകൾക്ക് പണച്ചെലവില്ല.

4. സമാന മേഖലയിൽ പ്രവർത്തിക്കുന്നവരുടെ അവലോകനവും ഓഡിറ്റ് ചെയ്ത ലൈബ്രറികളും

പ്രവേശന നിയന്ത്രണം ആദ്യം മുതൽ സ്വയം എഴുതുന്നതിനുപകരം പതിപ്പ് നിയന്ത്രണവും ഓരോ മാറ്റത്തിനും സ്വതന്ത്ര പരിശോധനക്കാരെയും OpenZeppelin Contracts പോലുള്ള നന്നായി പരിശോധിക്കപ്പെട്ട ലൈബ്രറികളെയും ഉപയോഗിക്കുക.

5. ഓഡിറ്റ്, പിഴവുകൾ കണ്ടെത്തുന്നതിനുള്ള പ്രതിഫലം, നിരീക്ഷണം

സ്വതന്ത്ര ഓഡിറ്റുകൾ കൂടുതൽ സൂക്ഷ്മപരിശോധന നൽകുന്നു. എന്നാൽ ethereum.org ചൂണ്ടിക്കാട്ടുന്നതുപോലെ, അവ എല്ലാ പിഴവുകളും കണ്ടെത്തില്ല. പിഴവുകൾ കണ്ടെത്തുന്നതിനുള്ള പ്രതിഫല പദ്ധതികൾ, അടിയന്തരമായി പ്രവർത്തനം നിർത്താനുള്ള സംവിധാനങ്ങൾ, സംഭവ നിരീക്ഷണം എന്നിവ ശേഷിക്കുന്ന അപകടസാധ്യതകൾ കൈകാര്യം ചെയ്യുന്നു.

ദുർബലമായ സുരക്ഷാ അവലോകനവും മെച്ചപ്പെടുത്തിയ അവലോകനവും എങ്ങനെയായിരിക്കും?

ദുർബലമായ അവലോകനം: 'പണം നിക്ഷേപിക്കുന്നതും പിൻവലിക്കുന്നതും നേരിട്ട് പരിശോധിച്ചു, കുഴപ്പമില്ലാതെ പ്രവർത്തിക്കുന്നു, വിന്യസിക്കാൻ തയ്യാറാണ്.' എല്ലാം പ്രതീക്ഷിച്ചതുപോലെ നടക്കുന്ന സാഹചര്യത്തിലെ പരിശോധന, സത്യസന്ധരായ ഉപയോക്താക്കൾക്ക് കരാർ പ്രവർത്തിക്കുന്നുവെന്ന് കാണിക്കുന്നു. എന്നാൽ ആക്രമണകാരികൾ അത്തരക്കാരല്ല.

മെച്ചപ്പെടുത്തിയ അവലോകനം: പുനഃപ്രവേശനം: withdraw ഇപ്പോൾ പണം അയയ്ക്കുന്നതിന് മുമ്പ് ബാലൻസ് പൂജ്യമാക്കുന്നു. തിരികെ വിളിച്ച് വീണ്ടും പ്രവേശിക്കാൻ ശ്രമിക്കുന്ന ഒരു ദുഷ്ട സ്വീകർത്തൃ കരാർ ഉപയോഗിച്ചുള്ള പരിശോധനയുമുണ്ട്. പ്രവേശന നിയന്ത്രണം: ഓഡിറ്റ് ചെയ്ത ലൈബ്രറിയിലെ ഉടമയുടെ റോളിന് മാത്രമായി setFee പരിമിതപ്പെടുത്തിയിരിക്കുന്നു. അപരിചിതന്റെ വിളി പരാജയപ്പെടുന്നുവെന്ന് പരിശോധിക്കുന്ന പരിശോധനയുമുണ്ട്. കംപൈലർ: നിലവിലെ 0.8 പതിപ്പിലേക്ക് പുതുക്കി, അതിനാൽ ഓവർഫ്ലോ പരിശോധനകൾ പ്രവർത്തിക്കുന്നു. ഒറാക്കിൾ: ഒറ്റ പൂളിലെ വിലയ്ക്ക് പകരം വികേന്ദ്രീകൃത വില ഫീഡ് ഉപയോഗിക്കുന്നു; പെട്ടെന്നുള്ള മാറ്റങ്ങൾക്ക് യുക്തിസഹമായ പരിധിയും ഏർപ്പെടുത്തി. പരിശോധന: യൂണിറ്റ് പരിശോധനകൾ, ഒരു ഫസിങ് പരിശോധന, ഓരോ കണ്ടെത്തലും വിശദീകരിക്കുന്ന സ്റ്റാറ്റിക് വിശകലനം എന്നിവ നടത്തി. തുടർന്ന് ഒരു സഹപ്രവർത്തകൻ തകരാറുകൾ കണ്ടെത്താൻ ശ്രമിച്ചുകൊണ്ട് Sepolia-യിൽ രണ്ട് ആഴ്ച പരീക്ഷിച്ചു. യഥാർഥ പണം സ്വീകരിക്കുന്നതിന് മുമ്പ് ബാഹ്യ ഓഡിറ്റിന് സമയം നിശ്ചയിച്ചിട്ടുണ്ട്.

സ്മാർട്ട് കരാറുകളുടെ സുരക്ഷയിൽ സാധാരണ സംഭവിക്കുന്ന പിഴവുകൾ എന്തൊക്കെയാണ്?

വിളിക്കുന്ന എല്ലാവരും സത്യസന്ധരാണെന്ന മട്ടിൽ പ്രശ്നങ്ങളില്ലാതെ നടക്കേണ്ട വഴി മാത്രം പരിശോധിക്കുന്നതാണ് ഏറ്റവും സാധാരണമായ തെറ്റ്. മറ്റ് തെറ്റുകൾ: പിന്നീട് നിയന്ത്രിക്കാമെന്ന് കരുതി അഡ്മിൻ പ്രവർത്തനങ്ങൾ തുറന്നിടുക, കാലഹരണപ്പെട്ട കമ്പൈലർ ഉപയോഗിച്ച് പഠനസഹായിയിലെ കോഡ് പകർത്തുക, വിലയ്ക്കായി ഒരു സ്രോതസ്സിനെ മാത്രം വിശ്വസിക്കുക, ഓഡിറ്റിനെ ഉറപ്പായി കാണുക, പരീക്ഷണ ശൃംഖലയിലെ ഘട്ടം ഒഴിവാക്കുക, താൽക്കാലികമായി നിർത്താനോ പുതുക്കാനോ പദ്ധതിയില്ലാതെ വിന്യസിക്കുക.

Tosheo.ai-യിൽ ഈ പാഠത്തിന്റെ സ്ഥാനം എവിടെയാണ്?

ഇത് ബ്ലോക്ക്ചെയിൻ വിഭാഗത്തിലും ബ്ലോക്ക്ചെയിൻ കോഴ്സിലുമുള്ള ഒരു കോഡിങ് പാഠമാണ്. ഈ സൗജന്യ പേജ് ഓരോ ഘട്ടവും എഴുത്തിലൂടെ വിശദീകരിക്കുന്നു; യഥാർഥ കരാർ കോഡ് പരിശോധിച്ച് തിരുത്തുകയും പരീക്ഷണ ശൃംഖലയിൽ പരിശോധനകൾ നടത്തുകയും ചെയ്യുന്ന പൂർണ പ്രായോഗിക പതിപ്പ്, രജിസ്റ്റർ ചെയ്തശേഷം തിരഞ്ഞെടുക്കാവുന്ന കോഡിങ് പഠനപാതയിലുണ്ട്. അടിസ്ഥാനകാര്യങ്ങൾ പരിചിതമല്ലെങ്കിൽ സ്മാർട്ട് കരാറുകളുടെ വിശദീകരണത്തിൽ നിന്ന് തുടങ്ങുക. Tosheo.ai ഒരു മുഴുസമയ തീവ്രപരിശീലന പരിപാടിയോ പ്രൊഫഷണൽ ഓഡിറ്റർ യോഗ്യതയോ അല്ല. ഇവിടെയുള്ള ഒന്നും നിക്ഷേപ ഉപദേശമല്ല; യഥാർഥ മൂല്യമുള്ള ആസ്തികൾ കൈവശം വയ്ക്കുന്ന കരാറുകൾക്ക് വിദഗ്ധ ഓഡിറ്റ് ആവശ്യമാണ്.

ഉറവിടങ്ങളും പരിധിയും

ethereum.org, സ്മാർട്ട് കരാറുകളുടെ സുരക്ഷ (പരിശോധിച്ചത് 19 ഒക്ടോബർ 2026) ↗

OWASP സ്മാർട്ട് കരാറുകളിലെ പ്രധാന 10, 2025 (പരിശോധിച്ചത് 19 October 2026) ↗

ethereum.org, നെറ്റ്‌വർക്കുകളും പരീക്ഷണ നെറ്റ്‌വർക്കുകളും (പരിശോധിച്ചത് 19 ഒക്ടോബർ 2026) ↗