स्मार्ट कॉन्ट्रॅक्टची सुरक्षा नेहमीच्या सॉफ्टवेअर सुरक्षेपेक्षा वेगळी का असते?
स्मार्ट करारांची सुरक्षा वेगळी असते, कारण त्यांचा कोड सार्वजनिक असतो, त्यांत अनेकदा थेट पैसे ठेवलेले असतात आणि एकदा कार्यान्वित केल्यावर सहसा त्यांत बदल करता येत नाही. वेब अनुप्रयोगातील दोष एका रात्रीत दुरुस्त करता येतो; पण करारातील दोष कोड वाचणाऱ्या कोणालाही सापडू शकतो आणि संघ जागा होण्यापूर्वीच त्याचा गैरफायदा घेतला जाऊ शकतो. Ethereum.org च्या अंदाजानुसार, स्मार्ट करारांतील दोषांमुळे एक अब्ज डॉलरहून अधिक नुकसान झाले आहे; सुरुवातीच्या उदाहरणांपैकी एक म्हणून ते 2016 मधील DAO हॅकचा उल्लेख करते.
चार जणांचा Larkspur Labs नावाचा एक काल्पनिक स्टुडिओ विचारात घ्या. तो एक साधा सामूहिक बचत निधी तयार करत आहे, ज्यात सदस्य पैसे जमा करतात आणि आपला हिस्सा काढून घेतात. विकासक कोफी कार्यान्वित करण्यापूर्वी तपासणीच्या नोंदी लिहितात: 'withdraw आधी पैसे पाठवते, मग शिल्लक 0 करते. setFee सर्वांसाठी खुली आहे, नंतर निर्बंध घालू. शिकवणीतली जुनी कंपायलर आवृत्ती वापरतोय. बक्षीस टोकनची किंमत एका छोट्या विनिमय पूलमधून घेतली जाते. चाचण्या: एकदा हाताने पैसे जमा करून काढून पाहिले, चालते'. प्रत्येक ओळ एका ज्ञात प्रकारच्या सुरक्षादोषाकडे निर्देश करते.
स्मार्ट करारांमधील सर्वाधिक आढळणाऱ्या सुरक्षा त्रुटी कोणत्या?
स्मार्ट कॉन्ट्रॅक्टमधील सर्वात सामान्य असुरक्षितता म्हणजे प्रवेश नियंत्रणातील त्रुटी, किंमत ओरॅकलमध्ये फेरफार, तर्कातील चुका, इनपुटची वैधता न तपासणे आणि पुनःप्रवेश. 2025 च्या OWASP Smart Contract Top 10 मध्ये या अग्रस्थानी आहेत. Ethereum.org वरही याच मूलभूत प्रकारांची माहिती आहे.
पुनःप्रवेश
एखादा करार स्वतःच्या नोंदी अद्ययावत करण्यापूर्वी निधी पाठवतो किंवा दुसऱ्या कराराला कॉल करतो. जुनी शिल्लक अजूनही दिसत असताना दुर्भावनापूर्ण प्राप्तकर्ता पुन्हा कॉल करून आणखी पैसे काढतो. शिल्लक शून्य करण्यापूर्वी पैसे देणारे कोफीचे पैसे काढण्याचे फंक्शन हे याचे नेहमीचे उदाहरण आहे. यावरील नेहमीचा उपाय म्हणजे आधी स्थिती अद्ययावत करणे आणि शेवटी इतर करारांशी परस्परक्रिया करणे. याला अनेकदा तपासण्या, परिणाम, परस्परक्रिया असा क्रम म्हटले जाते.
प्रवेश नियंत्रण
कोणालाही चालवता येणारी संवेदनशील कार्ये. कोफीच्या सार्वजनिक setFee कार्यामुळे कोणत्याही अनोळखी व्यक्तीला शुल्क बदलता येते. Ethereum.org वर मालकाची भूमिका, भूमिकेनुसार प्रवेश आणि बहु-स्वाक्षरी मंजुरी यांसारख्या पद्धतींचे वर्णन आहे.
पूर्णांक ओव्हरफ्लो आणि अंडरफ्लो
मर्यादा ओलांडल्यावर पुन्हा दुसऱ्या टोकापासून सुरू होणारी अंकगणिती प्रक्रिया, ज्यामुळे शून्यापेक्षा कमी शिल्लक एका प्रचंड मोठ्या संख्येत बदलते. Ethereum.org नुसार Solidity 0.8.0 आणि त्यानंतरच्या आवृत्त्या हे आपोआप नाकारतात, तर जुन्या कोडमध्ये यासाठी स्वतंत्र तपासण्या आवश्यक असतात. म्हणूनच कोफीचा जुना कंपायलर महत्त्वाचा ठरतो.
ओरॅकलमध्ये फेरफार
कमी व्यवहार होणाऱ्या अशा एकाच बाजारातून किंमत घेणे, जिथे हल्लेखोर किंमत बदलू शकतो. यासाठी तो अनेकदा एकाच व्यवहारात घेऊन परत केले जाणारे तात्काळ कर्ज वापरतो. भक्कम रचनांमध्ये विकेंद्रित बाह्य माहितीपुरवठादार किंवा ठरावीक कालावधीतील सरासरी किंमती वापरल्या जातात.
तर्क आणि वैधता तपासणीतील चुका
अभिप्रेत रचनेशी जुळत नसलेले नियम किंवा कधीही तपासले न जाणारे इनपुट, उदाहरणार्थ शून्य रक्कम किंवा अनपेक्षित पत्ता.
संघ स्मार्ट करारांची चाचणी आणि लेखापरीक्षण कसे करतात?
संघ स्मार्ट करारांची चाचणी आणि लेखापरीक्षण अनेक स्तरांवर करतात, कारण कोणतीही एक पद्धत सर्व त्रुटी शोधू शकत नाही: स्वयंचलित चाचण्या, विश्लेषण साधने, चाचणी नेटवर्कवर तैनाती, स्वतंत्र आढावा आणि मोठ्या मूल्याची मालमत्ता सांभाळणाऱ्या करारांसाठी बाह्य लेखापरीक्षण व त्रुटी शोधण्यासाठी बक्षीस योजना.
1. घटक चाचण्या आणि गुणधर्माधारित चाचण्या
प्रत्येक कार्यासाठी चाचण्या लिहा. पुन्हा मूळ कार्याला कॉल करणाऱ्या प्राप्तकर्त्यासारखी प्रतिकूल प्रकरणेही समाविष्ट करा. फझिंगमध्ये हजारो यादृच्छिक इनपुटची आपोआप चाचणी घेतली जाते.
2. स्थिर विश्लेषण
Ethereum.org वर Slither, Mythril आणि Aderyn यांसारखी साधने नमूद केली आहेत. ही साधने संगणकीय संहितेत ज्ञात धोकादायक नमुने शोधतात.
3. नेटवर्कची चाचणी करा
मुख्य जाळ्यावर कार्यान्वित करण्यापूर्वी सार्वजनिक चाचणी जाळ्यावर कार्यान्वित करा. अनुप्रयोग आणि कॉन्ट्रॅक्ट विकसित करण्यासाठी Ethereum.org हे Sepolia वापरण्याची शिफारस करते; चाचणी जाळ्यावरील ईथरला प्रत्यक्ष मूल्य नसणे अपेक्षित आहे, त्यामुळे चुकांमुळे आर्थिक नुकसान होत नाही.
4. समकक्षांकडून पुनरावलोकन आणि लेखापरीक्षण केलेले संग्रह
प्रवेश नियंत्रण अगदी सुरुवातीपासून स्वतः लिहिण्याऐवजी आवृत्ती नियंत्रण, प्रत्येक बदलासाठी स्वतंत्र पुनरावलोकनकर्ते आणि OpenZeppelin Contracts सारखी कसून पुनरावलोकन केलेली कोड-संग्रहालये वापरा.
5. लेखापरीक्षण, त्रुटी शोधण्यासाठी बक्षीस आणि देखरेख
स्वतंत्र लेखापरीक्षणांमुळे अधिक बारकाईने तपासणी होते, पण ethereum.org ने नमूद केल्याप्रमाणे प्रत्येक त्रुटी सापडत नाही. उरलेल्या धोक्यांसाठी त्रुटी शोधण्याची बक्षीस योजना, आपत्कालीन स्थगितीची सुविधा आणि घटनांचे निरीक्षण वापरले जाते.
सुरक्षेचे कमकुवत आणि सुधारित पुनरावलोकन कसे असते?
कमकुवत पुनरावलोकन: 'जमा करणे आणि काढणे हाताने तपासले, व्यवस्थित चालते, तैनात करण्यास तयार.' सर्व काही अपेक्षेप्रमाणे घडते अशा चाचणीत करार प्रामाणिक वापरकर्त्यांसाठी चालतो हे दिसते; हल्लेखोर मात्र मुळीच तसे नसतात.
सुधारित आढावा: पुनर्प्रवेश: withdraw आता रक्कम पाठवण्यापूर्वी शिल्लक शून्य करते आणि एका चाचणीत दुर्भावनायुक्त प्राप्तकर्ता करार वापरून पुन्हा आत कॉल करण्याचा प्रयत्न केला जातो. प्रवेश नियंत्रण: लेखापरीक्षण झालेल्या लायब्ररीतील मालकाच्या भूमिकेलाच setFee वापरता येते आणि अनोळखी व्यक्तीचा कॉल अयशस्वी होतो याची चाचणी आहे. कम्पायलर: सध्याच्या 0.8 आवृत्तीवर अद्ययावत केल्याने ओव्हरफ्लो तपासण्या सुरू आहेत. ओरॅकल: एकाच पूलमधील किंमतीऐवजी विकेंद्रित किंमत फीड वापरला आहे आणि अचानक होणाऱ्या बदलांवर वाजवी मर्यादा ठेवली आहे. चाचणी: युनिट चाचण्या, फझिंगची एक फेरी आणि स्थिर विश्लेषणाची एक फेरी केली असून प्रत्येक निष्कर्षाचे स्पष्टीकरण दिले आहे; त्यानंतर Sepolia वर दोन आठवडे एका सहकाऱ्याने त्यात बिघाड घडवण्याचा प्रयत्न केला. कोणताही खरा निधी स्वीकारण्यापूर्वी बाह्य लेखापरीक्षण ठरवले आहे.
स्मार्ट करारांच्या सुरक्षेबाबत होणाऱ्या सामान्य चुका कोणत्या?
सर्वात सामान्य चूक म्हणजे प्रत्येक कॉल करणारा प्रामाणिकच असेल असे मानून, फक्त सर्व काही अपेक्षेप्रमाणे चालते त्या मार्गाची चाचणी करणे. इतर चुका: नंतर निर्बंध घालू म्हणून प्रशासकीय कार्ये खुली ठेवणे, कालबाह्य कंपायलर वापरून शिकवणीतील कोड कॉपी करणे, किमतीसाठी एकाच स्रोतावर विश्वास ठेवणे, लेखापरीक्षणाला हमी समजणे, चाचणी नेटवर्कचा टप्पा वगळणे आणि थांबवण्याची किंवा अद्ययावत करण्याची योजना नसताना तैनात करणे.
Tosheo.ai मध्ये हा धडा कुठे येतो?
हा ब्लॉकचेन विभागातील आणि ब्लॉकचेन अभ्यासक्रमातील प्रोग्रामिंगचा धडा आहे. या मोफत पानावर प्रत्येक टप्पा मजकुरातून समजावला आहे; प्रत्यक्ष कराराचा कोड तपासून दुरुस्त करणे आणि चाचणी नेटवर्कवर चाचण्या चालवणे यांचा समावेश असलेली संपूर्ण कृती-आधारित आवृत्ती नोंदणी केल्यानंतर ऐच्छिक प्रोग्रामिंग मार्गात उपलब्ध आहे. मूलभूत गोष्टी नव्या असतील तर स्मार्ट करार समजावून सांगणाऱ्या धड्यापासून सुरुवात करा. Tosheo.ai हे पूर्णवेळ सघन प्रशिक्षण किंवा व्यावसायिक लेखापरीक्षकाची पात्रता नाही, आणि येथील कोणतीही माहिती गुंतवणुकीचा सल्ला नाही; प्रत्यक्ष मूल्य धारण करणाऱ्या करारांचे तज्ज्ञांकडून सुरक्षा परीक्षण आवश्यक आहे.
स्रोत आणि व्याप्ती
ethereum.org, स्मार्ट करारांची सुरक्षा (तपासले: 19 October 2026) ↗
OWASP स्मार्ट करारांतील प्रमुख 10 धोके, 2025 (तपासले: 19 October 2026) ↗
ethereum.org, जाळी आणि चाचणी जाळी (तपासले: 19 October 2026) ↗