Vì sao bảo mật hợp đồng thông minh khác với bảo mật phần mềm thông thường?

Bảo mật hợp đồng thông minh có những điểm khác biệt vì mã nguồn được công khai, thường trực tiếp nắm giữ tiền và thường không thể thay đổi sau khi triển khai. Lỗi trong ứng dụng web có thể được vá chỉ sau một đêm; còn lỗi trong hợp đồng có thể bị bất kỳ ai đọc mã nguồn phát hiện và khai thác trước khi cả nhóm thức dậy. Ethereum.org ước tính thiệt hại do lỗi hợp đồng thông minh lên tới hơn một tỷ đô la và dẫn vụ tấn công DAO năm 2016 làm ví dụ ban đầu.

Hãy xem ví dụ về Larkspur Labs, một nhóm phát triển giả định có bốn người đang xây dựng một quỹ tiết kiệm chung đơn giản, nơi các thành viên gửi tiền và rút phần của mình. Lập trình viên Kofi để lại ghi chú rà soát trước khi triển khai: 'withdraw gửi tiền rồi mới đặt số dư về 0. setFee cho phép gọi công khai, sẽ hạn chế sau. đang dùng phiên bản trình biên dịch cũ từ bài hướng dẫn. giá của mã thông báo thưởng được lấy từ một quỹ thanh khoản nhỏ trên sàn giao dịch. kiểm thử: đã thử gửi + rút một lần bằng tay, chạy được'. Mỗi dòng đều thuộc một loại lỗ hổng đã biết.

Những lỗ hổng phổ biến nhất của hợp đồng thông minh là gì?

Các lỗ hổng hợp đồng thông minh phổ biến nhất là lỗi kiểm soát truy cập, thao túng nguồn dữ liệu giá bên ngoài, lỗi lô-gic, thiếu kiểm tra tính hợp lệ của đầu vào và tái nhập; đây là những nhóm đứng đầu OWASP Smart Contract Top 10 năm 2025. Ethereum.org cũng trình bày các nhóm cốt lõi này.

Tái nhập

Một hợp đồng chuyển tiền hoặc gọi một hợp đồng khác trước khi cập nhật bản ghi của chính nó. Bên nhận có ý đồ xấu gọi ngược trở lại khi số dư cũ vẫn còn hiển thị và rút tiền thêm lần nữa. Hàm rút tiền của Kofi, vốn chi trả trước khi đặt số dư về không, là dạng điển hình của lỗi này. Cách khắc phục thông thường là cập nhật trạng thái trước và tương tác với các hợp đồng khác sau cùng, thường được gọi là kiểm tra, cập nhật trạng thái, tương tác.

Kiểm soát truy cập

Các hàm nhạy cảm mà bất kỳ ai cũng có thể gọi. Hàm công khai setFee của Kofi cho phép bất kỳ người lạ nào thay đổi mức phí. Ethereum.org mô tả các mô hình như vai trò chủ sở hữu, quyền truy cập theo vai trò và phê duyệt đa chữ ký.

Tràn số và hụt số nguyên

Phép tính bị tràn khi vượt giới hạn, khiến số dư dưới không trở thành một số rất lớn. Ethereum.org lưu ý rằng Solidity 0.8.0 trở lên mặc định từ chối trường hợp này, còn mã cũ hơn cần kiểm tra tường minh; vì vậy, việc Kofi dùng trình biên dịch cũ là điều đáng chú ý.

Thao túng nguồn cung cấp dữ liệu ngoài chuỗi

Lấy giá từ một thị trường đơn lẻ có thanh khoản thấp mà kẻ tấn công có thể thao túng, thường bằng khoản vay nhanh, tức khoản vay được vay và hoàn trả trong cùng một giao dịch. Các thiết kế vững chắc sử dụng nguồn cấp dữ liệu phi tập trung hoặc giá trung bình theo thời gian.

Lỗi logic và lỗi xác thực

Các quy tắc không phù hợp với thiết kế dự kiến, hoặc dữ liệu đầu vào không bao giờ được kiểm tra, chẳng hạn số tiền bằng không hoặc địa chỉ ngoài dự kiến.

Các nhóm kiểm thử và kiểm toán hợp đồng thông minh như thế nào?

Các nhóm kiểm thử và kiểm toán hợp đồng thông minh theo nhiều lớp, vì không có phương pháp đơn lẻ nào phát hiện được mọi vấn đề: kiểm thử tự động, công cụ phân tích, triển khai lên mạng thử nghiệm, rà soát độc lập và, với các hợp đồng nắm giữ giá trị lớn, kiểm toán bên ngoài cùng chương trình thưởng phát hiện lỗi.

1. Kiểm thử đơn vị và kiểm thử dựa trên thuộc tính

Viết kiểm thử cho mọi hàm, bao gồm các trường hợp tấn công như bên nhận gọi ngược vào hàm. Kiểm thử mờ tự động thử hàng nghìn đầu vào ngẫu nhiên.

2. Phân tích tĩnh

Ethereum.org nêu các công cụ như Slither, Mythril và Aderyn, có chức năng quét mã để tìm các mẫu có rủi ro đã biết.

3. Kiểm thử mạng

Triển khai lên mạng thử nghiệm công khai trước khi triển khai lên mạng chính. Ethereum.org khuyến nghị dùng Sepolia để phát triển ứng dụng và hợp đồng; ether trên mạng thử nghiệm được thiết kế để không có giá trị thực, nên sai sót không gây tổn thất tiền bạc.

4. Phản biện đồng cấp và thư viện đã được kiểm toán

Sử dụng hệ thống quản lý phiên bản, bố trí người đánh giá độc lập cho mọi thay đổi và dùng các thư viện đã được rà soát kỹ như OpenZeppelin Contracts thay vì tự viết cơ chế kiểm soát quyền truy cập từ đầu.

5. Kiểm toán, thưởng tìm lỗi và giám sát

Kiểm toán độc lập giúp tăng mức độ kiểm tra kỹ lưỡng nhưng, như ethereum.org lưu ý, không phát hiện được mọi lỗi. Chương trình thưởng tìm lỗi, chức năng tạm dừng khẩn cấp và giám sát sự kiện giúp xử lý những rủi ro còn lại.

Bản đánh giá bảo mật chưa tốt và bản đã cải thiện khác nhau như thế nào?

Rà soát yếu: 'Đã kiểm thử gửi và rút tiền thủ công, hoạt động tốt, sẵn sàng triển khai.' Kiểm thử luồng thuận lợi cho thấy hợp đồng hoạt động với người dùng trung thực, mà kẻ tấn công thì hoàn toàn không phải như vậy.

Bản rà soát đã cải thiện: Tái nhập: withdraw hiện đặt số dư về 0 trước khi gửi tiền, và một bài kiểm thử dùng hợp đồng nhận tiền độc hại để thử gọi ngược vào. Kiểm soát truy cập: setFee chỉ cho phép vai trò chủ sở hữu từ một thư viện đã được kiểm toán, kèm bài kiểm thử xác nhận lệnh gọi từ người ngoài thất bại. Trình biên dịch: đã nâng cấp lên một phiên bản 0.8 hiện hành để bật kiểm tra tràn số. Nguồn dữ liệu ngoài chuỗi: thay giá từ một nhóm thanh khoản duy nhất bằng nguồn cấp giá phi tập trung, đồng thời thêm ngưỡng kiểm tra tính hợp lý cho biến động đột ngột. Kiểm thử: kiểm thử đơn vị, một đợt kiểm thử dữ liệu ngẫu nhiên và một lượt phân tích tĩnh với giải thích cho mọi phát hiện, sau đó chạy hai tuần trên Sepolia với một đồng nghiệp cố tìm cách làm hệ thống lỗi. Đã lên lịch kiểm toán bên ngoài trước khi nhận bất kỳ khoản tiền thật nào.

Những sai lầm thường gặp khi bảo mật hợp đồng thông minh là gì?

Sai lầm phổ biến nhất là chỉ kiểm thử luồng hoạt động bình thường, như thể mọi bên gọi hợp đồng đều trung thực. Những sai lầm khác gồm: để mở các chức năng quản trị rồi định hạn chế sau, sao chép mã hướng dẫn dùng trình biên dịch lỗi thời, tin một nguồn giá duy nhất, coi kiểm toán là sự bảo đảm, bỏ qua giai đoạn mạng thử nghiệm, và triển khai mà không có kế hoạch tạm dừng hoặc nâng cấp.

Bài học này nằm ở đâu trên Tosheo.ai?

Đây là bài học lập trình thuộc danh mục chuỗi khối và khóa học chuỗi khối. Trang miễn phí này giải thích từng bước bằng văn bản; phiên bản thực hành đầy đủ, trong đó bạn kiểm tra và sửa mã hợp đồng thực tế rồi chạy kiểm thử trên mạng thử nghiệm, nằm trong lộ trình lập trình tùy chọn sau khi đăng ký. Nếu chưa nắm kiến thức cơ bản, hãy bắt đầu với bài giải thích về hợp đồng thông minh. Tosheo.ai không phải chương trình đào tạo chuyên sâu toàn thời gian hay chương trình cấp chứng chỉ kiểm toán viên chuyên nghiệp, và không nội dung nào ở đây là lời khuyên đầu tư; các hợp đồng nắm giữ giá trị thực cần được chuyên gia kiểm toán.

Nguồn và phạm vi

ethereum.org, bảo mật hợp đồng thông minh (đã kiểm tra ngày 19 tháng 10 năm 2026) ↗

OWASP: 10 rủi ro hàng đầu về hợp đồng thông minh, 2025 (đã kiểm tra ngày 19 tháng 10 năm 2026) ↗

ethereum.org, mạng và mạng thử nghiệm (đã kiểm tra ngày 19 tháng 10 năm 2026) ↗