Danh sách kiểm tra bảo mật Web3: 15 bước bảo vệ hợp đồng

Áp dụng kiểm soát truy cập theo vai trò

Dùng AccessControl hoặc Ownable2Step của OpenZeppelin thay vì kiểm địa chỉ thô. Định nghĩa vai trò riêng cho admin, operator và pauser. Không bao giờ dùng tx.origin để ủy quyền.

Phòng tái nhập (reentrancy)

Áp dụng mẫu checks-effects-interactions cho mọi lời gọi ngoài. Dùng ReentrancyGuard cho hàm chuyển ETH hoặc tương tác hợp đồng không tin cậy. Kiểm thử với hợp đồng callback cố ý độc hại.

Xác thực mọi đầu vào bên ngoài

Kiểm địa chỉ zero, giá trị tràn, mảng rỗng và tham số ngoài phạm vi ngay cửa hàm. Đừng tin caller sẽ đưa dữ liệu hợp lý — ép ràng buộc on-chain.

Xử lý số nguyên an toàn

Solidity 0.8+ có kiểm tràn sẵn, nhưng khối unchecked bỏ qua. Kiểm toán mọi khối unchecked về rủi ro overflow/underflow. Để ý chia cho không và mất độ chính xác trong toán fixed-point.

Bảo vệ phụ thuộc oracle

Dùng giá trung bình theo thời gian (TWAP) hoặc nhiều nguồn oracle để chống thao túng flash loan. Thêm kiểm độ cũ, ngưỡng phản hồi tối thiểu và logic dự phòng khi oracle lỗi.

Khóa và xác minh phiên bản trình biên dịch

Ghim phiên bản Solidity bằng pragma cụ thể (ví dụ 0.8.20) thay vì pragma nổi (^0.8.0). Bảo đảm mọi hợp đồng trong dự án biên dịch cùng phiên bản để tránh khác biệt hành vi tinh tế.

Thu hẹp bề mặt nâng cấp

Nếu dùng proxy nâng cấp được, hạn chế quyền nâng cấp bằng timelock và quản trị multisig. Ngăn va chạm layout lưu trữ. Cân nhắc có thật sự cần nâng cấp — hợp đồng bất biến dễ lập luận hơn.

Cơ chế dừng khẩn cấp

Thêm khả năng tạm dừng cho thao tác then chốt. Thiết kế pause sao cho không bị lạm dụng kiểm duyệt nhưng vẫn dừng được khi đang bị khai thác. Kiểm thử pause thật sự chặn mọi đường then chốt.

Chống front-running

Dùng commit-reveal, mempool riêng (Flashbots Protect) hoặc hạn chót cho thao tác nhạy thời gian. Giảm giá trị có thể trích từ giao dịch đang chờ.

Rà soát mẫu phê duyệt token

Tránh phê duyệt vô hạn khi có thể. Triển khai EIP-2612 permit cho phê duyệt không tốn gas. Kiểm điều kiện đua phê duyệt và dùng decreaseAllowance thay vì approve(0) rồi approve(newAmount).

Kiểm thử fork mô phỏng thực tế

Chạy kiểm thử tích hợp trên fork mainnet để bắt lỗi với số dư token, trạng thái pool và giá oracle thật. Hardhat và Foundry đều hỗ trợ kiểm thử fork — dùng để mô phỏng điều kiện triển khai thực.

Cân gas so với an toàn

Mã tối ưu gas có thể đưa lỗ hổng tinh tế. Đừng bỏ kiểm an toàn để tiết gas. Ghi chú mọi khối unchecked hoặc assembly kèm lý do an toàn rõ ràng.

Xác minh nguồn trên block explorer

Công bố và xác minh mã nguồn trên Etherscan hoặc explorer tương ứng ngay sau khi triển khai. Việc này cho phép rà soát công khai và xây dựng tin cậy. Bảo đảm nguồn đã xác minh khớp chính xác bytecode đã triển khai.

Thiết lập giám sát và cảnh báo

Triển khai giám sát on-chain trước khi launch, không phải sau. Theo dõi mẫu chuyển bất thường, leo thang đặc quyền, đề xuất quản trị và đổi tham số. Lớp giám sát 24/7 của FinGuard bắt khai thác đang diễn ra theo thời gian thực.

Thuê kiểm toán bảo mật độc lập

Rà soát nội bộ cần nhưng chưa đủ. Thuê kiểm toán viên độc lập sẽ thử khai thác hợp đồng trong sandbox. Đòi bằng chứng khai thác cho phát hiện, không chỉ danh sách rủi ro lý thuyết.