Approfondimento su dApp e Smart Contract
Smart Contract
Come vengono costruite, protette e governate le app decentralizzate.
In questa lezione
- Rischi comuni degli smart contract
- Cosa fa un audit
Punti chiave
- 1Il codice immutabile significa che i bug possono essere catastrofici
- 2Gli audit cercano vulnerabilità prima del lancio
- 3La reentrancy e le approvazioni errate sono exploit classici
Riepilogo della lezione
Gli smart contract eseguono logica programmata in modo affidabile — ma questa immutabilità include qualsiasi bug nel codice.
Modello mentale
Smart Contract in parole semplici
Gli smart contract eseguono logica programmata in modo affidabile — ma questa immutabilità include qualsiasi bug nel codice.
- Rischi comuni degli smart contract
- Cosa fa un audit
Meccanica
Come ragionare su gli smart contract
Gli audit di sicurezza identificano vulnerabilità prima del deployment; i bug post-deployment in contratti immutabili non possono essere corretti senza migrazione.
I permessi admin — pause, upgrade, drain — definiscono quanto un team può fare se qualcosa va storto, e quanto possono fare anche se lo sfruttano malevolamente.
Le approvazioni di token illimitate concedono all'indirizzo contratto permesso permanente di muovere i tuoi token — richiedono monitoraggio attivo.
- Il codice immutabile significa che i bug possono essere catastrofici
- Gli audit cercano vulnerabilità prima del lancio
- La reentrancy e le approvazioni errate sono exploit classici
Esempio
gli Smart Contract, applicato
Il hack Ronin da $625M nel 2022 era dovuto a chiavi validator compromesse — non un bug del contratto, ma un fallimento nel modello di custodia delle chiavi che gestisce il contratto.
Errori comuni
Come gli smart contract porta in errore gli studenti
Fidarsi dei badge di audit senza verificare l'ambito e i risultati dell'audit. Audit recenti e copertura limitata variano notevolmente.
Note sul rischio
Prima di affidarti a gli smart contract
I bug del contratto, le chiavi admin compromesse e le approvazioni non revocate rimangono vettori di attacco attivi dopo il deployment.
- Controlla lo scope dell'audit.
- Rivedi i poteri admin o di upgrade.
- Evita approvazioni illimitate non necessarie.
Pratica
Fai attecchire gli smart contract
- Controlla lo scope dell'audit.
- Rivedi i poteri admin o di upgrade.
- Evita approvazioni illimitate non necessarie.
Revisione
Termini chiave
- Oracle
- Un servizio che fornisce dati del mondo reale (come i prezzi) agli smart contract on-chain.
- Smart Contract
- Codice auto-eseguibile su una blockchain che viene eseguito esattamente come scritto quando le condizioni sono soddisfatte.
- Manipolazione dell'Oracle
- Sfruttare un feed di prezzo difettoso per prosciugare un protocollo.
- Blockchain
- Un registro condiviso e append-only replicato su molti computer, protetto da crittografia e consenso.
- Meccanismo di Consenso
- Il processo con cui una rete distribuita concorda sullo stato valido del registro (es. PoW, PoS).
Note sulle fonti
Riferimenti editoriali
Questi riferimenti sono punti di partenza per verificare i meccanismi, le verifiche di rischio e il contesto del prodotto alla base di questa lezione.
Prima di continuare
Sai fare queste cose?
- Controlla lo scope dell'audit.
- Rivedi i poteri admin o di upgrade.
- Evita approvazioni illimitate non necessarie.
Approfondimenti correlati
Continua a leggere
Checkpoint
Termina questa lezione
Supera la verifica per salvare i progressi, poi continua il percorso in ordine.
Consolida questa lezione
Rispondi correttamente a tutte le domande per completare la lezione.
Un rischio comune degli smart contract è…