Refleksi dari Insiden Serangan Cetus: Tingkat Jaminan Keamanan oleh Audit Kode

Baru-baru ini, bursa terdesentralisasi dalam ekosistem SUI, Cetus, mengalami serangan, memicu diskusi di industri mengenai efektivitas audit keamanan kode. Artikel ini akan meninjau situasi audit kode Cetus dan mengeksplorasi pengaruh nyata audit kode terhadap keamanan proyek.

Ikhtisar Audit Kode Cetus

Cetus telah menerima audit kode dari beberapa lembaga, termasuk MoveBit, OtterSec, dan Zellic, yang merupakan lembaga profesional audit kode bahasa Move. Hasil audit dari masing-masing lembaga adalah sebagai berikut:

1. Laporan Audit MoveBit:

   • Ditemukan 18 masalah risiko, termasuk 1 risiko fatal, 2 risiko utama, 3 risiko sedang, dan 12 risiko ringan
   • Semua masalah telah diselesaikan

2. Laporan audit OtterSec:

   • Ditemukan 1 masalah risiko tinggi, 1 masalah risiko sedang, dan 7 masalah risiko informatif
   • Masalah risiko tinggi dan risiko sedang telah diselesaikan, sebagian risiko informatif masih ada

3. Laporan Audit Zellic:

   • Ditemukan 3 risiko informasi, terutama terkait dengan kepatuhan kode, yang tidak menimbulkan ancaman substansial terhadap keamanan

Meskipun Cetus telah melalui beberapa putaran audit dan menyelesaikan sebagian besar masalah berisiko tinggi, proyek ini masih mengalami serangan. Kejadian ini menyoroti bahwa bahkan proyek yang telah diaudit oleh banyak lembaga masih dapat memiliki celah keamanan.

Keterbatasan Audit Kode

1. Audit tidak dapat menjamin keamanan 100%: Meskipun telah melalui beberapa putaran audit, masih mungkin ada celah yang tidak terdeteksi.

2. Pembaruan teknologi yang cepat: Metode serangan baru terus muncul, audit mungkin tidak dapat menutupi semua risiko potensial secara tepat waktu.

3. Kompleksitas Interaksi Kontrak: Proyek DeFi biasanya melibatkan interaksi kompleks antara beberapa kontrak, yang meningkatkan kesulitan audit secara menyeluruh.

4. Kualitas audit bervariasi: Tingkat profesionalisme dan kedalaman audit dari berbagai lembaga audit mungkin berbeda.

Saran untuk Meningkatkan Keamanan Proyek

1. Audit ganda: Memilih beberapa lembaga audit profesional untuk melakukan audit, terutama lembaga yang mengkhususkan diri dalam blockchain tertentu (seperti bahasa Move).

2. Audit berkelanjutan: Melakukan audit keamanan secara berkala, mengikuti ancaman keamanan terbaru.

3. Program Hadiah Kerentanan: Menetapkan hadiah besar untuk mendorong hacker topi putih menemukan dan melaporkan kerentanan yang potensial.

4. Kompetisi Audit: Mengadakan kompetisi audit untuk menarik lebih banyak ahli keamanan untuk berpartisipasi dalam audit proyek.

5. Kode sumber terbuka: memungkinkan komunitas untuk meninjau kode, meningkatkan transparansi.

6. Pengujian Keamanan: Melakukan pengujian keamanan yang komprehensif, termasuk simulasi serangan dan pengujian tekanan.

7. Mekanisme Asuransi: Pertimbangkan untuk membeli asuransi untuk aset pengguna, memberikan perlindungan tambahan.

Kata Penutup

Kejadian serangan terhadap Cetus sekali lagi mengingatkan kita, meskipun audit kode itu penting, itu bukan satu-satunya jaminan keamanan. Pihak proyek perlu mengambil langkah-langkah keamanan yang komprehensif, termasuk audit ganda, penilaian keamanan yang berkelanjutan, program penghargaan bug, dan lain-lain. Sementara itu, pengguna juga harus tetap waspada saat berpartisipasi dalam proyek DeFi, memperhatikan langkah-langkah keamanan dan kemampuan pengendalian risiko proyek. Hanya dengan pihak proyek dan pengguna bersama-sama memprioritaskan keamanan, kita dapat membangun ekosistem blockchain yang lebih aman dan dapat diandalkan.