defi-amm-security

DeFi AMM 安全

针对Solidity AMM合约、LP金库和交换函数的关键漏洞模式及强化实现。

使用场景

• 编写或审计Solidity AMM或流动性池合约
• 实现持有代币余额的交换、存款、取款、铸币或销毁流程
• 审查任何在份额或储备计算中使用 token.balanceOf(address(this)) 的合约
• 向DeFi协议添加费用设置器、暂停器、预言机更新或其他管理员函数

工作原理

将其作为检查清单加模式库使用。对照以下类别审查每个用户入口点，并优先使用强化示例而非手写变体。

执行安全

本技能中的shell命令是本地审计示例。仅在受信任的代码库或一次性沙箱中运行，不要将不受信任的合约名称、路径、RPC URL、私钥或用户提供的标志拼接到shell命令中。在安装工具或运行可能消耗大量本地或付费资源的长时间模糊测试/静态分析任务前请先询问。

切勿在命令示例、日志或报告中包含机密信息、私钥、助记词、API令牌或主网签名凭证。

示例

重入攻击：强制执行CEI顺序

有漏洞的：

function withdraw(uint256 amount) external {
    require(balances[msg.sender] >= amount);
    token.transfer(msg.sender, amount);
    balances[msg.sender] -= amount;
}

安全的：

import {ReentrancyGuard} from "@openzeppelin/contracts/utils/ReentrancyGuard.sol";
import {SafeERC20} from "@openzeppelin/contracts/token/ERC20/utils/SafeERC20.sol";

using SafeERC20 for IERC20;

function withdraw(uint256 amount) external nonReentrant {
    require(balances[msg.sender] >= amount, "余额不足");
    balances[msg.sender] -= amount;
    token.safeTransfer(msg.sender, amount);
}

当存在经过验证的库时，不要自己编写守卫。

捐赠或通胀攻击

直接使用 token.balanceOf(address(this)) 进行份额计算，攻击者可以通过在预期路径之外向合约发送代币来操纵分母。

// 有漏洞的
function deposit(uint256 assets) external returns (uint256 shares) {
    shares = (assets * totalShares) / token.balanceOf(address(this));
}

// 安全的
uint256 private _totalAssets;

function deposit(uint256 assets) external nonReentrant returns (uint256 shares) {
    uint256 balBefore = token.balanceOf(address(this));
    token.safeTransferFrom(msg.sender, address(this), assets);
    uint256 received = token.balanceOf(address(this)) - balBefore;

    shares = totalShares == 0 ? received : (received * totalShares) / _totalAssets;
    _totalAssets += received;
    totalShares += shares;
}

跟踪内部会计并测量实际收到的代币。

预言机操纵

现货价格可被闪电贷操纵。优先使用TWAP。

uint32[] memory secondsAgos = new uint32[](2);
secondsAgos[0] = 1800;
secondsAgos[1] = 0;
(int56[] memory tickCumulatives,) = IUniswapV3Pool(pool).observe(secondsAgos);
int24 twapTick = int24(
    (tickCumulatives[1] - tickCumulatives[0]) / int56(uint56(30 minutes))
);
uint160 sqrtPriceX96 = TickMath.getSqrtRatioAtTick(twapTick);

滑点保护

每个交换路径都需要调用者提供的滑点和截止时间。

function swap(
    uint256 amountIn,
    uint256 amountOutMin,
    uint256 deadline
) external returns (uint256 amountOut) {
    require(block.timestamp <= deadline, "已过期");
    amountOut = _calculateOut(amountIn);
    require(amountOut >= amountOutMin, "滑点超出限制");
    _executeSwap(amountIn, amountOut);
}

安全的储备计算

import {FullMath} from "@uniswap/v3-core/contracts/libraries/FullMath.sol";

uint256 result = FullMath.mulDiv(a, b, c);

对于大型储备计算，当存在溢出风险时，避免使用朴素的 a * b / c。

管理员控制

import {Ownable2Step} from "@openzeppelin/contracts/access/Ownable2Step.sol";

contract MyAMM is Ownable2Step {
    function setFee(uint256 fee) external onlyOwner { ... }
    function pause() external onlyOwner { ... }
}

对于所有权转移，优先使用显式接受，并对每个特权路径进行门控。

安全检查清单

• 暴露重入的入口点使用 nonReentrant
• 遵守CEI顺序
• 份额计算不依赖原始的 balanceOf(address(this))
• ERC-20转账使用 SafeERC20
• 存款测量实际收到的代币
• 预言机读取使用TWAP或其他抗操纵源
• 交换需要 amountOutMin 和 deadline
• 对溢出敏感的储备计算使用安全原语如 mulDiv
• 管理员函数有访问控制
• 存在紧急暂停功能并经过测试
• 在生产前运行静态分析和模糊测试

审计工具

pip install slither-analyzer
slither . --exclude-dependencies

echidna-test . --contract YourAMM --config echidna.yaml

forge test --fuzz-runs 10000