DODO Series #19: Nhìn lại kết quả Audit của dự án DODO

Vậy là chuỗi serie bài viết xoay quanh DODO cũng khá nhiều rồi. Chúng ta đã qua gần hết mọi thứ cơ bản cần tìm hiểu ở một dự án blockchain từ công nghệ, đội ngũ, tài chính, features, backers tới phân tích data on-chain của DODO. Chắc cũng phải đến lúc dừng lại thôi. Vậy nên ở bài viết này mình sẽ dành để nói tới một chủ đề cuối cùng, quan trọng đó là sự an toàn, bảo mật, hay gọi là security của DODOex. Việc này xuất phát từ việc mình đọc repo trên github của DODO, thấy ngoài source code có khá nhiều nhưng report của các đơn vị kiểm định cho DODO. Vì vậy mình sẽ tranh thủ tóm tắt nhanh nội dung cho mọi người nhé.

*** Tìm hiểu thêm về chuỗi series DODO-> Xem tại đây

Thường thì trong không gian Crypto này, chúng ta sẽ dùng 1 thuật ngữ là audit sản phẩm, audit dự án hay chính xác là audit code. Vậy nên một dự án blockchain trước khi mainnet hay khởi chạy thực sự thì nó cần được audit, để tin cậy cho việc an toàn, thì cần phải thuê những tổ chức audit chuyên nghiệp.

Hiểu đơn giản Audit là công việc kiểm tra các lỗ hổng bảo mật của dự án Crypto, kiểm tra các đoạn mã (code) trong sản phẩm của dự án, để đảm bảo sản phẩm khi được khởi chạy sẽ tránh được các rủi ro về hack, lỗi code, scam tiền của nhà đầu tư…

Dự án sản phẩm Crypto đã được Audit sẽ an toàn hơn rất nhiều so với các dự án chưa được audit.

Và đương nhiên các dự án được Audit, cho chúng ta thấy họ có đầu tư kỹ lưỡng và trau chuốt cho dự án của mình. Đồng thời cũng giảm thiểu rủi ro về việc dự án bị hack hay xảy ra lỗi sử dụng, gây ảnh hưởng lên giá token của dự án. Hơn thế nữa, các dự án được Audit bởi các công ty uy tín lại càng là một điểm cộng lớn khi bạn chọn lọc token dự án để đầu tư.

Nhìn vào thông tin ở trên, thì DODOex đã được audit bởi 5 đơn vị khác nhau, những cái tên nổi bật nhất có thể kể đến là Certik hay Peck Shield Inc, Trail Bits những đơn vị hàng đầu trong lĩnh vực security blockchain. Certik hay PeckShield thì mọi người quá quen thuộc rồi, riêng Trail of Bits còn có rất nhiều ấn phẩm bảo mật trên GitHub, bao gồm các báo cáo công khai cho 0x Protocol, Compound, NuCypher và MakerDAO.

Audit bởi Certik

Certik đã kiểm thử DODOex bao gồm những gì:

Kiểm tra các smart contract để chống lại các hình thức tấn công phổ biến và không phổ biến.
Đánh giá codebase để đảm bảo tuân thủ các tiêu chuẩn hiện phổ biến hiện tại và tiêu chuẩn ngành.
Đảm bảo logic các smart contract đáp ứng được các thông số kỹ thuật và ý định của khách hàng.
Đánh giá thủ công kỹ lưỡng từng dòng code bởi các chuyên gia trong lĩnh vực.
Tham khảo chéo nhau cấu trúc contract và việc implement contract so với các sản phẩm khác tương tự trên thị trường.

Đây là commit tại thời điểm mà Certik đã bắt đầu audit, nó diễn ra vào đầu năm 2021.

Report cũng khá dài, và đây là kết quả mà Certik đã có được sau quá trình làm việc:

Như chúng ta thấy từ bản report, thì Certik đã tìm ra 11 lỗ hổng liên quan của DODO, may mắn là không có bất cứ bugs nào ở cấp độ Critical (nghiêm trọng) hay Major (cơ bản) mà phần lớn đề là bugs minors.

Đánh giá chút, thì rõ ràng với kết quả này, thì DODO hoàn toàn tin tưởng với chất lượng code của devs tới thời điểm được audit.

Đây là kết quả từ một report tiếp theo của Certik tháng 3, tức là sau 2 tháng kết từ lần audit trước. Và số lượng bugs cũng giảm đi rất nhiều, không có bugs nào nghiêm trọng cả. Hoàn toàn ổn định về chất lượng code.

Audit bởi Peck Shield Inc

Chúng ta sẽ quan tâm tiếp đến kết quả của Peck Shield Inc

Và đây là kết quả của Peck Shield sau khi audit DODO, đội này có vẻ chặt chẽ hơn khi đã phát hiện ra 13 lỗ hổng của DODO, trong đó có 2 bugs medium, còn lại là low và minor.

Về cơ bản thì nó cũng tương tự như kết quả của Certik, họ đều phát hiện ra các lỗ hổng giống nhau.

Report của Trails of Bit cũng ổn định khi họ đã report 10 bugs liên quan.

Kết Luận

Đánh giá một cách khách quan thì những báo cáo này đều cho chúng ta thấy một số lượng lỗ hổng rất ít, độ nghiêm trọng lỗi không cao, không ảnh hưởng lớn tới hệ thống. Và tất nhiên DODO cũng đã released theo đúng quy trình, sau khi họ đã xử lý xong những lỗ hổng đó. Nhắc lại về vụ bị hack của DODO, thì cá nhân mình cho rằng, tấn công bằng flash loan là hình thức tấn công rất khó để phòng ngừa, ngay cả trong hiện tại, minh chứng là rất nhiều vụ hack sau này đều là flash loan, vì vậy nên là cũng cần có cái nhìn rõ ràng đúng hơn về việc này. Trong không gian Crypto này, mọi thứ đều diễn biến rất nhanh và nguy hiểm, đã tham gia là phải chấp nhận cuộc chơi.

Trên đây, GFS Blockchain đã cung cấp thông tin cập nhật mới về dự án DODO với DODO Series #19: Vấn đề audit của DODO.

Mọi người có thể tham gia nhóm Telegram của cộng đồng người dùng DODO -> Tại đây

Hàng tuần, GFS sẽ cập nhật các thông tin mới nhất về dự án DODO, mọi người hãy thường xuyên theo dõi tại website và đừng quên tham gia vào nhóm cộng đồng của GFS để thảo luận với các thành viên khác nhé: