Reentrancy Decoded - Ang Smart Contract Bug na Patuloy na Nagpapalabas ng Milyon-milyon sa 2026, at ang Checks-Effects-Interactions Pattern na Humihinto sa Ito sa Code Hindi magic ang reentrancy. Ito ay isang ordering bug: ang iyong contract ay nag-u-update ng sarili nitong estado PAGKATapos magawa ang external call kesa bago, at ang isang attacker ay nagtatawag muli sa pagitan ng puwang. Iayos ang order at nawawala ang bug. Nawala ng halos 3.6M ETH (tungkol sa $60M, humigit-kumulang 5% ng lahat ng ETH na umiiral noong panahong iyon) sa ganitong eksaktong pagkakamali noong June 17, 2016. Ang epekto nito ay nagbahagi ng Ethereum sa ETH at ETC. Sampung taon na ang nakalipas, patuloy pa rin itong nagpapalabas ng pera. Nawala ng $2.73M ang Solv Protocol dahil sa reentrancy noong March 5, 2026, at humigit-kumulang $52M ang nakuha sa iba’t ibang onchain protocols noong May 2026 (DeFiLlama sa pamamagitan ng CryptoTimes, May 31, 2026). Ang vulnerable pattern: basahin ang balance, ipadala ang ETH gamit ang low-level call, PAGKATapos i-set ang balance sa zero. Ang receive() function ng attacker ay nagre-reenter sa withdraw() bago manatili ang zero, at nag-loop hanggang mawalan ng pera ang contract. Dalawang solusyon, gamitin nang sabay: Checks-Effects-Interactions. I-verify, i-update LAHAT ng state, tapos gawin ang external call bilang huling hakbang. Ililipat ang balances[msg.sender] = 0 sa itaas ng call at ang re-entrant call ay babasahin ang zero at magrerevert. Ang nonReentrant guard ng OpenZeppelin. Isang storage mutex (NOT_ENTERED hanggang ENTERED) na magrerevert sa re-entry. Gamitin ito AT CEI, hindi isa o isa lamang. Dalawang bagay na mali pa rin ng karamihan sa mga developer. 1. Ang .transfer() ay hindi na isang kaligtasan: ang 2300 gas stipend ay tumigil na maging isang ligtas na aksiyon nang mapataas ni EIP-1884 ang SLOAD gas noong 2019. Gamitin ang .call{value:}("") kasama ang CEI. 2. Ang read-only reentrancy ay nakakapagbubypass sa standard guard, dahil ang pagbabasa ng view function sa gitna ng pag-update ay bumabalik sa corrupted state at maaaring magpo-poison sa price oracle (dForce, $3.64M). Para sa edukasyonal na layunin lamang. Hindi financial advice. Sumunod para sa araw-araw na insights - kung saan nagtatagpo ang blockchain at AI, isang nakakatuwang swipe sa isang oras. #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation
