Анализ безопасности Web3: Разбор методов атак Хакеров в первой половине 2022 года

В первой половине 2022 года ситуация с безопасностью в области Web3 была неутешительной. Согласно данным мониторинга безопасности блокчейна, уязвимости в контрактах стали основным средством атак со стороны хакеров, что привело к значительным финансовым потерям. В этой статье будет подробно проанализировано, какие методы атак чаще всего использовали хакеры в этот период, а также соответствующие меры по предотвращению.

Обзор инцидентов безопасности за первое полугодие

Данные показывают, что в первой половине 2022 года произошло 42 основных случая атак, из которых 53% составляют атаки с использованием уязвимостей контрактов. Эти атаки нанесли ущерб на сумму до 644 миллиона 404 тысяч долларов. Среди всех использованных уязвимостей наиболее часто хакеры использовали логические ошибки или неправильный дизайн функций, далее следуют проблемы верификации и уязвимости повторного входа.

Анализ случаев значительных убытков

Событие атаки на кросс-чейн мост Wormhole

3 февраля 2022 года проект кросс-чейн моста Wormhole в экосистеме Solana подвергся атаке, в результате чего был потерян около 326 миллионов долларов. Хакер использовал уязвимость в проверке подписи контракта, успешно подделав аккаунт sysvar для незаконной эмиссии wETH.

Событие атаки Fei Protocol

30 апреля 2022 года пул Rari Fuse, принадлежащий Fei Protocol, подвергся атаке с использованием флеш-кредита в сочетании с атакой повторного входа, что привело к потере в 80,34 миллиона долларов. Эта атака нанесла смертельный удар проекту, что в конечном итоге привело к тому, что проект объявил о закрытии 20 августа.

Атакующий осуществляет атаку следующими шагами:

1. Проведение флеш-займа из Balancer: Vault
2. Используйте заемные средства для залога и займа в Rari Capital
3. Использование cEther от Rari Capital для реализации уязвимости повторного входа в контракте
4. С помощью построенной функции атаки обратного вызова извлечь все токены из пула
5. Возврат заемных средств, полученных от атаки

Распространенные типы уязвимостей

В процессе аудита смарт-контрактов наиболее распространенные уязвимости можно разделить на четыре основные категории:

1. Атака повторного входа ERC721/ERC1155: при использовании функций _safeMint(), _safeTransfer() и т.д. может быть вызвано выполнение вредоносного кода через повторный вход.

2. Логическая уязвимость:
   • Недостаточное внимание к особым ситуациям, таким как самоперевод, приводящий к созданию денег из ничего
   • Дизайн функций не завершен, например, отсутствуют функции извлечения или расчета.

3. Отсутствие аутентификации: ключевые функции, такие как создание монет, настройка ролей и т.д., лишены эффективного контроля доступа.

4. Манипуляция ценами:
   • Неиспользованная взвешенная по времени средняя цена
   • Прямое использование баланса токенов в контракте в качестве цены

Рекомендации по предотвращению уязвимостей

1. Строго следовать дизайну "Проверка-Введение-Взаимодействие".
2. Всесторонне учитывать различные граничные случаи и специальные сценарии
3. Совершенствование проектирования функций контракта, обеспечение наличия соответствующих сопутствующих функций для ключевых операций
4. Внедрение строгого управления доступом и многократной проверки для ключевых функций
5. Используйте надежные ценовые оракулы, избегайте использования легко управляемых источников ценовых данных
6. Регулярно проводить аудит смарт-контрактов, сочетая автоматизированные инструменты с ручной проверкой профессиональных команд безопасности.

Принятие этих мер предосторожности может значительно повысить безопасность смарт-контрактов и снизить риск атак. Однако, с постоянным развитием методов атак, командам проектов необходимо оставаться бдительными, внимательно следить за последними тенденциями безопасности и своевременно обновлять стратегии защиты.