Анализ методов атак Хакер в Web3: распространенные способы атак и рекомендации по защите в первой половине 2022 года

В первой половине 2022 года в области Web3 часто происходили инциденты безопасности, что привело к огромным потерям для отрасли. В данной статье будут проанализированы основные методы атак этого периода, с целью предоставить проектам рекомендации по обеспечению безопасности.

Обзор основных данных атак

Согласно данным мониторинга платформы по восприятию ситуации в блокчейне, в первой половине 2022 года произошло 42 основных инцидента атак на контракты, что привело к убыткам примерно в 644 миллиона долларов. Среди всех эксплуатируемых уязвимостей наиболее распространенными были проблемы с логикой или неправильным проектированием функций, за ними следуют проблемы с валидацией и уязвимости повторного входа.

Анализ типичных инцидентов безопасности

Событие атаки на мост Wormhole

3 февраля 2022 года, проект кросс-чейн моста подвергся атаке, убытки составили до 326 миллионов долларов. Злоумышленники использовали уязвимость в проверке подписи в контракте проекта, чтобы осуществить незаконную эмиссию через поддельный аккаунт sysvar.

Протокол Fei подвергся атаке через кредитование

30 апреля 2022 года, некий кредитный протокол стал жертвой атаки с использованием флеш-займа, в результате чего был потерян 80,34 миллиона долларов. Атакующий осуществил атаку следующими шагами:

1. Получить флеш-кредит от Balancer
2. Использование уязвимости повторного входа в контракте кредитного пула для повторного заимствования
3. Извлечение средств из пула и возврат займам

Это событие в конечном итоге привело к тому, что проектная команда объявила о закрытии.

Типы распространенных уязвимостей

Наиболее распространенные уязвимости в процессе аудита включают в себя:

1. Атака повторного входа ERC721/ERC1155
2. Логические уязвимости контракта
3. Отсутствие контроля доступа
4. Уязвимость манипуляции ценами

Эти уязвимости также часто эксплуатируются в реальных атаках, среди которых логические уязвимости контрактов являются основной точкой атаки.

Рекомендации по предотвращению

1. Строго следовать модели дизайна "Проверка - Действие - Взаимодействие"
2. Полное рассмотрение логической обработки в особых сценариях
3. Улучшение функционального дизайна контракта, например, добавление механизма извлечения и ликвидации
4. Укрепление контроля доступа к ключевым функциям
5. Использование безопасного механизма ценового оракула
6. Проведение комплексного аудита безопасности, включая автоматизированное обнаружение и ручную проверку.

С помощью профессиональной платформы проверки смарт-контрактов и аудита экспертами по безопасности большинство из вышеперечисленных уязвимостей можно обнаружить и устранить на стадии разработки. Проектные команды должны уделять внимание вопросам безопасности, создавая многослойные механизмы защиты для снижения риска атак.