Аналіз методів атак хакерів у Web3: поширені способи атак та рекомендації щодо запобігання у першій половині 2022 року

У першій половині 2022 року в сфері Web3 часто відбувалися інциденти безпеки, що завдали величезних збитків галузі. У цій статті буде проаналізовано основні методи атак цього періоду з метою надання проектам рекомендацій щодо запобігання загрозам.

Основний огляд даних атак

Згідно з даними моніторингу платформи спостереження за станом блокчейна, у першій половині 2022 року сталося 42 основних випадки атак на контрактні вразливості, що призвели до збитків приблизно в 6,44 мільярда доларів. Серед усіх вразливостей найбільш поширеними були логічні або функціональні недоліки, за ними слідують проблеми перевірки та вразливості повторного входу.

Аналіз типової безпекової події

Подія атаки на міст Wormhole

3 лютого 2022 року, певний кросчейн міст проект зазнав атаки, збитки склали до 326 мільйонів доларів США. Зловмисники використали вразливість перевірки підпису в контракті проекту, здійснивши незаконне карбування через підроблений обліковий запис sysvar.

Fei Protocol зазнав атаки через швидкісні позики

30 квітня 2022 року, певний кредитний протокол зазнав атаки через флеш-кредит з повторним входом, в результаті чого було втрачено 80,34 мільйона доларів США. Зловмисник реалізував атаку за наступними кроками:

1. Отримати闪电贷 від Balancer
2. Використання уразливості повторного входу в контракті кредитного пулу для повторного кредитування
3. Витягти кошти з пулу та повернути кредит на блискавку

Ця подія врешті-решт призвела до оголошення команди проекту про закриття.

Загальні типи вразливостей

Найпоширеніші вразливості під час аудиту включають:

1. Атака повторного входу ERC721/ERC1155
2. Логічні уразливості контракту
3. Відсутність контролю доступу
4. Уразливість маніпуляції цінами

Ці вразливості також часто використовуються під час реальних атак, причому логічні вразливості контрактів є основними точками атаки.

Рекомендації щодо запобігання

1. Суворо дотримуйтесь дизайну "Перевірка - Дія - Взаємодія"
2. Усеосяжно розглянути логічну обробку в особливих сценаріях
3. Удосконалити дизайн функцій контракту, наприклад, додати механізм вилучення та ліквідації.
4. Посилити контроль доступу до ключових функцій
5. Використання безпечного механізму ціноутворення
6. Провести всебічний аудит безпеки, включаючи автоматизоване виявлення та ручну перевірку

Завдяки професійній платформі перевірки смарт-контрактів та аудитам експертів з безпеки, більшість вказаних вразливостей можна виявити та виправити на етапі розробки. Команда проекту повинна приділяти увагу безпеці, створюючи багаторівневі механізми захисту, щоб зменшити ризик атаки.