Analyse des techniques d'attaque des Hackers Web3 : Vulnérabilités courantes et stratégies de prévention au premier semestre 2022

Au cours du premier semestre 2022, la situation de la sécurité dans le domaine du Web3 était sévère. Selon les données d'une certaine plateforme de surveillance de la sécurité blockchain, le nombre principal d'attaques causées par des vulnérabilités de contrats intelligents a atteint 42, avec une perte totale s'élevant à 644 millions de dollars. Parmi ces attaques, les défauts de conception logique ou de fonction sont les vulnérabilités les plus souvent exploitées par les hackers, suivis des problèmes de validation et des vulnérabilités de réentrées.

Revue des cas de pertes importantes

Début février, un projet de pont inter-chaînes a subi une énorme attaque de 326 millions de dollars. Les hackers ont exploité une vulnérabilité de vérification de signature dans le contrat, réussissant à falsifier des comptes et à frapper une grande quantité de jetons.

Fin avril, un protocole de prêt DeFi a subi une attaque par prêt éclair et réentrance, entraînant une perte de 80,34 millions de dollars. Cette attaque a porté un coup fatal au projet, qui a finalement annoncé sa fermeture en août.

Analyse spécifique d'un cas d'attaque :

1. L'attaquant commence par emprunter des fonds du pool de liquidité DEX via un prêt flash.
2. Mettre en garantie les fonds empruntés dans le protocole cible pour un prêt.
3. Exploiter la vulnérabilité de réentrance dans le contrat cEther pour retirer à plusieurs reprises des actifs du pool.
4. Rembourser le prêt flash, transférer les bénéfices

Cette attaque a principalement exploité une vulnérabilité de réentrance dans le contrat de protocole, entraînant une perte de plus de 28 000 ETH.

Types de vulnérabilités courantes

Les vulnérabilités les plus courantes identifiées lors du processus d'audit peuvent être classées en quatre grandes catégories :

1. Attaque de réentrée ERC721/ERC1155 : insertion de code malveillant dans la fonction de notification de transfert
2. Vulnérabilité logique : considérations insuffisantes pour des scénarios particuliers, conception de fonctionnalité incomplète
3. Contrôle d'accès manquant : Vérification des autorisations non définie pour les opérations clés.
4. Manipulation des prix : mauvaise utilisation des oracles, défauts dans la méthode de calcul des prix

Ces vulnérabilités ont été exploitées avec succès par des hackers dans des scénarios réels, parmi lesquelles les vulnérabilités logiques des contrats sont le principal moyen d'attaque.

Conseils de sécurité

1. Suivre strictement le modèle "Vérification - Activation - Interaction" pour concevoir la logique commerciale
2. Prendre en compte tous les cas limites et les scénarios spéciaux.
3. Mettre en place un contrôle d'accès strict pour toutes les opérations clés
4. Utiliser des oracles fiables et adopter le prix moyen pondéré par le temps
5. Effectuer un audit de sécurité complet et fournir des recommandations de correction par une équipe professionnelle.

Grâce à des plateformes de vérification de contrats intelligents professionnelles et à des audits manuels par des experts en sécurité, la plupart des vulnérabilités peuvent être découvertes et corrigées avant le lancement du projet. Les équipes de projets Web3 devraient accorder une grande importance à la construction de la sécurité et considérer l'audit de sécurité comme une étape nécessaire avant la publication.