Analisis Metode Serangan Web3: Kerentanan Umum dan Strategi Pencegahan pada Paruh Pertama 2022

Pada paruh pertama tahun 2022, situasi keamanan di bidang Web3 sangat serius. Menurut data dari suatu platform pemantauan keamanan blockchain, hanya kasus serangan utama yang disebabkan oleh kerentanan kontrak pintar mencapai 42 kasus, dengan total kerugian mencapai 644 juta USD. Dalam serangan ini, cacat desain logika atau fungsi adalah kerentanan yang paling sering dimanfaatkan oleh Hacker, diikuti oleh masalah verifikasi dan kerentanan reentrancy.

Tinjauan Kasus Kerugian Besar

Pada awal Februari, sebuah proyek jembatan lintas rantai mengalami serangan besar-besaran senilai 326 juta dolar AS. Hacker memanfaatkan celah verifikasi tanda tangan dalam kontrak, berhasil memalsukan akun dan mencetak sejumlah besar token.

Pada akhir April, sebuah protokol pinjaman DeFi mengalami serangan flash loan dengan serangan reentrancy, mengakibatkan kerugian sebesar 80,34 juta dolar. Serangan ini memberikan pukulan fatal bagi proyek tersebut, yang akhirnya mengumumkan penutupan pada bulan Agustus.

Analisis spesifik dari sebuah kasus serangan:

1. Penyerang pertama-tama meminjam dana dari likuiditas DEX melalui pinjaman kilat.
2. Menggadaikan dan meminjamkan dana yang dipinjam di protokol target.
3. Memanfaatkan kerentanan reentrancy dalam kontrak cEther untuk menarik aset dari kolam secara berulang
4. Mengembalikan pinjaman kilat, memindahkan keuntungan

Serangan kali ini terutama memanfaatkan kerentanan reentrancy dalam kontrak protokol, mengakibatkan kerugian lebih dari 28.000 ETH.

Jenis Kerentanan Umum

Kerentanan yang paling umum selama proses audit dapat dibagi menjadi empat kategori besar:

1. Serangan reentrancy ERC721/ERC1155: Menyisipkan kode jahat dalam fungsi notifikasi transfer
2. Celah logika: Pertimbangan yang tidak memadai dalam skenario khusus, desain fungsi yang tidak sempurna
3. Kekurangan kontrol akses: operasi kunci tidak diatur untuk verifikasi izin
4. Manipulasi Harga: Penggunaan oracle yang tidak tepat, metode perhitungan harga memiliki cacat

Celah-celah ini telah berhasil dimanfaatkan oleh Hacker dalam skenario nyata, di mana celah logika kontrak adalah metode serangan utama.

Saran Keamanan

1. Ikuti dengan ketat desain logika bisnis "Pemeriksaan - Efektif - Interaksi".
2. Pertimbangkan secara menyeluruh berbagai kondisi batas dan skenario khusus
3. Atur kontrol izin yang ketat untuk semua operasi kunci
4. Menggunakan oracle yang tepercaya dan menerapkan harga rata-rata tertimbang waktu
5. Melakukan audit keamanan menyeluruh dan mendapatkan rekomendasi perbaikan dari tim profesional.

Melalui platform verifikasi kontrak pintar yang profesional dan audit manual oleh ahli keamanan, sebagian besar kerentanan dapat ditemukan dan diperbaiki sebelum proyek diluncurkan. Pihak proyek Web3 harus memprioritaskan pembangunan keamanan, menjadikan audit keamanan sebagai langkah yang diperlukan sebelum peluncuran.