Аналіз методів атак Хакерів у Web3: Поширені вразливості та стратегії запобігання у першій половині 2022 року

У першій половині 2022 року безпекова ситуація у сфері Web3 була серйозною. За даними певної платформи моніторингу безпеки блокчейну, лише через вразливості смарт-контрактів сталося 42 основні випадки атак, загальні збитки склали 6,44 мільйона доларів. У цих атаках логічні або функціональні дефекти проєкту були найчастіше використаними вразливостями хакерами, далі йдуть проблеми з верифікацією та вразливості повторного входу.

Огляд випадків значних втрат

На початку лютого, один з кросчейн-біржових проєктів зазнав величезної атаки на суму 326 мільйонів доларів. Хакер скористався вразливістю перевірки підписів у контракті, успішно підробивши обліковий запис для карбування великої кількості токенів.

В кінці квітня один з DeFi кредитних протоколів зазнав атаки через кредитування з миттєвим позикою, в результаті якої втратили 80,34 мільйона доларів. Ця атака завдала фатального удару проекту, в результаті чого він оголосив про закриття в серпні.

Конкретний аналіз одного випадку атаки:

1. Атакуюча сторона спочатку бере позики з ліквідного пулу DEX.
2. Заставити позичені кошти в цільовому протоколі для отримання кредиту
3. Використовуючи вразливість повторного входу в контракті cEther, неодноразово витягувати активи з пулу
4. Повернення闪电贷, передача прибутку

Ця атака в основному використовувала вразливість повторного входу в контракт протоколу, що призвело до втрат понад 28 тисяч ETH.

Типи поширених вразливостей

У процесі аудиту найпоширеніші вразливості можна поділити на чотири основні категорії:

1. Реін'єкційна атака ERC721/ERC1155: вставка шкідливого коду в функцію повідомлення про передачу
2. Логічна вразливість: недостатня увага до особливих сценаріїв, недосконалий дизайн функцій
3. Відсутність контролю доступу: ключові операції не мають перевірки прав
4. Маніпуляція цінами: неналежне використання оракула, недоліки в методах розрахунку цін

Ці вразливості були успішно використані хакерами в реальних сценаріях, причому вразливості логіки контракту є основними засобами атаки.

Рекомендації з безпеки

1. Суворо дотримуватися моделі "Перевірка - Дія - Взаємодія" при розробці бізнес-логіки
2. Повністю врахувати різні граничні випадки та спеціальні ситуації
3. Встановіть суворий контроль доступу для всіх критичних операцій
4. Використовуйте надійні оракули та застосовуйте середню ціну з урахуванням часу
5. Провести комплексний аудит безпеки та надати рекомендації щодо виправлення від професійної команди

Завдяки професійним платформам перевірки смарт-контрактів та ручному аудиту безпеки експертів, більшість вразливостей можна виявити та виправити до запуску проєкту. Команди проєктів Web3 повинні приділяти увагу забезпеченню безпеки, роблячи аудит безпеки необхідним етапом перед випуском.