Análisis de las técnicas de ataque de hacker en el ámbito de Web3 en la primera mitad de 2022

En la primera mitad de 2022, la situación de seguridad en el campo de Web3 fue grave. Los datos muestran que hubo un total de 42 incidentes de ataque importantes debido a vulnerabilidades en contratos inteligentes, con pérdidas totales que alcanzaron los 644 millones de dólares. En estos ataques, la explotación de vulnerabilidades en contratos representó más de la mitad.

Métodos de ataque comunes

El análisis muestra que los tipos de vulnerabilidades más comunes que los hackers utilizan incluyen:

1. Defecto de diseño de la función lógica o
2. Problemas del mecanismo de verificación
3. Vulnerabilidad de reentrada

Entre ellos, el defecto de diseño lógico es el tipo de vulnerabilidad más utilizado.

Casos de grandes pérdidas

1. El puente entre cadenas de Solana, Wormhole, fue atacado, con pérdidas de 326 millones de dólares. Los atacantes aprovecharon una vulnerabilidad en la verificación de firmas para falsificar cuentas y acuñar wETH.

2. El Rari Fuse Pool del Fei Protocol fue víctima de un ataque de préstamo relámpago, con pérdidas de 80.34 millones de dólares. Este ataque llevó al cierre final del proyecto. El atacante aprovechó una vulnerabilidad de reentrada, utilizando un préstamo relámpago y construyendo una función de devolución de llamada para vaciar todos los tokens en el pool afectado.

Vulnerabilidades comunes en auditorías

1. Ataque de reentrada ERC721/ERC1155: la función de notificación de transferencia puede ser explotada maliciosamente.

2. Fallo lógico:
   • Consideraciones insuficientes para escenarios especiales
   • Diseño de funciones incompleto

3. Falta de control de permisos: las operaciones clave no tienen configuradas las comprobaciones de permisos adecuadas.

4. Manipulación de precios:
   • Uso inadecuado de Oracle
   • El método de cálculo de precios no es razonable

Prevención de vulnerabilidades

La mayoría de las vulnerabilidades explotadas pueden ser detectadas en la fase de auditoría. Se recomienda a los proyectos:

1. Realizar una auditoría completa de contratos inteligentes
2. Utilizar herramientas de verificación formal
3. Combinación de la detección manual de expertos
4. Valorar y corregir de manera oportuna los problemas detectados en la auditoría.

A través de estrictas medidas de seguridad, se puede reducir eficazmente el riesgo de sufrir ataques y proteger la seguridad de los activos de los usuarios.