Analyse des méthodes d'attaque des hackers dans le domaine du Web3 au premier semestre 2022

Au cours du premier semestre 2022, la situation de sécurité dans le domaine de Web3 était grave. Les données montrent que les principales attaques causées par des vulnérabilités de contrats intelligents ont atteint 42, entraînant des pertes totales de 644 millions de dollars. Dans ces attaques, la part des exploitations de vulnérabilités des contrats dépasse la moitié.

Méthodes d'attaque courantes

L'analyse montre que les types de vulnérabilités les plus couramment exploitées par les Hackers incluent :

1. Défaut de conception de la fonction OU logique
2. Problème de mécanisme de vérification
3. Vulnérabilité de réentrance

Parmi eux, les défauts de conception logique sont le type de vulnérabilité le plus exploité.

Cas de pertes importantes

1. Le pont inter-chaînes Solana Wormhole a été attaqué, avec une perte de 326 millions de dollars. L'attaquant a exploité une vulnérabilité de vérification de signature pour falsifier un compte et frapper du wETH.

2. Le pool Rari Fuse du protocole Fei a subi une attaque par prêt éclair, entraînant une perte de 80,34 millions de dollars. Cette attaque a conduit à la fermeture finale du projet. L'attaquant a exploité une vulnérabilité de réentrance, en utilisant un prêt éclair et en construisant une fonction de rappel, pour vider tous les tokens dans le pool affecté.

Vulnérabilités courantes dans les audits

1. Attaque de réentrance ERC721/ERC1155 : La fonction de notification de transfert peut être exploitée de manière malveillante.

2. Vulnérabilité logique :
   • Considérations insuffisantes pour des scénarios spéciaux
   • Conception fonctionnelle incomplète

3. Absence de contrôle des permissions : Les opérations clés n'ont pas de vérifications de permissions appropriées.

4. Manipulation des prix :
   • Utilisation incorrecte d'Oracle
   • La méthode de calcul des prix n'est pas raisonnable

Prévention des vulnérabilités

La plupart des vulnérabilités exploitées peuvent être découvertes lors de la phase d'audit. Il est recommandé aux équipes de projet :

1. Effectuer un audit complet des contrats intelligents
2. Utiliser des outils de vérification formelle
3. Combinaison de détection manuelle par des experts
4. Accorder de l'importance et corriger rapidement les problèmes identifiés lors de l'audit.

Grâce à des mesures de sécurité strictes, il est possible de réduire efficacement le risque d'attaques et de protéger la sécurité des actifs des utilisateurs.