Web3領域における2022年上半期の一般的な攻撃手法の分析

2022年上半期、Web3分野のセキュリティ状況は依然として厳しいです。本稿では、この期間に一般的な攻撃手法について詳しく分析し、その頻度と防止策について考察します。

脆弱性による損失の概要

ブロックチェーンセキュリティ監視プラットフォームのデータによると、2022年上半期には主要なスマートコントラクトの脆弱性攻撃事件が42件発生し、全ての攻撃事件の約53％を占めました。これらの攻撃による総損失は6.44億ドルに達します。

すべての利用された脆弱性の中で、論理的または関数設計の欠陥はハッカーが最も利用する脆弱性のタイプであり、次に検証の問題と再入脆弱性があります。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

重要な損失イベント分析

ワームホールクロスチェーンブリッジ攻撃事件

2022年2月3日、SolanaエコシステムのクロスチェーンブリッジプロジェクトWormholeが攻撃を受け、約3.26億ドルの損失が発生しました。攻撃者は契約内の署名検証の脆弱性を利用して、システムアカウントを偽造し、大量のwETHを鋳造しました。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

Fei プロトコル攻撃

2022年4月30日、Fei Protocol傘下のRari Fuse Poolはフラッシュローンと再入攻撃を受け、8034万ドルの損失を被りました。この攻撃はプロジェクトに致命的な打撃を与え、最終的にプロジェクトは8月20日に閉鎖を発表しました。

攻撃者は主に、Rari CapitalのcEther実装契約のリエントランシー脆弱性を悪用しました。 攻撃プロセスは次のとおりです。

1. 攻撃者はBalancerからフラッシュローンを取得します。
2. Rari Capitalでフラッシュローン資金を利用して担保貸付を行い、同時に再入ループの脆弱性を利用する。
3. 構築された攻撃関数のコールバックを通じて、影響を受けたプールのすべてのトークンを抽出します。
4. フラッシュローンを返済し、攻撃によって得た資金を移転する。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

監査でよく見られる脆弱性の種類

1. ERC721/ERC1155 リエントランシー攻撃:
   • 標準の転送通知機能を使用したリエントランシー攻撃
   • 業務関数はチェック-発効-インタラクションモードに厳密に従っていません

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

2. ロジックの欠陥：
   • 特殊なシナリオが考慮されていないため、自己送金がトークンの無限増加を引き起こす可能性があります。
   • 機能設計が不十分で、引き出しや清算メカニズムが欠如している

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

3.認証の欠如:

• 重要な機能（例えば、ミント、キャラクター設定）には権限管理が欠如している

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

4.価格操作:

• オラクルの不適切な使用または欠如
• 契約内のトークン残高比率を価格の基準として直接使用する

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

実際の攻撃における脆弱性の悪用

安全監視データによると、監査中に発見された脆弱性のタイプは、実際の攻撃でほぼすべてが利用されており、その中で契約ロジックの脆弱性が依然として主要な攻撃手段です。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

注意すべきは、専門的なスマートコントラクト検証プラットフォームとセキュリティ専門家による手動レビューを通じて、これらの脆弱性の大部分はプロジェクトの立ち上げ前に発見され、修正される可能性が高いことです。したがって、包括的なセキュリティ監査を行うことは、潜在的な攻撃を防ぐために非常に重要です。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?