Анализ методов хакерских атак в области Web3 за первое полугодие 2022 года

В первой половине 2022 года ситуация с безопасностью в области Web3 была серьезной. Данные показывают, что произошло 42 основных инцидента атаки из-за уязвимостей смарт-контрактов, что привело к общим убыткам в 644 миллиона долларов. Более половины этих атак были связаны с использованием уязвимостей контрактов.

Распространенные методы атак

Анализ показывает, что наиболее часто используемые хакерами типы уязвимостей включают:

1. Дефект проектирования логической или функциональной системы
2. Проблема механизма верификации
3. Уязвимость повторного входа

Среди них логические недостатки проектирования являются наиболее используемым типом уязвимостей.

Случай значительных убытков

1. Кроссчейн-мост Solana Wormhole подвергся атаке, убытки составили 326 миллионов долларов. Злоумышленник использовал уязвимость в проверке подписи для подделки аккаунта и выпуска wETH.

2. Протокол Fei подвергся атаке через flash-loan в пуле Rari Fuse, в результате чего был потерян 80,34 миллиона долларов. Эта атака привела к окончательному закрытию проекта. Нападающий использовал уязвимость повторного входа, используя flash-loan и конструкцию обратного вызова, чтобы опустошить все токены в затронутом пуле.

Общие уязвимости в аудитах

1. Атака повторного входа ERC721/ERC1155: функция уведомления о переводе может быть злоупотреблена.

2. Логическая уязвимость:
   • Недостаточное внимание к специальным сценам
   • Недостаточный дизайн функций

3. Отсутствие контроля доступа: ключевые операции не имеют соответствующей проверки прав.

4. Манипуляция ценами:
   • Неправильное использование Oracle
   • Способ расчета цены неразумен

Защита от уязвимостей

Большинство эксплуатируемых уязвимостей можно обнаружить на этапе аудита. Рекомендуется команде проекта:

1. Проведение комплексного аудита смарт-контрактов
2. Используйте инструменты формальной проверки
3. В сочетании с ручной проверкой экспертами
4. Обращайте внимание на выявленные в ходе аудита проблемы и устраняйте их своевременно.

С помощью строгих мер безопасности можно эффективно снизить риск атак и защитить безопасность активов пользователей.