Proje Açığı Kurtarma Eylemi Gözden Geçirme ve Düşünceler
18 Ocak 2022'de, olağan dışı işlem izleme sistemimiz bir çapraz zincir projeye yönelik bir saldırı tespit etti. Proje sözleşmesindeki bir işlevin doğru bir doğrulama mekanizması ile uygulanmaması nedeniyle, kullanıcıların bu projeye yetkilendirdiği token'lar saldırganlar tarafından alınabiliyordu.
Proje ekibi etkilenen kullanıcıları hatırlatmak için çeşitli yollar denemiş olmasına rağmen, birçok kullanıcı zamanında yanıt verememiştir ve saldırganlar saldırıyı sürdürerek kâr elde etmiştir. Saldırının devam etmesi nedeniyle, potansiyel mağdurları korumak için acil yanıt önlemleri almayı kararlaştırdık. Bu kurtarma çalışması, Ethereum üzerindeki etkilenen hesaplara yöneliktir; ilgili hesapların fonlarını özel olarak oluşturulan çok imzalı beyaz şapkalı hesaba transfer edeceğiz. Eylemin şeffaflığını sağlamak için, ilgili planın belge hash'ini topluluğa açıklayacağız; bu, bizimle saldırganlar arasındaki eylemleri ayırırken detayları da ifşa etmemektedir. Kurtarma çalışması 21 Ocak 2022'de başlamış ve 11 Mart'ta sona ermiştir.
Acil yardım birçok teknik ve teknik olmayan zorlukla karşı karşıyadır. Eylem sona erdikten sonra, süreci gözden geçirdik ve ilgili deneyimleri paylaşmayı umuyoruz, topluluğa ve DeFi ekosisteminin güvenliğine yardımcı olmayı amaçlıyoruz.
Kurtarma Durumu Özeti
Gözlemlediğimiz zaman diliminde ( 2022 yılı 18 Ocak - 20 Mart ), genel saldırı ve kurtarma durumu aşağıdaki gibidir:
21 saldırı hesabı 1433.092224 ETH kazandı, Flashbots ücreti olarak 148.903707 ETH ödendi( %10.39 )
Dikkate alınması gereken bir husus, bazı karmaşık durumların varlığıdır (, örneğin bazı saldırganların daha sonra proje sahipleriyle anlaşarak kârların bir kısmını geri iade etmesi ), yukarıda belirtilen istatistiklerin sadece yaklaşık veriler olduğudur.
Flashbots Ücret Değişim Eğilimi
Beyaz şapkalılar, saldırganlarla rekabet ederek Flashbots işlemleri gönderiyor ve kurtarma uyguluyor, ödenen Flashbots ücretleri rekabetin yoğunluğunu yansıtıyor. İşlem bloklarına göre saldırı ve kurtarma işlemlerinin Flashbots ücretlerinin oranını istatistiksel olarak değerlendiriyoruz.
İlk aşama saldırı işlemlerinin Flashbots ücreti 0'dır, bu da saldırganların henüz Flashbots'u kullanmadığını gösterir. Ardından Flashbots ücret oranı hızla yükselir, bazı bloklarda %80-91'e kadar çıkar. Bu, Flashbots üzerindeki zincir hakları mücadelesinin neden olduğu bir ücret silahlanma yarışını yansıtmaktadır.
Kurtarma Operasyonu Uygulaması ve Zorluklar
Kurtarma temel yaklaşımı, potansiyel kurban hesaplarını izlemektir; WETH girişi olduğunda, sözleşme açığını kullanarak bunu beyaz şapka çoklu imza cüzdanına aktarmaktır. Anahtar, aşağıdaki gereksinimlerin karşılanmasını sağlamaktır:
Kurbanlara para transferinin etkin bir şekilde belirlenmesi.
Kurtarma işlemini doğru bir şekilde oluşturun
Başarılı bir ön alma saldırganı işlemi
İlk iki madde bizim için engel teşkil etmiyor, ancak üçüncü madde hala zorluk arz ediyor. Flashbots kullanarak öne geçmek mümkün olsa da, ücret açık artırma modeli nedeniyle başarı oranı ücretin yüksekliğine bağlıdır; strateji ayarlarının ek olarak dikkate alınması gerekmektedir. Ayrıca, mempool'da sıradan işlemler gönderirken işlem yeri ve sırası da kritik faktörlerdir. Diğer "beyaz şapkalara" karşı da rekabet halindeyiz, bazı "beyaz şapka" davranışları şüpheli görünüyor.
Genel olarak, 171 potansiyel mağdur hesabını korumaya çalıştık. Bunlardan 10'u zamanında yetki iptali ile kendini korumuşken, kalan 161 hesabın çeşitli rekabetler nedeniyle yalnızca 14'ünü kurtarabildik.
Deneyimler ve Dersler
Flashbots ücret ayarları
Ücret stratejimiz daha muhafazakar, mağdurların çıkarlarını korumak için daha düşük ücretler belirlemeye eğilimli. Ancak bu strateji pek başarılı olmuyor, saldırganlar ve bazı beyaz şapkalı genellikle daha agresif stratejiler benimseyor. Örneğin:
Bir saldırgan ücret oranını %70 olarak ayarladı.
Bir beyaz şapka, ücret oranını %79-%81 olarak belirledi.
Diğer bir saldırgan ücret oranını %86'ya yükseltti.
Bu, maliyetleri düşürme ve rekabeti kazanma arasında denge ararken, tarafların davranış modellerini modellemek için keşif gerektiren bir sıfır toplamlı oyun haline geliyor gibi görünüyor.
Mempool işlem sıralaması
Çeşitli tarafların yoğun rekabeti nedeniyle, Flashbots her zaman etkili değildir. Mempool üzerinden sıradan işlemler göndererek, uygun bir konumda planlandığında hedefe ulaşmak mümkün olabilir. Bir saldırgan bu stratejiyi kullanarak 312 ETH kazandı ve Flashbots ücretlerini ödemek zorunda kalmadı.
Saldırı işlemleri, kurbanın para transferi işleminden sonraki bitişik konumlarda ustaca düzenlenmiştir. Bu strateji hem pratik hem de ilham verici olup, dikkat çekmeye değerdir.
Diğer Düşünceler
Beyaz şapka ile saldırgan arasındaki tanım
Beyaz şapkalıların tanınması her zaman basit ve açık değildir. Örneğin, belirli bir adres başlangıçta saldırgan olarak işaretlenmişken, daha sonra beyaz şapkalı olarak değiştirilmiştir. Bu, proje ekibi ile saldırgan arasında bir pazarlık yapılmasından kaynaklanmaktadır; saldırgan kazançlarının bir kısmını ödül olarak saklamayı ve diğer kazançları iade etmeyi kabul etmiştir. Bu durum, toplulukta teşviklerin adilliği üzerine tartışmalara yol açmıştır.
beyaz şapkalı rekabet
Topluluğun beyaz şapka arasındaki rekabeti azaltmak için bir koordinasyon mekanizması kurması gerekmektedir. Bu tür bir rekabet, kurtarma kaynaklarını israf etmekte ve kurtarma maliyetlerini artırmaktadır. Örneğin, biz ve diğer üç beyaz şapka organizasyonu aynı anda 54 mağduru korumaya çalıştık ve 450 ETH kaybıyla karşı karşıya kaldık.
Kurtarma operasyonunu geliştirmek
Beyaz şapka, hassas bilgileri ifşa etmeden topluluğa davranışlarını açık bir şekilde duyurabilir ve topluluğa güven verebilir.
Topluluk tarafları işbirliği yaparak kurtarma işlemlerinin daha hızlı ve etkili olmasını sağlayabilir.
Flashbots/Madenciler güvenilir beyaz şapkalara yeşil geçiş sağlıyor
Proje tarafı Flashbots ücretlerini üstlenir.
Proje ekipleri daha pratik bir kullanıcı uyarı mekanizması kullanıyor.
Proje ekibi, kodda gerekli acil önlemleri alır.
Deneyimlerin derslerini özetleyerek, gelecekteki kurtarma operasyonlarının daha verimli olmasını ve kullanıcı yararlarını en üst düzeye çıkarmasını umuyoruz.
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
cross-chain projeleri güvenlik açığı kurtarma eylemi: deneyim özeti ve Merkezi Olmayan Finans güvenlik ipuçları
Proje Açığı Kurtarma Eylemi Gözden Geçirme ve Düşünceler
18 Ocak 2022'de, olağan dışı işlem izleme sistemimiz bir çapraz zincir projeye yönelik bir saldırı tespit etti. Proje sözleşmesindeki bir işlevin doğru bir doğrulama mekanizması ile uygulanmaması nedeniyle, kullanıcıların bu projeye yetkilendirdiği token'lar saldırganlar tarafından alınabiliyordu.
Proje ekibi etkilenen kullanıcıları hatırlatmak için çeşitli yollar denemiş olmasına rağmen, birçok kullanıcı zamanında yanıt verememiştir ve saldırganlar saldırıyı sürdürerek kâr elde etmiştir. Saldırının devam etmesi nedeniyle, potansiyel mağdurları korumak için acil yanıt önlemleri almayı kararlaştırdık. Bu kurtarma çalışması, Ethereum üzerindeki etkilenen hesaplara yöneliktir; ilgili hesapların fonlarını özel olarak oluşturulan çok imzalı beyaz şapkalı hesaba transfer edeceğiz. Eylemin şeffaflığını sağlamak için, ilgili planın belge hash'ini topluluğa açıklayacağız; bu, bizimle saldırganlar arasındaki eylemleri ayırırken detayları da ifşa etmemektedir. Kurtarma çalışması 21 Ocak 2022'de başlamış ve 11 Mart'ta sona ermiştir.
Acil yardım birçok teknik ve teknik olmayan zorlukla karşı karşıyadır. Eylem sona erdikten sonra, süreci gözden geçirdik ve ilgili deneyimleri paylaşmayı umuyoruz, topluluğa ve DeFi ekosisteminin güvenliğine yardımcı olmayı amaçlıyoruz.
Kurtarma Durumu Özeti
Gözlemlediğimiz zaman diliminde ( 2022 yılı 18 Ocak - 20 Mart ), genel saldırı ve kurtarma durumu aşağıdaki gibidir:
9 kurtarma hesabı 483.027693 ETH'yi korudu, Flashbots ücretleri 295.970554 ETH ödendi( %61.27'yi kapsıyor)
21 saldırı hesabı 1433.092224 ETH kazandı, Flashbots ücreti olarak 148.903707 ETH ödendi( %10.39 )
Dikkate alınması gereken bir husus, bazı karmaşık durumların varlığıdır (, örneğin bazı saldırganların daha sonra proje sahipleriyle anlaşarak kârların bir kısmını geri iade etmesi ), yukarıda belirtilen istatistiklerin sadece yaklaşık veriler olduğudur.
Flashbots Ücret Değişim Eğilimi
Beyaz şapkalılar, saldırganlarla rekabet ederek Flashbots işlemleri gönderiyor ve kurtarma uyguluyor, ödenen Flashbots ücretleri rekabetin yoğunluğunu yansıtıyor. İşlem bloklarına göre saldırı ve kurtarma işlemlerinin Flashbots ücretlerinin oranını istatistiksel olarak değerlendiriyoruz.
İlk aşama saldırı işlemlerinin Flashbots ücreti 0'dır, bu da saldırganların henüz Flashbots'u kullanmadığını gösterir. Ardından Flashbots ücret oranı hızla yükselir, bazı bloklarda %80-91'e kadar çıkar. Bu, Flashbots üzerindeki zincir hakları mücadelesinin neden olduğu bir ücret silahlanma yarışını yansıtmaktadır.
Kurtarma Operasyonu Uygulaması ve Zorluklar
Kurtarma temel yaklaşımı, potansiyel kurban hesaplarını izlemektir; WETH girişi olduğunda, sözleşme açığını kullanarak bunu beyaz şapka çoklu imza cüzdanına aktarmaktır. Anahtar, aşağıdaki gereksinimlerin karşılanmasını sağlamaktır:
İlk iki madde bizim için engel teşkil etmiyor, ancak üçüncü madde hala zorluk arz ediyor. Flashbots kullanarak öne geçmek mümkün olsa da, ücret açık artırma modeli nedeniyle başarı oranı ücretin yüksekliğine bağlıdır; strateji ayarlarının ek olarak dikkate alınması gerekmektedir. Ayrıca, mempool'da sıradan işlemler gönderirken işlem yeri ve sırası da kritik faktörlerdir. Diğer "beyaz şapkalara" karşı da rekabet halindeyiz, bazı "beyaz şapka" davranışları şüpheli görünüyor.
Genel olarak, 171 potansiyel mağdur hesabını korumaya çalıştık. Bunlardan 10'u zamanında yetki iptali ile kendini korumuşken, kalan 161 hesabın çeşitli rekabetler nedeniyle yalnızca 14'ünü kurtarabildik.
Deneyimler ve Dersler
Flashbots ücret ayarları
Ücret stratejimiz daha muhafazakar, mağdurların çıkarlarını korumak için daha düşük ücretler belirlemeye eğilimli. Ancak bu strateji pek başarılı olmuyor, saldırganlar ve bazı beyaz şapkalı genellikle daha agresif stratejiler benimseyor. Örneğin:
Bu, maliyetleri düşürme ve rekabeti kazanma arasında denge ararken, tarafların davranış modellerini modellemek için keşif gerektiren bir sıfır toplamlı oyun haline geliyor gibi görünüyor.
Mempool işlem sıralaması
Çeşitli tarafların yoğun rekabeti nedeniyle, Flashbots her zaman etkili değildir. Mempool üzerinden sıradan işlemler göndererek, uygun bir konumda planlandığında hedefe ulaşmak mümkün olabilir. Bir saldırgan bu stratejiyi kullanarak 312 ETH kazandı ve Flashbots ücretlerini ödemek zorunda kalmadı.
Saldırı işlemleri, kurbanın para transferi işleminden sonraki bitişik konumlarda ustaca düzenlenmiştir. Bu strateji hem pratik hem de ilham verici olup, dikkat çekmeye değerdir.
Diğer Düşünceler
Beyaz şapka ile saldırgan arasındaki tanım
Beyaz şapkalıların tanınması her zaman basit ve açık değildir. Örneğin, belirli bir adres başlangıçta saldırgan olarak işaretlenmişken, daha sonra beyaz şapkalı olarak değiştirilmiştir. Bu, proje ekibi ile saldırgan arasında bir pazarlık yapılmasından kaynaklanmaktadır; saldırgan kazançlarının bir kısmını ödül olarak saklamayı ve diğer kazançları iade etmeyi kabul etmiştir. Bu durum, toplulukta teşviklerin adilliği üzerine tartışmalara yol açmıştır.
beyaz şapkalı rekabet
Topluluğun beyaz şapka arasındaki rekabeti azaltmak için bir koordinasyon mekanizması kurması gerekmektedir. Bu tür bir rekabet, kurtarma kaynaklarını israf etmekte ve kurtarma maliyetlerini artırmaktadır. Örneğin, biz ve diğer üç beyaz şapka organizasyonu aynı anda 54 mağduru korumaya çalıştık ve 450 ETH kaybıyla karşı karşıya kaldık.
Kurtarma operasyonunu geliştirmek
Beyaz şapka, hassas bilgileri ifşa etmeden topluluğa davranışlarını açık bir şekilde duyurabilir ve topluluğa güven verebilir.
Topluluk tarafları işbirliği yaparak kurtarma işlemlerinin daha hızlı ve etkili olmasını sağlayabilir.
Deneyimlerin derslerini özetleyerek, gelecekteki kurtarma operasyonlarının daha verimli olmasını ve kullanıcı yararlarını en üst düzeye çıkarmasını umuyoruz.