Аналіз методів хакерських атак у сфері Web3 за першу половину 2022 року

У першій половині 2022 року безпекова ситуація у сфері Web3 була серйозною. Дані показують, що основних атак, спричинених вразливостями в смарт-контрактах, було зафіксовано 42, а загальні збитки становили 644 мільйони доларів. У цих атаках частка використання вразливостей контрактів перевищує половину.

Загальні методи атак

Аналіз показує, що найчастіше хакери використовують такі типи вразливостей:

1. Дизайн функцій логічного або з дефектами
2. Проблема механізму верифікації
3. Уразливість повторного входу

Серед них, логічні недоліки дизайну є найбільш використовуваним типом уразливостей.

Випадки значних втрат

1. Крос-чейн міст Wormhole на Solana зазнав атаки, втративши 3,26 мільярда доларів. Атакуючий скористався вразливістю перевірки підписів, підробивши обліковий запис для випуску wETH.

2. Rari Fuse Pool протоколу Fei зазнав атаки з використанням флеш-кредитів, втративши 80,34 мільйона доларів США. Ця атака призвела до остаточного закриття проекту. Зловмисник скористався вразливістю повторного входу, використовуючи флеш-кредити та конструкцію зворотних викликів, щоб висосати всі токени з ураженого пулу.

Загальні вразливості в аудиті

1. Атака повторного входу ERC721/ERC1155: функція сповіщення про переказ може бути зловмисно використана.

2. Логічна уразливість:
   • Недостатньо враховані спеціальні ситуації
   • Проектування функцій не завершене

3. Відсутність контролю доступу: ключові операції не мають належної перевірки прав.

4. Маніпуляція цінами:
   • Неправильне використання Oracle
   • Неправильний спосіб розрахунку ціни

Запобігання вразливостям

Більшість вразливостей, які були використані, можна виявити на етапі аудиту. Рекомендується сторонам проекту:

1. Проведення всебічного аудиту смарт-контрактів
2. Використання інструментів формальної перевірки
3. Поєднання експертної ручної перевірки
4. Уважно ставитися до виявлених під час аудиту проблем та своєчасно їх усувати

За допомогою суворих заходів безпеки можна ефективно знизити ризик атак і захистити активи користувачів.