Анализ распространенных методов атак в области Web3 за первую половину 2022 года

В первой половине 2022 года ситуация с безопасностью в области Web3 оставалась серьезной. В этой статье будет глубоко проанализировано, какие типичные способы атак имели место в этот период, а также обсуждены их частота и меры предосторожности.

Обзор убытков, вызванных уязвимостями

Согласно данным платформы мониторинга безопасности блокчейна, в первой половине 2022 года произошло 42 основных инцидента с уязвимостями контрактов, что составляет около 53% всех атак. Общие убытки от этих атак достигли 644 миллиона долларов.

Среди всех используемых уязвимостей логические или функциональные недостатки дизайна являются наиболее часто используемым типом уязвимостей хакерами, за ними следуют проблемы валидации и уязвимости повторного входа.

Анализ крупных убытков

Событие атаки на кросс-чейн мост Wormhole

3 февраля 2022 года проект мостов между цепями Wormhole экосистемы Solana подвергся атаке, в результате которой было потеряно около 326 миллионов долларов. Нападающий использовал уязвимость в проверке подписи в контракте, подделав системный аккаунт и создав большое количество wETH.

Событие атаки Fei Protocol

30 апреля 2022 года пул Rari Fuse под управлением Fei Protocol подвергся атаке через флеш-кредиты и повторный вход, что привело к убыткам в 80,34 миллиона долларов. Эта атака нанесла смертельный удар по проекту, что в конечном итоге привело к его закрытию, объявленному 20 августа.

Злоумышленники в основном использовали уязвимость повторного входа, существующую в контракте реализации cEther от Rari Capital. Процесс атаки следующий:

1. Нападающий получает займ на мгновенный кредит от Balancer.
2. Использование средств кредитования через Flash Loan для залога и займа в Rari Capital, одновременно используя уязвимость повторного входа.
3. Извлеките все токены из затронутого пула через функцию обратного вызова атакующего.
4. Вернуть займ на блиц-кредит и перевести полученные средства от атаки.

Распространенные типы уязвимостей в аудите

1. Рекомендации по защите от реентерантных атак ERC721/ERC1155:
   • Использовать функцию уведомления о переводе в стандарте для атаки повторного входа
   • Бизнес-функция не строго соблюдает режим проверки-активации-взаимодействия

2. Логическая уязвимость:
   • Неучтенные особые ситуации, такие как самопереводы, приводящие к беспочвенному увеличению токенов.
   • Дизайн функций не совершенен, отсутствуют механизмы извлечения или расчетов

3. Отсутствие аутентификации:
   • Ключевые функции (например, чеканка, настройка персонажа) недостаточно контролируются правами доступа

4. Манипуляция ценами:
   • Неправильное или отсутствующее использование оракула
   • Прямо использовать соотношение баланса токенов в контракте в качестве ценового ориентира

Использование уязвимостей в реальных атаках

Согласно данным безопасности, типы уязвимостей, обнаруженные в ходе аудита, почти все были использованы в реальных атаках, среди которых логические уязвимости контрактов остаются основным методом атаки.

Важно отметить, что большинство этих уязвимостей могут быть обнаружены и исправлены до запуска проекта с помощью профессиональной платформы для проверки смарт-контрактов и ручной проверки экспертами по безопасности. Поэтому проведение комплексного аудита безопасности является критически важным для предотвращения потенциальных атак.