تحليل أساليب هجمات الويب 3: طرق الهجوم الشائعة في النصف الأول من 2022 واستراتيجيات الحماية

في النصف الأول من عام 2022، كانت الأوضاع الأمنية في مجال Web3 غير مبشرة. تشير البيانات إلى أن الخسائر الناتجة عن ثغرات العقود الذكية بلغت حوالي 644 مليون دولار، مع وقوع 42 حادثة هجوم رئيسية. من بين هذه الهجمات، كانت عيوب التصميم المنطقي أو الدالة، ومشكلات التحقق، وثغرات إعادة الإدخال هي الأكثر استغلالًا من قبل هاكر.

تحليل حالات الخسائر الكبيرة

1. جسر سولانا عبر السلاسل Wormhole يتعرض لهجوم: في فبراير 2022، استغل هاكر ثغرة في التحقق من التوقيع، ونجح في تزوير حساب لصك wETH، مما أدى إلى خسائر تقدر بحوالي 326 مليون دولار.

2. تم الهجوم على تجمع Rari Fuse التابع لبروتوكول Fei: في أبريل 2022، قام هاكر بالاستيلاء على أصول بقيمة 80.34 مليون دولار من خلال استغلال القرض الفوري مع هجوم إعادة الإدخال. كان لهذا الهجوم تأثير كبير على المشروع، مما أدى في النهاية إلى إعلان بروتوكول Fei عن إغلاقه في أغسطس.

تفاصيل هجوم بروتوكول في

• المهاجم يستخرج القرض الفوري أولاً من Balancer: Vault.
• استخدم الأموال المستعارة لإجراء الإقراض والاقتراض في Rari Capital، مع استغلال ثغرة إعادة الدخول في عقد cEther.
• من خلال دالة هجوم مصممة بعناية، يتم استدعاء جميع الرموز في المجمع مرارًا وتكرارًا.
• إعادة سلفة البرق أخيرًا، سيتم نقل الأرباح إلى العقد المحدد.

تمحورت هذه الهجمة حول استغلال ثغرة إعادة الدخول الموجودة في عقد تنفيذ cEther الخاص بـ Rari Capital، مما أدى في النهاية إلى سرقة أكثر من 28380 ETH (حوالي 8034 مليون دولار).

أنواع الثغرات الشائعة في التدقيق

1. هجوم إعادة الدخول ERC721/ERC1155: عند استخدام الدوال _safeMint() و _safeTransfer()، إذا كانت دالة الاستدعاء في العقد المستلم تحتوي على كود ضار، فقد يؤدي ذلك إلى هجوم إعادة الدخول.

2. ثغرة منطقية:

   • عدم كفاية الاعتبار في الحالات الخاصة، مثل زيادة الأصول بشكل غير مبرر نتيجة التحويل الذاتي.
   • تصميم الوظائف غير مكتمل، على سبيل المثال يفتقر إلى آلية السحب أو التسوية.

3. نقص في التحكم في الوصول: لم يتم تعيين ضوابط الأذونات المناسبة للعمليات الرئيسية (مثل سك العملات، إعدادات الشخصيات، تعديل المعلمات).

4. مخاطر التلاعب بالأسعار:

   • نظام التنبؤ الذي لم يستخدم متوسط الأسعار المرجحة بالوقت.
   • استخدام نسبة الأصول داخل العقد كمقياس للسعر، مما يسهل التلاعب.

استغلال الثغرات في الهجمات الفعلية

تظهر الإحصائيات أن جميع أنواع الثغرات التي تم اكتشافها أثناء عملية التدقيق قد تم استغلالها تقريبًا من قبل هاكر في البيئة الفعلية، حيث لا يزال ضعف منطق العقد هو الهدف الرئيسي للهجمات.

من الجدير بالذكر أنه من خلال منصة التحقق الرسمية للعقود الذكية والخبراء الأمنيين، يمكن اكتشاف معظم هذه الثغرات في مرحلة التطوير في الوقت المناسب. كما يمكن للخبراء الأمنيين تقديم اقتراحات للإصلاح بناءً على الظروف المحددة، مما يساعد الجهات المعنية على تعزيز أمان العقود.

نصائح للوقاية

1. تعزيز تدقيق الشيفرة: إجراء تدقيق أمني شامل بانتظام، مع التركيز بشكل خاص على تصميم المنطق ومعالجة السيناريوهات الخاصة.

2. تنفيذ تحكم صارم في الأذونات: إعداد آليات حماية مثل التوقيع المتعدد أو قفل الوقت للوظائف الرئيسية.

3. تحسين سعر أوراكل: استخدام أوراكل لامركزي ومتوسط سعر مرجّح زمنيًا لتقليل مخاطر التلاعب بالأسعار.

4. اتباع ممارسات الترميز الآمن: تنفيذ صارم لنموذج "التحقق-التنفيذ-التفاعل" لمنع هجمات إعادة الإدخال.

5. المراقبة المستمرة: نشر نظام مراقبة في الوقت الحقيقي لاكتشاف الأنشطة الشاذة والاستجابة لها في الوقت المناسب.

من خلال اتخاذ هذه التدابير، يمكن لمشاريع Web3 تحسين أمانها بشكل كبير وتقليل خطر أن تصبح هدفًا لهجمات هاكر. مع استمرار تطور التكنولوجيا، سيكون من الضروري البقاء يقظين وتحديث استراتيجيات الأمان باستمرار لضمان التشغيل المستقر للمشاريع على المدى الطويل.