Аналіз безпекової ситуації в сфері Web3 за перше півріччя: методи атак хакерів та стратегії захисту

У першій половині 2022 року в сфері Web3 часто траплялися інциденти безпеки, що призвели до значних втрат. У цій статті буде проведено аналіз основних методів атак цього періоду та обговорено відповідні стратегії запобігання.

Загальний огляд безпекових інцидентів за перше півріччя

Згідно з даними моніторингу платформи спостереження за станом блокчейну, у першій половині 2022 року сталося 42 основних випадки атак, загальні збитки склали до 644 мільйонів доларів. Приблизно 53% способів атак були пов'язані з експлуатацією вразливостей контрактів.

Серед усіх експлуатованих вразливостей, логічні або функціональні недоліки є найчастіше використовуваними типами вразливостей хакерами, за ними йдуть проблеми перевірки та уразливості повторного входу.

Аналіз подій значних втрат

3 лютого, проект кросчейн мосту Solana Wormhole зазнав атаки, в результаті якої було втрачено близько 326 мільйонів доларів. Хакер скористався вразливістю в перевірці підписів контракту, підробивши рахунок для випуску wETH.

30 квітня, пул коштів певного протоколу зазнав атаки з використанням флеш-кредита та повторного входу, внаслідок чого було втрачено 80,34 мільйона доларів. Зловмисник скористався вразливістю повторного входу в контракті, реалізованому на cEther, шляхом створення зворотного виклику для вилучення всіх коштів. Ця подія врешті-решт призвела до оголошення розробників про закриття проекту.

Загальні типи вразливостей

Під час аудиту найчастіше виявляють чотири основні типи вразливостей:

1. Атака повторного входу ERC721/ERC1155: включення шкідливого коду у функцію повідомлення про переказ.

2. Логічні вразливості: недостатня увага до спеціальних сценаріїв, незавершений дизайн функцій.

3. Відсутність автентифікації: ключова функція не має налаштування контролю доступу.

4. Маніпуляція цінами: Механізм обчислення цін має недоліки.

Ці вразливості в реальних сценаріях вже використовувались хакерами, серед яких логічні вразливості контракту є основним способом атаки.

Рекомендації щодо запобігання

1. Строго дотримуйтесь моделі дизайну "Перевірка-Активування-Взаємодія".

2. Повноцінно розглянути всі граничні умови та особливі ситуації.

3. Налаштуйте повний контроль доступу для ключових функцій.

4. Використання механізмів, таких як середня ціна з урахуванням часу, для підвищення безпеки цінових оракулів.

5. Регулярно проводити формальну верифікацію смарт-контрактів та професійний аудит безпеки.

Завдяки професійній платформі аудиту безпеки та верифікації, у поєднанні з ручним контролем експертів з безпеки, вказані вразливості можуть бути виявлені та своєчасно виправлені до запуску проєкту. Команда проєкту повинна приділяти увагу роботі з аудиту безпеки, реалізувати відповідні рекомендації з безпеки, щоб максимально знизити ризики безпеки.