Análise das técnicas de ataque comuns no campo do Web3 no primeiro semestre de 2022

No primeiro semestre de 2022, o setor de segurança Web3 enfrentou desafios severos. Os dados mostram que apenas devido a falhas em contratos, ocorreram 42 incidentes de ataque significativos, com perdas totais que alcançaram 644 milhões de dólares. Entre esses ataques, falhas de lógica ou de design de funções foram as vulnerabilidades mais frequentemente exploradas pelos hackers, seguidas por problemas de validação e vulnerabilidades de reentrada.

Casos de grandes perdas

No dia 3 de fevereiro, um projeto de ponte entre cadeias sofreu um ataque, resultando em uma perda de cerca de 326 milhões de dólares. Os hackers exploraram uma vulnerabilidade na verificação de assinatura do contrato, conseguindo falsificar contas para cunhar tokens.

No dia 30 de abril, um determinado protocolo de empréstimo sofreu um ataque de reentrada de empréstimo relâmpago, resultando em perdas de 80,34 milhões de dólares. Este ataque causou um golpe fatal ao projeto, levando à sua eventual encerramento.

O atacante implementa o ataque através dos seguintes passos:

1. Fazer um empréstimo relâmpago de um determinado fundo
2. Utilizando cEther na plataforma de empréstimos para explorar a vulnerabilidade de reentrada em contratos.
3. Extrair todos os tokens do pool afetado através da exploração do contrato
4. Devolver o empréstimo relâmpago, transferir os ganhos do ataque

Tipos comuns de vulnerabilidades

Durante o processo de auditoria de contratos inteligentes, as vulnerabilidades mais comuns podem ser divididas em quatro grandes categorias:

1. Ataque de reentrada ERC721/ERC1155: envolve código malicioso na função de notificação de transferência de tokens.

2. Falhas lógicas:
   • Consideração insuficiente para cenários especiais, como transferências internas que resultam em criação de valor inexistente
   • Design de funcionalidades incompleto, como a ausência de mecanismos de retirada ou liquidação

3. Falta de autenticação: funções-chave não têm controlo de permissões definido

4. Manipulação de preços:
   • Preço médio ponderado pelo tempo não utilizado
   • Usar diretamente a proporção do saldo de tokens no contrato como preço

Prevenção de Vulnerabilidades

Quase todas as vulnerabilidades encontradas na auditoria foram exploradas por hackers em cenários reais. Entre elas, as vulnerabilidades lógicas de contrato permanecem como o principal ponto de ataque. Através de plataformas de verificação formal profissionais e da revisão manual por especialistas em segurança, a maioria dessas vulnerabilidades pode ser detectada na fase de auditoria.

Para aumentar a segurança dos projetos Web3, recomenda-se às equipas de desenvolvimento:

1. Realizar uma auditoria de segurança abrangente do contrato
2. Dar importância aos testes em cenários especiais
3. Implementar uma gestão rigorosa de permissões
4. Utilizar oráculos de preços confiáveis
5. Seguir o padrão de design "Verificar-Ativar-Interagir"

À medida que as técnicas de ataque evoluem, a consciência contínua de segurança e a atualização das medidas de proteção são cruciais para o desenvolvimento saudável do ecossistema Web3.